المشاهدات: 38705

1 إذا كنت تقرأ هذا المستند، فمن المرجح أنك متصل بالإنترنت وتستخدم ترجمة عنوان الشبكة ( ترجمة عنوان الشبكة، NAT) الآن! لقد أصبح الإنترنت أكبر بكثير مما كان يتخيله أي شخص. وعلى الرغم من أن الحجم الدقيق غير معروف، إلا أن التقدير الحالي هو حوالي 100 مليون مضيف وأكثر من 350 مليون مستخدم نشط على الإنترنت. وفي الواقع، فإن معدل النمو كبير لدرجة أن حجم الإنترنت يتضاعف فعليًا كل عام.

مقدمة

هذا هو المكان الذي يأتي فيه NAT لإنقاذنا. في الأساس، تسمح ترجمة عنوان الشبكة لجهاز واحد، مثل جهاز التوجيه، بالعمل كوكيل بين الإنترنت (أو "الشبكة العامة") والشبكة المحلية (أو "الخاصة"). وهذا يعني أنه لا يلزم سوى عنوان IP فريد واحد فقط لتعريض مجموعة كاملة من أجهزة الكمبيوتر لأي شيء خارج شبكتها. إن عدم وجود عناوين IP هو سبب واحد فقط لاستخدام NAT. هناك سببان وجيهان آخران هما الأمن والإدارة.

ستتعرف على كيفية الاستفادة من NAT، ولكن أولاً، دعنا نلقي نظرة فاحصة على NAT ونرى ما يمكنها فعله.

تنكر

يتم استخدام ترجمة عنوان الشبكة، التي طورتها شركة Cisco، بواسطة جهاز (جدار الحماية أو جهاز التوجيه أو الكمبيوتر) الموجود بين الشبكة الداخلية وبقية العالم. يأتي NAT بأشكال عديدة ويمكن أن يعمل بعدة طرق:

نات ثابت- تعيين عنوان IP غير المسجل إلى عنوان IP المسجل على أساس واحد لواحد. يكون هذا مفيدًا بشكل خاص عندما يتعين الوصول إلى الجهاز من خارج الشبكة.

في NAT الثابت، سيتم دائمًا ترجمة جهاز الكمبيوتر الذي يحمل العنوان 192.168.32.10 إلى العنوان 213.18.123.110:

NAT الديناميكي- تعيين عنوان IP غير مسجل إلى عنوان مسجل من مجموعة عناوين IP المسجلة. ينشئ Dynamic NAT أيضًا تعيينًا مباشرًا بين عنوان غير مسجل وعنوان مسجل، ولكن قد يتغير التعيين اعتمادًا على العنوان المسجل المتوفر في تجمع العناوين أثناء الاتصال.

في NAT الديناميكي، تتم ترجمة الكمبيوتر الذي يحمل العنوان 192.168.32.10 إلى أول عنوان متاح في النطاق من 213.18.123.100 إلى 213.18.123.150

الزائدهو أحد أشكال NAT الديناميكية التي تقوم بتعيين عناوين متعددة غير مسجلة إلى عنوان IP مسجل واحد باستخدام منافذ مختلفة. يُعرف أيضًا باسم PAT (ترجمة عنوان المنفذ)

عند التحميل الزائد، تتم ترجمة كل كمبيوتر على الشبكة الخاصة إلى نفس العنوان (213.18.123.100)، ولكن برقم منفذ مختلف

تداخل- عندما يتم استخدام عناوين IP المستخدمة على شبكتك الداخلية أيضًا على شبكة أخرى، يجب أن يحتفظ جهاز التوجيه بجدول بحث عن هذه العناوين حتى يتمكن من اعتراضها واستبدالها بعناوين IP فريدة مسجلة. من المهم ملاحظة أن جهاز توجيه NAT يجب أن يترجم العناوين "الداخلية" إلى عناوين فريدة مسجلة، كما يجب عليه أيضًا ترجمة العناوين المسجلة "الخارجية" إلى عناوين فريدة للشبكة الخاصة. يمكن القيام بذلك إما من خلال NAT ثابت، أو يمكنك استخدام DNS وتنفيذ NAT الديناميكي.

مثال:
نطاق IP الداخلي (237.16.32.xx) هو أيضًا نطاق مسجل تستخدمه شبكة أخرى. ولذلك، يقوم جهاز التوجيه بترجمة العناوين لتجنب التعارض المحتمل. سيقوم أيضًا بترجمة عناوين IP العالمية المسجلة إلى عناوين محلية غير مسجلة عند إرسال الحزم إلى الشبكة الداخلية

عادةً ما تكون الشبكة الداخلية عبارة عن شبكة محلية (LAN)، ويُطلق عليها غالبًا اسم مجال كعب الروتين. المجال الأساسي هو شبكة LAN تستخدم عناوين IP الداخلية. معظم حركة مرور الشبكة في مثل هذا المجال تكون محلية ولا تترك الشبكة الداخلية. يمكن أن يتضمن المجال عناوين IP المسجلة وغير المسجلة. وبطبيعة الحال، فإن أي جهاز كمبيوتر يستخدم عناوين IP غير مسجلة يجب أن يستخدم NAT للتواصل مع بقية العالم.

يمكن تكوين NAT بطرق مختلفة. في المثال أدناه، تم تكوين جهاز توجيه NAT لترجمة عناوين IP غير المسجلة (العناوين الداخلية المحلية) الموجودة على الشبكة الخاصة (الداخلية) إلى عناوين IP مسجلة. يحدث هذا عندما يحتاج جهاز بالداخل بعنوان غير مسجل إلى الاتصال بالشبكة الخارجية.

يقوم مزود خدمة الإنترنت بتعيين مجموعة من عناوين IP لشركتك. مجموعة العناوين المخصصة هي عناوين IP مسجلة فريدة ويتم استدعاؤها داخل العناوين العالمية. تنقسم عناوين IP الخاصة غير المسجلة إلى مجموعتين، مجموعة صغيرة، خارج العناوين المحلية، سيتم استخدامه بواسطة أجهزة توجيه NAT ويُعرف الجهاز الرئيسي الذي سيتم استخدامه في المجال باسم داخل العناوين المحلية. تُستخدم العناوين المحلية الخارجية لترجمة عناوين IP الفريدة المعروفة باسم العناوين العالمية الخارجيةالأجهزة الموجودة على الشبكة العامة.
يقوم NAT فقط بترجمة حركة المرور التي تمر بين الشبكات الداخلية والخارجية والمخصصة للترجمة. أي حركة مرور لا تستوفي معايير الترجمة أو تمر بين واجهات أخرى على جهاز التوجيه لا تتم ترجمتها مطلقًا ويتم إعادة توجيهها كما هي.

تحتوي عناوين IP على تسميات مختلفة بناءً على ما إذا كانت موجودة على شبكة خاصة (مجال) أو شبكة عامة (الإنترنت) وما إذا كانت حركة المرور واردة أم صادرة:

• تتواصل معظم أجهزة الكمبيوتر الموجودة في المجال مع بعضها البعض باستخدام العناوين المحلية الداخلية.
• تتواصل بعض أجهزة الكمبيوتر في المجال مع الشبكة الخارجية. تحتوي أجهزة الكمبيوتر هذه على عناوين عمومية داخلية، مما يعني أنها لا تحتاج إلى ترجمة.
• عندما يريد جهاز كمبيوتر في مجال له عنوان محلي داخلي الاتصال بشبكة خارجية، تنتقل الحزمة إلى أحد أجهزة توجيه NAT من خلال التوجيه العادي.
• يتحقق جهاز توجيه NAT من جدول التوجيه لمعرفة ما إذا كان يحتوي على إدخال لعنوان الوجهة. إذا لم يكن عنوان الوجهة موجودًا في جدول التوجيه، فسيتم تجاهل الحزمة. إذا كان التسجيل متاحًا، يتحقق جهاز التوجيه مما إذا كانت الحزمة قادمة من الشبكة الداخلية إلى الشبكة الخارجية، وكذلك ما إذا كانت الحزمة تلبي المعايير المحددة للبث. يقوم جهاز التوجيه بعد ذلك بالتحقق من جدول ترجمة العناوين لمعرفة ما إذا كان هناك إدخال للعنوان المحلي الداخلي والعنوان العام الداخلي المقابل له. إذا تم العثور على إدخال، فإنه يبث الحزمة باستخدام العنوان العمومي الداخلي. إذا تم تكوين NAT الثابت فقط ولم يتم العثور على أي إدخال، فسيرسل جهاز التوجيه الحزمة بدون ترجمة.
• باستخدام العنوان العالمي الداخلي، يقوم جهاز التوجيه بإعادة توجيه الحزمة إلى وجهتها.
• يرسل جهاز كمبيوتر على شبكة عامة حزمة إلى شبكة خاصة. عنوان المصدر الموجود في الحزمة هو العنوان العمومي الخارجي. عنوان الوجهة هو عنوان عالمي داخلي.
• عندما تصل حزمة ما إلى الشبكة الخارجية، ينظر جهاز توجيه NAT إلى جدول الترجمة ويحدد عنوان الوجهة المعين لجهاز كمبيوتر في المجال.
• يقوم جهاز توجيه NAT بترجمة العنوان العام الداخلي للحزمة إلى عنوان محلي داخلي ثم يتحقق من جدول التوجيه قبل إرسال الحزمة إلى الكمبيوتر الوجهة. عندما لا يتم العثور على إدخال لعنوان في جدول الترجمة، لا تتم ترجمة الحزمة ويستمر جهاز التوجيه في التحقق من جدول التوجيه للعثور على عنوان الوجهة.

يستخدم التحميل الزائد لـ NAT إحدى ميزات مكدس بروتوكول TCP/IP، مثل تعدد الإرسال، الذي يسمح للكمبيوتر بالحفاظ على اتصالات متزامنة متعددة مع كمبيوتر بعيد باستخدام منافذ TCP أو UDP مختلفة. تحتوي حزمة IP على رأس يحتوي على المعلومات التالية:

• عنوان المصدر – عنوان IP للكمبيوتر المصدر، على سبيل المثال، 201.3.83.132.
• منفذ المصدر - رقم منفذ TCP أو UDP الذي يعينه الكمبيوتر كمصدر لهذه الحزمة، على سبيل المثال، المنفذ 1080.
• عنوان الوجهة - عنوان IP لجهاز الكمبيوتر المتلقي. على سبيل المثال، 145.51.18.223.
• منفذ الوجهة – رقم منفذ TCP أو UDP الذي يطلب من الكمبيوتر المصدر أن يفتح على جهاز الاستقبال، على سبيل المثال، المنفذ 3021.

تحدد عناوين IP الجهازين على كل جانب، بينما تضمن أرقام المنافذ أن الاتصال بين الجهازين له معرف فريد. يحدد مزيج هذه الأرقام الأربعة اتصال TCP/IP واحد. يستخدم كل رقم منفذ 16 بت، مما يعني أن هناك 65,536 (2^16) قيمة محتملة. في الواقع، نظرًا لأن الشركات المصنعة المختلفة تعرض المنافذ بطرق مختلفة قليلاً، فيمكنك توقع توفر ما يقرب من 4000 منفذ.

أمثلة على NAT الديناميكي وNAT مع التحميل الزائد

توضح الصورة أدناه كيفية عمل NAT الديناميكي.

انقر فوق أحد الأزرار الخضراء لإرسال حزمة ناجحة إما إلى الشبكة الداخلية أو منها. انقر فوق أحد الأزرار الحمراء لإرسال الحزمة التي سيتم إسقاطها بواسطة جهاز التوجيه بسبب عنوان غير صالح.

