В рейтинге участвует:

групп:

каналов:

Виртуальный сервер на SSD - недорого!

Аренда выделенных и виртуальных серверов (VDS/VPS), хостинг, аренда IP-адресов, администрирование, круглосуточная поддержка

qwarta.ru подробнее

Резервное копирование с проверкой на вирусы!!!

Удобный сервис создания резервных копий на любой сервер сети интернет. Отслеживайте изменения, проверяйте на вирусы. Надежно защитите свой бизнес!

go.backupland.com

Выбираете сервер? Любая конфигурация на заказ!

Аренда физических серверов любых конфигураций под любые запросы - 1С бухгалтерия, игровые сервера, нагруженные проекты, интернет-магазины!

qwarta.ru подробнее

Size: a a a

Check Point Community (RUS)

794 membersпожаловаться на группу
2018 March 19

RP

Roman Paralon in Check Point Community (RUS)
Всем привет. Есть небольшой вопрос по правилам NAT. Пытаюсь настроить SNAT. Есть сеть /20 - для неё делаю правило Hide behind Gateway. Внутри этой сети есть сетка /24, которую я хочу скрыть за опеределённым IP (в качестве исключения). Проблема в том, что при создании объекта с этой /24 сеткой автоматическое правило для NAT создаётся, но ниже чем для /20
источник
15:37пожаловаться#1

RP

Roman Paralon in Check Point Community (RUS)
Поднять выше консоль не даёт. И похоже правило таки не отрабатывает
источник
15:38пожаловаться#2

RP

Roman Paralon in Check Point Community (RUS)
Как быть? Отключить галку "автоматическое правило для NAT" и сделать правило руками?
источник
15:38пожаловаться#3

EO

Evgeniy Olkov in Check Point Community (RUS)
Ручками создайте правило в политиках NAT и поставьте его первым
источник
15:40пожаловаться#4

EO

Evgeniy Olkov in Check Point Community (RUS)
т.е. не automatic nat, а manual
источник
15:40пожаловаться#5

RP

Roman Paralon in Check Point Community (RUS)
Evgeniy Olkov
т.е. не automatic nat, а manual
ОКе, спасибо. Я приавльно понял что галку автоматический NAT с объекта надо снять?
источник
15:42пожаловаться#6

EO

Evgeniy Olkov in Check Point Community (RUS)
да
источник
15:42пожаловаться#7

RP

Roman Paralon in Check Point Community (RUS)
А ещё такой вопрос. Чисто по теории. Почему при создании автоматического правила, создаются по факту два правила. Как на рисунке тут:
источник
15:47пожаловаться#8

RP

Roman Paralon in Check Point Community (RUS)
image_2018-03-19_14-47-09.png
(6.8 Кб)
источник
15:47пожаловаться#9

RP

Roman Paralon in Check Point Community (RUS)
Непонятно зачем нужно первое из них
источник
15:47пожаловаться#10

RP

Roman Paralon in Check Point Community (RUS)
Почему вообще такой трафик (когда dst и src одинаковые) может возникнуть при прохождении через шлюз
источник
15:48пожаловаться#11

J

Jevgeni in Check Point Community (RUS)
первое правило - правило nonat
источник
15:49пожаловаться#12

EO

Evgeniy Olkov in Check Point Community (RUS)
Дело в том, что чекпоинт по умолчанию nat-ит трафик даже между локальными сегментами. Т.е. если у вас два интерфейса с адресами 192,168,1,1 и 192,168,2,1, то при обращении из одной сети в другую - по умолчанию будет происходить nat
источник
15:49пожаловаться#13

RP

Roman Paralon in Check Point Community (RUS)
Evgeniy Olkov
Дело в том, что чекпоинт по умолчанию nat-ит трафик даже между локальными сегментами. Т.е. если у вас два интерфейса с адресами 192,168,1,1 и 192,168,2,1, то при обращении из одной сети в другую - по умолчанию будет происходить nat
Это я понимаю. Но тут и dst и src одни и теже
источник
15:49пожаловаться#14

EO

Evgeniy Olkov in Check Point Community (RUS)
ну можете создать группу включающаую все сетки локальные
источник
15:50пожаловаться#15

EO

Evgeniy Olkov in Check Point Community (RUS)
и отключить нат для трафика из этих сетей в эти же сети
источник
15:50пожаловаться#16

J

Jevgeni in Check Point Community (RUS)
это нужно для того, чтобы в пределах одного сетевого сегмента, который определён в объекте, трафик не транслировался
источник
15:50пожаловаться#17

RP

Roman Paralon in Check Point Community (RUS)
не, мне не надо решение - всё и так ок. Прост оинетерсно зачем CP создаёт такое правило
источник
15:50пожаловаться#18

RP

Roman Paralon in Check Point Community (RUS)
Jevgeni
это нужно для того, чтобы в пределах одного сетевого сегмента, который определён в объекте, трафик не транслировался
То есть бывают такие сетапы когда трафик даже в одном сегменте идёт через файрволл?
источник
15:50пожаловаться#19

RP

Roman Paralon in Check Point Community (RUS)
ну да, собственно, почему бы и нет...
источник
15:51пожаловаться#20