Wie NAT-Konfigurationen verarbeitet werden
Firewall-Regeln erlauben oder blockieren den ein- und ausgehenden Netzwerkverkehr. NAT-Regeln übersetzen IP-Adressen für den von der Firewall-Regel zugelassenen Datenverkehr. Daher müssen Sie Firewall-Regeln erstellen, selbst wenn Sie bereits NAT-Regeln erstellt haben.
Wenn die Sophos Firewall keine Firewall-Regel findet, die den Datenverkehrskriterien entspricht, verwirft sie den Datenverkehr und protokolliert das Ereignis. Wenn sie keine passende NAT-Regel findet, lässt sie den Datenverkehr durch, übersetzt die IP-Adresse aber nicht.
Bei NAT-Regeln sind die Abgleichkriterien die ursprüngliche (vor NAT) Quelle, das Ziel und der Dienst sowie die eingehenden und ausgehenden Schnittstellen.
Die Reihenfolge, in der die Sophos Firewall NAT- und Firewall-Regeln abruft und anwendet, ist wie folgt:
- Ausgehender Datenverkehr: Die Sophos Firewall wendet zuerst die Firewall-Regel und anschließend die SNAT-Regel an.
-
Eingehender Datenverkehr: Die Sophos Firewall ermittelt zunächst anhand der DNAT-Regel das übersetzte (nach NAT) Ziel. Anschließend gleicht sie die Firewall-Regel mit den Quell- und Zielzonen, Quell- und Zielnetzwerken, Diensten und dem Zeitplan ab. Als Zielzone wird die Zone verwendet, zu der das übersetzte (nach NAT) Ziel gehört.
Beispiel
Für den Datenverkehr von der WAN- oder LAN-Zone zu Ihrem Webserver in der DMZ können Sie eine DNAT-Regel erstellen, um Ihre öffentliche IP-Adresse (ursprüngliches Ziel) in die IP-Adresse des Webservers (übersetztes Ziel) zu übersetzen.
Beim Eintreffen von Paketen sucht die Sophos Firewall die DNAT-Regel. Sie ermittelt die Zone, die das von Ihnen angegebene übersetzte Ziel enthält. In diesem Beispiel wird die DMZ als Zielzone identifiziert.
Um eine Firewall-Regel zu erstellen, die diesem Datenverkehr entspricht, müssen Sie die Zielzone auf DMZ festlegen.
Ein Beispiel für die Erstellung einer DNAT-Regel und der zugehörigen Firewall-Regel finden Sie unter Erstellen Sie DNAT- und Firewall-Regeln für interne Server..