Настройка nat windows server 2003
В настоящее время очень остро стоит проблема обеспечение безопасности и надежности функционирования информационных сетей на предприятиях. В связи с этим возникает ряд задач, позволяющих решить данные проблемы, в частности: установка специального программного обеспечения, организация хранения данных, настройка программных маршрутизаторов и т.п.
Для решения означенных задач был выполнен анализ существующих программных средств и выделено применение сервера Windows 2003. основана задача данного сервера заключается в маршрутизации пакетов двух и более сегментов информационной сети. Анализ информации в интернете и специальной литературы не позволил однозначно выделить искомое решение, поэтому было решено исследовать данную проблему.
Маршрутизаторы являются ключевым звеном любой сети internetwork. Основные задачи, которые решают маршрутизаторы:
- нахождение наилучшего маршрута;
- отправка пакета по этому маршруту.
Маршрутизация сделала возможным объединение отдельных сетей в одну глобальную сеть, где каждому участнику сети доступны все ресурсы. Можно говорить о трех принципах маршрутизации:
- Каждый маршрутизатор принимает решение сам. При этом не оговаривается, откуда получена информация о маршрутах.
- Если один маршрутизатор имеет полную таблицу маршрутизации, то это не значит, что и у остальных она тоже полная. Можно привести много причин и примеров, когда сеть не сходится. В некоторых случаях это может привести к потере данных, а в некоторых и к циклам маршрутизации. Именно поэтому важно правильно и полно настроить статические маршруты на маршрутизаторах и/или правильно подобрать и настроить динамический протокол маршрутизации.
- Существование маршрута в одну сторону не гарантирует существование обратного маршрута. Простыми словами, пакет может достигнуть получателя, но обратного пути для ответного пакета может не быть. К этому приводит неполнота таблицы маршрутизации на каком-нибудь маршрутизаторе по пути.
Решением стало установка Windows Server 2003 на отдельном компьютере с двумя сетевыми картами, с установкой роли Routing и Remote Access Service (RRAS) на данной машине с дальнейшим использованием его в качестве маршрутизатора.
В первую очередь был настроен RRAS модуль в качестве роутера с трансляцией сетевых адресов (Network Address Translation – NAT). NAT является IETF стандартом, обеспечивающим способ трансляции IPv4 адресов компьютеров в одной сети в IPv4 адреса компьютеров в другой сети.
Начальная настройка, как и последующее администрирование, службы маршрутизации и удаленного доступа осуществляется через консоль управления. Для запуска консоли управления службой маршрутизации и удаленного доступа выбирается меню Пуск и в нем подменю Администрирование, в котором - пункт Маршрутизация и удаленный доступ (рисунок 1).
Рисунок 1 – Главное окно роли «Routing and Remote Access»
Первоначальная настройка сервера маршрутизации и удаленного доступа выполняется в дереве «Консоли управления», в меню «Маршрутизация и удаленный доступ» выбирается ветвь с именем локального сервера. Затем при нажатии правой кнопки мыши на имени сервера выбирается пункт «Настроить и включить маршрутизацию и удаленный доступ» из контекстного меню. Будет запущен Мастер настройки сервера маршрутизации и удаленного доступа. На первом шаге Мастера необходимо выбрать роль, которую будет выполнять сервер. Можно выбрать одну из следующих ролей:
Удаленный доступ (модем). При выборе данной роли, сервер со службой маршрутизации и удаленного доступа будет настроен для разрешения подключения удаленных клиентов к сети пользователя с помощью модема или другого оборудования удаленного доступа (рисунок 2).
Рисунок 2 – Пример роли «Удаленный доступ (модем)»
Удаленный доступ (VPN). При выборе данной роли сервер со службой маршрутизации и удаленного доступа будет настроен для разрешения подключения удаленных клиентов к сети пользователя через Интернет (рисунок 3).
Рисунок 3 – Пример роли «Удаленный доступ (VPN)»
Преобразование сетевых адресов (NAT). При выборе данной роли, сервер со службой маршрутизации и удаленного доступа будет настроен для подключения к Интернету компьютеров частной локальной сети. Компьютеры, находящиеся в Интернете, не в состоянии определять IP-адреса компьютеров в сети пользователя (рисунок 4).
