Blog

1. Mục đích bài viết

• Bài viết này sẽ hướng dẫn cách nat port 443 của Vmware Exsi server ở phía trong mạng nội bộ ra ngoài internet để có thể truy cập server từ bất cứ đâu.

2. Sơ đồ mạng, tình huống cấu hình và các bước cần thực hiện

2.1 Sơ đồ mạng

2.2 Giải thích sơ đồ mạng

• Như sơ đồ thiết bị tường lửa Palo Alto sẽ được kết nối internet bằng giao thức PPPoE ở port E1/1 với IP tĩnh là 14.169.x.
• Bên trong của Palo Alto là lớp mạng nội bộ LAN với địa chỉ IP tĩnh là 172.16.31.10/24 được đặt ở port E1/5. Trên port E1/2 được cấu hình DHCP Server để cấp phát IP cho các thiết bị kết nối đến nó.
• Tiếp theo là 1 Vmware Exsi Server được đặt trong lớp mạng LAN với địa chỉ IP là 172.16.31.10/24 và Vmware Exsi Server này được quản trị bằng web với giao https.
• Cuối cùng là máy tính bên ngoài internet, máy tính này có thể nằm ở bất kì đâu trong mạng internet.

2.3 Tình huống cấu hình

• Chúng ta sẽ cấu hình NAT Port Forwarding cho phép máy tính bên ngoài internet có thể truy cập vào trang web quản trị của Vmware Exsi server bên trong mạng nội LAN bằng port 443 thông qua địa chỉ IP Wan của thiết bị tường lửa Palo Alto là 14.169.x.x.

2.4 Các bước cần thực hiện

• Tạo Address Objects
• Tạo NAT Rule
• Tạo Security policy
• Kiểm tra kết quả

3. Hướng dẫn cấu hình

3.1 Tạo Address Objects

• Chúng ta sẽ tạo 2 address objects là Server-public với địa chỉ ip là địa chỉ cổng WAN của thiết bị Palo Alto 14.169.x.x và webserver-private là địa chỉ ip của Web server bên trong.

• Để tạo vào Objects > Addresses > click Add và nhập thông số sau :
  • Name : Server-public
  • Type : IP Netmask – 14.169.x.x
• Click OK để lưu

• Click Add 1 lần nửa để tạo address object cho web server :
  • Name : webserver-private
  • Type : IP Netmask – 172.16.31.10
• Click OK để lưu

3.2 Tạo NAT Rule

• Để tạo NAT rule vào Policies > NAT > Click Add.
• Ở General tab cấu hình với các thông số sau :
  • Name : Dst-NAT-ExsiSrv
  • Type : ipv4

• Ở tab Original Packet cấu hình với các thông số sau :
  • Source Zone : WAN
  • Destination Zone : WAN
  • Destination Interface : ethernet1/1
  • Service : service-https
  • Source Address : Any
  • Destination Address : Server-public

• Ở tab Translated Packet mục Destination Translation cấu hình như sau :
  • Translation Type : Static IP
  • Translation Address : webserver-private
  • Translation Port : 443

Click OK để lưu.

3.3 Tạo Security policy

• Tạo Secuirty policy để cho phép các traffic từ vùng WAN có thể đi vào vùng LAN.
• Để tạo vào Policies > Security > Click Add.
• Ở General tab cấu hình với các thông số sau :
  • Name : Webserver access
  • Rule Type : universal (default)

• Source tab :
  • Source Zone : WAN
  • Source Address : Any

• Destination tab :
  • Destination Zone : LAN
  • Destination Address : Server-public

• Application tab :
  • Chọn Any

• Service/URL Category :
  • Chọn application-default và Any

• Action :
  • Log Setting : chọn Log at Session End
  • Action Setting : Allow

3.4 Kiểm tra kết quả

• Sau khi cấu hình các policy cần thiết chúng ta sẽ sử dụng một máy tính bên ngoài internet để truy cập vào trong server nội bộ bằng IP Wan và kết quả như hình sau.

• Ngoài ra chúng ta có thể kiểm tra port đã mở hay chưa trên ping.eu và kết quả như sau.