ローカルサブネットとリモートサブネットが同じ場合のルートベース IPsec を使用する NAT
ローカルファイアウォールとリモートファイアウォールでサブネットが同じ場合は、ルートベースの IPsec VPN トンネルのネットワークアドレス変換 (NAT) が設定できます。
2 種類のルートベース VPN トンネルの設定は、次のように異なります。
- 任意のサブネット間の場合: SNAT ルールおよび DNAT ルールを設定する必要があります。
- トラフィックセレクタを使用する場合: 「サイト間 VPN > IPsec 接続」で NAT 設定を構成する必要があります。詳細は、ローカルサブネットとリモートサブネットが同じ場合のポリシーベース IPsec を使用する NATを参照してください。
この記事では、任意のサブネット間で使用するトンネルインターフェイスの設定例を示します。
-
次のように設定します。
- IPsec 接続
- インバウンドおよびアウトバウンドのファイアウォールルール
- SD-WAN ルート
詳細は、ルートベースの VPN の作成 (任意のサブネット間)を参照してください。
-
本社および支社のファイアウォールで、以下の手順を実行します。
- 再帰 (SNAT) ルールと共に DNAT ルールを設定します。
- SNAT ルールを確認します。
本社のファイアウォール
本社のファイアウォール (Sophos Firewall 1) で DNAT および SNAT ルールを設定します。
DNAT ルールの設定
NAT IP 範囲に到着した着信トラフィックをローカルサブネットの IP 範囲に変換する DNAT ルールを追加します。
- 「ルールとポリシー > NAT ルール」に移動します。
- 「NAT ルールの追加 > 新しい NAT ルール」をクリックします。
- ルール名を入力します。
- 「変換前の送信元」を支社の NAT 範囲オブジェクトに設定します (例：
192.168.3.1 to 192.168.3.255)。 - 「変換後の送信元」を「変換前」に設定します。
- 「変換前の宛先」を変換用に作成した IP 範囲オブジェクトに設定します (例：
192.168.1.1 to 192.168.1.255)。 -
「変換された宛先」を実際のローカルサブネットオブジェクトに設定します (例：
192.168.2.1 to 192.168.2.255)。
-
「再帰ルールの作成」を選択して、送信トラフィック用に対応する SNAT ルールを作成します。
-
「負荷分散方式」では、 「1 対 1」を選択します。
-
「保存」をクリックします。
SNAT ルールの確認
発信トラフィックの SNAT ルールをチェックして、ローカルサブネットの IP 範囲を変換用に作成したオブジェクトに変換します。
- 「ルールとポリシー > NAT ルール」に移動します。
-
作成した再帰ルールをクリックします。
例:
Reflexive_NAT#_<DNAT rulename> -
送信元の変換設定を確認します。設定例は次のとおりです。
- 変換前の送信元:
192.168.2.1 to 192.168.2.255 - 変換後の送信元:
192.168.1.1 to 192.168.1.255 - 変換前の宛先:
192.168.3.1 to 192.168.3.255 -
変換後の宛先: 変換前
発信トラフィックは、サブネットの実際の IP 範囲から変換された IP 範囲に変換されます。
- 変換前の送信元:
支社のファイアウォール
支社のファイアウォール (Sophos Firewall 2) で DNAT および SNAT ルールを設定します。
DNAT ルールの設定
NAT IP 範囲に到着した着信トラフィックをローカルサブネットの IP 範囲に変換する DNAT ルールを追加します。
- 「ルールとポリシー > NAT ルール」に移動します。
- 「NAT ルールの追加 > 新しい NAT ルール」をクリックします。
- ルール名を入力します。
- 「変換前の送信元」を本社の NAT 範囲オブジェクトに設定します (例：
192.168.1.1 to 192.168.1.255)。 - 「変換後の送信元」を「変換前」に設定します。
- 「変換前の宛先」を変換用に作成した IP 範囲オブジェクトに設定します (例：
192.168.3.1 to 192.168.3.255)。 -
「変換された宛先」を実際のローカルサブネットオブジェクトに設定します (例：
192.168.2.1 to 192.168.2.255)。
-
「再帰ルールの作成」を選択して、送信トラフィック用に対応する SNAT ルールを作成します。
-
「負荷分散方式」では、 「1 対 1」を選択します。
-
「保存」をクリックします。
SNAT ルールの確認
発信トラフィックの SNAT ルールをチェックして、ローカルサブネットの IP 範囲を変換用に作成したオブジェクトに変換します。
- 「ルールとポリシー > NAT ルール」に移動します。
-
作成した再帰ルールをクリックします。
例:
Reflexive_NAT#_<DNAT rulename> -
送信元の変換設定を確認します。設定例は次のとおりです。
- 変換前の送信元:
192.168.2.1 to 192.168.2.255 - 変換後の送信元:
192.168.3.1 to 192.168.3.255 - 変換前の宛先:
192.168.1.1 to 192.168.1.255 -
変換後の宛先: 変換前
発信トラフィックは、サブネットの実際の IP 範囲から変換された IP 範囲に変換されます。
- 変換前の送信元: