Traduction sécurisée d’adresses réseau (SNAT)

Qu’est-ce que le SNAT (traduction sécurisée d’adresses réseau) ?

SNAT (Secure Network Address Translation) est une fonctionnalité mise en œuvre dans le module Local Traffic Management (LTM) de F5 BIG-IP, un équilibreur de charge fourni par F5. SNAT modifie l’adresse IP source des paquets entrants en la remplaçant par une autre adresse IP. BIG-IP LTM comprend également une fonctionnalité NAT qui permet d’établir une correspondance univoque entre des adresses IP privées et des adresses IP publiques. Bien que SNAT soit très similaire à NAT, il offre des fonctionnalités supplémentaires en permettant d’associer plusieurs adresses d’origine à une seule adresse traduite.

SNAT propose trois méthodes de traduction d’adresses :

1. Mappage direct d’une ou plusieurs adresses d’origine vers une adresse traduite spécifique.
2. Sélection automatique de l’une des adresses IP de BIG-IP pour la traduction d’adresses (SNAT Automap).
3. Utilisation de règles spécifiquement définies dans les iRules (SNAT intelligent).

Un cas d’usage courant du SNAT consiste à remplacer l’adresse IP privée source des requêtes sortantes provenant de serveurs du réseau interne par une adresse IP publique. Toutefois, sa fonction principale est de gérer la traduction d’adresses pour les requêtes entrantes provenant de clients externes.

En règle générale, BIG-IP LTM reçoit les paquets provenant de clients externes, applique des règles préconfigurées pour traduire l’adresse IP globale de destination en une adresse IP privée interne, puis transmet les paquets au serveur. Les réponses du serveur sont généralement réacheminées via BIG-IP LTM, où l’adresse IP privée source du serveur est retraduite en adresse IP globale avant d’être envoyée au client.

Cependant, certaines configurations réseau perturbent ce routage. Par exemple :

• Dans les configurations à un seul bras, où le client, BIG-IP et le serveur se trouvent sur le même réseau, la réponse du serveur contourne BIG-IP et est envoyée directement au client. Par conséquent, le client rejette la réponse, car l’adresse IP source du serveur ne correspond pas à l’adresse IP initialement demandée par le client.
• Même dans des configurations plus complexes, où BIG-IP sépare les segments client et serveur, des problèmes peuvent survenir si un routeur intermédiaire fait office de passerelle par défaut à la place de BIG-IP, entraînant des problèmes de routage similaires.

SNAT résout ces problèmes en veillant à ce que les réponses du serveur transitent toujours par BIG-IP. Pour ce faire, il remplace l’adresse source des paquets entrants par l’adresse IP de BIG-IP avant de les transmettre au serveur, garantissant ainsi que les réponses reviennent via BIG-IP.