Особенности и ограничения использования трансляции сетевых адресов и портов

Ограничения

При одновременной работе правил NAT и PBR учитывайте также ограничения и особенности работы правил PBR.

Не поддерживается одновременная работа правил PBR и правил трансляции типа статический NAT с произвольными IP-адресами, которые не настроены на Kaspersky NGFW.

При настройке правил NAT учитывайте рекомендуемое максимальное количество правил NAT в конфигурации Kaspersky NGFW.

В таблице ниже приведено сравнение максимального количества правил NAT для поддерживаемых платформ.

Рекомендуемое максимальное количество правил NAT

Особенности работы

При работе трансляции сетевых адресов существуют следующие особенности:

• При использовании в качестве транслированного источника произвольных адресов, не являющихся IP-адресами каких-либо интерфейсов Kaspersky NGFW, для обеспечения прохождения трафика требуется обеспечить маршрутизацию обратного трафика. Необходимы дополнительные настройки на стороне соседнего хоста:
  • Если произвольный адрес в правилах NAT взят не из диапазона подсети, настроенной на интерфейсе Kaspersky NGFW, то на соседнем маршрутизаторе или сервере необходимо настроить статические маршруты на такие адреса. В качестве шлюза в этих маршрутах должен быть указан IP-адрес, назначенный на интерфейс Kaspersky NGFW.
  • Если произвольный адрес в правилах NAT взят из диапазона подсети, настроенной на интерфейсе Kaspersky NGFW, то на соседнем маршрутизаторе или сервере необходимо сделать одно из следующего:
    • Настроить статические маршруты на такие адреса. В качестве шлюза в этих маршрутах должен быть указан IP-адрес, назначенный на интерфейс Kaspersky NGFW, а длина маски должна быть больше, чем длина маски непосредственно подключенного маршрута.
    • Настроить статические ARP-записи для таких адресов.
• Правила PBR срабатывают после NAT-трансляции на пакете, у которого исходный IP-адрес назначения принадлежит Kaspersky NGFW либо IP-адрес назначения используется в качестве транслированного IP-адреса источника для правил NAT маскарадинга. Во всех остальных случаях правила PBR применяются до трансляции. Это относится отдельно к прямым и обратным пакетам.
• При совместной работе правил NAT существуют следующие особенности:
  • Если настроены правила типа трансляция порт-адрес:
    • для пакета прямой сессии транслируются IP-адрес назначения и порт;
    • для пакета обратной сессии транслируются IP-адрес источника и порт;
    • при указании локального IP-адреса для транзитного трафика поведение Kaspersky NGFW зависит от остальной части конфигурации Kaspersky NGFW.
  • Если настроены правила типа статический NAT:
    • для пакета прямой сессии транслируется IP-адрес источника;
    • для пакета обратной сессии транслируется IP-адрес назначения;
    • автоматически создается скрытое правило типа статический NAT назначения, необходимое для обратных соединений.
  • Если настроены правила типа динамический NAT источника:
    • для пакета прямой сессии транслируется IP-адрес источника, который выбирается случайным образом из пула адресов, если в пуле нет свободных адресов, то пакет отбрасывается;
    • для пакета обратной сессии транслируется IP-адрес назначения.
  • Если настроены правила маскарадинга:
    • для пакета прямой сессии транслируются IP-адрес и порт источника, при этом порт выбирается случайным образом; правило применяется только к TCP/UDP/ICMP Echo request-трафику;
    • для пакета обратной сессии транслируются IP-адрес и порт назначения.
• Обратная NAT-сессия создается автоматически при создании прямой сессии для всех типов NAT.