Blog

1. Mục đích bài viết

• Trong việc quản trị hệ thống mạng việc cần nat một server ra ngoài internet là điều thiết yếu cho việc quản trị từ xa.
• Nhưng bạn làm sao có thể nat được các thiết bị ra ngoài internet khi chúng đều xài một port truy cập quản trị giống nhau.
• Trong bài viết này thegioifirewall sẽ hướng dẫn các bạn cách cấu hình Nat đổi port để chúng ta có thể thực hiện nat các server ra ngoài internet cho dù chúng có chung một port quản trị.
• Ngoài ra bài viết còn hướng dẫn cách cấu hình DDNS trên thiết bị Palo Alto để cung cấp cho chúng ta một giải pháp khi chúng ta sử dụng internet với ip động.

2. Sơ đồ mạng, tình huống cấu hình và các bước cần thực hiện

2.1 Sơ đồ mạng

2.2 Giải thích sơ đồ mạng

• Như sơ đồ thiết bị tường lửa Palo Alto sẽ được kết nối internet bằng giao thức PPPoE ở port E1/1 với IP động là 14.169.x.x
• Bên trong của Palo Alto là lớp mạng nội bộ LAN với địa chỉ IP tĩnh là 172.16.31.1/24 được đặt ở port E1/5. Trên port E1/5 được cấu hình DHCP Server để cấp phát IP cho các thiết bị kết nối đến nó.
• Tiếp theo là 1 Vmware Exsi Server được đặt trong lớp mạng LAN với địa chỉ IP là 172.16.31.10/24 và Vmware Exsi Server này được quản trị bằng web với giao https.
• Cuối cùng là máy tính bên ngoài internet, máy tính này có thể nằm ở bất kì đâu trong mạng internet.

2.3 Tình huống cấu hình

• Như các bạn đã thấy cả trang quản trị tường lửa Palo Alto và máy chủ VMware Esxi đều sử dụng port 443 để truy cập.
• Do đó nếu chúng ta thực hiện NAT 1:1 thì chúng ta sẽ chỉ nat được 1 trong 2 thiết bị ra ngoài internet.
• Vì vậy trong bài viết này thegioifirewall sẽ thực hiện nat server vmware esxi ra ngoài internet bằng port 442 để người quản trị có thể truy cập được trang quản trị của cả 2 thiết bị.
• Khi chúng ta cấu hình thì sẽ gặp phải một vấn đề đó là do IP wan của thiết bị đang là ip động có thể thay đổi bất cứ lúc nào làm cho cấu hình ban đầu của chúng ta không còn hiệu quả nữa.
• Vì vậy ở bài viết này ngoài hướng dẫn cấu hình nat port ra, chúng ta sẽ sử dụng dịch vụ DynamicDNS để cung cấp cho chúng ta một tên miền tùy chọn và tên miền đó sẽ giúp chúng ta tự động cập nhật IP wan khi nó thay đổi.

2.4 Các bước cần thực hiện

• Cấu hình DDNS
• Tạo Address Objects
• Tạo Service Object
• Tạo NAT rule
• Tạo Security policy
• Kiểm tra kết quả

3. Hướng dẫn cấu hình

3.1 Cấu hình DDNS

• Đầu tiên để sử dụng dịch vụ DDNS chúng ta sẽ cần tạo 1 tài khoản, ở bài viết này dịch vụ DDNS sẽ sử dụng là no-ip.
• Để tạo tài khoản bạn vào đường dẫn sau https://www.noip.com/.
• Sau khi tạo hoặc đăng nhập thành công bằng tài khoản noip chúng ta sẽ tạo một noip hostname.
• Để tạo noip hostname vào Dynamic DNS > No-IP Hostnames > Create Hostname.

• Bảng Create a Hostname hiện ra các bạn điền thông tin như sau :
  • Hostname : đặt tên mà bạn muốn, ở đây sẽ đặt là vacifcoltd.
  • Domain : chọn ddns.net.
  • Record type : chọn DNS Host (A).
  • IPv4 Address : nhập ip wan, ở đây nhập là 14.169.x.x

• Nhấn Create Hostname để lưu.
• DDNS vacifcoltd.ddns.net đã được tạo.

