Настройка nat в windows server 2003

Установка и настройка NAT в Windows 2003 Server (NAT and basic firewall и LAN roitung)

Для начало коротко рассмотрим что это и для чего это надо, немного воды из Википедии

далее …

В ОС Windows 2003 есть Служба маршрутизации и удаленного доступу ( Routing and Remote access ) запускаем из меню Windows Administrative Tools. Служба Брандмауэр Windows/Общий доступ к Интернету ( Windows Firewall/Internet Connection Sharing (ICS)) должна быть выключена.

Запускаем установку:

Выбираем — Особую конфигурацию. Нам необходимы — NAT and basic firewall и LAN roitung:

Идем в «NAT/Basic firewall» и добавляем интерфейсы:

— публичный (подключенный к Интернет), выбираем интерфейс, подключенный к Интернету в нашем случае это Internet

— локальный (приватный) интерфейс. В контекстном меню выбираем Новый интерфейс (New Interface), и в списке интерфейсов выбираем наш локальный интерфейс, в нашем случае это Intranet.

Далее настраиваем внешний интерфейс: IP адрес и маску.

Переходим к пункту меню NAT/Простой брандмауэр (NAT/Basic Firewall). Выбираем интерфейс Internet, идем в Свойства (Prefences).

83.15.1.2 – внешний IP-адрес сервера, публичный (подключенный к Интернет).

А вот дальше для себя я понял так, можно зарезервировать IP-адрес что-то вроде:

И выходя в интернет мы будем иметь IP адрес 85.15.1.2, а вот если не указывать то буду получать адреса из пула или внешней сетевой карты. Но если IP-адрес один но я получу его по любому.

Так же дело обстоит и с любимы другими IP адресами в локальной сети, если у них будет указан шлюх по умолчанию, по они смогут тоже выходить через NAT.

Для окончательной настройке NAT на клиентской машине, достаточно в настройках подключения указать в поле Шлюз IP адрес сервера и DNS.

Во общем ни какого контроля ни чего, что б получить контроль надо использовать прокси-сервер.

Страницы

Промо

Комментарии

Поиск по сайту

Статистика

Мета

Рассмотрено программное обеспечение в качестве маршрутизатора информационной сети на базе серверной операционной системы Windows 2003. 

В настоящее время очень остро стоит проблема обеспечение безопасности и надежности функционирования информационных сетей на предприятиях. В связи с этим возникает ряд задач, позволяющих решить данные проблемы, в частности: установка специального программного обеспечения, организация хранения данных, настройка программных маршрутизаторов и т.п.

Для решения означенных задач был выполнен анализ существующих программных средств и выделено применение сервера Windows 2003. основана задача данного сервера заключается в маршрутизации пакетов двух и более сегментов информационной сети. Анализ информации в интернете и специальной литературы не позволил однозначно выделить искомое решение, поэтому было решено исследовать данную проблему.

Маршрутизаторы являются ключевым звеном любой сети internetwork. Основные задачи, которые решают маршрутизаторы:

• нахождение наилучшего маршрута;
• отправка пакета по этому маршруту.

Маршрутизация сделала возможным объединение отдельных сетей в одну глобальную сеть, где каждому участнику сети доступны все ресурсы. Можно говорить о трех принципах маршрутизации:

• Каждый маршрутизатор принимает решение сам. При этом не оговаривается, откуда получена информация о маршрутах.
• Если один маршрутизатор имеет полную таблицу маршрутизации, то это не значит, что и у остальных она тоже полная. Можно привести много причин и примеров, когда сеть не сходится. В некоторых случаях это может привести к потере данных, а в некоторых и к циклам маршрутизации. Именно поэтому важно правильно и полно настроить статические маршруты на маршрутизаторах и/или правильно подобрать и настроить динамический протокол маршрутизации.
• Существование маршрута в одну сторону не гарантирует существование обратного маршрута. Простыми словами, пакет может достигнуть получателя, но обратного пути для ответного пакета может не быть. К этому приводит неполнота таблицы маршрутизации на  каком-нибудь маршрутизаторе по пути.

Решением стало установка Windows Server 2003 на отдельном компьютере с двумя сетевыми картами, с установкой роли Routing и Remote Access Service (RRAS) на данной машине с  дальнейшим использованием его в качестве маршрутизатора.

В первую очередь был настроен RRAS модуль в качестве роутера с трансляцией сетевых адресов (Network Address Translation – NAT). NAT является IETF стандартом, обеспечивающим способ трансляции IPv4 адресов компьютеров в одной сети в IPv4 адреса компьютеров в другой сети.

Начальная настройка, как и последующее администрирование, службы маршрутизации и удаленного доступа осуществляется через консоль управления. Для запуска консоли управления службой маршрутизации  и  удаленного  доступа  выбирается  меню  Пуск  и  в  нем  подменю    Администрирование, в котором — пункт Маршрутизация и удаленный доступ (рисунок 1).

