How-to: Webserver NAT. Securepoint Security System Version 2007nx

Transkript

1 Securepoint Security System

2 Inhaltsverzeichnis Webserver NAT Konfiguration einer Webserver NAT Einrichten von Netzwerkobjekten Erstellen von Firewall-Regeln... 6 Seite 2

3 Webserver NAT Network Address Translation (NAT) wird dazu genutzt, Anfragen von einer bestimmten IP auf eine andere umzuleiten oder um IP-Adressen hinter einer anderen IP zu verstecken. Den meisten Unternehmen steht kein Subnetz mit externen IPs zur Verfügung. Alle Rechner sind in einem privaten Netzwerk und verstecken sich hinter der IP des Routers. Steht ein Server im internen Netzwerk, welcher vom Internet aus erreichbar sein soll, wird ein Destination NAT (DNAT) benötigt. Das DNAT wird so eingerichtet, dass Anfragen auf bestimmte Ports, die an den Router gerichtet sind, zum internen Server weitergeleitet werden. Zielsetzung: Ein DNAT für einen Webserver, welcher in der DMZ1 steht, einrichten. Seite 3

4 1 Konfiguration einer Webserver NAT 1.1 Einrichten von Netzwerkobjekten Für ein einfaches DNAT (Destination Network Address Translation) muss prinzipiell nur der entsprechende Rechner als Netzwerkobjekt mit Statischen NAT angelegt und eine entsprechende Regel erstellt werden. In diesem Beispiel soll jedoch auch das interne Netzwerk Zugriff auf den Server in der DMZ bekommen. Gehen Sie folgendermaßen vor: NAT wird bei der Securepoint bereits beim Anlegen eines Netzwerkobjekts konfiguriert. Unter Firewall ->Folder Netzwerkobjekte wird daher ein neuer Rechner angelegt. In diesem Beispiel steht dieser Rechner in der DMZ1 und hat dort die IP Dieser Rechner wird alleine in eine Gruppe gestellt. Die Auswahl bei statischen NAT hängt von dem Typ der externen Anbindung ab. Falls eine (oder mehrere) feste IP zur Verfügung steht, kann die genaue IP für das NAT-Objekt angegeben werden. Sind mehrere externe IP-Adressen konfiguriert und es wird das entsprechende Interface anstatt einer IP bei statischem NAT gewählt, wird die erste konfigurierte IP verwendet. Wird die feste IP über einen DSL-Anschluss zugewiesen, kann sie nicht über die Dropdown-Liste bei Statische NAT ausgewählt werden, in diesem Fall muss entweder das entsprechende Interface angegeben, oder die IP manuell in das Feld Statische NAT eingetragen werden. Bei einer dynamischen IP empfiehlt sich die Verwendung eines dyndns Dienstes. Dieser kann unter den DSL-Einstellungen konfiguriert werden. Abb. Einrichten von Netzwerkobjekten Seite 4

5 Legen Sie die folgenden Netzwerkobjekte an: In der Abbildung Einrichten Webserver host Netzwerkobjekt sehen Sie die feste IP. In der rechten Abbildung Einrichten Webserver host Netzwerkobjekt wird die Ermittlung der IP über das angegebene Interface durchgeführt. Abb. Einrichten Webserver host Netzwerkobjekt Abb. Einrichten Webserver host Netzwerkobjekt Legen Sie die folgenden Netzwerkobjekte an: Der Zugriff vom internen Netzwerk auf den Server wird ohne NAT realisiert. In diesem Beispiel soll das interne Netzwerk auf alle Rechner in der DMZ1 zugreifen können. Dafür werden zwei weitere Netzwerkobjekte benötigt: Abb. Einrichten internes Netzwerkobjekt Abb. Einrichten dmz1 Netzwerkobjekt Seite 5

6 1.2 Erstellen von Firewall-Regeln Gehen Sie folgendermaßen vor: Wählen Sie über Firewall den Folder Portfilter und legen Sie zwei Firewall-Regeln an. In der Rechnergruppe server01-nat befindet sich nur das Objekt, das mit einem NAT-Eintrag versehen wurde. Um externen Rechnern (Internet) den Zugriff auf diesen Server zu ermöglichen, muss nur eine entsprechende Regel erzeugt werden. Folgende Regel ermöglicht den Zugriff auf die Ports 80 und 443: Abb. Firewall-Regeln: externer Zugriff auf Webserver in der DMZ Die zweite Regel gibt dem internen Netz kompletten Zugriff auf die DMZ: Abb. Firewall-Regeln: interner Zugriff auf Webserver in der DMZ Seite 6

7 Unter Firewall im Folder Statische NAT können alle konfigurierten DNATs eingesehen werden. Abschließend ist nur noch ein Regelupdate erforderlich. Abb. Eingerichtete DNATs auf der Appliance und Regelupdate Seite 7