Правила трансляции сетевых адресов (NAT)

Kaspersky NGFW поддерживает механизмы трансляции сетевых адресов (англ. network address translation, далее также NAT), трансляции сетевых адресов и портов (англ. network address port translation, далее также NAPT). Механизмы трансляции могут заменять (транслировать) компоненты трафика, проходящего через Kaspersky NGFW, на значения, указанные в правилах трансляции NAT и NAPT. Правила состоят из критериев, по которым отбирается трафик для трансляции, и параметров трансляции, на которые будут заменены значения компонентов трафика, подходящего под критерии.

При создании правила трансляции вы можете настраивать следующие параметры:

• Параметры, по которым отбирается трафик для трансляции:
  • IP-адреса, диапазоны IP-адресов, порты, диапазоны портов и зоны безопасности источника;
  • IP-адреса, диапазоны IP-адресов, порты, диапазоны портов и зоны безопасности назначения;
  • сервисы (протоколы и порты).
• Параметры, по которым будут транслироваться адреса и порты:
  • IP-адреса, диапазоны IP-адресов источника;
  • IP-адреса, диапазоны IP-адресов, порты назначения.

Информация о сессиях, в которых к трафику было применено правило трансляции, отображается в таблице сессий в разделе Менеджер сессий. К ответным пакетам, передаваемым в рамках сессии, к которой было применено правило трансляции NAT или NAPT, до завершения сессии также применяется обратная трансляция сетевых адресов.

Если в разделе Сетевой экран → Общее вы включили запись событий в журнал, то информация о сессиях, к трафику которых применяется правило трансляции NAT или NAPT, а также о работе правил трансляции записывается в журнале событий безопасности. Информация о результатах трансляции (транслированные адрес и порт) записывается в журнале сессий.

Типы правил трансляции

Решение Kaspersky NGFW поддерживает следующие типы правил трансляции:

• Статический NAT (англ. static NAT) – статическая трансляция сетевых адресов, при которой исходный IP-адрес заменяется на IP-адрес, указанный в правиле.
• Маскарадинг – маскарадинг сетевых адресов, при котором все исходные IP-адреса источника заменяются на конкретные IP-адрес или один из IP-адресов, указанных в правиле, с которых будет передаваться трафик. При этом для каждого подключения открывается новый порт для идентификации отправителя и получателя, а также для передачи обратного трафика. После завершения сессии порт закрывается.
• Динамический NAT источника (англ. dynamic source NAT) – динамическая трансляция сетевых адресов, при которой исходный IP-адрес отправителя заменяется на первый незанятый IP-адрес из тех, что указаны в правиле. IP-адрес, на который был заменен исходный IP-адрес, не может быть занят до завершения сессии.
• Статический NAPT назначения (англ. static destination NAPT) – статическая трансляция сетевых адресов и портов, при которой внешний порт назначения, указанный в правиле, резервируется и весь трафик, поступающий на этот порт, транслируется на внутренние IP-адрес и порт, указанные в правиле.

Порядок применения правил трансляции

Правила NAT и NAPT применяются к трафику в порядке приоритета, который задается при создании правила. Чем меньше числовое значение приоритета правила, тем выше приоритет правила и тем раньше оно сработает. Правила в таблице отсортированы в порядке их приоритета, от меньшего к большему. Решение сопоставляет трафик с правилами в порядке их приоритета от меньшего к большему, при первом совпадении соответствующее правило применяется к трафику и поиск правил останавливается.

Если при создании правила вы не указываете приоритет, по умолчанию новое правило имеет самый низкий приоритет (то есть ему задается самое большое числовое значение приоритета) и добавляется в конец списка.

Если вы включили хотя бы одно правило трансляции и используете маршруты для трафика, эти функциональности применяются в следующем порядке:

• Для правил типа статический NAPT назначения: сначала применяется правило трансляции, затем маршрутизация.
• Для правил типа статический NAT, динамический NAT источника и маскарадинг: сначала применяется маршрутизация, затем правило трансляции.