Рисунок 4 – Пример роли «Преобразование сетевых адресов (NAT)»
Виртуальная частная сеть (VPN) и преобразование сетевых адресов (NAT). При выборе данной роли сервер со службой маршрутизации и удаленного доступа будет настроен для подключения к Интернету компьютеров локальной сети пользователя и разрешения подключения удаленных клиентов к сети пользователя через Интернет. Компьютеры в Интернете не в состоянии определять IP-адреса компьютеров в частной сети. Однако клиенты VPN в состоянии подключаться к компьютерам сети пользователя, как если бы они были физически присоединены к этой сети (рисунок 5).
Рисунок 5 – Пример роли «Виртуальная частная сеть (VPN)»
Безопасное соединение между двумя частными сетями. При выборе данной роли два сервера со службой маршрутизации и удаленного доступа будут настроены для безопасной передачи частных данных через Интернет. Данный путь необходимо выбрать на каждом сервере при запуске мастера настройки маршрутизации и удаленного доступа. Подключение между двумя серверами может быть постоянным (включено постоянно) либо по требованию (вызов по требованию) (рисунок 6).
Рисунок 6 – Пример роли «Безопасное соединение между двумя частными сетями»
Управление IP-фильтрами. Маршрутизатор Windows Server 2003 поддерживает фильтрацию входящих и исходящих пакетов данных на различных уровнях:
- уровень физического интерфейса – фильтрация осуществляется для всех пакетов, проходящих через интерфейс, обычно это происходит после маршрутизации пакета;
- уровень интерфейса маршрутизации – фильтрация осуществляется при прохождении данных через интерфейс маршрутизации, при маршрутизации конкретного протокола;
- уровень клиента удаленного доступа – фильтрация данных осуществляется при передаче клиенту удаленного доступа по каналу связи.
На любом уровне фильтрация осуществляется отдельно для входящих и исходящих пакетов. Например, при передаче данных через маршрутизатор из локальной сети в Интернет для интерфейса подключения по локальной сети эти данные будут считаться входящими, а для интерфейса вызова по требованию – исходящими. Для клиентов удаленного доступа входящими всегда считаются данные, передаваемые клиентом, а исходящими – данные, передаваемые клиенту.
В интерфейсе управления маршрутизатором Windows Server 2003 входящие фильтры обычно настраиваются кнопкой «Фильтры входа», а исходящие – кнопкой «Фильтры выхода». Покажем настройку фильтров на примере входящих фильтров. Настройка исходящих фильтров осуществляется аналогично.
В окне «Фильтры входа» указывается набор действующих фильтров и условия фильтрации. Последние определяются переключателем в верхней части окна, который может быть установлен в одно из положений:
- Не разрешать перечисленные пакеты. Через фильтр пропускаются все пакеты, кроме тех, которые отвечают условиям, указанным в списке «Фильтры».
- Разрешать только перечисленные пакеты. Через фильтр пропускаются только те пакеты, которые отвечают условиям, указанным в списке «Фильтры».
Набор условий для проверки задается в списке «Фильтры». Для добавления условия в список необходимо щелкнуть кнопку «Создать» (рисунок 7).
Рисунок 7 –Добавление IP-фильтра
В данном окне необходимо задать параметры исходного и конечного адреса проверяемого пакета. Если должен анализироваться адрес отправителя, то необходимо установить флажок «Исходная сеть» и указать адрес и маску сети отправителя. Если должен фильтроваться только один определенный IP-адрес, его необходимо указать в поле IP-адрес, а в поле «Маска» указать значение 255.255.255.255. По аналогии настраивается анализ адреса получателя.
В раскрывающемся списке «Протокол» должен быть выбран протокол, пакеты которого анализирутся фильтром. При указании протоколов TCP или UDP необходимо дополнительно задать диапазон исходящих и входящих портов. Например, для выделения всех запросов к Web-серверу локальной сети (адрес 192.168.0.10) должен задаваться фильтр со следующими параметрами:
Для поставленной задачи была выбрана роль RRAS «Преобразование сетевых адресов (NAT)» для работы маршрутизатора.
Рисунок 8 – Схема подключения маршрутизатора
Windows Server 2003 был установлена на машину с двумя сетевыми картами, параметры TCP/IP этих карт были настроены следующим образом:
Сетевой интерфейс Realtek подключен к основной сети:
- IP адрес = 192.168.10.1;
- Маска подсети = 255.255.255.0;
- Основной шлюз = 192.168.10.1;
- DNS серверы = 192.168.0.250.
