Правила трансляции сетевых адресов (NAT)
06 октября 2026
ID 300583
Kaspersky NGFW поддерживает механизмы трансляции сетевых адресов (англ. network address translation, далее также NAT), трансляции сетевых адресов и портов (англ. network address port translation, далее также NAPT). Механизмы трансляции могут заменять (транслировать) IP-адреса и порты трафика, проходящего через Kaspersky NGFW, на значения, указанные в правилах трансляции NAT и NAPT. Правила состоят из критериев, по которым отбирается трафик для трансляции, и параметров трансляции, на которые будут заменены значения компонентов трафика, подходящего под критерии.
Для однозначной идентификации сессий, построенных внутри пакетного фильтра, а также NAT-трансляций вместо классических 5 параметров (5-tuple) – IP-адреса источника и назначения, порты источника и назначения, протокол – используется 7 параметров (7-tuple) – IP-адреса источника и назначения, порты источника и назначения, протокол, зона безопасности источника, VRF источника. Это сделано для поддержки случаев, когда на одно устройство Kaspersky NGFW приходит трафик с двух разных хостов, имеющих одинаковые IP-адреса. В данном случае администратор должен построить топологию так, чтобы трафик с одного такого хоста пришел на один интерфейс Kaspersky NGFW, а трафик с другого хоста – на другой интерфейс. При этом интерфейсы, на которые приходит трафик и с которых трафик отправляется в сеть, должны быть в разных VRF либо зонах безопасности. В противном случае трафик с физически разных хостов будет считаться принадлежащим одной и той же сессии, что может привести к блокировке трафика.
Типы правил трансляции
Решение Kaspersky NGFW поддерживает следующие типы правил трансляции:
- Статический NAT (англ. static NAT) – статическая трансляция сетевых адресов, при которой исходный IP-адрес заменяется на IP-адрес, указанный в правиле.
- Маскарадинг – маскарадинг сетевых адресов, при котором все исходные IP-адреса источника заменяются на конкретные IP-адрес или один из IP-адресов, указанных в правиле, с которых будет передаваться трафик. При этом для каждого подключения открывается новый порт для идентификации отправителя и получателя, а также для передачи обратного трафика. После завершения сессии порт закрывается.
- Динамический NAT источника (англ. dynamic source NAT) – динамическая трансляция сетевых адресов, при которой исходный IP-адрес отправителя заменяется на первый незанятый IP-адрес из тех, что указаны в правиле. IP-адрес, на который был заменен исходный IP-адрес, не может быть занят до завершения сессии.
- Трансляция порт-адрес или статический NAPT назначения (англ. static destination NAPT) – статическая трансляция сетевых адресов и портов, при которой внешний порт назначения, указанный в правиле, резервируется и весь трафик, поступающий на этот порт, транслируется на внутренние IP-адрес и порт, указанные в правиле.
Параметры правил
При создании правила трансляции вы можете настраивать следующие параметры:
- Параметры, по которым отбирается трафик для трансляции:
- IP-адреса, диапазоны IP-адресов, порты, диапазоны портов и зоны безопасности источника;
- IP-адреса, диапазоны IP-адресов, порты, диапазоны портов и зоны безопасности назначения;
- сервисы (протоколы и порты).
- Параметры, по которым будут транслироваться адреса и порты:
- IP-адреса, диапазоны IP-адресов источника;
- IP-адреса, диапазоны IP-адресов, порты назначения.
Порядок применения правил трансляции
Каждое правило трансляции имеет приоритет выполнения. Чем выше правило в списке, тем выше его приоритет и тем раньше оно сработает. Решение сопоставляет трафик с правилами в порядке их расположения в таблице правил сверху вниз. Как только заданные в очередном правиле условия выполняются, к трафику применяются параметры обработки, заданные в этом правиле, и поиск совпадений завершается.
Если вы включили хотя бы одно правило трансляции и используете маршруты для трафика, эти функциональности применяются в следующем порядке:
- Для правил типа трансляция порт-адрес: сначала применяется правило трансляции, затем маршрутизация.
- Для правил типа статический NAT, динамический NAT источника и маскарадинг: сначала применяется маршрутизация, затем правило трансляции.
Информация о сессиях, в которых к трафику было применено правило трансляции, отображается в таблице сессий в разделе Менеджер сессий. К ответным пакетам, передаваемым в рамках сессии, к которой было применено правило трансляции NAT или NAPT, до завершения сессии также применяется обратная трансляция сетевых адресов.
Если для сессии, попадающей под правило, включена запись в журнал, информация о сессиях, к трафику которых применяется правило NAT или NAPT, а также о срабатывании правила трансляции записывается в журнал событий безопасности. Информация о результатах трансляции, включая транслированные адреса и порты, отображается в журнале сессий.
