Включение переподписки для правил трансляции

Переподписка для правил трансляции (далее – переподписка NAT) позволяет использовать каждую пару транслированных портов и IP-адресов несколько раз в одновременных сессиях. Переиспользование портов дает возможность установить больше сессий с одинаковыми IP-адресами источника и разными IP-адресами или портами назначения за счет возможного использования одного и того же порта источника. Для одних и тех же IP-адресов и портов назначения переиспользование портов невозможно.

Вы можете использовать переподписку NAT для оптимизации процесса динамического выделения порта источника для маскарадинга, чтобы ускорить процесс трансляции и уменьшить количество неуспешных попыток создания NAT-соединений.

Переподписка используется глобально на всем устройстве Kaspersky NGFW для всех правил маскарадинга.

При отсутствии свободных портов пакет отбрасывается.

Чтобы включить переподписку NAT:

1. В главном меню Консоли Open Single Management Platform перейдите в раздел Приложения и сервисы → NGFW.
2. Перейдите к включению переподписки NAT одним из следующих способов:
   • Если вы хотите включить переподписку NAT в сетевом шаблоне, в меню откройте вкладку Сетевые шаблоны, нажмите на сетевой шаблон и выберите раздел Система → Тайм-ауты сессий.
   • Если вы хотите включить переподписку NAT на устройстве, в меню откройте вкладку Устройства, нажмите на устройство и выберите раздел Система → Тайм-ауты сессий.

   Откроется страница параметров сессий и тайм-аутов для каждого состояния протокола.

3. При включении переподписки NAT на устройстве включите переключатель Переопределить, чтобы разблокировать для изменения параметры, унаследованные от сетевого шаблона.
4. В блоке параметров Переподписка NAT включите переключатель Статус.

Переподписка NAT будет включена в сетевом шаблоне или на конкретном устройстве.

При включении переподписки NAT все сессии маскарадинга, а также правил фильтрации, которые используют маскарадинг, разрываются.

Ограничения

Существуют следующие ограничения:

• Недопустимо использование служебных портов (от 0 до 1023) при настройке диапазона портов для маскарадинга.
• Коэффициент переподписки на Kaspersky NGFW (максимальное количество трансляций, для которых можно выделить один и тот же порт источника) – 4, если адреса и/или порты назначения, проходящих через процесс трансляции, отличаются.

Пример использования

Устройства одновременно выполняют следующие действия:

• Устройство A (192.168.1.10) открывает браузер и заходит на сайт google.com (142.250.185.78:443). Исходный порт на устройстве: 50000.
• Устройство B (192.168.1.20) подключается к YouTube (172.217.16.4:443) через тот же порт 50000.
• Устройство C (192.168.1.30) отправляет DNS-запрос на 8.8.8.8:53 с порта 50000.

Каждое устройство отправляет пакет с исходным портом 50000, но на разные адреса назначения.

Пакеты с измененными заголовками отправляются на серверы:

• От устройства Kaspersky NGFW на 142.250185.78:443: источник 203.0.113.5:20001.
• От устройства Kaspersky NGFW на 172.217.16.4:443: источник 203.0.113.5:20001.
• От устройства Kaspersky NGFW на 8.8.8.8:53: источник 203.0.113.5:20001.

С включенной переподпиской NAT устройство Kaspersky NGFW может использовать один и тот же порт (20001) для всех соединений.

Без включенной переподписки NAT запросы от каждого устройства используют отдельный порт.