Сетевой интерфейс NIC подключен к сегменту сети:
- IP адрес = 192.168.0.250.
- Маска подсети = 255.255.255.0.
- Основной шлюз = 192.168.0.2.
- DNS серверы = 212.154.163.162.
Установка клиентских компьютеров в основной сети LAN.
Установки на клиентских машинах: для сегмента сети были назначены DHCP-сервером и были следующие:
- IP адрес = 192.168.10.0/32.
- Маска подсети = 255.255.255.0.
- Основной шлюз = 192.168.10.1 (ближайший интерфейс сервера RRAS).
- DNS серверы = 192.168.0.250(DNS сервер домена).
Таким образом, маршрутизатор стал связующим звеном между сегментом сети и основной сетью (рисунок 8) со своими правилами адресации в сети и настройками безопасности. При такой настройке в сегмент сети нет необходимости вводить для каждой машины сетевые правила подключения к серверам или обращения за пределы сегмента сети, маршрутизатор работает на правилах, созданных для работы в сети на основе фильтров, установленных администратором сети.
Записки по настройке Debian Ubuntu и Microsoft Windows
Установка и настройка NAT в Windows 2003 Server (NAT and basic firewall и LAN roitung)
Для начало коротко рассмотрим что это и для чего это надо, немного воды из Википедии
1. NAT (от англ. Network Address Translation — «преобразование сетевых адресов») — это механизм в сетях TCP/IP, позволяющий преобразовывать IP-адреса транзитных пакетов.
Преобразование адресов методом NAT может производиться почти любым маршрутизирующим устройством (маршрутизатором, сервером доступа, межсетевым экраном). Наиболее популярным является SNAT, суть механизма которого состоит в замене адреса источника (англ. source) при прохождении пакета в одну сторону и обратной замене адреса назначения (англ. destination) в ответном пакете. Наряду с адресами источник/назначение могут также заменяться номера портов источника и назначения.
Принимая пакет от локального компьютера, роутер смотрит на IP-адрес назначения. Если это локальный адрес, то пакет пересылается другому локальному компьютеру. Если нет, то пакет надо переслать наружу в интернет. Но ведь обратным адресом в пакете указан локальный адрес компьютера, который из интернета будет недоступен. Поэтому роутер «на лету» производит трансляцию IP-адреса и порта и запоминает эту трансляцию у себя во временной таблице. Через некоторое время после того, как клиент и сервер закончат обмениваться пакетами, роутер сотрет у себя в таблице запись о n-ом порте за сроком давности.
В ОС Windows 2003 есть Служба маршрутизации и удаленного доступу ( Routing and Remote access ) запускаем из меню Windows Administrative Tools. Служба Брандмауэр Windows/Общий доступ к Интернету ( Windows Firewall/Internet Connection Sharing (ICS)) должна быть выключена.
Выбираем - Особую конфигурацию. Нам необходимы - NAT and basic firewall и LAN roitung:
Идем в "NAT/Basic firewall" и добавляем интерфейсы:
- публичный (подключенный к Интернет), выбираем интерфейс, подключенный к Интернету в нашем случае это Internet
- локальный (приватный) интерфейс. В контекстном меню выбираем Новый интерфейс (New Interface), и в списке интерфейсов выбираем наш локальный интерфейс, в нашем случае это Intranet.
Далее настраиваем внешний интерфейс: IP адрес и маску.
Переходим к пункту меню NAT/Простой брандмауэр (NAT/Basic Firewall). Выбираем интерфейс Internet, идем в Свойства (Prefences).
83.15.1.2 – внешний IP-адрес сервера, публичный (подключенный к Интернет).
А вот дальше для себя я понял так, можно зарезервировать IP-адрес что-то вроде:
И выходя в интернет мы будем иметь IP адрес 85.15.1.2, а вот если не указывать то буду получать адреса из пула или внешней сетевой карты. Но если IP-адрес один но я получу его по любому.
Так же дело обстоит и с любимы другими IP адресами в локальной сети, если у них будет указан шлюх по умолчанию, по они смогут тоже выходить через NAT.
Для окончательной настройке NAT на клиентской машине, достаточно в настройках подключения указать в поле Шлюз IP адрес сервера и DNS.
