OPNsense/Firewall/NAT

Übersetzung von Netzwerkadressen

Network Address Translation (abgekürzt als NAT) ist eine Möglichkeit, externe und interne Netzwerke (WANs und LANs) zu trennen. und um eine externe IP zwischen Clients im internen Netzwerk zu teilen. NAT kann auf IPv4 und IPv6 verwendet werden. Für IPv6, Die Netzwerkpräfixübersetzung ist ebenfalls verfügbar. Die meisten der folgenden Optionen verwenden drei verschiedene Adressen: die Quell-, Ziel- und Umleitungsadresse. Diese Adressen werden für Folgendes verwendet:

Quelle	Woher der Verkehr kommt. Dies kann oft auf „any“ belassen werden.
Ziel	Wohin der Verkehr geht. Bei eingehendem Datenverkehr von außen ist dies normalerweise Ihre externe IP-Adresse.
Umleiten	Wohin der Verkehr umgeleitet werden soll.

Warnung

• Als Sicherheitsmaßnahme sollte man sich nicht auf die Netzwerkadressübersetzung verlassen
• Das Deaktivieren von pf deaktiviert auch NAT

Begriffe

BINAT

NAT funktioniert im Allgemeinen in eine Richtung. Wenn Sie jedoch über Netzwerke gleicher Größe verfügen, können Sie auch BINAT verwenden bidirektional. Dies kann Ihre Einrichtung vereinfachen. Wenn Sie keine Netzwerke gleicher Größe haben, können Sie nur normales NAT verwenden.

NAT-Reflektion

Wenn ein Client im internen Netzwerk versucht, auf einen anderen Client zuzugreifen, aber die externe IP verwendet Anstelle der internen (die am logischsten wäre), kann die NAT-Reflektion diese Anfrage so umschreiben, dass sie verwendet die interne IP, um Umwege zu vermeiden und Regeln für den tatsächlichen Außenverkehr anzuwenden. Hinweis Die mit der Aktivierung der generierten NAT-Regeln NAT-Reflektion umfassen nur Netzwerke, die direkt mit Ihrem directly verbunden sind Firewall. Das heißt, wenn Sie ein privates Netzwerk haben, das von Ihrem LAN getrennt ist, müssen Sie dies mit a . hinzufügen manuelle ausgehende NAT-Regel.

Pool-Optionen

Wenn mehrere IPs zur Auswahl stehen, ermöglicht diese Option die Regulierung, welche IP verwendet wird. Der Standard, Round Robin, verteilt Pakete einfach an einen Server nach dem anderen. Wenn Sie nur eine externe haben IP, diese Option hat keine Auswirkung.

Eins-zu-eins

Eins-zu-eins-NAT übersetzt, wie der Name schon sagt, zwei IPs eins-zu-eins und nicht wie üblich eins-zu-viele. In dieser Hinsicht ähnelt es dem, was NPT für IPv6 tut. In OPNsense kann One-to-One-NAT eingerichtet werden, indem Sie zu navigieren Firewall ‣ NAT ‣ One-to-One . Hier sehen Sie ein Überblick über die Eins-zu-eins-Regeln. Neue Regeln können durch Klicken auf hinzugefügt werden Hinzufügen in der oberen rechten Ecke . Beim Hinzufügen einer Regel stehen die folgenden Felder zur Verfügung:

Deaktiviert	Deaktivieren Sie diese Regel, ohne sie zu entfernen.
Schnittstelle	Für welche Schnittstelle diese Regel gelten soll. Meistens wird dies WAN sein.
Art	BINAT (Standard) oder NAT. Siehe „Einige Begriffe erklärt“.
Externes Netzwerk	Startadresse des externen Netzwerks, das verwendet werden soll, um Adressen von/nach zu übersetzen.
Quelle / invertieren	Invertieren Sie die Übereinstimmung im Feld "Quelle".
Quelle	Das interne Netzwerk für diese Zuordnung, normalerweise ein RFC 1918- Bereich
Ziel / invertieren	Invertieren Sie die Übereinstimmung im Feld "Ziel".
Ziel	Die Zielnetzwerkpakete sollten übereinstimmen, wenn sie zum Zuordnen externer Netzwerke verwendet werden, dies ist normalerweise any
Beschreibung	Eine Beschreibung, um die Regel in der Übersicht leicht zu finden.
NAT-Reflexion	Siehe „Einige Begriffe erklärt“. Belassen Sie dies auf der Standardeinstellung, es sei denn, Sie haben einen guten Grund, dies nicht zu tun.