• تم إعداد الشبكة الداخلية باستخدام عناوين IP التي لم يتم تخصيصها لهذه الشركة على وجه التحديد بواسطة IANA (هيئة أرقام الإنترنت المخصصة)، وهو المكتب العالمي الذي يوزع عناوين IP. يجب اعتبار هذه العناوين غير قابلة للتوجيه، لأنها ليست فريدة من نوعها. هذه عناوين محلية داخلية.
• تقوم الشركة بتثبيت جهاز توجيه مع NAT. يحتوي جهاز التوجيه على مجموعة من عناوين IP الفريدة الصادرة للشركة. هذه عناوين عالمية داخلية.
• يحاول جهاز كمبيوتر موجود على شبكة LAN الاتصال بجهاز كمبيوتر خارج الشبكة، مثل خادم الويب.
• يتلقى جهاز التوجيه الحزمة من الكمبيوتر الموجود على الشبكة المحلية.
• بعد التحقق من جدول التوجيه وعملية التحقق من الترجمة، يقوم جهاز التوجيه بتخزين عنوان الكمبيوتر غير القابل للتوجيه في جدول ترجمة العناوين. يستبدل جهاز التوجيه العنوان غير القابل للتوجيه للكمبيوتر المرسل بأول عنوان IP متاح في نطاق من العناوين الفريدة. يحتوي جدول الترجمة الآن على عرض لعنوان IP غير القابل للتوجيه للكمبيوتر والذي يتوافق مع أحد عناوين IP الفريدة.
• عندما تعود حزمة من الكمبيوتر الوجهة، يتحقق جهاز التوجيه من عنوان الوجهة الموجود في الحزمة. ثم يبحث بعد ذلك في جدول ترجمة العناوين للعثور على جهاز الكمبيوتر الموجود في المجال الذي تنتمي إليه الحزمة. يقوم بتغيير عنوان جهاز الاستقبال إلى العنوان الذي تم تخزينه مسبقًا في جدول الترجمة ويرسل الحزمة إلى الكمبيوتر المطلوب. إذا لم يجد جهاز التوجيه تطابقًا في الجدول، فإنه يتجاهل الحزمة.
• يتلقى الكمبيوتر الحزمة من جهاز التوجيه وتتكرر العملية بأكملها أثناء اتصال الكمبيوتر بالنظام الخارجي.

• تم إعداد الشبكة الداخلية باستخدام عناوين IP غير قابلة للتوجيه ولم يتم تخصيصها للشركة على وجه التحديد
• تقوم الشركة بتثبيت جهاز توجيه مع NAT. يحتوي جهاز التوجيه على عنوان IP فريد صادر عن IANA
• يحاول جهاز كمبيوتر في المجال الاتصال بجهاز كمبيوتر خارج الشبكة، مثل خادم الويب.
• يتلقى جهاز التوجيه حزمة من جهاز كمبيوتر في المجال.
• بعد توجيه الحزمة وفحصها لإجراء الترجمة، يقوم جهاز التوجيه بتخزين عنوان IP غير القابل للتوجيه للكمبيوتر ورقم المنفذ في جدول الترجمة. يستبدل جهاز التوجيه عنوان IP غير القابل للتوجيه الخاص بالكمبيوتر المرسل بعنوان IP الخاص بجهاز التوجيه. يستبدل جهاز التوجيه المنفذ المصدر لجهاز الكمبيوتر الخاص بالمرسل ببعض أرقام المنفذ العشوائية ويخزنه في جدول ترجمة العناوين لذلك المرسل. يحتوي جدول الترجمة على عرض لعنوان IP غير القابل للتوجيه للكمبيوتر ورقم المنفذ بالإضافة إلى عنوان IP الخاص بجهاز التوجيه.
• عندما تعود حزمة من الوجهة، يقوم جهاز التوجيه بالتحقق من منفذ الوجهة في الحزمة. ثم ينظر إلى جدول الترجمة للعثور على جهاز الكمبيوتر الموجود في المجال الذي تنتمي إليه الحزمة. بعد ذلك، يقوم جهاز التوجيه بتغيير عنوان جهاز الاستقبال ومنفذ جهاز الاستقبال إلى القيم التي تم تخزينها مسبقًا في جدول الترجمة وإرسال الحزمة إلى عقدة النهاية.
• يتلقى الكمبيوتر الحزمة من جهاز التوجيه وتتكرر العملية
• نظرًا لأن جهاز توجيه NAT لديه الآن عنوان مصدر الكمبيوتر ومنفذ المصدر مخزَّنين في جدول الترجمة الخاص به، فسوف يستمر في استخدام نفس رقم المنفذ للاتصالات اللاحقة. في كل مرة يصل فيها جهاز التوجيه إلى إدخال في جدول الترجمة، تتم إعادة ضبط المؤقت المتبقي لهذا الإدخال. إذا لم يتم الوصول إلى الإدخال قبل انتهاء صلاحية المؤقت، فسيتم إزالته من الجدول

يتم تحديد عدد عمليات البث المتزامنة التي سيدعمها جهاز التوجيه بشكل أساسي من خلال مقدار DRAM (ذاكرة الوصول العشوائي الديناميكية). نظرًا لأن إدخال جدول الترجمة النموذجي يبلغ حوالي 160 بايت، فإن جهاز التوجيه المزود بذاكرة وصول عشوائي (RAM) سعة 4 ميجابايت يمكنه نظريًا التعامل مع 26214 اتصالاً متزامنًا، وهو أكثر من كافٍ لمعظم التطبيقات.

الأمن والإدارة

يؤدي تنفيذ NAT الديناميكي تلقائيًا إلى إنشاء جدار حماية بين شبكتك الداخلية والشبكات الخارجية أو الإنترنت. يسمح Dynamic NAT فقط بالاتصالات التي تنشأ على الشبكة المحلية. ويعني هذا بشكل أساسي أن جهاز الكمبيوتر الموجود على الشبكة الخارجية لا يمكنه الاتصال بجهاز الكمبيوتر الخاص بك إلا إذا بدأ جهاز الكمبيوتر الخاص بك في الاتصال. وبهذه الطريقة يمكنك تصفح الإنترنت والاتصال بأحد المواقع، وحتى تحميل ملف. ولكن لم يعد بإمكان أي شخص الحصول على عنوان IP الخاص بك واستخدامه للاتصال بمنفذ على جهاز الكمبيوتر الخاص بك.

يسمح NAT الثابت، والذي يُطلق عليه أيضًا التعيين الداخلي، بالاتصالات التي تبدأها الأجهزة الخارجية بأجهزة الكمبيوتر الموجودة على الشبكة المحلية (LAN) في ظل ظروف معينة. على سبيل المثال، يمكنك تعيين عنوان عام داخلي إلى عنوان محلي داخلي محدد تم تعيينه لخادم الويب الخاص بك.

يسمح Static NAT لجهاز الكمبيوتر الموجود على شبكة LAN بالحفاظ على عنوان محدد عند الاتصال بأجهزة خارج الشبكة:

توفر بعض أجهزة توجيه NAT تصفية واسعة النطاق وتسجيل حركة المرور. تسمح عملية التصفية لشركتك بالتحكم في المواقع التي يزورها موظفو الإنترنت، مما يمنعهم من عرض المواد المشكوك فيها. يمكنك استخدام تسجيل حركة المرور لإنشاء سجل للمواقع التي تمت زيارتها وإنشاء تقارير متنوعة بناءً على ذلك.

في بعض الأحيان يتم الخلط بين ترجمة عنوان الشبكة والخوادم الوكيلة، حيث توجد اختلافات معينة. NAT شفاف لأجهزة الكمبيوتر المصدر والوجهة. لا أحد منهم يعرف أن هذا يتعامل مع جهاز ثالث. لكن الخادم الوكيل ليس شفافًا. يعلم الكمبيوتر المصدر أن هذا يقوم بتقديم طلب إلى الوكيل. يعتقد الكمبيوتر الوجهة أن الخادم الوكيل هو الكمبيوتر المصدر ويتعامل معه مباشرة. بالإضافة إلى ذلك، تعمل الخوادم الوكيلة عادةً في الطبقة الرابعة (النقل) من نموذج OSI أو أعلى، بينما NAT هو بروتوكول الطبقة الثالثة (الشبكة). إن التشغيل على مستويات أعلى يجعل الخوادم الوكيلة أبطأ من أجهزة NAT في معظم الحالات.

تتجلى الفائدة الحقيقية لـ NAT في إدارة الشبكة. على سبيل المثال، يمكنك نقل خادم الويب أو خادم FTP الخاص بك إلى كمبيوتر آخر دون القلق بشأن انقطاع الاتصالات. ما عليك سوى تغيير تعيين الإدخال إلى العنوان المحلي الداخلي الجديد في جهاز التوجيه ليعكس المضيف الجديد. يمكنك أيضًا إجراء تغييرات على شبكتك الداخلية نظرًا لأن أيًا من عناوين IP الخارجية الخاصة بك تنتمي إما إلى جهاز توجيه أو مجموعة من العناوين العالمية.

هذه تقنيات مختلفة تمامًا. لا تخلط بينهم.

ما هو نات

NAT هو مصطلح جماعي يشير إلى تقنية ترجمة عناوين الشبكة و/أو البروتوكولات. تقوم أجهزة NAT بإجراء تحويلات على تمرير الحزم واستبدال العناوين والمنافذ والبروتوكولات وما إلى ذلك.

هناك مفاهيم أضيق مثل SNAT، وDNAT، وmasquerading، وPAT، وNAT-PT، وما إلى ذلك.

لماذا هناك حاجة إلى NAT، وكيف يتم استخدامها

لربط الشبكة الداخلية بالإنترنت

• من خلال مجموعة من العناوين الخارجية
• عبر عنوان خارجي واحد

لاستبدال عنوان IP خارجي بآخر (إعادة توجيه حركة المرور)

لموازنة التحميل بين الخوادم المتماثلة ذات عناوين IP المختلفة.

الجمع بين شبكتين محليتين مع عنونة داخلية متقاطعة.

كيف يعمل NAT

s+d NAT (دمج الفرع - الشر!)

رسم خرائط المنفذ، إعادة توجيه المنافذ

المميزات والعيوب

غير متوافق مع بعض البروتوكولات. يجب أن يدعم تنفيذ NAT معين فحص البروتوكول المطلوب.

تمتلك NAT خاصية "فحص" الشبكة الداخلية من العالم الخارجي، لكن لا يمكن استخدامها بدلاً من جدار الحماية.

الإعداد على سيسكو IOS

تدعم أجهزة التوجيه وجدران الحماية من Cisco أنواعًا مختلفة من NAT، اعتمادًا على مجموعة خيارات البرنامج. الأكثر استخدامًا هو أسلوب NAT مع ربط العناوين المحلية الداخلية بمنافذ مختلفة لنفس العنوان الخارجي (PAT في مصطلحات Cisco).

لتكوين NAT على جهاز التوجيه، تحتاج إلى: o تحديد حركة المرور التي تحتاج إلى ترجمتها (باستخدام قوائم الوصول أو خرائط المسار)؛

قائمة الوصول إلى IP تصريح محلي ممتد IP 10.0.0.0 0.255.255.255 أي

خريطة الطريق INT1 تتطابق مع عنوان IP واجهة المطابقة المحلية FastEthernet0/1.1

تقوم قائمة الوصول المحلية بتحديد كل حركة المرور من الشبكة 10.

تحدد خريطة الطريق INT1 حركة مرور قائمة الوصول المحلية الخارجة من خلال الواجهة الفرعية Fa 0/1.1

o تحديد العناوين الخارجية التي سيتم البث إليها. حدد مجموعة من العناوين الخارجية. بالنسبة لـ PAT، عنوان واحد يكفي.

تجمع IP nat العالمي 212.192.64.74 212.192.64.74 قناع الشبكة 255.255.255.0

تحديد مجموعة من العناوين الخارجية المسماة GLOBAL. لا يوجد سوى عنوان واحد في المجمع.

o تمكين NAT لعناوين داخلية وخارجية محددة.

IP nat داخل خريطة مسار المصدر INT1 التحميل الزائد العالمي

تمكين NAT لترجمة عنوان المصدر على الواجهة الداخلية. سيتم بث حركة المرور التي تقع ضمن شروط خريطة طريق INT1 فقط. سيتم أخذ العنوان الخارجي من التجمع العمومي.

IP nat داخل المصدر ثابت tcp 10.0.0.1 23 212.192.64.74 23 تمديد

ثابت "إعادة توجيه المنفذ" أو "نشر الخدمة". في حركة المرور المتجهة إلى الداخل إلى العنوان 212.192.64.74 على منفذ TCP 23، سيتم استبدال الوجهة بالعنوان 10.0.0.1 والمنفذ 23.

o تعيين واجهات داخلية وخارجية.

واجهة FastEthernet0/0 ip nat داخل واجهة FastEthernet0/1.1 ip nat خارج

يتم تعيين الواجهة Fa 0/0 داخليًا لـ NAT.

