NetdefendOS_2.27.01_Firewall_User_Manual_RUS

распределение новых соединений между внешними IP-адресами без лишних затрат памяти на
формирование таблицы состояний. Помимо этого, время на обработку данных при установлении
каждого нового соединения сокращается. К недостаткам способа относится то, что он не подходит
для подключений, требующих наличия постоянного внешнего IP-адреса.
NAT-пулы типа Fixed
Если выбран тип NAT-пула Fixed, это означает, что каждый внутренний клиент или хост поставлен в
соответствие одному из внешних IP-адресов с помощью алгоритма хеширования. Хотя
администратор не имеет возможности контролировать, какое из внешних подключений будет
использоваться, такой подход гарантирует, что определенный внутренний клиент или хост всегда
будет обмениваться информацией через один и тот же внешний IP-адрес.
Преимуществом типа Fixed является то, что он не требует ресурсов памяти на создание таблицы
состояний и обеспечивает очень высокую скорость обработки данных при установлении нового
соединения. Хотя точное распределение нагрузки не является частью данного подхода,
распределение нагрузки через внешние подключения должно выполняться для обеспечения
случайного характера алгоритма распределения.
Использование IP-пулов
При назначении внешних IP-адресов в NAT-пул не обязательно прописывать их вручную. Можно
выбрать объект «IP-пул» системы NetDefendOS. IP-пулы получают наборы IP-адресов автоматически
через DHCP-сервер и могут также автоматически добавлять внешние IP-адреса в NAT-пулы.
Получить дополнительную информацию по данному вопросу можно в Разделе 5.4, «IP-пулы».
Использование механизма Proxy ARP
Внешний маршрутизатор посылает ARP-запросы межсетевому экрану NetDefend, чтобы на основе
ARP-ответов системы NetDefendOS принять решение о выборе внешних IP-адресов из NAT-пула.
Таким образом, корректное формирование таблицы маршрутизации внешнего маршрутизатора
зависит непосредственно от механизма Proxy ARP.
В разделе настроек NAT-пулов администратор должен определить, какие интерфейсы будут
использоваться NAT-пулами по умолчанию. Это дает возможность подключить механизм Proxy ARP
для NAT-пула на всех интерфейсах, но может привести к ситуации, когда прописываются маршруты
к тем интерфейсам, на которые не должны доставляться пакеты. Поэтому рекомендуется, чтобы
интерфейс или интерфейсы, используемые для Proxy ARP механизма NAT-пула, были точно
определены.
Использование NAT-пулов
NAT-пулы используются в сочетании со стандартными IP-правилами NAT. В диалоговом окне
определения NAT-правила присутствует возможность выбора NAT-пула, который должен
использоваться вместе с правилом. С установления этой связи начинается функционирование NATпула.
Пример 7.2. Использование NAT-пулов
В данном примере демонстрируется создание NAT-пула с диапазоном внешних IP-адресов 10.6.13.10 –
10.16.13.15, который затем используется в IP-правиле NAT для HTTP-трафика на WAN-интерфейсе.
Web-интерфейс
А. Во-первых, необходимо создать в адресной книге новый объект диапазона адресов:
1. Зайдите Objects > Address Book > Add > IP address
2. Задайте IP-диапазону соответствующее имя, например, nat_pool_range
3. Введите диапазон 10.6.13.10 – 10.16.13.15 в поле IP Address (возможен формат представления подсети, такой
как 10.6.13.0/24 – IP-адреса 0 и 255 автоматически исключаются из диапазона).
4. Нажмите OK
Б. Затем создайте объект «NAT-пул» типа Stateful с именем stateful_natpool:
1. Зайдите Objects > NAT Pools > Add > NAT Pool
334