• Bước tiếp theo chúng ta cần cấu hình DDNS cho port internet ethernet1/1.
• Để cấu hình DDNS cho port Ethernet1/1 chúng ta cần tạo certificate, để tạo vào Device tab > Certificate Management > Certificates > Generate và điền các thông tin sau :
  • Certificate Type : chọn Local
  • Certificate Name : điền tên cho certificate ở đây điền CA_VPN.
  • Common Name : điền tên hostname đã tạo trên trang noip là vacifcoltd.ddns.net.
  •  Ở bảng Certificate Attributes nhấn Add chọn Host Name ở Type và nhập vacifcoltd.ddns.net tại cột Value.

• Nhấn Generate để tạo certificate.
• Tiếp theo chúng ta sẽ cấu hình DDNS cho port ethernet1/1, để cấu hình vào Network > Interfaces > chọn ethernet1/1 > Advanced > DDNS và cấu hình theo thông số sau :
  • Tích chọn Setting và Enable.
  • Ở Certificate Profile nhấn chọn menu thả xuống chọn New Certificate Profile > Bảng Certificate Profile hiện ra điền tên ở phần Name là VPN_Cer > ở phần CA Certificates chọn Add > Bảng Certificate Profile hiện ra chọn CA_VPN vừa tạo ở ô CA Certificate và click OK 2 lần để hoàn thành.
  • Ở phần Hostname : điền tên hostname được tạo trên noip là vacifcoltd.ddns.net.
  • Vendor : chọn No-IP v1.
  • Sau khi chọn Vendor thì điền tài khoản và mật khẩu mà bạn đã tạo ở trang No-IP vào bảng phía dưới.

• Click OK để lưu.

3.2 Tạo Service Objects

• Chúng ta cần tạo service objects cho port 442, để tạo vào Objects > Services.
• Nhấn  Add và tạo theo các thông số sau:
  • Name: Port_442
  • Protocol: TCP
  • Destination Port: 442
  • Nhấn OK để lưu.

3.3 Tạo Address Objects

• Chúng ta sẽ tạo 2 address objects là Server-public 1 với địa chỉ ip là địa chỉ cổng WAN của thiết bị 14.169.x.x và webserver-private là địa chỉ ip của Web server bên trong.
• Để tạo vào Objects > Addresses > click Add và nhập thông số sau :
  • Name : Server-public 1
  • Type : FQDN – vacifcoltd.ddns.net
• Click OK để lưu

• Click Add 1 lần nửa để tạo address object cho web server :
  • Name : webserver-private
  • Type : IP Netmask – 172.16.31.10
• Click OK để lưu

3.3 Tạo NAT Rule

• Để tạo NAT rule vào Policies > NAT > Click Add.
• Ở General tab cấu hình với các thông số sau :
  • Name : Nat_Server
  • Type : ipv4

• Ở tab Original Packet cấu hình với các thông số sau :
  • Source Zone : WAN
  • Destination Zone : WAN
  • Destination Interface : ethernet1/1
  • Service : Port_442
  • Source Address : Any
  • Destination Address : Server-public 1

• Ở tab Translated Packet mục Destination Translation cấu hình như sau :
  • Translation Type : Static IP
  • Translation Address : 172.16.31.10
  • Translation Port : 443

• Click OK để lưu.

3.4 Tạo Security policy

• Tạo Secuirty policy để cho phép các traffic từ vùng WAN có thể đi vào vùng LAN.
• Để tạo vào Policies > Security > Click Add.
• Ở General tab cấu hình với các thông số sau :
  • Name : Webserver_access
  • Rule Type : universal (default)

• Source tab :
  • Source Zone : WAN
  • Source Address : Any

• Destination tab :
  • Destination Zone : LAN
  • Destination Address : Server-public 1

• Application tab :
  • Chọn Any

• Service/URL Category :
  • Chọn service Port_442 và Any

• Action :
  • Log Setting : chọn Log at Session End
  • Action Setting : Allow

3.4 Kiểm tra kết quả

• Sau khi cấu hình các policy cần thiết chúng ta sẽ sử dụng một máy tính bên ngoài internet để truy cập vào trong server nội bộ bằng IP Wan với port 442 và kết quả như hình sau.
• Chúng ta đã có thể truy cập server thành công bằng port 442 từ internet.

• Ngoài ra chúng ta cũng có thể truy cập vào trang quản trị của firewall bằng port 443 như bình thường.