يتم تعيين الواجهة الفرعية Fa 0/1.1 كواجهة خارجية لـ NAT.

O التصحيح والتشخيص:

ترجمات Sh ip nat - عرض جدول عمليات البث الحالية؛ مسح ترجمات ip nat - حذف جميع الترجمات الحالية؛ debug ip nat - تمكين رسائل التصحيح (إلغاء تصحيح الكل - تعطيل تصحيح الأخطاء).

أمثلة

فيما يلي بعض الأمثلة التجريبية لمحاكي Cisco Packet Tracer.

مخطط بسيط لتوصيل شبكة صغيرة بالإنترنت من خلال مجموعة من العناوين الخارجية

مخطط بسيط لتوصيل الشبكة بالإنترنت من خلال عنوان خارجي واحد

مخطط الجمع بين الشبكات مع العنونة المتقاطعة

كيف يعمل NAT

تختلف طريقة تطبيق قواعد NAT بين الشركات المصنعة المختلفة وعلى المعدات المختلفة. فيما يلي الإجراء الخاص بتطبيق سياسات NAT لأجهزة التوجيه على Cisco IOS:

من الداخل إلى الخارج

من الخارج إلى الداخل

قناة إنترنت من مزود واحد عبر NAT

مخطط بسيط لتنفيذ NAT مع مزود واحد

حجز قناة إنترنت من مزودين اثنين باستخدام NAT، ip sla

نظرا: نتلقى الإنترنت لعدة أجهزة كمبيوتر من ISP1. أعطانا العنوان 212.192.88.150. يتم تنظيم الوصول إلى الإنترنت من عنوان IP هذا عبر NAT.

المهمة: توصيل موفر النسخ الاحتياطي - ISP2. سيعطينا العنوان 212.192.90.150. تنظيم موازنة حركة المرور: إرسال حركة مرور الويب من خلال ISP1، وحركة المرور الأخرى من خلال ISP2. في حالة فشل أحد مقدمي الخدمة، يجب إرسال كل حركة المرور عبر قناة مباشرة.

ما مدى صعوبة المهمة؟ واضح ترجمة الملكية الفكرية نات؟

مخطط

التكوين

1 ترجمة واضحة لـ ip nat *

تم العثور على مثل هذه القطعة من EEM واختبارها. لا يتم إنشاء الحدث على كافة إصدارات IOS، نحتاج إلى التوضيح.

2 إذا فشلت الواجهة لدى الموفر، فهناك احتمال كبير بأن تقوم بوابته بإجراء اختبار الاتصال عبر الواجهة الثانية

متنوع

CGN (درجة الناقل nat) مع مجموعة خاصة من العناوين الخاصة

NAT كـ ALG (بوابة طبقة التطبيق)، (بروتوكولات النص العادي مثل SIP)

2 32 أو 4 294 967 296 IPv4هل هذا كثير من العناوين؟ يبدو ذلك. ومع ذلك، مع انتشار الحوسبة الشخصية، والأجهزة المحمولة، والنمو السريع للإنترنت، سرعان ما أصبح من الواضح أن 4.3 مليار عنوان IPv4 لن تكون كافية. وكان الحل على المدى الطويل IPv6، ولكن كانت هناك حاجة إلى حل أسرع لمعالجة نقص العناوين. وأصبح هذا القرار NAT (ترجمة عنوان الشبكة).

ما هو نات

يتم تصميم الشبكات عادةً باستخدام عناوين IP الخاصة. هذه هي العناوين 10.0.0.0/8, 172.16.0.0/12 و 192.168.0.0/16 . يتم استخدام هذه العناوين الخاصة داخل مؤسسة أو موقع للسماح للأجهزة بالاتصال محليًا ولا يتم توجيهها عبر الإنترنت. للسماح لجهاز له عنوان IPv4 خاص بالوصول إلى الأجهزة والموارد خارج الشبكة المحلية، يجب أولاً ترجمة العنوان الخاص إلى عنوان عام عام.

وهي مجرد NAT التي تحول العناوين الخاصة إلى عناوين عامة. يسمح هذا لجهاز له عنوان IPv4 خاص بالوصول إلى الموارد خارج شبكته الخاصة. أثبتت NAT، مع عناوين IPv4 الخاصة، أنها طريقة مفيدة لتخزين عناوين IPv4 العامة. يمكن استخدام عنوان IPv4 عام واحد بواسطة مئات، بل آلاف الأجهزة، ولكل منها عنوان IPv4 خاص. يتمتع NAT بميزة إضافية تتمثل في إضافة درجة من الخصوصية والأمان إلى الشبكة لأنه يخفي عناوين IPv4 الداخلية عن الشبكات الخارجية.

يمكن تكوين أجهزة التوجيه التي تدعم NAT باستخدام عنوان IPv4 عام صالح أو أكثر. تسمى هذه العناوين العامة تجمع NAT. عندما يرسل جهاز موجود على الشبكة الداخلية حركة مرور من الشبكة إلى الخارج، يقوم جهاز التوجيه الممكّن لـ NAT بترجمة عنوان IPv4 الداخلي للجهاز إلى عنوان عام من تجمع NAT. بالنسبة للأجهزة الخارجية، يبدو أن كل حركة المرور الداخلة والخارجة من الشبكة لها عنوان IPv4 عام.

يعمل جهاز توجيه NAT عادةً على الحدود كعب الروتين-الشبكات الشبكة الأساسية هي شبكة فرعية لها اتصال واحد بشبكة مجاورة، ومدخل واحد وخروج واحد من الشبكة.

عندما يريد جهاز داخل شبكة Stub الاتصال بجهاز خارج شبكته، يتم إعادة توجيه الحزمة إلى جهاز توجيه الحدود ويقوم بإجراء عملية NAT، وترجمة العنوان الخاص الداخلي للجهاز إلى عنوان عام خارجي قابل للتوجيه.

مصطلحات NAT

في مصطلحات NAT، الشبكة الداخلية هي مجموعة من الشبكات التي سيتم ترجمتها. تشير الشبكة الخارجية إلى جميع الشبكات الأخرى.

عند استخدام NAT، يكون لعناوين IPv4 تسميات مختلفة بناءً على ما إذا كانت موجودة على شبكة خاصة أو شبكة عامة (الإنترنت)، وما إذا كانت حركة المرور واردة أم صادرة.

يتضمن NAT أربعة أنواع من العناوين:

• داخل العنوان المحلي;
• داخل العنوان العالمي;
• العنوان المحلي الخارجي;
• العنوان العالمي الخارجي;

عند تحديد نوع العنوان المستخدم، من المهم أن تتذكر أن مصطلحات NAT يتم تطبيقها دائمًا فيما يتعلق بالجهاز الذي يحمل العنوان المترجم:

• داخل العنوان- عنوان الجهاز الذي تتم ترجمته بواسطة NAT؛
• العنوان الخارجي- عنوان الجهاز الوجهة؛
• العنوان المحلي- هذا هو أي عنوان يتم عرضه على الجزء الداخلي من الشبكة؛
• العنوان العالمي- هذا هو أي عنوان يتم عرضه على الجزء الخارجي من الشبكة؛

دعونا نلقي نظرة على هذا باستخدام مثال الرسم التخطيطي.

في الشكل، يوجد بالكمبيوتر جهاز داخلي محلي ( داخل المحلية) العنوان هو 192.168.1.5 ومن وجهة نظره فإن خادم الويب لديه خارجي ( الخارج) العنوان 208.141.17.4. عندما يتم إرسال الحزم من جهاز كمبيوتر إلى العنوان العام لخادم الويب، فإن العنوان الداخلي المحلي ( داخل المحلية) تتم ترجمة عنوان الكمبيوتر إلى 208.141.16.5 ( داخل العالمية). عادةً لا تتم ترجمة عنوان الجهاز الخارجي لأنه عنوان IPv4 عام.

ومن الجدير بالذكر أن جهاز الكمبيوتر لديه عناوين محلية وعالمية مختلفة، في حين أن خادم الويب له نفس عنوان IP العام. ومن وجهة نظره، تأتي حركة المرور الصادرة من جهاز الكمبيوتر من العنوان العالمي الداخلي 208.141.16.5. يعد جهاز توجيه NAT بمثابة نقطة ترسيم بين الشبكات الداخلية والخارجية وبين العناوين المحلية والعالمية.

شروط داخلو الخارج، جنبا إلى جنب مع المصطلحات محليو عالميللربط بعناوين محددة. في الشكل، تم تكوين جهاز التوجيه لتوفير NAT ولديه مجموعة من العناوين العامة لتعيينها للمضيفين الداخليين.

يوضح الشكل كيفية إرسال حركة المرور من جهاز كمبيوتر داخلي إلى خادم ويب خارجي، من خلال جهاز توجيه يدعم NAT، وإعادة توجيهها وإعادة توجيهها في الاتجاه المعاكس.

العنوان المحلي الداخلي ( داخل العنوان المحلي) - عنوان المصدر مرئي من الشبكة الداخلية. في الشكل، تم تخصيص العنوان 192.168.1.5 لجهاز الكمبيوتر - وهذا هو عنوانه المحلي الداخلي.

العنوان العمومي الداخلي ( داخل العنوان العالمي) - عنوان المصدر مرئي من الشبكة الخارجية. في الشكل، عندما يتم إرسال حركة المرور من جهاز الكمبيوتر إلى خادم الويب على 208.141.17.4، يقوم جهاز التوجيه بترجمة العنوان المحلي الداخلي ( داخل العنوان المحلي) إلى العنوان العالمي الداخلي ( داخل العنوان العالمي). في هذه الحالة، يقوم جهاز التوجيه بتغيير عنوان مصدر IPv4 من 192.168.1.5 إلى 208.141.16.5.

العنوان العمومي الخارجي ( العنوان العالمي الخارجي) - عنوان المستلم الذي يمكن رؤيته من الشبكة الخارجية. هذا هو عنوان IPv4 قابل للتوجيه عالميًا ويتم تعيينه لمضيف على الإنترنت. في الرسم التخطيطي، يتوفر خادم الويب على 208.141.17.4. في أغلب الأحيان، تكون العناوين العالمية المحلية والخارجية هي نفسها.

العنوان المحلي الخارجي ( العنوان المحلي الخارجي) - عنوان المستلم المرئي من الشبكة الداخلية. في هذا المثال، يرسل الكمبيوتر حركة المرور إلى خادم الويب على 208.141.17.4

دعونا نفكر في المسار الكامل للحزمة. يحاول جهاز الكمبيوتر الذي يحمل العنوان 192.168.1.5 الاتصال بخادم الويب 208.141.17.4. عندما تصل حزمة إلى جهاز توجيه يدعم NAT، فإنها تقرأ عنوان وجهة IPv4 الخاص بالحزمة لتحديد ما إذا كانت الحزمة تلبي المعايير المحددة للترجمة. في هذا المثال، يفي عنوان المصدر بالمعايير ويتم ترجمته من 192.168.1.5 ( داخل العنوان المحلي) على 208.141.16.5. ( داخل العنوان العالمي). يضيف جهاز التوجيه تعيين العنوان المحلي إلى العالمي إلى جدول NAT ويرسل حزمة تحتوي على عنوان المصدر المترجم إلى الوجهة. يستجيب خادم الويب بحزمة موجهة إلى العنوان العالمي الداخلي لجهاز الكمبيوتر (208.141.16.5). يتلقى جهاز التوجيه حزمة بعنوان الوجهة 208.141.16.5 ويتحقق من جدول NAT، حيث يجد إدخالاً لهذا التعيين. يستخدم هذه المعلومات ويترجم العنوان العالمي الداخلي (208.141.16.5) مرة أخرى إلى العنوان المحلي الداخلي (192.168.1.5) ويتم إعادة توجيه الحزمة نحو جهاز الكمبيوتر.

