NetdefendOS_2.27.01_Firewall_User_Manual_RUS

10.0.0.3:1038 => 195.55.66.77:80
• Система NetDefendOS преобразует адрес в соответствии с правилом 1 и пересылает пакет в соответствии с
правилом 2:
10.0.0.3:1038 => 10.0.0.2:80
• WEB-сервер wwwsrv обрабатывает пакет и отсылает ответ:
10.0.0.2:80 => 10.0.0.3:1038
Этот ответ направляется на компьютер PC1, минуя межсетевой экран, что служит причиной возникновения проблем.
Компьютер PC1 ожидает ответа с 195.55.66.77:80, а не с 10.0.0.2:80. Неподходящий ответ отбрасывается, а
компьютер PC1 продолжает ожидать ответа, который не придет с 195.55.66.77:80.
Разрешить проблемную ситуацию можно, незначительно изменяя набор правил, как это было описано выше в
примере 7.3, причем, в данном случае можно выбрать любой из двух предложенных способов, например, способ 2.
# Действие
Интерфейс
источника
Сеть
источника
Интерфейс
назначения
Сеть
назначения Параметры
1 SAT any all-nets core wan_ip http SETDEST wwwsrv 80
2 NAT lan lannet any all-nets All
3 Allow any all-nets core wan_ip http
• Компьютер PC1 отсылает пакет на адрес wan_ip, чтобы выйти на сайт www.ourcompany.com:
10.0.0.3:1038 => 195.55.66.77:80
• Система NetDefendOS статически преобразует адрес в соответствии с правилом 1 и динамически в соответствии с
правилом 2:
10.0.0.1:32789 => 10.0.0.2:80
• WEB-сервер wwwsrv обрабатывает пакет и отсылает ответ:
10.0.0.2:80 => 10.0.0.1:32789
• Ответ достигает цели и оба преобразованных адреса возвращаются в исходное состояние.
195.55.66.77:80 => 10.0.0.3:1038
В этом случае ответ поступает на компьютер PC1 с соответствующего адреса.
Другим способом решения данной проблемы является предоставление внутренним клиентам возможности
соединяться напрямую с адресом 10.0.0.2. Это полностью поможет избежать проблем связанных с трансляцией
адресов, однако, это не всегда практично.
7.4.2. Преобразование IP-адресов «много ко многим»
Одно SAT-правило можно использовать при преобразовании целого диапазона IP-адресов. В этом
случае результатом преобразования будет замена первого исходного IP-адреса на первый IP-адрес из
списка преобразования и т.п.
Например, политикой SAT определяется, что соединения с сетью 194.1.2.16/29 должны
транслироваться на сеть 192.168.0.50. Далее представлена таблица с результатом преобразования
адресов, которое последует:
Исходный адрес Адрес после трансляции
194.1.2.16 192.168.0.50
194.1.2.17 192.168.0.51
194.1.2.18 192.168.0.52
341