- PR -

Netscreen 5GTでのNAT

«前のページへ 1|2|3 次のページへ»
投稿者投稿内容
BackDoor
ぬし
会議室デビュー日: 2006/02/20
投稿数: 831
投稿日時: 2007-04-06 10:48
引用:
jakeさんの書き込み (2007-04-06 09:40) より:

しかし、一点だけ懸念点があるのですが・・・。
コード:

③さらに、NetscreenにてソースアドレスをTrust(10.1.1.2)へ変換してServerへ到達 

　【NetscreenでSrc変換された通信】 

　Src 10.1.1.2：Any　→　Dst 10.1.1.100：80


上記のNetscreenを通過後、Serverへ到達する際のパケット内Src IPアドレスは
NetscreenのTrust側IPアドレスとなるのでしょうか。

詳細な要望として、Trust側に流れるClientからの通信内容については、
Srcの内容をTrustポートのIPアドレスとして、ClientのIPアドレスを
到達先であるServer側で隠蔽したいようなのです・・・。
（どういう理由かは不明ですが・・・）

それは無理だと思いますが・・・。
可能だとすると、HTTPリクエストに対する返信先が判らなくなり、通信できない
ことになります。

代替案とすれば、Proxyを間に挟む程度しか解決法は無いのでは？　と思います。

編集：下記コメントを追加

Netscreenはまだ導入前でしたか？
詳細要求内容に因りますが、どうもNetscreenを導入するよりは、Proxyサーバの
導入検討に方向性を変えたほうが良さそうに思えます。

[ メッセージ編集済み 編集者: BackDoor 編集日時 2007-04-06 10:56 ]
jake
会議室デビュー日: 2007/04/05
投稿数: 7
投稿日時: 2007-04-06 11:36
BackDoorさん回答ありがとうございます。

やはり実現はできませんよね・・・。

機器自体は購入してしまっているので、VIPで構築し、
Client IPアドレスの隠蔽は不可と説得しようと思います。

これまでお付き合い頂きありがとうございました！
angel
ぬし
会議室デビュー日: 2005/03/17
投稿数: 711
投稿日時: 2007-04-07 11:02
こんにちは。

えーと、ScreenOSのリファレンス見る限りでは、普通にできそうですが…。
ただ、実機を見て言っているわけではないので、保証はしません。
実機購入前の検討状態なら、販社等にウラはとってください。

※5GT を使った経験はない ( 25以上しかない ) ので、機種によって制限があるのならば分かりませんが。多分関係ないところだと思いますがね…
引用:
詳細な要望として、Trust側に流れるClientからの通信内容については、
Srcの内容をTrustポートのIPアドレスとして、ClientのIPアドレスを
到達先であるServer側で隠蔽したいようなのです・・・。

というのは、確かに謎ですけどね。

VIPで、
　UntrustポートのアドレスのTCP80番→サーバのアドレスのサービスポート
ポリシーで、
　Untrust-Any ( もしくはアクセスさせたいクライアントを別個指定 )→ VIP:80 を許可
　　+ 詳細設定で Src NAT 指定

という設定かと。
なお、リファレンスマニュアル8章の「NAT-Src - Egress インターフェースIP アドレスに変換」を想定しています。

[ メッセージ編集済み 編集者: angel 編集日時 2007-04-07 11:55 ]
angel
ぬし
会議室デビュー日: 2005/03/17
投稿数: 711
投稿日時: 2007-04-07 11:07
細かいところですが、
引用:
BackDoorさんの書き込み (2007-04-05 15:40) より:
知りたい内容がよく判りませんが、Untrust側にグローバルアドレスでアクセス可能な
公開用Webサーバを設置したいということでしょうか？
→　もしそうならDMZが設定できるExtended（NS-5GT-207）を購入すべきかと。

DMZにWeb/APサーバ、TrustにDBサーバといういうな構成であれば 5GT Extended が必要ですけど、スタンドアロンの公開Webサーバであれば Extended は必要ないですよね? ( Trust に Webサーバ )
BackDoor
ぬし
会議室デビュー日: 2006/02/20
投稿数: 831
投稿日時: 2007-04-07 11:55
angel様、補足ありがとうございます。

引用:

angelさんの書き込み (2007-04-07 11:02) より:
VIPで、
　UntrustポートのアドレスのTCP80番→サーバのアドレスのサービスポート
ポリシーで、
　Untrust:Any ( もしくはアクセスさせたいクライアントを別個指定 )→ VIP:80 を許可
　　+ 詳細設定で Src NAT 指定