Во общем ни какого контроля ни чего, что б получить контроль надо использовать прокси-сервер.
Мне нечего рассказать.
Все, что я могу, — это рисовать внутренние органы и ненавидеть.
Я творение высшей расы.
Полон желчи, ненависти и пафоса.
Вы не сможете войти в круг моего доверия.
Не верьте мне, я вам не доверяю.
Рубрики
Архивы
30.09.2010 от Игорь · Комментарии к записи Настройка NAT на Windows Server 2003 отключеныНастройка RRAS (Маршрутизация и удаленный доступ) производится на серверных ОС Windows Server 2003.
1 Запустите из меню Администрирование (Administrative Tools) оснаску Маршрутизация и удаленный доступ (Routing and Remote Access). В контекстном меню выберите пункт Настроить и включить маршрутизацию и удаленный доступ (Configure and Enable Routing and Remote Access).
2 Выберите Особая конфигурация (Custom configuration)
3 Поставьте галки NAT и основной брандмауэр и Маршрутизация ЛВС (NAT and basic firewall и LAN routing)
4 Нажмите Готово (Finish) на вопрос Хотите запустить службу? (Do you want to start the service?) Нажмите Да (Yes)
5 Перейдите к пункту меню NAT/Простой брандмауэр (NAT/Basic Firewall). Для работы НАТ необходимо добавить публичный(подключеный к интернет) и приватный (локальный) интерфейс. В контекстном меню выберите Новый интерфейс (New Interface)
7 В появившимся окне, выберите пункт Общий интерфейс подключен к Интернету (Public interface connected to the Internet) и поставьте галку Включить NAT на данном интерфейсе (Enable NAT on this interface)
8 Перейдите снова к пункту меню NAT/Простой брандмауэр (NAT/Basic Firewall), в контекстном меню выберите Новый интерфейс (New Interface). В появившимся окне выберите интерфейс локальной или публичной сети.
9 Оставьте это окно без изменений (по умолчанию выбрано Частный интерфейс подключен к частной сети (Private interface connected to private network)). Нажмите OK.
10 Внимание: Для доступа клиентских машин в интернет, на них должен быть установлен маршрут по умолчанию на сервер где настроен NAT. Для этого на клиентской машине зайдите в свойства локальной сетевой карты далее свойства TCP/TP в поле IP адрес пропишите IP машины, маску 255.255.255.0, в Основной шлюз (default gateway) пропишите IP адрес сервера NAT. В полях DNS необходимо прописать IP адреса DNS провайдера или IP адреса установленного локального DNS сервера.
Всем добрым день коллеги. Сегодня мы рассмотрим как проще всего настроить NAT в Windows Server ( доступ в Интернет для нескольких компьютеров с помощью одного IP, который выдал нам интернет провайдер) .
Конечно, самым простым решением будет настройка обычного домашнего роутера. Но мы будем рассматривать вариант настройки Microsoft Windows Server через NAT , так как в будущем этот сервер нам послужит для выполнения других ролей в корпоративной среде.
Итак, что мы имеем. Имеем мы железный сервер с двумя сетевыми картами с операционной системой Windows 2008 Server . На внешнюю сетевую карту мы пропишем IP адреса, которые нам дал провайдер и соответственно воткнем шнурок туда.
Передем к настройке NAT в Windows Server 2008.
- Дальше нам предлагается выбор служб которые мы будем использовать. Выбираем службу удаленного доступа и маршрутизацию.
- Далее нам нужно выбрать использовать преобразование сетевых адресов (NAT). В описании как раз вы можете удивить что делает NAT.
- Далее нас попросят определить сетевую карту которая является выходом в интернет. В нашем случае это EXT.
Далее втыкаем этот сервер линком из сетевой карты LAN во внутрению сеть (например в свитч) и можно использоваться его в качестве шлюза. На пользовательских компьютерах указываем IP адрес из диапазона, который вы поставили на сетевую карту.
Например, если у вас настройки на сетевой карте LAN на сервере.
То на пользовательском ПК настройки будут следующие:
DNS 192.168.1.1 (наш сервер)
Предыдущая статья: Ошибки синхронизации Outlook. Следующая статья: Архивация данных Windows 7
Что такое NAP?
Смена часового пояса в Windows XP скрипт и групповые политики
Экзамены Microsoft
Читайте также: