Создание правила маскарадинга

Чтобы создать правило маскарадинга:

1. В главном меню Консоли Open Single Management Platform перейдите в раздел Приложения и сервисы → NGFW.

   Откроется вкладка Политики.

2. Выберите политику, в которую вы хотите внести изменения.
3. Перейдите в раздел NAT.

   Откроется таблица правил трансляции.

4. Выполните одно из следующих действий:
   • В верхней части рабочей области нажмите на кнопку Создать и из раскрывающегося списка выберите, куда поместить создаваемое правило:
     • Создать сверху – создаваемое правило будет помещено на первую позицию в таблице.
     • Создать снизу – создаваемое правило будет помещено на последнюю позицию в таблице.
     • Создать и поместить к правилу – во всплывающем окне укажите название правила, выше или ниже которого вы хотите поместить создаваемое правило, и нажмите соответствующую кнопку.
   • Установите флажок рядом с правилом, выше или ниже которого вы хотите поместить создаваемое правило и в верхней части рабочей области нажмите Создать. Из раскрывающегося списка выберите, куда поместить создаваемое правило:
     • Создать выше – создаваемое правило будет помещено выше выбранного правила.
     • Создать ниже – создаваемое правило будет помещено ниже выбранного правила.

   Откроется окно создания правила трансляции.

   Новому правилу автоматически присваивается уникальный номер – UUID.

5. Перейдите в раздел Общее и выполните следующие действия:
   1. Если вы хотите применить правило сразу после добавления, включите переключатель Статус. Чтобы правило не применялось, выключите переключатель. По умолчанию переключатель выключен.

      Вы также можете включить или выключить правило трансляции после создания.

   2. В поле Название введите название нового правила.

      Название правила должно быть уникальным в списке правил. Максимальная длина – 128 символов.

   3. При необходимости в поле Описание введите произвольное описание правила.

      Максимальная длина – 1024 символа.

   4. В поле Тип выберите тип Маскарадинг.
6. Перейдите в раздел Исходные пакеты → Источник и выберите один из следующих вариантов:
   • Все (по умолчанию) – правило будет применяться к трафику с любыми параметрами источника.
   • Выбранные – правило будет применяться только к трафику с выбранными IP-адресами или зонами безопасности источника.
7. Если вы выбрали Выбранные укажите исходные параметры источника, к которым правило будет применяться:
   1. Перейдите на вкладку Адреса и в столбце Используется в правиле напротив одного или нескольких IP-адресов, диапазонов IP-адресов, подсетей, FQDN или GeoIP, которые вы хотите добавить в правило, установите переключатель в положение Вкл. Если вы хотите добавить сразу несколько объектов, установите флажки напротив необходимых объектов и нажмите Использовать в правиле.

      При необходимости вы также можете создать новый или изменить существующий IP-адрес перед добавлением в правило.

   2. Если вы хотите применять правило к трафику, поступающему на IP-адреса интерфейсов, входящих в зону безопасности, перейдите на вкладку Зоны безопасности и в столбце Используется в правиле напротив зоны безопасности, которую вы хотите добавить в правило, установите переключатель в положение Вкл. Вы можете добавить только одну зону безопасности в правило.
8. Перейдите в раздел Исходные пакеты → Назначение и выберите один из следующих вариантов:
   • Все (по умолчанию) – правило будет применяться к трафику с любыми параметрами назначения.
   • Выбранные – правило будет применяться только к трафику с выбранными IP-адресами или зоной безопасности назначения.
9. Если вы выбрали Выбранные, укажите исходные параметры назначения, по которым правило будет применяться к трафику:
   1. Перейдите на вкладку Адреса и в столбце Используется в правиле напротив одного или нескольких IP-адресов, которые вы хотите добавить в правило, установите переключатель в положение Вкл. Если вы хотите добавить сразу несколько IP-адресов, установите флажки напротив необходимых IP-адресов и нажмите Использовать в правиле. Диапазоны IP-адресов и подсети не поддерживаются.

      При необходимости вы также можете создать новый или изменить существующий IP-адрес перед добавлением в правило.

   2. Если вы хотите применять правило к трафику, поступающему на IP-адреса интерфейсов, входящих в зону безопасности, перейдите на вкладку Зоны безопасности и в столбце Используется в правиле напротив зоны безопасности, которую вы хотите добавить в правило, установите переключатель в положение Вкл. Вы можете добавить только одну зону безопасности в правило.
10. Если необходимо, в разделе Исходные пакеты → Сервисы укажите сервисы (комбинация портов и протоколов), к трафику от которых необходимо применять правило.

    Вы можете добавить в правило маскарадинга только сервисы с протоколами TCP, UDP или ICMP.

    При выборе сервиса с протоколом ICMP правила маскарадинга будут применяться только к отправляемым пакетам Echo Request и поступающим ответным пакетам.

11. Перейдите в раздел Транслированные пакеты → Источник и выберите один из следующих вариантов:
    • Все (по умолчанию) – транслировать на основной (англ. primary) IP-адрес выходного интерфейса и незанятый порт. Если для выходного интерфейса настроена поддержка нескольких IP-адресов и есть подчиненные (англ. secondary) IP-адреса, транслировать на случайный.
    • Выбранные – транслировать на указанные в правиле IP-адреса и порты.
12. Если вы выбрали Выбранные, перейдите на вкладку Адреса и в столбце Используется в правиле напротив IP-адресов, на которые вы хотите транслировать, установите переключатель в положение Вкл. Необходимо добавить хотя бы один IP-адрес, принадлежащий интерфейсам Kaspersky NGFW. Диапазоны IP-адресов и подсети не поддерживаются.

    Вы можете использовать произвольный IP-адрес, который может быть не настроен на интерфейсе Kaspersky NGFW, на котором применяется правило NAT. Если в качестве транслированного источника указан IP-адрес, не принадлежащий интерфейсу Kaspersky NGFW, требуется обеспечить маршрутизацию обратного трафика.

    При срабатывании правила трансляция будет проводиться на случайный IP-адрес из тех, которые и добавлены в правило.

    При необходимости вы можете создать новый или изменить существующий IP-адрес перед добавлением в правило.

    Добавление портов в правило маскарадинга доступно с помощью семейства команд nat в командной строке. Однако мы не рекомендуем добавлять порты в правило маскарадинга, так как использование портов может привести к тому, что все порты устройства будут заняты.

13. Сохраните правило, нажав Сохранить. При невозможности сохранить изменения проверьте корректность указанных значений. Разделы, в которых указаны неверные значения, помечены красной точкой.

    Новое правило будет добавлено в таблицу правил.

14. Примените изменения к политике, нажав на кнопку Применить.