Рисунок 1 – Главное окно роли «Routing and Remote Access» 

Первоначальная  настройка   сервера  маршрутизации  и  удаленного  доступа   выполняется  в    дереве «Консоли управления», в меню «Маршрутизация и удаленный доступ» выбирается ветвь с именем локального  сервера.   Затем   при  нажатии  правой  кнопки  мыши  на   имени   сервера  выбирается пункт «Настроить и включить маршрутизацию и удаленный доступ» из контекстного меню. Будет запущен Мастер настройки сервера маршрутизации и удаленного доступа. На первом шаге Мастера необходимо выбрать роль, которую будет выполнять сервер. Можно выбрать одну из следующих ролей:

Удаленный доступ (модем). При выборе данной роли, сервер со службой маршрутизации и удаленного доступа будет   настроен  для  разрешения  подключения  удаленных  клиентов   к  сети    пользователя с помощью модема или другого оборудования удаленного доступа (рисунок 2). 

Рисунок 2 – Пример роли «Удаленный доступ (модем)» 

Удаленный доступ (VPN). При выборе данной роли сервер со службой маршрутизации и удаленного доступа будет настроен для разрешения подключения удаленных клиентов к сети пользователя через Интернет (рисунок 3).

Рисунок 3 – Пример роли «Удаленный доступ (VPN)» 

Преобразование сетевых адресов (NAT). При выборе данной роли, сервер со службой  маршрутизации и удаленного доступа будет настроен для подключения к Интернету компьютеров частной локальной сети. Компьютеры, находящиеся в Интернете, не в состоянии определять IP-адреса компьютеров в сети пользователя (рисунок 4).

Рисунок 4 – Пример роли «Преобразование сетевых адресов (NAT)» 

Виртуальная частная сеть (VPN) и преобразование сетевых адресов (NAT). При выборе данной роли сервер со службой маршрутизации и удаленного доступа будет настроен для подключения к Интернету компьютеров локальной сети пользователя и разрешения подключения удаленных клиентов к сети пользователя через Интернет. Компьютеры в Интернете не в состоянии определять IP-адреса компьютеров в частной сети. Однако клиенты VPN в состоянии подключаться к компьютерам сети пользователя, как если бы они были физически присоединены к этой сети (рисунок 5). 

Рисунок 5 – Пример роли «Виртуальная частная сеть (VPN)» 

Безопасное соединение между двумя частными сетями. При выборе данной роли два сервера со службой маршрутизации и удаленного доступа будут настроены для безопасной передачи частных данных через Интернет. Данный путь необходимо выбрать на каждом сервере при запуске мастера настройки маршрутизации и удаленного доступа. Подключение между двумя серверами может быть постоянным (включено постоянно) либо по требованию (вызов по требованию) (рисунок 6).

Рисунок 6 – Пример роли «Безопасное соединение между двумя частными сетями» 

Управление IP-фильтрами. Маршрутизатор Windows Server 2003 поддерживает фильтрацию входящих и исходящих пакетов данных на различных уровнях:

• уровень физического интерфейса – фильтрация осуществляется для всех пакетов, проходящих через интерфейс, обычно это происходит после маршрутизации пакета;
• уровень интерфейса маршрутизации – фильтрация осуществляется при прохождении данных через интерфейс маршрутизации, при маршрутизации конкретного протокола;
• уровень клиента удаленного доступа – фильтрация данных осуществляется при передаче клиенту удаленного доступа по каналу связи.

На любом уровне фильтрация осуществляется отдельно для входящих и исходящих пакетов. Например, при передаче данных через маршрутизатор из локальной сети в Интернет для интерфейса подключения по локальной сети эти данные будут считаться входящими, а для интерфейса вызова по требованию – исходящими. Для клиентов удаленного доступа входящими всегда считаются данные, передаваемые клиентом, а исходящими – данные, передаваемые клиенту.

В интерфейсе управления маршрутизатором Windows Server 2003 входящие фильтры обычно настраиваются кнопкой «Фильтры входа», а исходящие – кнопкой «Фильтры выхода». Покажем настройку фильтров на примере входящих фильтров. Настройка исходящих фильтров осуществляется аналогично.

В окне «Фильтры входа» указывается набор действующих фильтров и условия фильтрации. Последние определяются переключателем  в верхней части  окна,  который  может быть установлен в  одно из положений:

• Не разрешать перечисленные пакеты. Через фильтр пропускаются все пакеты, кроме тех, которые отвечают условиям, указанным в списке «Фильтры».

• Разрешать только перечисленные пакеты. Через фильтр пропускаются только те пакеты, которые отвечают условиям, указанным в списке «Фильтры».

