การทำ Static NAT บน Juniper

วันนี้มาอัปบล๊อคกันแบบมีสาระหน่อยครับ

.

การทำ Static NAT ถือเป็นเรื่องจำเป็นมากในกรณีที่เราต้องการให้ผู้ใช้ภายนอก

เข้ามาใช้งาน Server ที่อยู่ใน DMZ หรือ Trust Zone

การทำ Static NAT ใน Juniper เมื่อเทียบกับ Checkpoint อาจจะดูยุ่งยากกว่าเล็กน้อยครับ

เพราะใน Checkpoint คลิกที่ Host Object แล้วใส่ NAT IP ไปก็จบแล้ว

แต่ใน Juniper จะต้องไปเซต Interface ก่อน แล้วมาทำ Policy ต่ออีก

และหากเพิ่งเริ่มทำอาจจะงงๆได้เพราะมันจะไม่ได้เขียนว่า NAT ด้วยล่ะเอ้อ

.

Static NAT ใน Juniper จะเรียกว่า MIP หรือ Mapped IP Addresses

การทำงานจะเป็นดังรูปครับ

Juniper MIP (Static NAT)

ว่าแล้วก็ส่งต่อ Command ไปครับ

set interface ethernet1 zone trust
set interface ethernet1 ip 10.1.1.1/24
set interface ethernet1 nat
set interface ethernet2 zone untrust
set interface ethernet2 ip 1.1.1.1/24

set interface ethernet2 mip 1.1.1.5 host 10.1.1.5 netmask 255.255.255.255 vrouter trust-vr

อื่นๆเกี่ยวกับ MIP

1. MIP จะเก็บอยู่ใน Global Zone
2. เมื่อทำ MIP เวลา Server จะ Initiate Connection มันจะออกไปเป็น IP ของ MIP เลย ไม่สามารถใช้งาน NAT Policy อื่นๆได้ ดังนั้นในกรณีนี้จะเป็นปัญหาเรื่อง Security ทันที เพราะเท่ากับว่าตัว Server ภายใน DMZ หรือ Trust Zone ไม่ได้ถูกซ่อน IP จริงๆของตัวเองเอาไว้เมื่อติดต่อกับ Untrust Zone ดังนั้นหากกังวลเรื่องนี้คงจะต้องใช้วิธี NAT แบบอื่นแทน เช่น VIP ครับ

สำหรับวันนี้ขอตัวก่อนนะครับ วันหลังมีโอกาสจะแวะเอา Tips เล็กๆน้อยๆมาฝากอีกครับ

แถมท้ายรายการ ซอฟท์แวร์สำหรับคนอยากตรวจทราฟฟิก

นึกได้พอดีว่าวันนี้มีลูกค้าท่านหนึ่งโทรมาถามเรื่องการตรวจสอบแบนด์วิดขององค์กรพอดี

ก็เลยขอแนะนำให้สักตัวที่ผมใช้เวิร์คละกัน

.

แอ่น แอน แอ๊น NTOP คนนี้นี่เอง (วันนี้เบลอจัดไปบอกลูกค้าตอนแรกว่า NMAP ดีนะที่ไม่เอาไปใช้ ฮ่าๆ)

เซิร์ชอากู๋โลดครับ

แต่ขอบอกว่าใช้ดีเชียวล่ะ

แถมยังผลรายงานบางอย่างไปใช้ทำ Web Filtering List ได้อย่างแม่นยำอีก

พิสูจน์มาแล้วจาก NTOP + ISA or Squid or Appliance UTM Firewall

ทำบริษัทไหน พนักงานบริษัทนั้นบ่นปั๊ป เข้าเว็บประจำไม่ได้ซ้ากเว็บ

.

คำเตือน ก่อนอิมพลีเมนต์ กรุณาสตาร์ทรถและใส่รองเท้าให้พร้อม จากนั้นโกยโลด…