أنواع NAT

هناك ثلاثة أنواع من ترجمة NAT:

• ترجمة العناوين الثابتة (NAT الثابتة)- تعيين عنوان واحد لواحد بين العناوين المحلية والعالمية؛
• ترجمة العنوان الديناميكي (NAT الديناميكي)- تعيين عنوان متعدد إلى متعدد بين العناوين المحلية والعالمية؛
• ترجمة عنوان المنفذ (NAT)- تعيين عنوان البث المتعدد بين العناوين المحلية والعالمية باستخدام المنافذ. تُعرف هذه الطريقة أيضًا باسم NAT الزائد;

يستخدم Static NAT تعيينًا واحدًا لواحد للعناوين المحلية والعالمية. يتم تكوين هذه التعيينات بواسطة مسؤول الشبكة وتظل دائمة. عندما ترسل الأجهزة حركة مرور إلى الإنترنت، تتم ترجمة عناوينها المحلية الداخلية إلى العناوين العمومية الداخلية التي تم تكوينها. بالنسبة للشبكات الخارجية، تحتوي هذه الأجهزة على عناوين IPv4 عامة. يعد Static NAT مفيدًا بشكل خاص لخوادم الويب أو الأجهزة التي يجب أن يكون لها عنوان ثابت يمكن الوصول إليه من الإنترنت، مثل خادم الويب الخاص بالشركة. يتطلب NAT الثابت عددًا كافيًا من العناوين العامة لتلبية العدد الإجمالي لجلسات المستخدم المتزامنة.

يبدو جدول NAT الثابت كما يلي:

يستخدم Dynamic NAT مجموعة من العناوين العامة ويعينها على أساس أسبقية الحضور. عندما يطلب جهاز داخلي الوصول إلى شبكة خارجية، يقوم NAT الديناميكي بتعيين عنوان IPv4 عام متاح من التجمع. مثل NAT الثابت، يتطلب NAT الديناميكي عددًا كافيًا من العناوين العامة لتلبية العدد الإجمالي لجلسات المستخدم المتزامنة.

يبدو جدول NAT الديناميكي كما يلي:

ترجمة عنوان المنفذ (PAT)

تربيتةيبث عناوين خاصة متعددة إلى عنوان عام واحد أو أكثر. هذا ما تفعله معظم أجهزة التوجيه المنزلية. يقوم مزود خدمة الإنترنت بتعيين عنوان واحد لجهاز التوجيه، ولكن يمكن لعدة أفراد من العائلة الوصول إلى الإنترنت في نفس الوقت. هذا هو الشكل الأكثر شيوعًا لـ NAT.

باستخدام PAT، يمكن تعيين عناوين متعددة إلى عنوان واحد أو أكثر لأنه يتم تعقب كل عنوان خاص أيضًا بواسطة رقم منفذ. عندما يبدأ الجهاز جلسة تكب / إب، يقوم بإنشاء قيمة المنفذ المصدر برنامج التعاون الفنيأو UDPلتحديد الجلسة بشكل فريد. عندما يتلقى جهاز توجيه NAT حزمة من العميل، فإنه يستخدم رقم المنفذ المصدر الخاص به لتعريف ترجمة NAT محددة بشكل فريد. يضمن PAT أن الأجهزة تستخدم رقم منفذ TCP مختلفًا لكل جلسة. عندما يتم إرجاع الاستجابة من الخادم، يحدد رقم المنفذ المصدر، الذي يصبح رقم المنفذ الوجهة على مسار الإرجاع، الجهاز الذي يقوم جهاز التوجيه بإعادة توجيه الحزم إليه.

توضح الصورة عملية PAT. يضيف PAT أرقام منفذ مصدر فريدة إلى العنوان العام الداخلي للتمييز بين الترجمات.

أثناء قيام جهاز التوجيه بمعالجة كل حزمة، فإنه يستخدم رقم المنفذ (1331 و1555، في هذا المثال) لتحديد الجهاز الذي نشأت منه الحزمة.

عنوان المصدر ( عنوان المصدر) هو عنوان محلي داخلي برقم منفذ ملحق تم تعيينه بواسطة TCP/IP. عنوان الوجهة ( عنوان الوجهة) هو عنوان محلي خارجي مُلحق به رقم منفذ الخدمة. في هذا المثال، منفذ الخدمة هو 80: HTTP.

بالنسبة لعنوان المصدر، يقوم جهاز التوجيه بترجمة العنوان المحلي الداخلي إلى العنوان العام الداخلي مع إضافة رقم منفذ. لا يتغير عنوان الوجهة، ولكنه يُسمى الآن عنوان IP العالمي الخارجي. عندما يستجيب خادم الويب، يتم عكس المسار.

في هذا المثال، لم يتم تغيير أرقام منفذ العميل 1331 و1555 على جهاز توجيه NAT. وهذا ليس سيناريو محتملًا جدًا نظرًا لوجود فرصة جيدة لأن تكون أرقام المنافذ هذه مرتبطة بالفعل بجلسات نشطة أخرى. يحاول PAT الحفاظ على منفذ المصدر الأصلي. ومع ذلك، إذا كان المنفذ المصدر الأصلي قيد الاستخدام بالفعل، يقوم PAT بتعيين رقم المنفذ الأول المتاح، بدءًا من بداية مجموعة المنافذ المقابلة 0-511, 512-1023 أو 1024-65535 . عند عدم وجود المزيد من المنافذ ويوجد أكثر من عنوان خارجي في تجمع العناوين، ينتقل PAT إلى العنوان التالي لمحاولة تخصيص منفذ المصدر الأصلي. تستمر هذه العملية حتى لا يتوفر المزيد من المنافذ أو عناوين IP الخارجية.

أي أنه إذا كان بمقدور مضيف آخر اختيار نفس رقم المنفذ 1444. فهذا مقبول بالنسبة للعنوان الداخلي لأن المضيفين لديهم عناوين IP خاصة فريدة. ومع ذلك، على جهاز توجيه NAT، يجب تغيير أرقام المنافذ - وإلا فإن الحزم من مضيفين مختلفين ستتركها بنفس عنوان المصدر. ولذلك، يقوم PAT بتعيين المنفذ التالي المتاح (1445) لعنوان المضيف الثاني.

دعونا نلخص المقارنة بين NAT وPAT. كما ترون من الجداول، تقوم NAT بترجمة عناوين IPv4 على أساس 1:1 بين عناوين IPv4 الخاصة وعناوين IPv4 العامة. ومع ذلك، يقوم PAT بتغيير كل من العنوان نفسه ورقم المنفذ. يقوم NAT بإعادة توجيه الحزم الواردة إلى عنوانها الداخلي استنادًا إلى عنوان IP المصدر الوارد الذي يقدمه المضيف على الشبكة العامة، ومع PAT يوجد عادةً عنوان واحد فقط أو عدد قليل جدًا من عناوين IPv4 المكشوفة للعامة ويتم إعادة توجيه الحزم الواردة استنادًا إلى جدول NAT الخاص بجهاز التوجيه .

ماذا عن حزم IPv4 التي تحتوي على بيانات غير TCP أو UDP؟ لا تحتوي هذه الحزم على رقم منفذ الطبقة الرابعة. يترجم PAT البروتوكولات الأكثر شيوعًا التي يحملها IPv4، والتي لا تستخدم TCP أو UDP كبروتوكول طبقة النقل. وأكثرها شيوعًا هو ICMPv4. يتم التعامل مع كل نوع من أنواع البروتوكولات هذه بشكل مختلف بواسطة PAT. على سبيل المثال، تتضمن رسائل طلب ICMPv4 وطلبات الارتداد والاستجابات معرف الطلب معرف الاستعلام. يستخدم ICMPv4 معرف الاستعلام. لتحديد طلب الصدى مع الاستجابة المقابلة. تتم زيادة معرف الطلب مع كل اختبار ping يتم إرساله. يستخدم PAT معرف الطلب بدلاً من رقم منفذ الطبقة الرابعة.

مزايا وعيوب NAT

يوفر NAT العديد من الفوائد، بما في ذلك:

• تحافظ NAT على نظام العنونة المسجل، مما يسمح بخصخصة الشبكات الداخلية. باستخدام PAT، يمكن للمضيفين الداخليين مشاركة عنوان IPv4 عام واحد لجميع الاتصالات الخارجية. في هذا النوع من التكوين، يلزم وجود عدد قليل جدًا من العناوين الخارجية لدعم العديد من المضيفين الداخليين؛
• يعمل NAT على زيادة مرونة الاتصالات بالشبكة العامة. يمكن تنفيذ تجمعات متعددة، وتجمعات احتياطية، وتجمعات موازنة التحميل لتوفير اتصالات شبكة عامة موثوقة؛

يوفر NAT الاتساق لأنظمة العنونة الداخلية للشبكة. على الشبكة التي لا تستخدم عناوين IPv4 الخاصة وNAT، يتطلب تغيير نظام عنوان IPv4 الإجمالي إعادة توجيه جميع الأجهزة المضيفة على الشبكة الحالية. يمكن أن تكون تكلفة إعادة توجيه المضيف كبيرة. يسمح NAT لنظام عنونة IPv4 الخاص الحالي بالبقاء مع السماح بتغيير نظام العنونة العام الجديد بسهولة. وهذا يعني أنه يمكن للمؤسسة تغيير مقدمي الخدمة وليس عليها تغيير أي من عملائها الداخليين؛

• يوفر NAT أمان الشبكة. نظرًا لأن الشبكات الخاصة لا تعلن عن عناوينها أو هيكلها الداخلي، فإنها تظل آمنة تمامًا عند استخدامها مع NAT لتحقيق وصول خارجي خاضع للرقابة. ومع ذلك، عليك أن تفهم أن NAT لا يحل محل جدران الحماية؛

لكن NAT لديه بعض العيوب. حقيقة أن المضيفين على الإنترنت يبدو أنهم يتواصلون مباشرة مع الجهاز الذي يدعم NAT بدلاً من المضيف الفعلي داخل الشبكة الخاصة يخلق عددًا من المشكلات:

• أحد عيوب استخدام NAT يتعلق بأداء الشبكة، خاصة بالنسبة لبروتوكولات الوقت الفعلي مثل الصوت عبر بروتوكول الإنترنت. يزيد NAT من تأخيرات التبديل لأنه يستغرق وقتًا لترجمة كل عنوان IPv4 في رؤوس الحزمة؛
• عيب آخر لاستخدام NAT هو فقدان المعالجة الشاملة. تعتمد العديد من بروتوكولات وتطبيقات الإنترنت على المعالجة الشاملة من المصدر إلى الوجهة. بعض التطبيقات لا تعمل مع NAT. التطبيقات التي تستخدم العناوين الفعلية بدلاً من اسم المجال المؤهل لا تصل إلى الوجهات التي يتم ترجمتها من خلال جهاز توجيه NAT. في بعض الأحيان يمكن تجنب هذه المشكلة عن طريق تنفيذ تعيينات NAT الثابتة؛
• يتم أيضًا فقدان تتبع IPv4 من طرف إلى طرف. من الصعب تتبع الحزم التي تخضع لتغييرات متعددة في عنوان الحزمة عبر قفزات NAT المتعددة، مما يجعل استكشاف الأخطاء وإصلاحها أكثر صعوبة؛
• يؤدي استخدام NAT أيضًا إلى إعاقة بروتوكولات الأنفاق مثل IPsec لأن NAT يغير القيم في الرؤوس التي تتداخل مع عمليات التحقق من التكامل التي يتم إجراؤها بواسطة IPsec وبروتوكولات الأنفاق الأخرى؛
• قد تتعطل الخدمات التي تتطلب بدء اتصالات TCP من شبكة خارجية، أو البروتوكولات عديمة الحالة مثل تلك التي تستخدم UDP. إذا لم يتم تكوين جهاز توجيه NAT لدعم هذه البروتوكولات، فلن تتمكن الحزم الواردة من الوصول إلى وجهتها؛

هل كانت هذه المقالة مفيدة لك؟

أرجوك أخبرني لماذا؟

نأسف لأن المقال لم يكن مفيدًا لك: (من فضلك، إذا لم يكن الأمر صعبًا، وضح السبب؟ سنكون ممتنين جدًا للحصول على إجابة مفصلة. شكرًا لك على مساعدتنا في أن نصبح أفضل!

معيار
- متقدم
- متحرك
- عاكس
- على أساس الوقت

سنركز اهتمامنا اليوم على الأولين، ويمكنك قراءة المزيد عنهم جميعًا من ciska.