Набор условий для проверки задается в списке «Фильтры». Для добавления условия в список необходимо щелкнуть кнопку «Создать» (рисунок 7).

Рисунок 7 –Добавление IP-фильтра 

В данном окне необходимо задать параметры исходного и конечного адреса проверяемого пакета. Если должен анализироваться адрес отправителя, то необходимо установить флажок «Исходная сеть» и указать адрес  и  маску  сети  отправителя.  Если  должен  фильтроваться  только   один   определенный   IP-адрес, его необходимо указать в поле IP-адрес, а в поле «Маска» указать значение 255.255.255.255. По аналогии настраивается анализ адреса получателя.

В раскрывающемся списке «Протокол» должен быть выбран протокол, пакеты которого анализирутся фильтром. При указании протоколов TCP или UDP необходимо дополнительно задать диапазон исходящих и входящих портов. Например, для выделения всех запросов к Web-серверу локальной сети (адрес 192.168.0.10) должен задаваться фильтр со следующими параметрами:

Для  поставленной  задачи  была  выбрана  роль  RRAS  «Преобразование  сетевых  адресов  (NAT)» для работы маршрутизатора. 

Рисунок 8 – Схема подключения маршрутизатора 

Windows Server 2003 был установлена на машину с двумя сетевыми картами, параметры TCP/IP этих карт были настроены следующим образом:

Сетевой интерфейс Realtek подключен к основной сети:

—       IP адрес = 192.168.10.1;

—       Маска подсети = 255.255.255.0;

—       Основной шлюз = 192.168.10.1;

—       DNS серверы = 192.168.0.250. 

Сетевой интерфейс NIC подключен к сегменту сети:

—       IP адрес = 192.168.0.250.

—       Маска подсети = 255.255.255.0.

—       Основной шлюз = 192.168.0.2.

—       DNS серверы = 212.154.163.162.

Установка клиентских компьютеров в основной сети LAN.

Установки на клиентских машинах: для сегмента сети были назначены DHCP-сервером и были следующие:

• IP адрес = 192.168.10.0/32.
• Маска подсети = 255.255.255.0.
• Основной шлюз = 192.168.10.1 (ближайший интерфейс сервера RRAS).
• DNS серверы = 192.168.0.250(DNS сервер домена).

Таким образом, маршрутизатор стал связующим звеном между сегментом сети и основной сетью (рисунок    со  своими  правилами  адресации  в  сети  и  настройками  безопасности.  При  такой настройке в сегмент сети нет необходимости вводить для каждой машины сетевые правила подключения к серверам или обращения за пределы сегмента  сети,  маршрутизатор работает на правилах, созданных для работы в сети на основе фильтров, установленных администратором сети.

Required configuration :
— DHCP server

Firstly as mentioned at the beginning of this tutorial, you must add a second network card. So add this second NIC (physical) and then follow this tutorial.

Once added the second network card, go to the start menu -> Administrative Tools -> Routing and Remote Access.

Note for Windows Server 2008 : On Windows Server 2003 you can see that this feature is already installed but on Windows Server 2008 this isn’t the case. On Windows Server 2008, you must add the role «Services Network Policy and Access».

In the «Routing and Remote Access» window that appears, right click on the name of your computer (INFORMATIWEB-03 in this tutorial) and click «Configure and Enable Routing and Remote Access».

Select «Custom Settings».

Check the boxes :
 — NAT and basic firewall
 — Network Routing

Click «Finish».

Click «Yes» to start the Routing and Remote Access services.

The service starts …

To facilitate the configuration of this service, we will first rename the two network connections (one for each network card).

The internet network «Local Area Connection (Internal)» which is configured with the settings on the DHCP tutorial are :
 — IP : 10.0.0.1
 — Subnet Mask : 255.0.0.0
 — Gateway : 10.0.0.0
 — Serveur DNS : 10.0.0.1

The Internet network «Local Area Connection (Internet)», which is configured with the following parameters :
  — IP : 192.168.1.5
  — Subnet Mask : 255.255.255.0
  — Gateway : 192.168.1.254
  — DNS Server : 192.168.1.254

The parameters of the connection «Local Area Connection (Internet)» must obviously match the settings of your network.

When you want to configure the settings for the 2nd LAN connection static you get a warning due to multiple gateways are on different classes. It will work through NAT so click «Yes».

Go to the «Routing and Remote Access» window and right click on the right side. Then click «New Interface …».

Select the interface «Local Area Connection (Internet)» and click «OK».

Select «Public interface connected to the Internet» and check the «Enable NAT on this interface» and «Enable a firewall based on this interface» if it isn’t already do.

Make right click again on the right side and click on «New interface …».

Select the interface «Local Area Connection (Internal)» and click «OK».

The interface «Internal» doesn’t really exist and we don’t need it.

Select «Private interface connected to private network» if it isn’t already do.

