Usare il NAT per un server proxy in DMZ: assegnazione IP interno e accesso intranet
Sì, la Traduzione degli Indirizzi di Rete (NAT) può assegnare un indirizzo IP privato/interno a un server proxy ospitato in DMZ, abilitando sia l'accesso Internet in uscita che le connessioni client intranet in entrata — senza richiedere un IP pubblico statico sul proxy stesso.
Come funziona
In uscita (Proxy → Internet)
Il server proxy è configurato con un IP privato (es. 10.0.1.10/24) sul segmento DMZ. Il dispositivo NAT (firewall/router) esegue Source NAT (SNAT), traducendo l'IP sorgente privato del proxy in un IP pubblico (o pool) per il traffico diretto a Internet. Il traffico di ritorno viene ritradotto tramite la tabella di stato.
In entrata (Client intranet → Proxy)
I client intranet (es. 192.168.10.0/24) accedono al proxy tramite il suo IP DMZ privato (10.0.1.10) direttamente — nessun NAT necessario per il traffico interno-to-DMZ se il routing lo consente. La policy del firewall consente semplicemente TCP/80,8080,3128 (o qualunque porta proxy) dalla zona intranet alla zona DMZ.
Alternativa: Port Forwarding (DNAT) per accesso pubblico
Se i client Internet esterni devono raggiungere il proxy (raro per i proxy forward), configura Destination NAT (DNAT) sul firewall: mappa IP pubblico:porta → 10.0.1.10:porta_proxy. I client intranet continuano a usare l'IP privato direttamente.
Perché un IP pubblico statico sul proxy è inutile
- I client intranet risolvono il proxy tramite DNS interno (es.
proxy.corp.example.com→ 10.0.1.10) - Nessuna esposizione DNS pubblica riduce la superficie di attacco
- Il dispositivo NAT gestisce tutta la gestione degli IP pubblici
- Semplifica HA/failover (sposta l'IP privato su proxy di standby)
Lista di controllo configurazione
- Interfaccia/sottorete DMZ sul firewall
- Server proxy con prenotazione DHCP statica o IP statico nella sottorete DMZ
- Policy firewall: Intranet → DMZ (IP proxy, porte proxy) CONSENTI
- Policy firewall: DMZ (IP proxy) → Internet CONSENTI (con SNAT)
- Record A DNS interno per hostname proxy → IP DMZ privato
- Configurazione client proxy:
https://proxy.corp.example.com:3128
Questa architettura segue i principi di segmentazione zero-trust: il proxy risiede in DMZ, accede a Internet tramite SNAT, serve i client intranet direttamente tramite IP privato — nessun IP pubblico sull'host proxy richiesto.