حركة المرور الواردة والصادرة

قائمة الوصول القياسية تتحقق فقط من عنوان المرسل. ممتد - عنوان المرسل وعنوان المستلم والمنفذ. يوصى بوضع قوائم ACL القياسية في أقرب مكان ممكن من المستلم (حتى لا يتم قطع أكثر من اللازم)، ووضع القوائم الموسعة - بالقرب من المرسل (لإسقاط حركة المرور غير المرغوب فيها في أقرب وقت ممكن).

يمارس

أ) خادم الويب. السماح بالوصول للجميع على منفذ TCP 80 (بروتوكول HTTP). بالنسبة للجهاز الذي سيتم تنفيذ التحكم منه (لدينا مسؤول)، تحتاج إلى فتح telnet وftp، لكننا سنمنحه حق الوصول الكامل. الجميع يعلقون المكالمة.

ب) خادم الملفات. يجب أن نجعل سكان Lift Mi Up يصلون إليه عبر منافذ للمجلدات المشتركة، ويمكن لأي شخص آخر الوصول إليه عبر FTP.

ب) خادم البريد. لدينا هنا SMTP وPOP3 قيد التشغيل، أي منفذي TCP 25 و110. ونفتح أيضًا الوصول إلى الإدارة للمسؤول. نحن نمنع الآخرين.

د) بالنسبة لخادم DNS المستقبلي، تحتاج إلى فتح منفذ UDP 53

هـ) السماح بوصول رسائل ICMP إلى شبكة الخوادم

هـ) نظرًا لأن لدينا شبكة أخرى لجميع الأشخاص غير المنتمين إلى الحزب والذين لم يتم تضمينهم في قسم FEO وVET وقسم المحاسبة، فسنقوم بتقييدهم جميعًا ونمنحهم بعض الوصول فقط (بما في ذلك نحن والمسؤول)

و) مرة أخرى، يجب السماح فقط للمسؤول، وبالطبع الشخص الذي تحبه، بالدخول إلى شبكة التحكم.

ز) لن نخلق حواجز أمام التواصل بين موظفي القسم.

أ) الوصول إلى خادم الويب

يتم التحقق من القواعد الموجودة في قائمة الوصول بالترتيب من أعلى إلى أسفل حتى المطابقة الأولى. بمجرد تشغيل إحدى القواعد، بغض النظر عما إذا كانت مسموحة أم مرفوضة، يتوقف التحقق وتتم معالجة حركة المرور بناءً على القاعدة التي تم تشغيلها.
وهذا يعني أننا إذا أردنا حماية خادم الويب، فسنحتاج أولاً إلى منح الإذن، لأنه إذا قمنا بتكوينه في السطر الأول رفض الملكية الفكرية أي- فستعمل دائمًا ولن تتدفق حركة المرور على الإطلاق. أي- هذه كلمة خاصة تعني عنوان الشبكة والقناع العكسي 0.0.0.0 0.0.0.0 وتعني أن جميع العقد من أي شبكات تقع تحت القاعدة. كلمة خاصة أخرى هي يستضيف- يعني القناع 255.255.255.255 - أي عنوان واحد محدد بالضبط.
لذا، القاعدة الأولى: السماح بالوصول للجميع على المنفذ 80

msk-arbat-gw1(config-ext-nacl)# ملاحظة WEB
أي مضيف 172.16.0.2 مكافئ 80

msk-arbat-gw1(config-subif)# ip Access-group Servers-out خارج

كما ترون، يتم فتح الصفحة، ولكن ماذا عن الأمر ping؟

وذلك من أي عقدة أخرى؟

والحقيقة هي أنه بعد كل القواعد في Cisco ACLs، فهي ضمنية رفض الملكية الفكرية أي(رفض ضمني). ماذا يعني هذا بالنسبة لنا؟ أي حزمة تترك الواجهة ولا تتطابق مع أي قاعدة في قائمة التحكم بالوصول (ACL) تخضع للرفض الضمني ويتم تجاهلها. وهذا هو، حتى ping، حتى FTP، أو أي شيء آخر لن يعمل هنا.

دعنا نذهب أبعد من ذلك: نحتاج إلى منح حق الوصول الكامل إلى الكمبيوتر الذي سيتم تنفيذ التحكم منه. سيكون هذا هو جهاز الكمبيوتر الخاص بالمسؤول لدينا بالعنوان 172.16.6.66 من الشبكة الأخرى.
تتم إضافة كل قاعدة جديدة تلقائيًا إلى نهاية القائمة إذا كانت موجودة بالفعل:

msk-arbat-gw1(التكوين)#
msk-arbat-gw1(config-ext-nacl)# السماح بمضيف TCP 172.16.6.66 مضيف 172.16.0.2 نطاق 20 بروتوكول نقل الملفات
msk-arbat-gw1(config-ext-nacl)# السماح بمضيف tcp 172.16.6.66 مضيف 172.16.0.2 مكافئ telnet

أي أن رسالة FTP وصلت إلى جهاز التوجيه ويجب أن تترك الواجهة FE0/0.3. يتحقق جهاز التوجيه ويرى أن الحزمة تطابق القاعدة التي أضفناها ويمررها من خلالها.

ومن عقدة أجنبية

لا تتطابق حزمة FTP مع أي من القواعد باستثناء الرفض الضمني لـ ip أي ويتم تجاهلها.

ب) الوصول إلى خادم الملفات

msk-arbat-gw1(config)# قائمة وصول IP الموسعة للخوادم الخارجية
msk-arbat-gw1(config-ext-nacl)# تصريح tcp 172.16.0.0 0.0.255.255 المضيف 172.16.0.3 مكافئ 445
msk-arbat-gw1(config-ext-nacl)# تصريح tcp أيالمضيف 172.16.0.3 النطاق 20 21

0.0.255.255 - قناع البدل. سنتحدث عن ماهية هذا بعد قليل.

ج) الوصول إلى خادم البريد

msk-arbat-gw1(config)# قائمة وصول IP الموسعة للخوادم الخارجية
msk-arbat-gw1(config-ext-nacl)#السماح لـ tcp بأي مضيف 172.16.0.4 مكافئ pop3
msk-arbat-gw1(config-ext-nacl)#السماح لـ tcp بأي مضيف 172.16.0.4 مكافئ smtp

د) خادم DNS

msk-arbat-gw1(config)# قائمة وصول IP الموسعة للخوادم الخارجية
msk-arbat-gw1(config-ext-nacl)# تصريح udp 172.16.0.0 0.0.255.255 المضيف 172.16.0.5 مكافئ 53

ه) اللجنة الدولية لشؤون المفقودين

في السطر الأول، نقوم بحذف القائمة الموجودة، ثم نقوم بإنشائها مرة أخرى وندرج جميع القواعد الجديدة بالترتيب الذي نحتاجه. باستخدام الأمر الموجود في السطر الثالث، سمحنا بمرور جميع حزم ICMP من أي مضيف إلى أي مضيف.

بعد ذلك، نقوم ببساطة بنسخ كل شيء بشكل جماعي ولصقه في وحدة التحكم. تفسر الواجهة كل سطر كأمر منفصل وتنفذه. لذلك استبدلنا القائمة القديمة بقائمة جديدة.
نتحقق من وجود ping:

رائع.

يعد هذا "الغش" مفيدًا للتكوين الأولي أو إذا كنت تفهم بالضبط ما تفعله. على شبكة العمل، عندما تقوم بتكوين قوائم ACL عن بعد، فإنك تخاطر بالبقاء دون الوصول إلى الجهاز الذي تقوم بإعداده.

لإدراج قاعدة في البداية أو أي مكان آخر مرغوب، يمكنك اللجوء إلى هذه التقنية:
قائمة الوصول IP الموسعة خوادم الخروج
1 تصريح ICMP أي أي

يتم ترقيم كل قاعدة في القائمة بخطوة معينة، وإذا وضعت رقمًا قبل كلمة السماح/الرفض، فلن تتم إضافة القاعدة إلى النهاية، بل إلى المكان الذي تريده. للأسف هذه الميزة لا تعمل في RT.
إذا لزم الأمر فجأة (جميع الأرقام المتتالية بين القواعد مشغولة)، يمكنك دائمًا إعادة ترقيم القواعد (في هذا المثال، يتم تعيين رقم القاعدة الأولى إلى 10 (الرقم الأول) والزيادة هي 10):
تسلسل قائمة الوصول إلى IP خوادم الخروج 10 10

ونتيجة لذلك، ستبدو قائمة الوصول لشبكة الخادم كما يلي:
قائمة الوصول IP الموسعة خوادم الخروج
تسمح ICMP أي أي
ملاحظة ويب
السماح لـ TCP بأي مضيف 172.16.0.2 مكافئ www
السماح لمضيف TCP 172.16.6.66 المضيف 172.16.0.2 النطاق 20 بروتوكول نقل الملفات
السماح لمضيف TCP 172.16.6.66 المضيف 172.16.0.2 مكافئ التلنت
ملف الملاحظة
السماح لبرنامج التعاون الفني 172.16.0.0 0.0.255.255 المضيف 172.16.0.3 مكافئ 445
السماح لـ TCP بأي نطاق مضيف 172.16.0.3 20 21
بريد الملاحظة
السماح لـ TCP بأي مضيف 172.16.0.4 مكافئ pop3
السماح لـ TCP بأي مضيف 172.16.0.4 مكافئ SMTP
ملاحظة DNS
تصريح UDP 172.16.0.0 0.0.255.255 المضيف 172.16.0.5 مكافئ 53

حاليا المشرف لدينا لديه حق الوصول فقط إلى خادم الويب. منحه حق الوصول الكامل إلى الشبكة بأكملها. هذا هو الواجب المنزلي الأول.

و) حقوق المستخدمين من الشبكة الأخرى

الآن نحن بحاجة لا تفرج: يجب ألا تتجاوز أي طلبات من أجهزة الكمبيوتر الموجودة على الشبكة الأخرى الحدود. حسنًا، بالطبع، باستثناء تلك التي نسمح بها على وجه التحديد.

msk-arbat-gw1(config)# قائمة الوصول إلى IP ممتدة أخرى

msk-arbat-gw1(config-ext-nacl)# السماح لمضيف IP 172.16.6.61 أي

msk-arbat-gw1(config)#int fa0/0.104
msk-arbat-gw1(config-subif)#ip access-group أخرى في

ز) شبكة التحكم

msk-arbat-gw1(config)# قائمة وصول IP الموسعة للإدارة
msk-arbat-gw1(config-ext-nacl)# ملاحظة IAM
msk-arbat-gw1(config-ext-nacl)# تصريح مضيف IP 172.16.6.61 172.16.1.0 0.0.0.255
msk-arbat-gw1(config-ext-nacl)# ملاحظة ADMIN
msk-arbat-gw1(config-ext-nacl)# تصريح مضيف IP 172.16.6.66 172.16.1.0 0.0.0.255

msk-arbat-gw1(config)# int fa0/0.2
msk-arbat-gw1(config-subif)#ip Access-group Management-out

ز) لا مزيد من القيود

قناع وقناع عكسي

لنبدأ بأبسط مثال.

