支店のインターネットトラフィックを本社経由で転送する

ポリシーベースの　IPsec VPN　接続を設定し、IPsec　トンネル経由で、支店から本社の WAN ポートにすべてのインターネットトラフィックを転送できます。

支店のシステムで生成されたトラフィックを支店から直接インターネットに転送する場合は、システムで生成されたトラフィックのポリシーベースの IPsec VPN ルートをオフにできます。

ネットワーク図

支店から本社へすべてのインターネットトラフィックを転送するには、次の手順を実行します。

このシナリオでは、ルートの優先順位は VPN、静的、SD-WAN ルートの順でなければなりません。詳細は、ルート優先順位を参照してください。

支店と本社の間でポリシーベースの IPsec VPN 接続を作成します。詳細は、事前共有鍵を使用したポリシーベースの IPsec VPN の作成を参照してください。

次のようにサブネットを設定します。

サブネット	本社のファイアウォール	支社のファイアウォール
ローカル	任意	支店 LAN
リモート	支店 LAN	任意

本社と支店でファイアウォールルールを設定し、トラフィックを許可します。

すべてのルールについて、表に記載されていない設定は、デフォルト値を使用してください。

本社ファイアウォールに VPN-to-WAN ファイアウォールルールを追加し、VPN トンネルからのすべてのトラフィックが本社ファイアウォールの WAN ポート経由でルーティングするように許可します。

本社のファイアウォールで、次の手順を実行します。

「ルールとポリシー > ファイアウォールルール」に移動します。
「IPv4」または「IPv6」を選択し、「ファイアウォールルールの追加」を選択して、「新しいファイアウォールルール」をクリックします。

設定を次のように指定します。

設定	値
ルール名	VPN to WAN
アクション	許可
ファイアウォールトラフィックのログ	選択
ルールの位置	最上位
ルールグループ	該当なし
送信元ゾーン	VPN
宛先ゾーン	WAN
関連付けられた NAT ルールの作成 > 変換後の送信元 (SNAT)	MASQ

支社ファイアウォールに LAN-to-VPN ファイアウォールルールを追加し、すべての LAN トラフィックを VPN トンネルに転送します。

支店のファイアウォールで、次の手順を実行します。

「ルールとポリシー > ファイアウォールルール」に移動します。
「IPv4」または「IPv6」を選択し、「ファイアウォールルールの追加」を選択して、「新しいファイアウォールルール」をクリックします。

設定を次のように指定します。

支店のファイアウォールに、支店のファイアウォールの WAN ポートに向かう LAN トラフィックをドロップするファイアウォールルールを追加します。

支店のファイアウォールで、次の手順を実行します。

「ルールとポリシー > ファイアウォールルール」に移動します。
「IPv4」または「IPv6」を選択し、「ファイアウォールルールの追加」を選択して、「新しいファイアウォールルール」をクリックします。
設定を次のように指定します。

設定値

ルール名 LAN to WAN ドロップ

アクション破棄

ルールの位置最上位

ルールグループ該当なし

送信元ゾーン LAN

宛先ゾーン WAN
「保存」をクリックします。

支店のシステムで生成されたトラフィックを支店のファイアウォールの WAN ポートから直接インターネットに転送する場合は、システムで生成されたトラフィックのポリシーベースの IPsec VPN ルートをオフにします。

システムで生成されたトラフィックのポリシーベースの IPsec VPN ルートをオフにするには、次の手順を実行します。

支店のファイアウォールのコマンドラインコンソールにサインインします。
「デバイスコンソール」の場合は、4 と入力します。
次のコマンドを入力します。

set routing policy-based-ipsec-vpn system-generate-traffic disable