Настройка политики NAT на уровне сайта

В этой статье обсуждается, как использовать страницу NAT для управления и приоритизации трафика в вашем аккаунте.

Обзор

Организации, желающие перевести свой сетевой трафик и при этом сохранить доступ к своим ресурсам, сталкиваются с многими вызовами. Особенно когда вам нужно осуществлять коммуникацию между частными сетями, которые могут работать с одинаковыми диапазонами частных IP-адресов. Кроме того, у вас могут быть ресурсы, структуру или топологию которых вы не хотите раскрывать, в этом случае можно использовать NAT, чтобы сделать вид, что трафик идет с определенного IP-адреса.

Или же вам может понадобиться предоставить удаленный доступ к внутренним сервисам, таким как веб- или файловые серверы. Вы можете предоставить один публичный IP-адрес, который затем конвертируется в другой внутренний IP-адрес или адреса.

Cato позволяет создать специфическую для сайта политику NAT для соответствия определенным исходным и конечным IP-адресам, а также применять как Source NAT, так и Destination NAT (соответственно SNAT и DNAT) для исходящего трафика (из облака Cato на сайт).

Политика NAT применяется к входящему трафику для сайта, на котором она настроена.

Примеры использования политики NAT

Следующий раздел представляет два примера использования для SNAT и DNAT. Пример ниже показывает базу правил для этих случаев использования.

Пример использования SNAT

В этом сценарии у вас есть группа администраторов ИТ, подключенных через Клиент SDP. Им нужно получить доступ к ресурсу, принадлежащему третьей стороне, например, к системе тикетов, расположенной за IPsec-сайтом в другой части компании.

Третья сторона требует от вас коммуницировать, используя определенный IP-адрес, например, 192.151.100.10. Исходный IP-адрес источника (который принадлежит группе администраторов ИТ) будет заблокирован для коммуникации.

Чтобы решить эту проблему, вы можете создать правило политики NAT для соединений, исходный IP-адрес источника которых - администраторы в определенной группе. При попытке доступа к системе тикетов вы применяете Source NAT на IP-адрес администратора, чтобы перевести на 192.151.100.10, что обеспечивает возможность администратору ИТ взаимодействовать с сервером третьей стороны.

Пример использования DNAT

В этом сценарии у вас несколько хостов из разных групп, отправляющих трафик на один IP-адрес. Эти машины все отправляют свои пакеты на один сетевой адрес, например, 203.0.113.96.

Чтобы обеспечить оптимальную производительность в вашей сети, вы можете создать несколько правил DNAT для направления трафика на разные серверы в зависимости от IP-адреса источника и типа трафика:

Трафик из VLAN1 к 203.0.113.96 отправляется на 10.10.10.5
Трафик из группы Финансы к 203.0.113.96, отправляется на 10.10.10.25
Трафик из группы Закупки к 203.0.113.96, отправляется на 10.10.10.65

Это позволяет добавлять больше машин в соответствующие группы, не меняя конфигурацию, при этом эффективно управляя трафиком на один IP-адрес.

Работа с базой правил NAT

Политика NAT использует упорядоченные правила. Пакет прибывает и проверяется на соответствие правилам. Как только правило соответствует, применяется действие, и никакие другие правила не обрабатываются.

Например, если соединение соответствует правилу №3, действие применяется к соединению, и все последовательные правила игнорируются. Если соединение не соответствует ни одному правилу, оно обрабатывается с исходными данными.