شبكة عادية تحتوي على 256 عنوان: 172.16.5.0/24 مثلاً. ماذا يعني هذا الإدخال؟
وهذا يعني بالضبط ما يلي

عنوان IP هو معلمة 32 بت مقسمة إلى 4 أجزاء، والتي اعتدت على رؤيتها في شكل عشري.
يبلغ طول قناع الشبكة الفرعية أيضًا 32 بت - وهو في الواقع قالب، وهو استنسل يحدد عنوان الشبكة الفرعية للعنوان. في حالة وجود قيم في القناع، لا يمكن تغيير القيمة، أي أن الجزء 172.16.5 لم يتغير تمامًا وسيكون هو نفسه بالنسبة لجميع المضيفين على هذه الشبكة الفرعية، لكن الجزء الذي توجد به أصفار يختلف.
أي أنه في مثالنا، 172.16.5.0/24 هو عنوان الشبكة، وسيكون المضيفون 172.16.5.1-172.16.5.254 (يتم بث آخر 255)، لأن 00000001 هو 1، و11111110 هو 254 (نحن نتحدث حول الثماني الأخيرة من العنوان ). /24 يعني أن طول القناع هو 24 بت، أي أن لدينا 24 بت - الجزء غير المتغير و8 أصفار.
حالة أخرى هي عندما يكون قناعنا، على سبيل المثال، 30 بت، وليس 24.
على سبيل المثال 172.16.2.4/30. دعنا نكتبها هكذا:

كما ترون، يمكن فقط تغيير البتين الأخيرين لهذه الشبكة الفرعية. يمكن أن تأخذ الثماني الأخيرة القيم الأربع التالية:
00000100 - عنوان الشبكة الفرعية (4 بالأرقام العشرية)
00000101 - عنوان العقدة (5)
00000110 - عنوان العقدة (6)
00000111 - البث (7)
كل شيء أبعد من هذا هو شبكة فرعية مختلفة

وهذا يعني أنه يجب أن يكون واضحًا لك الآن أن قناع الشبكة الفرعية عبارة عن سلسلة من 32 بت، حيث يوجد في البداية وحدات بت، أي عنوان الشبكة الفرعية، ثم هناك أصفار، أي عنوان المضيف. في هذه الحالة، لا يمكن أن تتناوب الأصفار والواحدات الموجودة في القناع. أي أن القناع هو 11111111.11100000.11110111.00000000 مستحيل

ما هو القناع العكسي (حرف البدل)؟
بالنسبة للغالبية العظمى من المسؤولين وبعض المهندسين، هذا ليس أكثر من مجرد انقلاب للقناع المعتاد. وهذا يعني أن الأصفار تحدد أولاً عنوان الجزء الذي يجب أن يتطابق بالضرورة، وعلى العكس من ذلك، تحدد الجزء الحر.
أي أنه في المثال الأول الذي تناولناه، إذا كنت تريد تصفية جميع المضيفين من الشبكة الفرعية 172.16.5.0/24، فسوف تقوم بتعيين قاعدة في ورقة الوصول:
…. 172.16.5.0 0.0.0.255
لأن القناع العكسي سيبدو هكذا:

00000000.00000000.00000000.11111111

في المثال الثاني مع الشبكة 172.16.2.4/30، سيبدو القناع العكسي كما يلي: 30 صفرًا واثنين من الآحاد:

وبناءً على ذلك، ستبدو المعلمة في قائمة الوصول كما يلي:
…. 172.16.2.4 0.0.0.3
لاحقًا، عندما تأكل الكلب عند حساب الأقنعة والأقنعة العكسية، ستتذكر الأرقام الأكثر استخدامًا، وعدد المضيفين في قناع معين، وستفهم أنه في المواقف الموضحة، يتم الحصول على الثماني الأخيرة من القناع العكسي عن طريق طرح الثماني الأخيرة من القناع العادي من 255 (255-252 =3)، وما إلى ذلك. في غضون ذلك ، عليك أن تعمل بجد وتحسب)

ولكن في الواقع، يعد القناع العكسي أداة أكثر ثراءً قليلاً، حيث يمكنك هنا دمج العناوين داخل نفس الشبكة الفرعية أو حتى دمج الشبكات الفرعية، لكن الاختلاف الأكثر أهمية هو أنه يمكنك تبديل الأصفار والآحاد. يتيح لك هذا، على سبيل المثال، تصفية مضيف معين (أو مجموعة) عبر شبكات فرعية متعددة بسطر واحد.

مثال 1

مثال 2

مثال 3

عملية ACL في الصور

1) على جهاز التوجيه RT1 على الواجهة FE0/1، يُسمح بإدخال كل شيء باستثناء ICMP.

2) على جهاز التوجيه RT2 على الواجهة FE0/1، يُحظر الخروج من SSH وTELNET

الاختبارات
قابلة للنقر
1) اختبار الاتصال من PC1 إلى Server1

2) TELNET من PC1 إلى Server1

3) SSH من PC1 إلى Server2

4) اختبار الاتصال من Server2 إلى PC1

الإضافات

2) عليك أن تكون حذرًا مع قوائم ACL. قد يؤدي خطأ بسيط في إحدى القواعد، أو ترتيب تكوين غير صحيح، أو قائمة غير مدروسة بشكل عام إلى تركك دون الوصول إلى الجهاز.
على سبيل المثال، تريد حظر الوصول إلى أي مكان للشبكة 172.16.6.0/24، باستثناء عنوانك 172.16.6.61 وتعيين القواعد مثل هذا:

رفض IP 172.16.6.0 0.0.0.255 أي
السماح بمضيف IP 172.16.6.61 أي

3) هناك مشكلة مشابهة ومثيرة للاهتمام تتبع النقطة 2.
هل تريد، على سبيل المثال، وضع قوائم ACL التالية على واجهة الإنترنت:

تصريح خروج قائمة الوصول لمضيف TCP 1.1.1.1 المضيف 2.2.2.2 مكافئ 80
قائمة الوصول في تصريح مضيف TCP 2.2.2.2 أي مكافئ 80

السماح لمضيف TCP 2.2.2.2 بأي شكل من الأشكال.

4) التحدث عن العالم الحديث، من المستحيل تجاهل أداة مثل مجموعات الكائنات (مجموعة الكائنات).

لنفترض أنك بحاجة إلى إنشاء قائمة التحكم بالوصول (ACL) التي تطلق ثلاثة عناوين محددة على الإنترنت على ثلاثة منافذ متطابقة مع احتمال زيادة عدد العناوين والمنافذ. كيف يبدو دون معرفة مجموعات الكائنات:

قائمة الوصول IP الموسعة إلى الإنترنت
السماح لمضيف TCP 172.16.6.66 أي مكافئ 80
السماح لمضيف TCP 172.16.6.66 أي مكافئ 8080
السماح لمضيف TCP 172.16.6.66 أي مكافئ 443

السماح لمضيف TCP 172.16.6.67 أي مكافئ 80
السماح لمضيف TCP 172.16.6.67 أي مكافئ 8080
السماح لمضيف TCP 172.16.6.67 أي مكافئ 443

السماح لمضيف TCP 172.16.6.68 أي مكافئ 80
اسمح لمضيف TCP 172.16.6.68 أي مكافئ 8080
السماح لمضيف TCP 172.16.6.68 أي مكافئ 443

خدمة مجموعة الكائنات INET-PORTS
وصف المنافذ المسموح بها لبعض المضيفين
برنامج التعاون الفني مكافئ شبكة الاتصالات العالمية
تي سي بي مكافئ 8080
برنامج التعاون الفني مكافئ 443

شبكة مجموعة الكائنات HOSTS-TO-INET
الوصف يسمح للمضيفين بتصفح الشبكة
المضيف 172.16.6.66
المضيف 172.16.6.67
المضيف 172.16.6.68

قائمة الوصول IP الموسعة INET-OUT
السماح لمجموعة الكائنات INET-PORTS لمجموعة الكائنات HOSTS-TO-INET بأي

4) يمكن الحصول على معلومات مفيدة جدًا لاستكشاف الأخطاء وإصلاحها من إخراج الأمر إظهار قوائم الوصول إلى IP٪ اسم ACL٪. بالإضافة إلى القائمة الفعلية للقواعد الخاصة بقائمة التحكم بالوصول (ACL) المحددة، يعرض هذا الأمر عدد التطابقات لكل قاعدة.

msk-arbat-gw1#sh قوائم الوصول إلى IP nat-inet
قائمة الوصول إلى IP الموسعة nat-inet





(4 مباريات (مباريات))

وبالإضافة في نهاية أي قاعدة سجل، سنكون قادرين على تلقي رسائل حول كل مباراة في وحدة التحكم. (الأخير لا يعمل في PT)

نات

10.0.0.0/8
172.16.0.0/12
192.168.0.0/16

يمكنك استخدامها مجانًا على شبكتك الخاصة، لذا سيتم تكرارها بالطبع. ماذا عن التفرد؟ من سيستجيب خادم الويب عندما يتلقى طلبًا بعنوان المرسل 192.168.1.1؟ روستيليكوم؟ شركة تاتنفت؟ أو داخلي طويل؟ على شبكة الإنترنت الكبيرة، لا أحد يعرف أي شيء عن الشبكات الخاصة - لا يتم توجيهها.
هذا هو المكان الذي يلعب فيه NAT. بشكل عام، هذا خداع، إعداد. على جهاز المسح، يتم استبدال عنوانك الخاص، تقريبًا، ببساطة بعنوان أبيض، والذي سيظهر بشكل أكبر في الحزمة أثناء انتقالها إلى خادم الويب. لكن يتم توجيه العناوين البيضاء بشكل جيد للغاية، ومن المؤكد أن الحزمة ستعود مرة أخرى إلى جهاز المسح.
ولكن كيف سيفهم بدوره ما يجب فعله به بعد ذلك؟ دعونا معرفة ذلك.

أنواع NAT

ثابتة

تم تكوينه باستخدام الأمر التالي:

جهاز التوجيه (التكوين) # ip nat داخل المصدر الثابت 172.16.6.5 198.51.100.2

2) يتم تسليم الحزمة عبر شبكة الشركة إلى البوابة 172.16.6.1، حيث تم تكوين NAT

3) وفقًا للأمر الذي تم تكوينه، يقوم جهاز التوجيه بإزالة رأس IP الحالي وتغييره إلى رأس جديد، حيث يظهر العنوان الأبيض 198.51.100.2 بالفعل كعنوان المرسل.

4) عبر الإنترنت، تصل الحزمة المحدثة إلى الخادم 192.0.2.2.

5) يرى أنه يجب إرسال الرد إلى 198.51.100.2 ويقوم بإعداد حزمة IP للاستجابة. كعنوان المرسل، عنوان الخادم نفسه هو 192.0.2.2، عنوان الوجهة هو 198.51.100.2

6) تعود الحزمة عبر الإنترنت، وليس بالضرورة عبر نفس المسار.

7) يشير جهاز المسح إلى أنه يجب إعادة توجيه جميع الطلبات إلى العنوان 198.51.100.2 إلى 172.16.6.5. يقوم جهاز التوجيه مرة أخرى بتجريد مقطع TCP المخفي بالداخل ويقوم بتعيين رأس IP جديد (لا يتغير عنوان المصدر، وعنوان الوجهة هو 172.16.6.5).

8) يتم إرجاع الحزمة عبر الشبكة الداخلية إلى البادئ الذي لا يعرف حتى ما هي المعجزات التي حدثت له على الحدود.
وهكذا سيكون الأمر مع الجميع.
علاوة على ذلك، إذا تم بدء الاتصال من الإنترنت، فإن الحزم تمر تلقائيًا عبر جهاز المسح، وتصل إلى المضيف الداخلي.

يعد هذا الأسلوب مفيدًا عندما يكون لديك خادم داخل شبكتك يحتاج إلى الوصول الكامل من الخارج. بالطبع، لا يمكنك استخدام هذا الخيار إذا كنت تريد كشف ثلاثمائة مضيف للإنترنت من خلال عنوان واحد. لن يساعد خيار NAT هذا بأي شكل من الأشكال في الحفاظ على عناوين IP البيضاء، ولكنه مع ذلك يمكن أن يكون مفيدًا.

متحرك

جهاز التوجيه (التكوين)# تجمع IP nat lol_pool 198.51.100.3 198.51.103.14

جهاز التوجيه (التكوين) # قائمة الوصول 100 تصريح IP 172.16.6.0 0.0.0.255 أي

جهاز التوجيه (التكوين) #ip nat داخل قائمة المصدر 100 تجمع lol_pool

هذا الخيار أيضًا ليس عالميًا؛ فلن تتمكن أيضًا من إطلاق سراح جميع مستخدميك البالغ عددهم 300 على الإنترنت إذا لم يكن لديك 300 عنوان خارجي. بمجرد استنفاد العناوين البيضاء، لن يتمكن أي شخص جديد من الوصول إلى الإنترنت. في الوقت نفسه، سيعمل هؤلاء المستخدمون الذين تمكنوا بالفعل من الحصول على عنوان خارجي لأنفسهم. سيساعدك الفريق على إسقاط جميع عمليات البث الحالية وتحرير العناوين الخارجية ترجمة واضحة IP نات *
بالإضافة إلى التخصيص الديناميكي للعناوين الخارجية، يختلف NAT الديناميكي عن NAT الثابت في أنه بدون تكوين منفصل لإعادة توجيه المنفذ، لن يعد الاتصال الخارجي بأحد عناوين التجمع ممكنًا.