という設定かと。

この設定で可能になるとは知りませんでした。勉強になりました。

引用:

angelさんの書き込み (2007-04-07 11:07) より:
細かいところですが、
DMZにWeb/APサーバ、TrustにDBサーバといういうな構成であれば 5GT Extended が必要ですけど、スタンドアロンの公開Webサーバであれば Extended は必要ないですよね? ( Trust に Webサーバ )

確かに可能です。
ただ個人的には、公開Webサーバがハックされた場合Trust側は公開Webサーバを踏み台に
アクセス可能になる危険性があるので好まない構成ですね。
#　心配症なんで・・・。気にしないで下さいｗｗｗ
angel
ぬし
会議室デビュー日: 2005/03/17
投稿数: 711
投稿日時: 2007-04-07 13:09
引用:
BackDoorさんの書き込み (2007-04-07 11:55) より:
引用:
angelさんの書き込み (2007-04-07 11:07) より:
細かいところですが、
DMZにWeb/APサーバ、TrustにDBサーバといういうな構成であれば 5GT Extended が必要ですけど、スタンドアロンの公開Webサーバであれば Extended は必要ないですよね? ( Trust に Webサーバ )

確かに可能です。
ただ個人的には、公開Webサーバがハックされた場合Trust側は公開Webサーバを踏み台に
アクセス可能になる危険性があるので好まない構成ですね。
#　心配症なんで・・・。気にしないで下さいｗｗｗ


お返事ありがとうございます。BackDoorさんのお気持ちは良く分かります。
ゆえに「スタンドアロンの」と限定したわけでして。

いえ、少し前にこのような経験があったもので。

angel：インターネット公開Webサーバ保護用に、Netscreen5GTを採用しようと考えているのですが。
販社：公開サーバ用であれば、DMZをサポートしたExtendedが必要ですよ。
angel：(インターネット)-[Netscreen]-[サーバ(1台)] というスタンドアロンの構成なのですが。
販社：公開サーバ用であれば、Extendedが必要ですよ。
angel：他の機器をつなぐ予定はないので、3ゾーンも必要ないのですが、Extendedでなければ実現不可能ですか?
販社：…
( 注：もちろん脚色は入っています。が、やりとりした内容はこんな感じで。 )

追記：「スタンドアロン」というと、普通は「何処にもつながっていない」という意味になるのでしょうかね…。そうすると上の文章はヘンですね。

[ メッセージ編集済み 編集者: angel 編集日時 2007-04-07 13:20 ]
jake
会議室デビュー日: 2007/04/05
投稿数: 7
投稿日時: 2007-04-09 12:01
BackDoorさん
angelさん

返信ありがとうございます。

angelさんの回答を見て目から鱗の気分です・・・。
リファレンスを参照しましたが、確かに実現出来る可能性はありますね・・・。
こちらの件は代理店に確認してみます！



たらお
大ベテラン
会議室デビュー日: 2006/12/25
投稿数: 206
お住まい・勤務地: 東京・永代通り
投稿日時: 2007-04-09 21:41
ポイントは、NATテーブルがI/Fごとに処理できるのか、
内部で一回しかNAT処理できない構造なのかの違いだと思います。

コード:

○可能な構成

(パケットヘッダ)
[送信先] [送信元]
 SvVIP　 ClientRIP
　　　↓I/F#1
 SvRIP　 ClientRIP　-->バッファ1でSvVIPをRIPへ変換
　　　↓ルーティング
 SvRIP　 ClientVIP　-->バッファ2でClientRIPをVIPへ変換
　　　↓IF#2


×不可能な構成

(パケットヘッダ)
[送信先] [送信元]
 SvVIP　 ClientRIP
　　　↓I/F#1
　　　↓内部ルーティング
 SvRIP　 ClientRIP　-->バッファでNAT処理
　　　↓ルーティング
　　　↓IF#2


NATの実装では、暗黙のフィルタを作成し、フィルタに合致すれば
フィルタアクションとしてIPパケットヘッダを書き換えます。
ということは、IN方向にもOUT方向にもフィルタが記述できる機器なら、
本件の要件を果たすことができると考えられます。

前述×の内部構成でも、NATテーブルの仕様によっては、
送信元と送信先を同時に書き換え可能だと思います。ファームウェア次第ですね。
スループットを優先するなど、意図的な制限があれば別ですが。

普通にINとOUTのフィルタが書けるなら、NAT恐るるに足らずです。

_________________
＿福田太郎＿
«前のページへ 1|2|3 次のページへ»

スキルアップ／キャリアアップ（JOB@IT）