Định tuyến và lọc lưu lượng mạng - Phần 3: Network Address Translation

Định tuyến và lọc lưu lượng mạng - Phần 1
Định tuyến và lọc lưu lượng mạng - Phần 2

Network Address Translation

Do các địa chỉ IPv4 là một tài nguyên có hạn và đã đến lúc đáng báo động, do đó hầu hết các ISP đều chỉ cung cấp một địa chỉ cho một khách hàng nào đó. Trong phần lớn các trường hợp, địa chỉ này được gán động, vì vậy mỗi lần máy khách kết nối đến IPS, một địa chỉ khác sẽ được cung cấp. Các công ty lớn có thể mua thêm các địa chỉ khác, tuy nhiên cac công ty nhỏ và những người dùng gia đình thì chi phí đó là không thể. Do những người dùng như vậy chỉ nhận được một địa chỉ IP, nên họ chỉ có thể có một máy tính được kết nối với Internet tại một thời điểm.

Tổng quan về NAT (Network Address Translation)

Công nghệ Network address translation (NAT) được phát triển để cung cấp một giải pháp tạm thời cho vấn đề hết địa chỉ của IPv4. NAT là một phương pháp kết nối nhiều máy tính với Internet (hoặc bất cứ mạng IP nào) bằng cách sử dụng một địa chỉ IP. Với NAT gateway đang chạy trên một máy tính, nó có thể chia sẻ địa chỉ giữa các máy tính nội bộ và kết nối tất cả chúng với mạng Internet cùng lúc. Thế giới bên ngoài không hề biết đến sự phân chia này mà chỉ nghĩ rằng chỉ có một máy tính được kết nối.

Để khắc phục một số vấn đề bảo mật, một số sản phẩm tường lửa đã được cung cấp. Các tường lửa này được đặt giữa người dùng và Internet để thẩm định tất cả lưu lượng trước khi cho phép nó đi qua. Điều này có nghĩa, người dùng không được thẩm định sẽ không được phép truy cập vào các file của công ty hoặc máy chủ email.

NAT tự động cung cấp sự bảo vệ kiểu tường lửa mà không cần cài đặt. Mục đích cơ bản của NAT là ghép lưu lượng từ mạng bên trong và thể hiện với mạng Internet cứ như thể nó được gửi đến từ một máy tính có địa chỉ IP duy nhất đó. Các giao thức TCP/IP cho phép ghép kênh để bất kỳ máy tính nào cũng có thể duy trì nhiều kết nối một cách đồng thời với máy tính từ xa. Cho ví dụ, một máy khách bên trong có thể kết nối với một máy chủ FTP bên ngoài, tuy nhiên một máy khách bên ngoài lại không thể kết nối với máy chủ FTP bên trong vì nó phải tạo kết nối và NAT không cho phép điều đó. Tuy nhiên vẫn có thể làm cho một số máy chủ bên trong có sẵn đối với thế giới bên ngoài thông qua việc bản đồ hóa việc gửi dữ liệu đi, bản đồ này được biết đến như các cổng TCP để cho các địa chỉ bên trong cụ thể, như vậy sẽ tạo được các dịch vụ như FTP hoặc web có sẵn trong cách có kiểm soát.

Một NAT gateway hiện đại phải thay đổi địa chỉ nguồn trên các gói dữ liệu gửi đi để nó trở thành địa chỉ công. Chính vì vậy nó cũng đánh số lại các cổng nguồn để trở thành duy nhất, từ đó có thể dõi theo mỗi kết nối máy khách. NAT gateway sử dụng bảng bản đồ hóa cổng để nhớ cách nó đánh số lại các cổng cho mỗi gói dữ liệu được gửi ra của máy khách. Bảng bản đồ hóa cổng có liên quan với địa chỉ IP nội bộ của máy khách và cổng nguồn cộng với số cổng nguồn được dịch của nó cho địa chỉ đích và cổng. Chính vì vậy NAT gateway có thể đảo ngược quá trình các gói trả về và định tuyến chúng quay trở lại đúng các máy khách.

Kích hoạt NAT

Để kích hoạt việc đánh địa chỉ của NAT, bạn có thể thực hiện theo các bước sau:

Mở Routing and Remote Access.
Để thêm NAT, kích phải vào General nằm bên dưới IPv4 và chọn New Routing Protocol. Chọn NAT và kích OK.
Trong cây giao diện, kích NAT bên dưới IPv4.
Kích chuột phải vào NAT, sau đó kích Properties.
Trên tab Address Assignment, chọn Automatically Assign IP Addresses bằng hộp kiểm Using the DHCP Allocator.
(Tùy chọn) Để tìm đến các máy khách DHCP trên mạng riêng, trong địa chỉ IP và Mask, cấu hình dải các địa chỉ IP.
(Tùy chọn) Để loại ra các địa chỉ từ một vị trí nào đó cho các máy khách DHCP trên mạng riêng, kích Exclude, Add, sau đó cấu hình các địa chỉ.

Để chỉ định các giao diện trong và ngoài, kích phải vào NAT bên dưới IPv4 và chọn New Interface. Chọn giao diện vật lý và kích OK. Chỉ định Private Interface Connected to the Private Network hoặc Public Interface Connected to the Internet. Nếu chọn Public Interface Connected to the Internet, bạn sẽ phải chọn tiếp Enable NAT on This Interface. Kích OK.

Để chuyển tiếp một giao thức đến một máy chủ bên trong nào đó thông qua máy chủ NAT, thực hiện theo các bước sau:

Kích phải vào giao diện chung và chọn Properties.
Chọn tab Services and Ports
Chọn giao thức mà bạn muốn chuyển tiếp.
Khi hộp thoại Edit Services xuất hiện, chỉ định địa chỉ riêng và kích OK để đóng hộp thoại Edit Services.
Kích OK để đóng hộp thoại Properties.

NAT và Teredo

Lưu lượng IPv6 được tạo đường hầm bằng Teredo không phải là chủ đề đối với chức năng lọc gói dữ liệu IPv4 của các NAT. Mặc dù điều này có vẻ giống như Teredo đi qua NAT và cho phép lưu lượng IPv6 có tiền ẩn mã độc trên các mạng riêng, tuy nhiên chúng ta hãy xem xét các vấn đề dưới đây:

Teredo không thay đổi hành vi của các NAT. Các máy khách Teredo tạo các entry bảng dịch NAT động cho lưu lượng Teredo của riêng chúng. NAT chuyển tiếp lưu lượng Teredo gửi đến đến host đã tạo bảng dịch NAT tương ứng. NAT không chuyển tiếp lưu lượng Teredo đến các máy tính trên mạng riêng không có các máy khách Teredo.
Các máy khách Teredo sử dụng tường lửa stateful hỗ trợ lưu lượng IPv6 (chẳng hạn như Windows Firewall) được bảo vệ đối với lưu lượng IPv6 gửi đến không xác thực. Windows Firewall được kích hoạt mặc định cho Windows XP SP2, Windows Vista và Windows Server 2008.

Nếu bạn muốn Teredo truyền thông qua một máy tính Windows Server 2008 với tường lửa được kích hoạt, bạn cần phải cấu hình tường lửa để cho phép sử dụng Teredo.

Một số câu hỏi trắc nghiệm về kiến thức

1. Có một máy tính Windows Server 2008 ở văn phòng công ty và một máy tính Windows Server 2008 ở một địa điểm ở xa khác. Để cấu hình việc định tuyến trên máy chủ tại văn phòng chi nhánh bạn cần thực hiện những gì?

	A.	Cài đặt Routing and Remote Access role và kích hoạt IPv4 LAN routing.
	B.	Chạy lệnh netsh interface ipv4 enable.
	C.	Kích hoạt NAT bằng cách thực thi lệnh netsh NAT enable.
	D.	Cài đặt NPS role trên máy chủ.

2. Có một máy chủ Windows Server 2008. Yêu cầu cần phải thêm một tuyến tĩnh mới vào bảng định tuyến trên máy chủ. Tuyến mới này đến ID mạng là 192.168.126.0 và subnet mask 255.255.255.0, sử dụng gateway mặc định là 192.168.125.1. Bạn cần sử dụng lệnh gì để thực hiện điều này?

	A.	route -p 192.168.126.0 mask 255.255.255.0 192.168.125.1 metric 2
	B.	route add 192.168.126.0 mask 255.255.255.0 192.168.125.1 metric 2
	C.	route add 192.168.126.0 255.255.255.0 192.168.125.1 metric 2
	D.	route add 192.168.126.0 mask 255.255.255.0 gateway 192.168.125.1 metric 2

3. Cho một mạng có một vài mạng con. Windows Server 2008 router đã được sử dụng để kết nối các mạng con. Yêu cầu cần cấu hình một tuyến tĩnh. Router tĩnh không bị xóa khỏi bảng định tuyến khi máy tính bị khởi động lại. Tham số nào dưới đây cần sử dụng với lệnh route?

	A.	/f
	B.	/s
	C.	/r
	D.	/p

4. Một máy chủ đang chạy Windows Server 2008. Nhiệm vụ của bạn là cần ngăn chặn sao cho máy tính không thiết lập các session truyền thông đến các máy tính khác bằng TCP port 21. Bạn phải làm gì?

	A.	Từ Windows Firewall, bổ sung thêm một ngoại lệ.
	B.	Từ Windows Firewall, kích hoạt tùy chọn Block All Incoming Connections
	C.	Từ Windows Firewall with Advanced Security snap-in, tạo một rule gửi đến.
	D.	Từ Windows Firewall with Advanced Security snap-in, tạo một rule gửi đi.

5. Có một máy tính Windows Server 2008. Để vô hiệu hóa tất cả các kết nối gửi đến máy chủ bạn cần thực hiện những gì?

	A.	Từ Services snap-in, vô hiệu hóa Server service.
	B.	Từ Services snap-in, vô hiệu hóa dịch vụ Net Logon service.
	C.	Vô hiệu hóa Windows Firewall with Advanced Security.
	D.	Từ Windows Firewall, kích hoạt tùy chọn Block All Connections trên Domain Profile.

6. Mạng của bạn gồm có 7 mạng con. Tất cả các mạng con được kết nối bởi các máy Windows Server 2008 bằng RRAS. Các kết nối demand-dial không bền đã được cấu hình. Bạn không muốn gắng nặng trong việc nâng cấp các bảng định tuyến mà chỉ muốn bất cứ thay đổi nào xảy ra với topo mạng đều được phổ biến ngay lập tức. Tùy chọn nào dưới đây bạn cần chọn?

	A.	Static routes
	B.	ICMP
	C.	OSPF
	D.	RIPv2

7. Mạng gồm có ba mạng con khác nhau. Định tuyến động đang được thực thi trên ba máy tính đang chạy Windows Server 2008, Routing and Remote Access của các máy tính này đã được kích hoạt. Bạn mở giao diện điều khiển Routing and Remote Access trên máy chủ đầu tiên và cấu hình máy tính để định tuyến LAN. Sau đó chọn New Routing Protocol từ nút General trong nút IP Routing và chọn RIP version 2 cho Internet Protocol từ hộp thoại New Routing Protocol. Điều tiếp theo bạn cần thực hiện là gì?

	A.	Bổ sung địa chỉ IP của máy chủ DHCP vào hộp thoại thuộc tính cho DHCP Relay Agent.
	B.	Bổ sung thêm giao diện mà RIP sẽ chạy, bằng RIP node.
	C.	Sử dụng lệnh route để cấu hình các tuyến đến cá mạng con từ xa.
	D.	Sử dụng lệnh route để xóa tất cả các router tĩnh từ các bảng định tuyến.

8. Bạn là một quản trị mạng cho công ty mình. Tất cả các máy chủ đang chạy Microsoft Windows Server 2008. Một vài máy chủ được cấu hình là router với RIP đã được kích hoạt. Bạn muốn loại từ ra việc xuất hiện các vòng lặp định tuyến. Do đó bạn đã mở cửa sổ thuộc tính của giao diện được gán cho giao thức RIP và chọn tab Advanced. Tùy chọn nào dưới đây hội tụ đủ các yêu cầu đó?

