ỨNG DỤNG CỦA NAT TỪ NGOÀI INTERNET VÀO MÁY CHỦ NỘI BỘ
9 - CÁCH THỨC ĐỂ NAT TỪ NGOÀI INTERNET TRUY CẬP VÀO MÁY CHỦ TRONG MẠNG NỘI BỘ
I. ỨNG DỤNG CỦA NAT TỪ NGOÀI INTERNET VÀO MÁY CHỦ NỘI BỘ
Khi người dùng hoặc đối tác từ ngoài Internet muốn truy cập vào các máy chủ nằm trong mạng nội bộ (như Web Server, Mail Server, ERP, hoặc Database), Firewall Cisco sẽ đóng vai trò là "người gác cổng". Vì các máy chủ nội bộ thường sử dụng địa chỉ IP Private (không thể định tuyến trên Internet), chúng ta bắt buộc phải cấu hình NAT từ ngoài vào.
Trong Firewall Cisco, kỹ thuật này được gọi chung là Inbound NAT, được triển khai qua hai ứng dụng thực tế chính sau đây:
1. Static NAT (NAT 1:1) – Ánh xạ toàn bộ máy chủ
Phương pháp này liên kết cố định một địa chỉ IP Public duy nhất với một địa chỉ IP Private của máy chủ nội bộ.
Cách hoạt động: Khi có bất kỳ traffic nào từ Internet gửi tới IP Public 203.0.113.5, Firewall Cisco sẽ tự động dịch địa chỉ đích thành IP Private 192.168.1.10 của máy chủ và chuyển tiếp gói tin vào trong.
Đặc điểm: Mở toàn bộ các Port (Cổng) của máy chủ ra Internet.
Ứng dụng thực tế: * Dùng cho các máy chủ chạy đồng thời rất nhiều dịch vụ/port khác nhau và có một quỹ IP Public dư dả.
*Thường áp dụng cho các máy chủ đặt trong vùng DMZ (Demilitarized Zone) để cách ly an toàn với mạng LAN nội bộ.
2. Static PAT/Port Forwarding (NAT Port) – Public dịch vụ có chọn lọc
Đây là giải pháp phổ biến và tối ưu nhất cho doanh nghiệp. Thay vì mở toàn bộ máy chủ, bạn chỉ ánh xạ một Port cụ thể của IP Public vào một Port cụ thể của IP Private.
Cách hoạt động: Bạn có thể dùng chung một địa chỉ IP Public duy nhất của công ty để chạy nhiều dịch vụ trên các máy chủ khác nhau:
Traffic đến IP_Public:80 hoặc :443 -> Firewall chuyển hướng vào Web Server (192.168.1.10:443).
Traffic đến IP_Public:25 -> Firewall chuyển hướng vào Mail Server (192.168.1.12:25).
Traffic đến IP_Public:8000 -> Firewall chuyển hướng vào Hệ thống Camera (192.168.1.13:8000).
Ứng dụng thực tế:
Tiết kiệm chi phí: Giúp doanh nghiệp chỉ cần thuê 1 địa chỉ IP Public từ ISP nhưng vẫn public được toàn bộ hệ thống lưu trữ, web, camera ra ngoài.
Bảo mật tối đa: Hạn chế bề mặt tấn công (Attack Surface). Hacker chỉ nhìn thấy và tiếp cận được đúng Port được mở (ví dụ Port 443), các Port quản trị nhạy cảm khác như SSH (22), RDP (3389), hay Database (3306) hoàn toàn bị Firewall chặn đứng từ vòng ngoài.
Nguyên tắc bảo mật bắt buộc đi kèm khi NAT từ ngoài vào
Chỉ cấu hình NAT là chưa đủ để gói tin đi từ Internet vào máy chủ nội bộ. Trên Firewall Cisco (ASA hoặc FTD), bạn luôn phải thực hiện đồng thời 2 bước:
1.Cấu hình NAT Rule (Object NAT hoặc Twice NAT): Để dịch chuyển địa chỉ IP.
