Configurando o One-to-One NAT com TMG 2010

Com o lanamento do Microsoft Forefront Threat Management Gateway (TMG) 2010, recursos
avanados, como filtragem de URL, proteo contra malware, o Sistema de Inspeo de Rede
(NIS), inspeco HTTPS e redundncia ISP parecem ter a maior parte da ateno. Sob o cap h
muitas outras melhorias no entanto, e entre o mais importante e til desses, na minha
opinio, reforada NAT (E-NAT).

Configurando o One-to-One NAT

E-NAT permite que voc crie muitos-para-um e um-para-um tradues de endereos IP, como
muitos firewalls (Cisco, Checkpoint, etc) tm feito h anos. Configurando um-para-um NAT no
TMG um pouco ambgua, no entanto. Se voc estiver familiarizado com a Cisco e firewalls
Checkpoint, voc provavelmente esperar para ver um guia regra NAT quando voc abre o
console de gerenciamento do TMG e selecione o n de rede na rvore de navegao. No
existe, infelizmente.
No TMG, voc cria um um-para-uma regra NAT, criando uma regra nova rede. Digamos, por
exemplo, voc queria traduzir todo o trfego vindo de um determinado host interno para um
endereo IP especfico atribudo a interface do firewall TMG da rede externa (no apenas o
endereo IP padro para a interface). Para isso, abra o console de gerenciamento do TMG e
realce o n de rede na rvore de navegao. Selecione a aba Network Regras na janela do
console central, em seguida, clique em Criar uma regra de rede no painel de tarefas. D a regra
nova rede um nome descritivo e escolha Avanar.

A Figura 1
Especifique a fonte do trfego que voc deseja traduzir. Neste exemplo, eu ter escolhido
um servidor especfico individual. No entanto, voc tem a opo de selecionar redes,
conjuntos de rede, jogos de computador, faixas de endereos, e sub-redes tambm. Isto
proporciona a mxima flexibilidade ao estabelecer relaes NAT no TMG.

A Figura 2
Especifique o destino para o qual esta regra NAT ser aplicado. Neste exemplo eu
escolhi a rede externa, como eu quero traduzir qualquer trfego de sada do servidor
usando essa regra. Aqui voc tem a opo de selecionar redes, conjuntos de rede, jogos
de computador, faixas de endereos, e sub-redes tambm. Novamente, isso permite o
controle granular de traduo de endereos.

A Figura 3
Selecione a opo Network Address Translation (NAT).

A Figura 4
Selecione a opo Usar o endereo especificado IP e selecione um endereo IP a partir da lista
disponvel.

Nota:
Estes endereos IP deve ser atribudo interface de rede antes de criar essa regra de rede,
caso contrrio eles no aparecem nesta lista.

A Figura 5
Voc tambm tem a opo de selecionar o uso mltiplo IP endereos opo que lhe
permite escolher mais de um endereo IP para usar esta regra de rede. Isso til para

matrizes empresariais quando NLB no est habilitado.

A Figura 6

A Figura 7
importante compreender que as regras da rede, como regras de poltica de firewall,
so processadas em ordem. Para o funcionamento adequado, regras mais especficas
devem ser colocados antes das regras menos especficas. No nosso exemplo, a regra
mais especfica definir uma relao NAT entre um determinado host e da rede externa
deve ser colocada antes da regra geral que define uma relao NAT entre toda a rede

interna (que o anfitrio um membro) ea rede externa. Aps a concluso da assistente e

antes de aplicar a configurao, certifique-se que esta regra nova rede listada antes da
regra geral de rede de acesso Internet.

Uma vez configurado, todo o trfego proveniente da mail.celestix.net host que est
destinado para a rede externa vai coincidir com a regra nmero 3, em que a relao de
rede definido como NAT eo endereo NAT explicitamente definido como 10.0.0.2,
no nosso exemplo .
E-NAT e ISP Redundncia
anncio
Ao configurar o E-NAT em um firewall TMG que est configurado para usar
redundncia ISP (ISP-R), traduo de endereos pode no funcionar como esperado.
Quando configurado, E-NAT regras tero precedncia e prioridade sobre quaisquer
decises de roteamento feitas pelo ISP-R. Certifique-se de planejar cuidadosamente
quando implementar ambas as tecnologias.
resumo
Esttica muitos-para-um e um-para-um NAT um recurso que os administradores de
firewall ISA veteranos tm pedido h anos. Finalmente, TMG agora inclui essa
capacidade. E-NAT permite um controle refinado sobre traduo de endereos IP, que
especialmente til quando a configurao do firewall TMG como um firewall de volta a
uma firewall front que inclui ACLs para filtros de sada.