Outbound

Wenn ein Client in einem internen Netzwerk eine ausgehende Anfrage stellt, muss das Gateway die Quell-IP ändern in die externe IP des Gateways, da der externe Server sonst keine Antwort zurücksenden kann. Ausgehendes NAT wird auch als „Quell-NAT“ oder „SNAT“ bezeichnet. Wenn Sie nur eine externe IP haben, lassen Sie die Outbound-NAT-Optionen auf automatisch. Wenn Sie jedoch mehrere IP-Adressen, möchten Sie vielleicht die Einstellungen ändern und benutzerdefinierte Regeln hinzufügen. Die wichtigsten Einstellungen für ausgehende Daten sind wie folgt:

Automatische Generierung von ausgehenden NAT-Regeln	Der Standard. Folgt dem oben beschriebenen Verhalten und ist für die meisten Szenarien geeignet.
Manuelle Generierung von ausgehenden NAT-Regeln	Es werden keine automatischen Regeln generiert. Sie können manuell hinzugefügt werden.
Generierung von hybriden ausgehenden NAT-Regeln	Automatische Regeln werden hinzugefügt, es können jedoch auch zusätzliche manuelle Regeln hinzugefügt werden.
Deaktivieren Sie die Generierung von ausgehenden NAT-Regeln	Deaktiviert ausgehendes NAT. Dies wird beispielsweise für transparente Brücken verwendet .

Neue Regeln können durch Klicken auf hinzugefügt werden Hinzufügen in der oberen rechten Ecke . Beim Hinzufügen einer Regel stehen die folgenden Felder zur Verfügung:

Deaktiviert	Deaktivieren Sie diese Regel, ohne sie zu entfernen.
Nicht NAT	Deaktivieren Sie NAT für den gesamten Datenverkehr, der dieser Regel entspricht. Lassen Sie dies deaktiviert, es sei denn, Sie wissen, was Sie tun.
Schnittstelle	Für welche Schnittstelle diese Regel gelten soll. Meistens wird dies WAN sein.
TCP/IP-Version	IPv4 oder IPv6
Protokoll	In typischen Szenarien ist dies TCP.
Quelle invertieren	Invertieren Sie die Übereinstimmung im Feld "Quelle".
Quelle	Das passende Quellnetzwerk
Quellport	Gegebenenfalls der Quellport, auf den wir abgleichen sollen. Dies ist normalerweise zufällig und entspricht fast nie dem Zielportbereich (und sollte normalerweise 'any' sein).
Zielumkehrung	Invertieren Sie die Übereinstimmung im Feld "Ziel".
Ziel	Zielnetzwerk zum Abgleichen
Zielhafen	Dienstport, den der Datenverkehr verwendet
Übersetzung / Ziel	Wohin passende Pakete übersetzt werden sollen.
Log	Setzen Sie Pakete, die dieser Regel entsprechen, in die Protokolle. Verwenden Sie dies sparsam, um ein Überlaufen der Protokolle zu vermeiden.
Übersetzung / Port	Welcher Port soll auf dem Ziel verwendet werden
Statischer Port	Verhindert, dass pf(4) den Quellport von TCP- und UDP-Paketen ändert.
Pool-Optionen	Siehe „Einige Begriffe erklärt“. Standardmäßig wird Round-Robin verwendet.
Lokales Tag setzen	Legen Sie ein Tag fest, nach dem andere NAT-Regeln und -Filter suchen können.
Lokales Tag abgleichen	Suchen Sie nach einem Tag, das von einer anderen Regel festgelegt wurde.
Keine XMLRPC-Synchronisierung	Verhindern, dass diese Regel mit einem Backup-Host synchronisiert wird. (Dies auf dem Backup-Host zu überprüfen hat keine Auswirkung.)
Beschreibung	Eine Beschreibung, um die Regel in der Übersicht leicht zu finden.