2.Cấu hình Access Control List (ACL): Để cho phép (Permit) traffic đi qua. Theo mặc định, Firewall Cisco sẽ chặn toàn bộ traffic từ vùng có độ tin cậy thấp (Outside/Internet) vào vùng có độ tin cậy cao hơn (Inside/DMZ). Bạn phải viết Policy chỉ cho phép đúng IP nguồn (hoặc Any) truy cập vào IP và Port cụ thể của máy chủ.
Khuyến nghị thiết kế: Tuyệt đối không nên đặt các máy chủ nhận NAT từ ngoài vào chung dải mạng với máy trạm của người dùng (Inside LAN). Hãy đưa chúng vào một vùng riêng gọi là DMZ. Nếu máy chủ DMZ có bị tấn công hoặc chiếm quyền điều khiển, Firewall vẫn sẽ ngăn chặn hacker "leo thang" hoặc quét (scan) sang mạng LAN của nhân viên.
II. CÁC BƯỚC NAT TỪ NGOÀI INTERNET TRUY CẬP VÀO MÁY CHỦ WEB:
Để cho phép truy cập từ internet vào máy chủ web có địa chỉ IP riêng 192.168.1.10 nằm sau Firewall Cisco, bạn cần thực hiện cấu hình Network Address Translation (NAT). Dưới đây là các bước và các câu lệnh Cisco IOS phổ biến để thực hiện điều này:
Các bước thực hiện:
1. Xác định Interface bên ngoài và bên trong:
Interface bên ngoài (outside): Là interface của Firewall kết nối với internet, thường có địa chỉ IP public. Ví dụ: GigabitEthernet0/0
Interface bên trong (inside): Là interface của Firewall kết nối với mạng nội bộ chứa máy chủ web. Ví dụ: GigabitEthernet0/1
2. Tạo Access Control List (ACL) để xác định lưu lượng truy cập:
Bạn cần tạo một ACL để cho phép lưu lượng truy cập đến cổng web (thường là cổng 80 cho HTTP và cổng 443 cho HTTPS) từ bất kỳ địa chỉ IP nào trên internet đến địa chỉ IP public của Firewall.
3. Cấu hình Static NAT:
Sử dụng lệnh ip nat inside source static để ánh xạ địa chỉ IP riêng của máy chủ web (192.168.1.10) với địa chỉ IP public của Firewall trên cổng web.
4. Áp dụng NAT vào các Interface:
Chỉ định interface nào là interface bên trong và interface nào là interface bên ngoài để NAT có thể hoạt động.
Các câu lệnh Cisco IOS:
Giả sử interface bên ngoài của Firewall là GigabitEthernet0/0 có địa chỉ IP public là 203.0.113.5 và interface bên trong là GigabitEthernet0/1.
1. Xác định Interface bên ngoài và bên trong:
FdcCiscoasa(config)# interface GigabitEthernet0/0 (Ví dụ: Interface kết nối Internet)
FdcCiscoasa(config-if)# ip address 203.0.113.5 255.255.255.0
FdcCiscoasa(config-if)# ip nat outside
FdcCiscoasa(config)# interface GigabitEthernet0/1 (Ví dụ: Interface kết nối mạng nội bộ)
FdcCiscoasa(config-if)# ip address 192.168.1.1 255.255.255.0
FdcCiscoasa(config-if)# ip nat inside
2. Tạo Access Control List (ACL) để xác định lưu lượng truy cập (ví dụ: cho phép HTTP và HTTPS):
FdcCiscoasa(config)# access-list 101 permit tcp any host 203.0.113.5 eq 80
FdcCiscoasa(config)# access-list 101 permit tcp any host 203.0.113.5 eq 443
access-list 101 permit tcp any host 203.0.113.5 eq 80: Cho phép lưu lượng TCP từ bất kỳ địa chỉ IP nào đến địa chỉ IP public của Firewall trên cổng 80 (HTTP).
access-list 101 permit tcp any host 203.0.113.5 eq 443: Cho phép lưu lượng TCP từ bất kỳ địa chỉ IP nào đến địa chỉ IP public của Firewall trên cổng 443 (HTTPS).
