NAT Traversal

Часто устройства Kaspersky NGFW располагаются в сети за устройствами трансляции сетевых адресов (NAT), например, коммуникационным оборудованием интернет-провайдера (см. рис. ниже).

Схема сети, при которой между Kaspersky NGFW расположено NAT-устройство

Наличие NAT-устройств между сторонами может стать проблемой при создании IPsec-туннелей, поскольку принципы работы NAT и IPsec архитектурно несовместимы. Так, протокол ESP, выполняющий инкапсуляцию и шифрование, не имеет понятия портов, поэтому NAT-устройство не имеет возможности выполнить преобразование адресов.

Для обхода ограничений NAT при создании IPsec-туннелей в Kaspersky NGFW используется механизм NAT Traversal (англ. обход NAT, сокращенно NAT-T). При обнаружении NAT между сторонами управляющий трафик IKE переключается с порта UDP/500 на порт UDP/4500, а зашифрованный трафик ESP инкапсулируется в UDP-заголовки и также передается через порт 4500. Помимо этого, для предотвращения разрыва IPsec-соединения из-за удаления записи в таблице трансляций при отсутствия трафика дольше установленного UDP-таймаута предусмотрена отправка keepalive-пакетов на удаленное устройство с регулярным интервалом.

Механизм NAT Traversal включен глобально на уровне устройства, и вы не можете его отключить. Однако вы можете настраивать интервал оправки keepalive-пакетов (от 0 до 3600 секунд, по умолчанию 20 секунд). При указании интервала 0 секунд отправка keepalive-пакетов на удаленное устройство не будет выполняться.

Чтобы настроить интервал отправки keepalive-пакетов:

1. В главном меню Консоли Open Single Management Platform перейдите в раздел Приложения и сервисы → NGFW.
2. Перейдите к изменению интервала отправки keepalive-пакетов одним из следующих способов:
   • Если вы хотите изменить параметр в сетевом шаблоне, в меню откройте вкладку Сетевые шаблоны, нажмите на сетевой шаблон и выберите раздел IPsec VPN.
   • Если вы хотите изменить параметр на устройстве, в меню откройте вкладку Устройства, нажмите на устройство и выберите раздел IPsec VPN.
3. Откройте вкладку Другие настройки.
4. В поле NAT-T keepalive (сек.) укажите нужное количество секунд для интервала отправки keepalive-пакетов.
5. Сохраните изменения в шаблоне или на устройстве.

После сохранения изменений новое значение интервала отправки keepalive-пакетов будет применяться к заново создаваемым IPsec-туннелям. Чтобы применить его к уже созданным IPsec-туннелям, вам необходимо выполнить их повторную инициализацию на устройстве. Для этого подключитесь к устройству локально и используйте команды семейства vpn. Описание семейств команд для настройки работы Kaspersky NGFW вы можете найти в документе Управление Kaspersky NGFW с помощью командной строки.