Dynamic NAT

O NAT dinâmico é o tipo de NAT mais usado.

Ele altera o endereço IP de origem de uma conexão de saída para o endereço IP público do Firebox. Fora
do Firebox, você vê apenas o endereço IP da interface externa do Firebox nos pacotes de saída.

Muitos computadores podem se conectar à Internet a partir de um endereço IP público. O NAT

dinâmico dá mais segurança aos hosts internos que usam a Internet, pois oculta os endereços IP dos
hosts da sua rede. Com o NAT dinâmico, todas as conexões devem começar por trás do Firebox. Os
hosts maliciosos não podem iniciar conexões com os computadores por trás do Firebox quando o
Firebox está configurado para NAT dinâmico.

O Dynamic NAT permite que os clientes de uma rede privada se conectem a servidores na Internet.

O NAT dinâmico é ativado por defeito no Firebox. Por padrão, o NAT dinâmico é aplicado a qualquer
ligação que comece a partir de um dos intervalos de endereços privados especificados no RFC1918 e vai
para uma rede externa.

Para ver as regras dinâmicas de NAT padrão no Gestor de Políticas, selecione:

Network > NAT.

10.0.0.0 - 10.255.255.255
172.16.0.0 - 172.31.255.255
192.168.0.0 - 192.168.255.255
STATIC NAT

O SNAT, também conhecido como encaminhamento de portas (Port Forwarding), permite ligações de
entrada em portas específicas a um ou mais servidores públicos a partir de um único endereço IP
externo. (por exemplo: 62.200.20.10)

O Firebox muda o destino Endereço IP dos pacotes e reencaminha-os com base no número original da
porta de destino.

SNAT é usado tipicamente para servidores públicos como: Websites e Email.

Por exemplo, você pode usar SNAT para designar um servidor interno específico para receber todos os
e-mails. Então, quando alguém envia e-mail para o IP externo do dispositivo endereço, o dispositivo
pode encaminhar a ligação para o endereço IP privado do servidor de e-mail designado (SMTP).

Recomendamos que configure o SNAT em vez de 1 a 1 NAT, especialmente se tiver um pequeno

número de endereços IP públicos.

Os endereços IP utilizados com SNAT também podem ser usados para outras funcionalidades do
Firebox, tais como VPNs. SNAT é a única opção se tem apenas um endereço IP público.
Por defeito, um SNAT

Por defeito, uma regra SNAT não altera o endereço IP de origem para o tráfego de entrada. Se quiser
fazer o tráfego de entrada parece vir de um endereço IP de origem diferente, você pode definir o
endereço IP de origem numa ação SNAT.

Ao configurar o SNAT, a configuração SNAT é guardada numa ação SNAT. Pode criar ou editar um Ação
SNAT quando cria ou edita uma política. Ou pode Setup > Actions > SNAT

Existe 2 tipos de ações SNAT:

SNAT- Uma ação SNAT encaminha o tráfego de entrada endereçado a um endereço IP para um
endereço IP e porta diferente atrás da firewall. Pode especificar um FQDN numa ação SNAT para além
de um endereço IP.

Server Load Balancing – A Server Load Balancing equilibra a ação SNAT encaminha o tráfego de entrada
endereçado a um endereço IP para um de vários servidores atrás da firewall. Na ação SNAT, selecione o
algoritmo de equilíbrio de carga para utilizar. Opcionalmente, pode atribuir diferentes pesos a cada
servidor.
1-to1 NAT

Quando ativa 1 a 1 NAT, o seu Firebox mapeia um ou mais endereços IP privados para um ou mais
endereços IP públicos. Isto permite-lhe tornar os recursos de rede internos acessíveis na Internet.

1 a 1 NAT normalmente faz sentido apenas para redes com muitos endereços IP públicos. Se tiver tal
rede, e você pretende dedicar um endereço IP público com um único propósito, 1 a 1 NAT é uma opção.

Não ative o 1-1 NAT se tiver apenas um endereço IP público ou um pequeno número de endereços IP
públicos. Se ter apenas um endereço IP público e configurar 1-para-1 NAT, esta configuração impede
todo o uso de Firebox de entrada funções e a equipa de suporte watchguard não pode ligar. Se você tem
apenas alguns endereços IP públicos, nós recomendar o SNAT para melhor utilizar os seus endereços IP
públicos.

Se configurar 1 a 1 NAT, tenha em atenção que os endereços IP utilizados para 1-1 NAT não podem ser
utilizados para outros fins. Por exemplo, também não é possível utilizar endereços IP de 1 a 1 para
tráfego de entrada ou para funcionalidades firebox como VPNs, Portal de Acesso ou Acesso de Suporte.

Considere uma situação em que dedica totalmente endereços IP públicos a dispositivos internos específicos,
mas estes IP públicos os endereços não estarão disponíveis para outras funções do Firebox. Você pode usar
1-a-1 NAT para mapear endereços IP públicos para os dispositivos internos. Não é necessário alterar os
endereços IP dos seus dispositivos internos.

Este exemplo explica como um administrador pode configurar 1 a 1 NAT: Uma empresa tem um grupo
de três servidores dirigidos a privados por trás da interface opcional do Firebox. Estes Os endereços
são:

10.0.2.11
10.0.2.12
10.0.2.13

O administrador seleciona três endereços IP públicos a partir do mesmo endereço de rede que a
interface externa do dispositivo e cria registos DNS para que os servidores resolvam. Estes endereços
são:

203.0.113.11
203.0.113.12
203.0.113.13

Agora o administrador configura uma regra de 1 a 1 NAT para os servidores. A regra 1-1 NAT constrói
uma estática, bidirecional relação entre os pares correspondentes de endereços IP. A relação é assim:

10.0.2.11 <--> 203.0.113.11

10.0.2.12 <--> 203.0.113.12
10.0.2.13 <--> 203.0.113.13
Em cada regra de 1 a 1 NAT, pode configurar um host, uma gama hosts ou uma subnet. Uma regra de 1-
1 NAT sempre tem precedência sobre NAT dinâmico.
NAT LOOPBACK

Com NAT loopback, Utilizadores de redes locais conseguem conectar-se a um servidor interno com um
IP publico ou domínio do servidor.

Quando a firebox recebe um pedido de um utilizador local para se conectar ao servidor, a firebox muda
o IP publico ou domínio para um IP privado. A ligação volta à rede interna em vez de sair para a
Internet.

Para mapear um endereço IP público para um endereço IP privado, você deve usar NAT estático (SNAT)
ou 1-para-1 NAT. Na maioria dos casos, recomendamos SNAT.

Para configurar um NAT loopback com SNAT:

1. Criar uma ação SNAT que mapeia o endereço de IP publico para um privado.

2. Criar ou editar uma política para o tráfego do servidor

3. Em (FROM) - especificar um ou mais aliases para utilizadores na rede local como: Any-trusted e Any-
Optional.
4. Adicionar a ação SNAT à política.