كثير إلى واحد

يكشف جهاز التوجيه عن حزمة IP من المضيف الأول، ويستخرج منها مقطع TCP، ويطبعها ويكتشف المنفذ الذي يتم إنشاء الاتصال منه. وله عنوان خارجي 198.51.100.2، والذي سيتغير إليه العنوان من الشبكة الداخلية.
بعد ذلك، يقوم باختيار منفذ مجاني، على سبيل المثال، 11874. وماذا يفعل بعد ذلك؟ يقوم بحزم جميع البيانات على مستوى التطبيق في مقطع TCP جديد، حيث يظل منفذ الوجهة 80 (هذا هو المكان الذي ينتظر فيه خادم الويب الاتصالات)، ويتغير منفذ المرسل من 23761 إلى 11874. يتم تغليف مقطع TCP هذا في عنوان IP جديد حزمة يتغير فيها عنوان IP الخاص بالمرسل من 172.16.6.5 إلى 198.51.100.2.
يحدث نفس الشيء مع الحزمة من المضيف الثاني، ويتم تحديد المنفذ المجاني التالي فقط، على سبيل المثال 11875. ويعني "مجاني" أنه غير مشغول بالفعل باتصالات أخرى مماثلة.
ستبدو البيانات التي يتم إرسالها إلى الإنترنت الآن بهذا الشكل.

يقوم بإدخال بيانات المرسلين والمستلمين في جدول NAT الخاص به

بالنسبة لخادم الويب، هناك طلبان مختلفان تمامًا، ويجب معالجة كل منهما على حدة. وبعد ذلك يرسل ردًا يبدو كالتالي:

عندما تصل إحدى هذه الحزم إلى جهاز التوجيه الخاص بنا، فإنها تطابق البيانات الموجودة في هذه الحزمة مع إدخالاتها في جدول NAT. إذا تم العثور على تطابق، فسيتم تنفيذ الإجراء العكسي - تتم إرجاع الحزمة وقطعة TCP إلى معلماتها الأصلية كوجهة فقط:

والآن يتم تسليم الحزم عبر الشبكة الداخلية إلى أجهزة الكمبيوتر البادئة، والتي لا تدرك حتى أنه في مكان ما تم التعامل مع بياناتها بقسوة شديدة على الحدود.

كل مكالمة تجريها هي اتصال منفصل. أي أنك حاولت فتح صفحة ويب - هذا هو بروتوكول HTTP باستخدام المنفذ 80. للقيام بذلك، يجب على جهاز الكمبيوتر الخاص بك إنشاء جلسة TCP مع خادم بعيد. يتم تعريف مثل هذه الجلسة (TCP أو UDP) بواسطة مآخذين: عنوان IP المحلي: المنفذ المحلي وعنوان IP البعيد: المنفذ البعيد. في الوضع الطبيعي، يكون لديك اتصال واحد بين كمبيوتر وخادم، ولكن في حالة NAT سيكون هناك اتصالان: خادم جهاز التوجيه والكمبيوتر يعتقد أن لديه جلسة خادم كمبيوتر.

يختلف الإعداد قليلاً: مع التحميل الزائد للكلمات الإضافية:

جهاز التوجيه (التكوين) # قائمة الوصول 101 تصريح 172.16.4.0 0.0.0.255
جهاز التوجيه (التكوين) #ip nat داخل قائمة المصدر 101 واجهة fa0/1 الزائد

جهاز التوجيه (التكوين)# تجمع IP nat lol_pool 198.51.100.2 198.51.103.14
جهاز التوجيه (التكوين) # قائمة الوصول 100 تصريح 172.16.6.0 0.0.0.255
جهاز التوجيه (التكوين) #ip nat داخل قائمة المصدر 100 تجمع lol_pool الزائد

ميناء الشحن

جهاز التوجيه (التكوين)#ip nat داخل المصدر الثابت tcp 172.16.0.2 80 198.51.100.2 80 قابل للتمديد

جهاز التوجيه (التكوين) # ip nat داخل المصدر الثابت tcp 172.16.6.61 3389 198.51.100.2 3389
جهاز التوجيه (التكوين) # ip nat داخل المصدر الثابت tcp 172.16.6.66 3389 198.51.100.2 3398

بالمناسبة، هذا الأمر هو حالة خاصة للأمر الأول: ip nat داخل المصدر الثابت 172.16.6.66 198.51.100.2. فقط في هذه الحالة نحن نتحدث عن إعادة توجيه كل حركة المرور، وفي الأمثلة لدينا - منافذ بروتوكول TCP محددة.

هذه هي الطريقة التي يعمل بها NAT بشكل عام. تمت كتابة الكثير من المقالات حول مميزاته وإيجابياته/سلبياته، لكن لا يمكن تجاهلها.

نقاط الضعف والقوة في NAT

+

- ثالث، يخفي NAT البنية الداخلية لشبكتك عن أعين المتطفلين - عند تتبع مسار من الخارج، لن ترى أي شيء يتجاوز جهاز natating.

-

ماذا تحتاج إلى معرفته؟
- يُستخدم NAT بشكل أساسي لتوفير الوصول إلى الإنترنت للمضيفين ذوي العناوين الخاصة. ولكن هناك تطبيق آخر - الاتصال بين شبكتين خاصتين بمساحات عناوين متقاطعة.
على سبيل المثال، تشتري شركتك فرعًا في أكتوبي. عنوانك هو 10.0.0.0-10.1.255.255، وعنوانهم هو 10.1.1.0-10.1.10.255. من الواضح أن النطاقات تتداخل؛ لا توجد طريقة لتكوين التوجيه، لأن نفس العنوان قد يكون في أكتوبي وفي مقرك الرئيسي.
في هذه الحالة، يتم تكوين NAT عند التقاطع. نظرًا لعدم وجود عناوين رمادية كافية لدينا، يمكننا على سبيل المثال تحديد النطاق 10.2.1.0-10.2.10.255 وإجراء بث مباشر:
10.1.1.1-10.2.1.1
10.1.1.2-10.2.1.2
…
10.1.10.255-10.2.10.255

في الألعاب الكبيرة للبالغين، يمكن تنفيذ NAT على لوحة منفصلة (وغالبًا ما تكون كذلك) ولن تعمل بدونها. على الأجهزة المكتبية، على العكس من ذلك، يوجد دائمًا واحد تقريبًا.

مع التنفيذ الواسع النطاق لـ IPv6، ستختفي الحاجة إلى NAT. بالفعل، بدأ العملاء الكبار يهتمون بوظيفة NAT64 - وذلك عندما يكون لديك إمكانية الوصول إلى العالم عبر IPv4، وتكون الشبكة الداخلية موجودة بالفعل على IPv6

بالطبع، هذه مجرد نظرة سطحية على NAT ولا يزال هناك الكثير من الفروق الدقيقة التي سيساعدك التعليم الذاتي على عدم الغرق فيها.

ممارسة NAT

أولاً، لنجهز موقع الاختبار:

سيتم تنظيم الاتصال بالإنترنت من خلال رابط موجود يقدمه المزود.
يذهب إلى شبكة المزود. نذكرك أن كل شيء في هذه السحابة عبارة عن شبكة مجردة، والتي يمكن أن تتكون في الواقع من عشرات أجهزة التوجيه ومئات المحولات. لكننا نحتاج إلى شيء يمكن التحكم فيه ويمكن التنبؤ به، لذلك قمنا أيضًا بتثبيت جهاز توجيه هنا. يوجد على أحد الجانبين رابط من المحول، وعلى الجانب الآخر يوجد خادم على الإنترنت.

سنحتاج إلى الخوادم التالية:
1. بنكان عميلان للمحاسبين (sperbank.ru، mmm-bank.ru)
2. Linkmeup.ru لطلاب التدريب المهني
3. ياندكس (yandex.ru)

لمثل هذا الاتصال، سنقوم برفع شبكة محلية ظاهرية أخرى على msk-arbat-gw1. رقمه طبعا متفق عليه مع المزود. فليكن VLAN 6
لنفترض أن المزود يقدم لنا الشبكة الفرعية 198.51.100.0/28. يتم استخدام العنوانين الأولين لتنظيم الارتباط (198.51.100.1 و198.51.100.2)، ونستخدم العناوين المتبقية كمجمع لـ NAT. ومع ذلك، لا أحد يمنعنا من استخدام العنوان 198.51.100.2 للمجمع. هيا بنا نقوم بذلك: حمام السباحة: 198.51.100.2-198.51.100.14
من أجل التبسيط، لنفترض أن خوادمنا العامة موجودة على نفس الشبكة الفرعية:
192.0.2.0/24 .
أنت تعرف بالفعل كيفية إعداد الرابط والعناوين.
وبما أنه لدينا جهاز توجيه واحد فقط في شبكة الموفر، وجميع الشبكات متصلة به مباشرة، فليست هناك حاجة لتكوين التوجيه.
لكن يجب أن يعرف msk-arbat-gw1 مكان إرسال الحزم إلى الإنترنت، لذلك نحتاج إلى مسار افتراضي:

msk-arbat-gw1(config)# مسار IP 0.0.0.0 0.0.0.0 198.51.100.1

أولاً، لنقم بإعداد تجمع العناوين

msk-arbat-gw1(config)# ip natpool main_pool 198.51.100.2 198.51.100.14 قناع الشبكة 255.255.255.240

msk-arbat-gw1(config)# قائمة الوصول إلى IP الموسعة nat-inet

1) شبكة التحكم

2) المضيفين من شبكة التعليم والتدريب المهني

msk-arbat-gw1(config-ext-nacl)# تصريح tcp 172.16.3.0 0.0.0.255 مضيف 192.0.2.2 مكافئ 80

3) المحاسبة

msk-arbat-gw1(config-ext-nacl)# تصريح IP 172.16.5.0 0.0.0.255 المضيف 192.0.2.3
msk-arbat-gw1(config-ext-nacl)# تصريح IP 172.16.5.0 0.0.0.255 المضيف 192.0.2.4

4) فيو

msk-arbat-gw1(config-ext-nacl)# السماح لمضيف IP 172.16.4.123 أي

5) أخرى

msk-arbat-gw1(config-ext-nacl)# السماح لمضيف IP 172.16.6.61 أي
msk-arbat-gw1(config-ext-nacl)# السماح لمضيف IP 172.16.6.66 أي

6) فروع في سان بطرسبرج وكيميروفو

msk-arbat-gw1(config-ext-nacl)# السماح بمضيف IP 172.16.16.222 أي
msk-arbat-gw1(config-ext-nacl)# السماح بمضيف IP 172.16.17.222 أي
msk-arbat-gw1(config-ext-nacl)# السماح بمضيف IP 172.16.24.222 أي

هذا ما تبدو عليه قائمة ACL بالكامل الآن:
قائمة الوصول إلى IP الموسعة Nat-inet
ملاحظة PTO
السماح لبرنامج التعاون الفني 172.16.3.0 0.0.0.255 المضيف 192.0.2.2 مكافئ شبكة الاتصالات العالمية
المحاسبة الملاحظة
تصريح الملكية الفكرية 172.16.5.0 0.0.0.255 المضيف 192.0.2.3
تصريح الملكية الفكرية 172.16.5.0 0.0.0.255 المضيف 192.0.2.4
ملاحظة FEO
السماح لمضيف IP 172.16.4.123 بأي
ملاحظة IAM
السماح بمضيف IP 172.16.6.61 أي
مشرف الملاحظة
اسمح لمضيف IP 172.16.6.66 بأي
ملاحظة SPB_VSL_ISLAND
السماح لمضيف IP 172.16.16.222 بأي
ملاحظة SPB_OZERKI
السماح لمضيف IP 172.16.17.222 بأي
ملاحظة KMR
السماح لمضيف IP 172.16.24.222 بأي

هيا نطلق:

msk-arbat-gw1(config)# ip nat داخل قائمة المصدر تجمع nat-inet main_pool الزائد

msk-arbat-gw1(config)# int fa0/0.101
msk-arbat-gw1(config)# int fa0/0.102
msk-arbat-gw1(config-subif)# ip nat بالداخل
msk-arbat-gw1(config)# int fa0/0.103
msk-arbat-gw1(config-subif)# ip nat بالداخل
msk-arbat-gw1(config)# int fa0/0.104
msk-arbat-gw1(config-subif)# ip nat بالداخل

Msk-arbat-gw1(config)# int fa0/1.6
msk-arbat-gw1(config-subif)# ip nat بالخارج

سيسمح هذا لجهاز التوجيه بفهم المكان المتوقع للحزم التي تحتاج إلى المعالجة ومكان إرسالها لاحقًا.