	A.	Kích hoạt split-horizon processing.
	B.	Kích hoạt triggered updates
	C.	Xử lý các tuyến host trong các thông báo nhận được
	D.	Vô hiệu hóa subnet summarization

9. Bạn có một mạng với một vài máy tính Windows Server 2008. Công ty của bạn vừa mới mở một văn phòng từ xa. Bạn có trách nhiệm cấu hình một kết nối two-way demand-dial giữa văn phòng công ty và văn phòng từ xa đó. Bạn cấu hình các demand-dial router với các thiết lập dưới đây:

Corporate Office Router Settings:

Interface: SRV02_Public
User Account: SRV02
Calling Number: 555-3434

Site Router Settings:

Interface: SRV01_Public
User Account: SRV01
Calling Number: 555-1212

Khi thực hiện test cấu hình của mình xem router có thể thiết lập kết nối hay không. Thứ bạn cần thực hiện lúc này là gì?

	A.	Thay đổi tên giao diện trên router trong văn phòng chính thành SRV01_Public.
	B.	Thay đổi tên giao diện demand-dial trên mỗi router sao cho tương ứng với tên của tài khoản người dùng trên router trả lời từ xa.
	C.	Thay đổi tên giao diện trên router trong văn phòng chi nhánh thành SRV02_Public.
	D.	Thay đổi tên được gán cho các tài khoản người dùng trên mỗi router để chúng giống nhau.

10. Bạn có một máy chủ Windows Server 2008 đã được cấu hình như một máy chủ NAT. Nhiệm vụ của bạn là cần bảo đảm cho các quản trị viên có thể truy cập vào máy chủ có tên FS1 bằng FTP. Những gì bạn cần thực hiện ở đây?

	A.	Cấu hình NAT1 để chuyển tiếp các cổng 20 và 21 đến FS1.
	B.	Cấu hình NAT1 để chuyển tiếp các cổng 80 và 443 đến FS1.
	C.	Cấu hình NAT1 để chuyển tiếp cổng 25 đến FS1.
	D.	Cấu hình NAT1 để chuyển tiếp cổng 3389 đến FS1.

11. Bạn có một máy chủ Windows Server 2008 với IPv4, IPv6 và NAT tại văn phòng công ty và các văn phòng chi nhánh. Những gì bạn cần thực hiện ở đây để cho phép các máy tính IPv6 từ văn phòng công ty và các văn phòng chi nhánh có thể sử dụng Teredo để truyền thông với nhau?

	A.	Cấu hình NAT động trên tường lửa.
	B.	Cấu hình tường lửa để sử dụng Teredo.
	C.	Kích hoạt tuyến tĩnh giữa hai mạng.
	D.	Nạp Teredo emulator