Bạn có thể điều chỉnh ACL này để giới hạn nguồn truy cập nếu cần.
3. Cấu hình Static NAT:
FdcCiscoasa(config)# ip nat inside source static tcp 192.168.1.10 80 interface GigabitEthernet0/0 80
FdcCiscoasa(config)# ip nat inside source static tcp 192.168.1.10 443 interface GigabitEthernet0/0 443
Ip nat inside source static tcp 192.168.1.10 80 interface GigabitEthernet0/0 80: Ánh xạ lưu lượng TCP đến cổng 80 của địa chỉ IP public trên interface GigabitEthernet0/0 đến địa chỉ IP riêng 192.168.1.10 cổng 80.
Ip nat inside source static tcp 192.168.1.10 443 interface GigabitEthernet0/0 443: Ánh xạ lưu lượng TCP đến cổng 443 của địa chỉ IP public trên interface GigabitEthernet0/0 đến địa chỉ IP riêng 192.168.1.10 cổng 443.
4. Áp dụng ACL vào interface bên ngoài (tùy chọn, nhưng thường được khuyến nghị để kiểm soát lưu lượng truy cập đến):
FdcCiscoasa(config)# interface GigabitEthernet0/0
FdcCiscoasa(config)# ip access-group 101 in
Lệnh này áp dụng ACL 101 để lọc lưu lượng truy cập đến interface bên ngoài. Chỉ những lưu lượng phù hợp với các điều khoản permit trong ACL mới được phép đi vào Firewall và được chuyển tiếp theo cấu hình NAT.
Tóm tắt cấu hình hoàn chỉnh:
FdcCiscoasa(config)# interface GigabitEthernet0/0
FdcCiscoasa(config-if)# ip address 203.0.113.5 255.255.255.0
FdcCiscoasa(config-if)# ip nat outside
FdcCiscoasa(config-if)# ip access-group 101 in
FdcCiscoasa(config)# interface GigabitEthernet0/1
FdcCiscoasa(config-if)# ip address 192.168.1.1 255.255.255.0
FdcCiscoasa(config-if)# ip nat inside
FdcCiscoasa(config)# access-list 101 permit tcp any host 203.0.113.5 eq 80
FdcCiscoasa(config)# access-list 101 permit tcp any host 203.0.113.5 eq 443
FdcCiscoasa(config)# ip nat inside source static tcp 192.168.1.10 80 interface GigabitEthernet0/0 80
FdcCiscoasa(config)# ip nat inside source static tcp 192.168.1.10 443 interface GigabitEthernet0/0 443
Lưu ý quan trọng:
Thay đổi các giá trị: Hãy chắc chắn thay đổi các địa chỉ IP, tên interface cho phù hợp với cấu hình mạng thực tế của bạn.
Kiểm tra cấu hình: Sau khi cấu hình, bạn nên kiểm tra lại bằng lệnh show running-config để đảm bảo các câu lệnh đã được nhập đúng.
Kiểm tra kết nối: Từ một máy tính bên ngoài internet, hãy thử truy cập vào địa chỉ IP public của Firewall trên cổng 80 hoặc 443 để kiểm tra xem lưu lượng có được chuyển tiếp đến máy chủ web hay không.
Bảo mật: Luôn cân nhắc các vấn đề bảo mật khi mở các cổng dịch vụ ra internet. Đảm bảo máy chủ web của bạn được cấu hình bảo mật đúng cách.
Các giao thức khác: Nếu máy chủ web của bạn sử dụng các giao thức hoặc cổng khác, bạn cần thêm các dòng tương ứng vào ACL và cấu hình NAT.