Now that our server is configured to serve as a «Router», we will configure our DHCP server to send the IP address of the gateway (or router) to our clients. And clients will have Internet through the gateway which is our server.

To do this, go to the configuration of DHCP and right click on «Scope Options» and click «Configure Options».

Check the «003 Router» box and indicated the IP address of the server (internal network side) in the IP Address box. Then click the «Add» button and then OK to exit this window.

Then right click on your DHCP server and click «Allow» if it’s marked «Allow» in the menu otherwise skip this step.

Then, turn on a client or that of earlier. If you have not turned off the client from now restart it to receive the new settings from DHCP.

Attempt to access the Internet by opening eg «Mozilla Firefox» or «Internet Explorer» and trying to access Google.

On the client, go to : start menu -> Control Panels -> Network Connections. Double-click on «Local Area Connection» and go to the «Support» tab and then click Details.

If your client has received the informations from your DHCP server, you should get a result like this :

Then, in the server, go to the configuration of «Routing and Remote Access» and make a click on «Firewall NAT / Basic». Look at the columns «Number of packages … translated.» If they are not zero is that packets are going from the client to the Internet or the reverse what was that NAT is configured.

Для
создания условий, заданных в лабораторной
работе, необходимо выполнить ряд
действий:

1. Добавляем
   для Win2003
   Server
   сетевой адаптер, который подключаем
   по схеме «NAT».
   Второй подключаем к «LAN1»

2. После
   загрузки Win2003
   Server
   настраиваем новый сетевой адаптер на
   автоматическое получение IP-
   адреса.

3. Проверяем
   доступ к Интернет.

4. Запустите
   режим управления сервером.

1. Выберите
   добавить новую роль.

2. В
   списке ролей выберите следующий пункт.

1. Выберите
   вариант «NAT»

1. Выберите
   интерфейс подключенный к Интернет

1. Отключите
   брандмауэр

2. Введите
   следующие параметры на клиентской
   машине

Проверьте
работоспособность NAT при помощи команд
(с клиентской машины):

ping
192.168.0.1

ping
[адрес адаптера сервера, подключенного
к Интернет]

Настройка
подключения
через
WinXP. Internet Connection Sharing.

Для
выполнения следующих двух этапов
необходимо проделать следующие действия:

Выключите
Win2003 Server и удалите его из Вашей группы.

Создайте
клон WinXP.

Выполняйте
действия согласно рисункам

Добавьте
новую ОС в группу

Добавить
сетевой адаптер, как показано на рисунке

Запустить
виртуальные машины

Настройте
на шлюзе адаптеры, как показано на
рисунке

Для
удобства переименуйте их

На
шлюзе, открываем Панель
управления > Сеть и удаленный доступ
к сети ( Control Panel > Network Connections),
выберите ваше подключение правой кнопкой
и нажмите Свойства
( Properties).
В закладке Дополнительно
( Advanced)
отметьте флажок Общий
доступ в моей сети для этого подключения
( Allow Other Network Users To Connect Thought This Computer’s
Internet Connection).

ICS
жестко сконфигурирован и назначает
компьютеру, обеспечивающему доступ,
статический внутренний адрес 192.168.0.1.
Все клиенты размещаются в одной физической
подсети, получают адреса из диапазона
192.168.0.0/24 (/24 означает первые 24 единицы
в маске сети, представленной в двоичной
форме, т.е. это маска 255.255.255.0) и используют
для разрешения имен только DNS-сервер,
размещенный на этом же компьютере.

На
клиентских машинах устанавливаем
Автоматическое получение IP-адреса.

Настройка
подключения через WinXP. Прокси-сервер

В
качестве прокси-сервера будем использовать
HandyCache
(HC)
— это бесплатная программа, которая
экономит трафик, ускоряет загрузку
страниц, блокирует рекламу и позволяет
в автономном режиме (без подключения к
Интернет) просмотреть любые посещенные
ранее сайты.

На
первом этапе необходимо установить
прокси сервер на компьютере подключенном
к сети Интернет. Используйте дискету
или флешку для переноса программы.

Установите
и настройте программу. Настройки можете
найти на официальном сайте системы
http://handycache.ru
в разделе Главная->Документация->Описание
и настройка HandyCache.

Минимальные
настройки:

• Безусловные
  прокси – proxy.mipk.kharkiv.edu:8080;

• Список
  пользователей – IP-адреса
  клиентов;

• Настройка
  броузера на клиентах.

Вывод. В результате проделанной работы вы должны получить навыки, которые позволят вам подключить локальную сеть к сети Internet, а также организовать совместный доступ к ее ресурсам.

Лабораторная работа №9-10

Механизмы резервного копирования данных

Соседние файлы в папке Выч сети

• #
• #
• #
• #
• #
• #
• #
• #
• #
• #
• #