Đáp án cho các câu hỏi trên

Câu A đúng. Bạn cần cài đặt Routing and Remote Access role và sau đó cần kích hoạt IPV4 LAN routing.. Câu B là sai vì lệnh netsh không được sử dụng để kích hoạt việc định tuyến mà nó chỉ có thể được sử dụng để cấu hình giao diện mạng. Câu trả lời C sau vì NAT không thể định tuyến và bạn không thể sử dụng lệnh netsh để kích hoạt NAT. Câu trả lời D cũng sai vì NPS không cho phép việc định tuyến. NPS được sử dụng như một máy chủ RADIUS và cho phép thực thi các chính sách RADIUS.
Câu B đúng. Cú pháp đúng khi bổ sung các tuyến tĩnh mới bằng lệnh route là route add mask metric. Câu A, C và D là sai vì chúng không sử dụng đúng cú pháp.
Câu D đúng. Bạn sử dụng tham số /p để thêm một tuyến bền vào bảng định tuyến. Tuyến này sẽ không bị xóa khỏi bảng định tuyến khi router khởi động lại. Các câu còn lại là sai.
Câu D đúng. Bạn cần tạo một rule cho các gói dữ liệu gửi ra (outbound rule) bằng cách sử dụng Windows Firewall with Advanced Security snap-in để khóa cổng 21. Câu A và B sai vì bạn đang sử dụng Windows Firewall with Advanced Security snap-in với máy tính Windows Server 2008 để điều chỉnh những gì nó cung cấp trên Windows Firewall chuẩn. Thêm vào đó, một ngoại lệ sẽ được sử dụng để cho phép lưu lượng, nếu bạn khóa tất cả các kết nối gửi đến, các giao thức khác cũng sẽ bị khóa và không có lưu lượng nào có thể đi qua máy chủ. Câu C sai vì bạn muốn một rule cho các gói dữ liệu gửi ra, không phải gói gửi vào vì lưu lượng từ máy chủ này đến các máy chủ khác sẽ là lưu lượng gửi đi.
Câu D đúng. Bạn có thể mở Windows Firewall, kích hoạt Block All Connections để vô hiệu hóa tất cả các kết nối gửi đến. Domain profile được sử dụng khi một máy tính được kết nối với một mạng mà tài khoản miền của máy tính này cư trú. Câu A sai vì dịch vụ Server sẽ ngừng tính năng chia sẻ file và máy in. Dịch vụ Net Logon ngăn chặn các đăng nhập nhưng không ngăn chặn tất cả các kết nối cần thiết. Câu C si vì việc vô hiệu hóa tường lửa sẽ cho phép tất cả lưu lượng đi qua nó.
Câu D đúng. Để những thay đổi được phổ biến trong toàn mạng khi xuất hiện và để giảm gánh nặng quản trị có liên quan tới việc nâng cấp các bảng định tuyến, lúc này phải cần đến một giao thức định tuyến. Vì OSPF không thể được sử dụng với các kết nối không bền và OSPF không có sẵn trong Windows Server 2008, nên chúng ta phải sử dụng RIPv2. Câu A và C là sai. Câu B cũng sai vì ICMP không phải là giao thức định tuyến.
Câu B đúng. Bạn cần phải sử dụng menu ngữ cảnh của nút Routing Interface Protocol (RIP) để thêm một giao diện vào RIP. Khi thêm một giao thức định tuyến, giao thức sẽ không được cấu hình mặc định để sử dụng giao diện, chính vì vậy bạn phải nhận ra giao diện đó và các giao diện khác, chẳng hạn như kết nối LAN mà giao thức có thể sử dụng. Câu A sai vì kịch bản không chỉ thị rằng có máy chủ DHCP trên mạng. Câu C sai vì các bảng định tuyến được xây dựng tự động. Câu D sai vì không cần gỡ bỏ các tuyến tĩnh từ bảng định tuyến.
Câu A đúng. Câu trả lời đúng là kích hoạt split-horizon processing. Bạn phải chọn tùy chọn này để bảo đảm rằng bất cứ tuyến nào đã biết từ một mạng đều không được gửi đi như một thông báo RIP ttreen mạng. Khi tùy chọn này được kích hoạt, một router không thể quảng bá một tuyến trên cùng một kết nối mà nó đã biết. Câu B,C và D không trợ giúp việc loại trừ các vòng lặp định tuyến.
Câu B đúng. Bạn phải thay đổi tên tài khoản người dùng trên mỗi router để tương ứng với tên được gán cho giao diện demand-dial trên router trả lời. Để kết nối two-way demand-dial làm việc, tài khoản người dùng được sử dụng cho việc thẩm định phải giống tên được gán cho giao diện demand-dial. Tên của giao diện demand-dial của router văn phòng chi nhánh phải được thay đổi thành SRV02. Tên của giao diện demand-dial ở router văn phòng chính phải được thay đổi thành SRV01. Câu D sai vì các tài khoản người dùng đã sử dụng cho việc thẩm định từ xa giữa các router demand-dial không cần thiết phải giống nhau. Câu A và C sai vì tên giao diện demand-dial trên router gọi phải giống với tên tài khoản người dùng trên router gọi.
Câu A đúng. Bạn cần chuyển tiếp cổng 20 và 21 đến FS1. Các cổng 20 và 21 là các cổng được sử dụng bởi FTP. Câu B sai vì cổng 80 và 443 được sử dụng bởi web server. Câu C sai vì cổng 25 được sử dụng cho SMTP. Câu D sai vì cổng 3389 được sử dụng bởi Remote Desktop Protocol.
Câu B đúng. Mặc định, tường lửa được khởi chạy và Teredo bị khóa. Câu A sai vì bạn đã có NAT. Câu C sai vì đã có nhiều tuyến giữa các chi nhánh. Câu D sai vì Teredo emulator không như vậy.