İnternet ortamından iç ağa nasıl port yönlendirmesi yapılır (Virtual Host nasıl oluşturulur)

Transkript

1 İnternet ortamından iç ağa nasıl port yönlendirmesi yapılır (Virtual Host nasıl oluşturulur)

2 Cyberoam cihazınız üzerindeki portları faklı bölgeler (zone) olarak tanımlayabilirsiniz. Bu tanımladığınız farklı bölgeler arasında bir port yönlendirmesi yapmak istediğiniz durumlarda Cyberoam üzerinde Virtual Host tanımlamanız gerekmektedir. Örnek olarak internet ortamından (WAN Zone) iç ağınıza (LAN Zone) bir port yönlendirmek istiyorsanız bu port için bir Virtual host oluşturmalı ve buna bir firewall kuralında izin vermeniz gerekmektedir. Örnek anlatım için aşağıdaki değerler kullanılacaktır. İnternete çıkış ip si (real ip) : Yönlendirme yapılacak iç ağdaki makinenin ip si : Yönlendirme yapılacak port (RDP portu) : 3389 Cyberoam web ara yüzünden Firewall Virtual Host sekmesine altından yeni bir Virtual Host yaratmak için Add butonuna tıklayınız. Türkçe karakter ve boşluk kullanmadan yazacağınız port yönlendirmesi için Name kısmına bir isim verin.

3 External IP kısmında bağlantı için isteğin nereden geleceğini seçiyoruz. İnternete çıkış ip niz birden falza sayıdada olabilir ve bunlar için ayrı ayrı yönlendirmeler yapabilirsiniz. Örneğimiz için internete çıkış yaptığımız B portunu seçiyoruz. Mapped IP kısmında içeride yönlendirmeyi yapacağımız iç ağ ip adresini belirliyoruz. Burada Daha önceden Objects/Host tabında tanımladığınız bir makine varsa zaten listelenecektir ve listeden seçebilirsiniz. Tekrar oluşturmanıza gerek yok. Ancak makineyi daha önce tanımlamadıysanız Add IP Address seçeneğine tıklayarak makineyi tanımlamanız gerekmektedir. Name kısmında makineyi işaret eden bir isim verebilirsiniz (makinenin gerçek ismi olmak zorunda değildir). Ip seçeneği seçili iken makinenin iç ipsini IP Address kısmına girin. IP Host Group kısmında yönlendirme amacı için bir değişiklik yapmanıza gerek yoktur; OK butonu ile onaylayıp çıkabilirsiniz.

4 Physical Zone kısmında makineniz Cyberoam ile iletişime hangi porttan iletişime geçiyor ise o portun tanımlandığı bölge seçilmelidir. Örneğimizdeki /24 networkü üzerinden haberleşen srv1 makinemiz cyberoama A portu üzerinden bağlı ve A portu bölgesi LAN olarak tanımlandığından Physical Zone kısmında LAN seçiyoruz. Port Forwarding kısmında belirli bir port yönlendirecek isek Enable Port Forwarding seçeneğini işaretleyerek ilgili tanımı yapmak gerekmekte. Eğer bu seçenek işaretlenmezse seçili External IP üzerinden gelen 1 den e kadar gelen her port isteği Mapped IP kısmında seçtiğimiz makineye yönlendirilecektir. Bu tarz bir seçim yaptığımızda ilgili External Ip den gelen herhangi bir portu srv1 haricinde başka bir makineye yönlendirmeniz mümkün olmayacaktır. Yönlendirmek istediğiniz port yada portları Enable Port Forwarding seçeneğini seçtikten sonra belirleyebiliriz. Protocol kısmında yönlendireceğiniz portun TCP yada UDP protokollerinden hangisini kullandığını belirlemelisiniz. RDP portu TCP protokolünü kullandığından örneğimiz için TCP seçtik. External Port Type kısmında : Port Port Range Port List : Tek bir port yönlendirmesi için : Sıralı çoklu port yönlendirmesi için (port aralığı tanımlaması) :Sırasız çoklu port yönlendirmesi için (80,443,3389 gibi arada virgül kullanarak birden fazla port tanımlaması) External Port kısmına dışarıdan hangi port geldiğinde Mapped port kısmında hangi porta yönlendirileceğine karar verirsiniz. (örnek olarak (external) 3390 başka bir makinenin (mapped) 3389una yönlensin diye ikinci bir Virtual host tanımlanabilir)

