Атрибут SourceIP

Примечание

Для цепочки фильтров IPsec правил используется особая интерпретация. См. описание IPsecPolicy.

Синтаксис

SourceIP *= AddressPool, IP, IP..IP, IP/ЦЕЛОЕ32

Значение

• AddressPool – множество адресов IKECFG пула (только для С-Терра Шлюз)

• IP-адрес IP..IP – диапазон IP-адресов

• IP/ЦЕЛОЕ32 – IP-адрес с маской

Значение по

умолчанию

допускается любое значение поля Source Address в IP-заголовке пакета.

Примечание

• Если данный атрибут используется в структуре Filters, то использование терминальных символов IP4 не допускается.

• Если данный атрибут используется в структуре IPv6Filters, то использование терминальных символов IP6 не допускается.

Примечание

Для IPsec фильтров, в которых в SourceIP и/или DestinationIP явно прописан весь диапазон IP-адресов (например, 0.0.0.0..255.255.255.255), и для фильтров, в которых соответствующий атрибут отсутствует, существует отличие в логике работы.

В случае отсутствия атрибута отдельный SA будет строиться для трафика до каждого хоста сети. Если явно прописан весь диапазон IP-адресов, то будет создаваться общий SA.

Примечание

При создании соединений по инициативе партнёра требуется, чтобы в запросе от удалённой стороны параметры трафика полностью покрывались заданными параметрами SourceIP и DestinationIP.

Примечание

При создании соединения по инициативе локальной стороны:

• Если атрибут SourceIP не задан, то соответствующие параметры создаваемого соединения копируются из поля Source Address в IP-заголовке инициирующего пакета.

• Если атрибут SourceIP задан, то инициируется соединение с параметрами, соответствующими диапазону адресов, в который попадает значение поля Source Address в IP-заголовке инициирующего пакета.

• Для продуктов с разрешённым транзитным трафиком рекомендуется явно указывать SourceIP. Это приводит к инициированию «широких» IPsec SA в src части.

• Для продуктов с запрещённым транзитным трафиком рекомендуется не указывать поле SourceIP. Это приводит к инициированию соединения от локального адреса.