لكي يمكن الوصول إلى الخوادم الموجودة على الإنترنت عن طريق اسم النطاق، سيكون من الجيد أن نحصل على خادم DNS على شبكتنا:

وبطبيعة الحال، يجب أن يتم تسجيله على تلك الأجهزة التي سنتحقق من الوصول منها:

العرض يجب ان يستمر!

كل شيء متاح من كمبيوتر المسؤول:

من شبكة التعليم والتدريب المهني لا يمكن الوصول إلا إلى موقع linkmeup.ru عبر المنفذ 80 (HTTP):

في شبكة FEO، يخرج 4.123 فقط إلى العالم (finirector)

في قسم المحاسبة، تعمل مواقع بنك العميل فقط. ولكن بما أن الإذن مُنح بالكامل لبروتوكول IP، فيمكنك تنفيذ الأمر ping عليهم:

7) الخوادم

أ) خادم الويب

msk-arbat-gw1(config)# ip nat داخل المصدر الثابت tcp 172.16.0.2 80 198.51.100.2 80

msk-arbat-gw1(config)# int fa0/0.3
msk-arbat-gw1(config-subif)# ip nat بالداخل

ب) خادم الملفات

msk-arbat-gw1(config)# ip nat داخل المصدر الثابت tcp 172.16.0.3 20 198.51.100.3 20
msk-arbat-gw1(config)# ip nat داخل المصدر الثابت tcp 172.16.0.3 21 198.51.100.3 21

ج) خادم البريد

msk-arbat-gw1(config)# ip nat داخل المصدر الثابت tcp 172.16.0.4 25 198.51.100.4 25
msk-arbat-gw1(config)# ip nat داخل المصدر الثابت tcp 172.16.0.4 110 198.51.100.4 110

إعداد جهاز كمبيوتر من شبكتنا:

من الخارج:

نحن نستعد الرسالة:

على المضيف المحلي، انقر فوق تلقي:

8) الوصول عبر RDP إلى أجهزة الكمبيوتر الخاصة بالمسؤول وأجهزة الكمبيوتر الخاصة بنا

أمان

ملاحظة أخيرة. على الأرجح، فإن جهاز الفرك الخاص بك يتطلع إلى الخارج بواجهة IP Nat الخارجية الخاصة به - إلى الإنترنت. لذلك، لن يضر تعليق قائمة التحكم بالوصول (ACL) على هذه الواجهة، حيث ترفض ما تحتاجه وتسمح به. لن نتناول هذه المسألة في هذا المقال.

في هذه المرحلة، يمكن اعتبار التعارف الأول مع تقنية NAT مكتملاً.
كما DZ آخر، أجب على السؤال لماذا لا يوجد إمكانية الوصول إلى الإنترنت من أجهزة كمبيوتر Eniki في سانت بطرسبرغ وكيميروفو. بعد كل شيء، لقد أضفناهم بالفعل إلى قائمة الوصول.

لم يعد خبرًا أنه لا توجد عناوين شبكة IP كافية لجميع الأجهزة التي تريد الاتصال بالإنترنت. حاليًا، تم العثور على طريقة للخروج من هذا الوضع من خلال تطوير بروتوكول IPv6، حيث يبلغ طول العنوان 128 بت، في حين أن IPv4 الحالي يبلغ 32 بت فقط. ولكن في أوائل العقد الأول من القرن الحادي والعشرين، وجدوا حلاً آخر - وهو استخدام ترجمة عنوان الشبكة، والمختصرة nat. لاحقًا في هذه المقالة، سنقوم بتكوين nat في جهاز التوجيه.

الدخول إلى قائمة إعدادات جهاز التوجيه

كمثال، لنأخذ جهاز التوجيه ZyXEL من سلسلة ZyWALL USG وNXC5200.

في البداية قم بالذهاب إلى إعدادات جهاز التوجيه. للقيام بذلك، في أي متصفح ويب، اكتب 192.168.1.1 في شريط العناوين. (عنوان جهاز التوجيه القياسي)، ستظهر نافذة تطلب منك إدخال معلومات تسجيل الدخول وكلمة المرور الخاصة بك.

في حقل "اسم المستخدم"، أدخل admin، وفي حقل "كلمة المرور"، أدخل 1234. انقر فوق "موافق".

إعداد nat في جهاز التوجيه

في نافذة القائمة التي تفتح، انتقل إلى علامة التبويب "التكوين" (أيقونة ذات ترسين)، ثم "الشبكة"، ثم "التوجيه". في النافذة المحددة، انتقل إلى علامة التبويب "توجيه السياسة".

قائمة إعدادات جهاز التوجيه ZyXEL

في هذه القائمة، يتم تكوين سياسة التوجيه. في منطقة "المعايير"، قمنا بإعداد معايير لاختيار حركة المرور - ما هي حركة المرور التي يجب بثها (في الواقع تكوين nat)، وأي حركة يجب توجيهها ببساطة. يمكن اختيار حركة المرور وفقًا لعدة معايير:

1. المستخدم (المستخدم)؛
2. عن طريق الواجهة (الواردة)؛
3. حسب عنوان IP المصدر؛
4. حسب عنوان IP الخاص بالمستلم (عنوان الوجهة)؛
5. عن طريق منفذ الوجهة (الخدمة).

في منطقة "Next-Hop"، نقوم بتعيين كائن لإعادة توجيه حركة المرور:

تحديد كائن إعادة توجيه جهاز التوجيه ZyXEL

حيث "تلقائي" - سيتم إعادة توجيه حركة المرور إلى الواجهة العالمية الافتراضية؛ البوابة – إلى العنوان المحدد في إعدادات البوابة؛ نفق VPN - نفق IPSec الافتراضي الخاص؛ الجذع - الطريق إلى "الجذع"، حيث "الجذع" عبارة عن عدة واجهات تم تكوينها للعمل معًا أو في وضع التكرار؛ الواجهة - إعادة التوجيه إلى الواجهة المحددة:

من المهم أن تتذكر أنه كلما قمت بإجراء تغييرات على إعدادات جهاز التوجيه، انقر فوق الزر "موافق" لحفظ الإعدادات، وليس فقط إغلاق متصفح الويب.

إعداد نات على جهاز الكمبيوتر

كما تعلمون، يمكن للكمبيوتر الشخصي نفسه أن يكون بمثابة جهاز توجيه. غالبًا ما يكون هناك موقف عندما تكون هناك شبكة كمبيوتر مكونة من عدة أجهزة كمبيوتر، أحدها لديه إمكانية الوصول إلى الإنترنت. في هذه الحالة، لا يمكنك شراء أجهزة التوجيه على الإطلاق، ولكن قم بإعداد جهاز كمبيوتر متصل بالإنترنت كموجه وتكوين nat عليه. دعونا نفكر في هذه الحالة بمزيد من التفصيل.

تأكد من تثبيت بطاقتي شبكة على الكمبيوتر الرئيسي الذي ينظر إلى الإنترنت (دعنا نسميها خادمًا) - الأولى للاتصال بالشبكة المحلية والثانية للمزود. سيستخدم المثال نظام التشغيل Windows Server 2012.

للتهيئة، قم أولاً بتشغيل "Server Manager" (ابدأ -> الأدوات الإدارية -> مدير الخادم). ستظهر نافذة الإعدادات:

من هنا سوف نقوم بإدارة الخادم الخاص بنا. لمتابعة التكوين، انقر فوق "إضافة الأدوار والميزات"، والذي سيفتح نافذة معالج إضافة الأدوار. الخطوة الأولى - نوع التثبيت:

في النافذة التالية نحتاج إلى تحديد الدور الذي نقوم بتثبيته على الخادم. حدد المربع بجوار "الوصول عن بعد".

ستظهر النافذة التالية التي تعرض قائمة بالمكونات المطلوبة للتشغيل. انقر فوق "إضافة مكونات"، وسوف تختفي هذه النافذة. انقر فوق {التالي".

في النافذة التالية، يطالبك المعالج بإضافة مكونات الخادم. ليست هناك حاجة لتغيير أي شيء، انقر على "التالي".

في الصفحة التالية، يخبرنا المعالج ببساطة عن تشغيل دور الوصول عن بعد. انقر فوق {التالي".

في الخطوة التالية، عليك تحديد "خدمات الدور". حدد المربع بجوار "التوجيه" وانقر على "التالي".

النافذة التالية إعلامية مرة أخرى، لا تحتاج إلى تحديد أي شيء، ولكن يمكنك تحديد المربع بجوار "إعادة التشغيل التلقائي على الخادم المحدد..."، ونتيجة لذلك سيتم إعادة تشغيل الخادم تلقائيًا بعد التثبيت. ولكن يمكنك أيضًا القيام بذلك يدويًا. انقر فوق {التالي".

والخطوة الأخيرة هي التثبيت الفعلي للخادم. عند الانتهاء، انقر فوق الزر "إغلاق".

تثبيت الخادم

لذلك، قمنا بتكوين جهاز كمبيوتر متصل بالإنترنت في وضع الخادم. أنت الآن بحاجة إلى تكوين nat عليه.

انتقل إلى ابدأ / الإدارة / التوجيه والوصول عن بعد. في النافذة التي تظهر، على الجانب الأيسر نجد العنصر "الخادم (المحلي)"، انقر بزر الماوس الأيمن عليه وفي القائمة المنسدلة، انقر فوق "تكوين وتمكين التوجيه والوصول عن بعد".

سيظهر معالج لإعداد خادم التوجيه والوصول عن بعد، حيث سنقوم بتكوين nat.

في الصفحة الأولى، تم تعريفنا بإيجاز بالمعالج - انقر فوق "التالي". الخطوة التالية هي اختيار إحدى الخدمات التي سيتم تشغيلها على هذا الخادم. حدد "ترجمة عنوان الشبكة (NAT)" وانقر على "التالي".

بعد ذلك، سيطلب منك المعالج تحديد اتصال شبكة ينظر إلى الإنترنت. ستكون كلتا بطاقتي الشبكة موجودتين في القائمة (على الأقل اعتمادًا على عددهما المثبت على الخادم). نختار الكابل الذي يتصل به كابل شبكة الموفر. انقر فوق {التالي".

في النافذة التالية، سيبدأ المعالج في الشكوى من عدم قدرته على اكتشاف خدمات DHCP أو DNS على الشبكة المحلية. هناك خياران للمتابعة - تمكين الخدمات الأساسية، أو تثبيت الخدمات لاحقًا.

حدد العنصر الأول وانقر على "التالي". في الصفحة التالية سأخبرك بالنطاق الذي ستعمل فيه nat. يحدد معالج الإعداد هذا النطاق تلقائيًا، بناءً على تكوين اتصال الشبكة المتصل بالشبكة المحلية. انقر فوق {التالي".

نطاق نات

هذا كل شيء، معالج الإعداد يكمل إعداد nat. انقر فوق "التالي"، وفي النافذة التالية "تم".

آخر شيء تبقى هو تكوين أجهزة الكمبيوتر العميلة، أي كافة أجهزة الكمبيوتر الأخرى الموجودة على الشبكة المحلية. للقيام بذلك، على جهاز الكمبيوتر العميل (يجب القيام بذلك على كل كمبيوتر على الشبكة)، انتقل إلى ابدأ / لوحة التحكم / مركز الشبكة والمشاركة / تغيير إعدادات المحول. انتقل إلى "اتصالات الشبكة". انقر بزر الماوس الأيمن على الأيقونة وحدد "خصائص" من القائمة المنسدلة. في النافذة التي تظهر، حدد "Internet Protocol Version 4 (TCP/IPv4)" وانقر على "Properties".

في حقل "البوابة الافتراضية" نكتب عنوان IP الخاص بالكمبيوتر الخادم (الذي تم تكوينه في الخطوة السابقة)، وفي حقل "خادم DNS المفضل" نكتب عنوان IP الخاص بخادم DNS الخاص بالمزود المحدد في معلومات الاتصال بالإنترنت على الخادم. انقر فوق "موافق"، ثم "موافق" مرة أخرى. هذا كل شيء، جهاز الكمبيوتر العميل متصل بالإنترنت.