5 OK butonu ile Virtual Host tanımlamasını tanımladığınız zaman karşınıza aşağıdaki Add Firewall Rules For Virtual Host ekranı gelecektir *. Port yönlendirmesinin geçerli olabilmesi için ilgili Virtual Host tanımı için izin verdiğiniz Zone lar için bir Firewall kuralının olması gerekmektedir. Bu Firewall kuralı manuel olarak tanımlanabileceği gibi size aşağıdaki ekran ile otomatik oluşturma seçeneği de sunulur. Bu kısımda Add Firewall Rule(s) For Virtual Host kutucuğunu seçerek bu firewall kuralını otomatik oluşturulmasına izin verebilirsiniz. Bu kural detayında aşağıdaki alanları özelleştirebilirsiniz. *Not= Otomatik olarak Firewall kuralı oluşturma özelliği ve üzerindeki firmware versiyonları için geçerlidir. Daha eski olanlar için kural manuel olarak oluşturulmalıdır. Firewall Rule Name Source Zone Service : Firewall kuralının görünen adı : Erişimin hangi bölgeden geldiğinde kabul edileceği : Servis alanı sadece tüm portları tek bir makineye yönlendirmişseniz özelleştirilebilir. Aksi durumlarda belirttiğiniz portlar için kilitli olarak gelir.

6 Apply NAT AV & AS Scanning Log Traffic Create Reflexive Rule : Yönlendirme yaptığınız sistem real ip üzerinden gelecek isteği kabul etmediği durumlarda Cyberoamun iç ipsi arkasına maskelemek amacıyla kullanılabilir. Ancak çoğu durumda ulaşan gerçek kişinin ipsi gözlenmek isteneceğinden burada bir seçim yapılmaması önerilir. : İlgili yönlendirme içinde SMTP,POP3,IMAP,FTP,HTTP,HTTPS için Antivirüs ve Antispam koruması açılması isteniyorsa bu bölümden seçilebilir. : Firewall logları altında bu trafiğin gözlenmesi isteniyorsa bu seçenek aktifleştirilmelidir. Bu logların geçmişe yönelik olarak sadece dış ortamdaki iview (external iview) programı üzerinden takip edilebildiği unutulmamalıdır. : Virtual hostu belirli bir bölgeden (örnek için WAN) belirli bir bölgeye doğru (örnek için LAN) oluşturmuştuk. Eğer bu trafiğin tersi bir yön için firewall kuralına ihtiyacımız var ise bu seçeneği seçtiğinizde ters yönde trafik içinde (LAN dan WAN a) kabul edecek bir firewall kuralı otomatik olarak yaratılır.(rdp örneği için gerekli değildir) : Artı butonuna bastığınızda farklı bir bölgeden gelen (DMZ bölgesi gibi) aynı port isteğini aynı makineye yönlendirilmesini sağlayacak Firewall kuralıda otomatik olarak oluşturtulabilir.

7 Add Rule seçeneğine bastığınızda aşağıdaki gibi Virtual Host un oluştuğunu göreceksiniz. Aynı zamanda iki farklı Firewall kuralının oluştuğunuda göreceksiniz. Bu Firewall kurallarından WAN-LAN altında oluşan bizim örneğimiz için oluşturulan ve yönlendirmenin çalışmasını sağlayan kuraldır. LAN-LAN altında oluşan Loopback kuralı ise sizin belirttiğiniz yönlendirmeyi şirket içinden de aynı şirket dışından kullandığınız gibi kullanabilmeniz içindir. Örneğimiz için açıklamak gerekirse şirket dışından ipsi ile RDP başlattığınızda karşınıza makinesi gelecektir. Şirket içinden normalde sadece ipsini yazarak ulaşabileceğiniz makineye şirket içinden de ipsi ile ulaşmanızı Loopback kuralı sağlar.