DHCP トラフィックをルートベースの VPN 経由で DHCP サーバーに送信する

Sophos Firewall を DHCP リレーエージェントとして設定し、クライアントからの DHCP リクエストを、本社のファイアウォールの背後にある DHCP サーバーに転送します。ルートベースの IPsec VPN 経由で DHCP トラフィックを送信します。

DHCP サーバーおよびリレーエージェント: ネットワーク図

以下に示すネットワークの情報および設定は一例です。ご利用のネットワークに応じた設定を使用してください。

この例では、既存のルートベースの IPsec VPN 接続 (ローカルおよびリモートのサブネットを「任意」に設定したもの) を使用しています。また、VPN トラフィックに対して既存のルートおよびファイアウォールルールを使用しています。

本社: 以下の IP アドレスは例です。

支店: 以下の IP アドレスは例です。

本社および支社のファイアウォールで、以下のように設定します。

ファイアウォールの WAN インターフェースを使って、ルートベースの IPsec VPN 接続を作成し、ローカルとリモートのサブネットを「任意」に設定します。
XFRM インターフェースに IP アドレスを割り当てます。
XFRM インターフェースのゲートウェイ IP アドレスを追加します。
両方のファイアウォールで、VPN トラフィックをルーティングするスタティックルート、SD-WAN ルート、またはダイナミックルートを設定します。
IPsec VPN トンネルで、WAN からのデバイスアクセスを許可します。
以下のファイアウォールルールを設定し、VPN トラフィックを許可します。
1. 支社のファイアウォールの送信方向ルール。
2. 本社のファイアウォールの受信方向ルール。
詳細は、ルートベースの VPN の作成 (任意のサブネット間)を参照してください。

本社のファイアウォールで、ルートと受信方向のファイアウォールルールを設定します。

スタティックルート、SD-WAN ルート、またはダイナミックルートを設定して、本社の DHCP サーバーから支社への応答トラフィックをルートベースの VPN トンネルにルーティングできます。

SD-WAN ルートを設定する例を以下に示します。

「ルーティング > SD-WAN ルート」に移動します。
「IPv4」を選択して「追加」をクリックします。
名前を入力します。
「送信元ネットワーク」で DHCP サーバーを選択します (例：DHCPServer_172.16.16.17)。
「宛先ネットワーク」で、DHCP リレーエージェント用に作成した IP ホストを選択します (例：DHCPRelay_10.10.1.1)。
「サービス」で「DHCP」を選択します。
「リンク選択の設定」で、「プライマリゲートウェイとバックアップゲートウェイ」を選択します。
「プライマリゲートウェイ」で XFRM ゲートウェイを選択します (例：xfrm1_3.3.3.4)。
(任意) XFRM ゲートウェイを使用できない場合にトラフィックをドロップするには、「指定されたゲートウェイのみを経由してルーティングする」を選択します。
「保存」をクリックします。

リレーエージェントからの VPN 経由の DHCP 受信トラフィックを許可するために、本社のファイアウォールでファイアウォールルールを作成します。

「ルールとポリシー > ファイアウォールルール」に移動し、「ファイアウォールルールの追加」、「新しいファイアウォールルール」の順にクリックします。
名前を入力します。
「送信元ゾーン」で「VPN」を選択します。
「送信元ネットワークとデバイス」で、支社のファイアウォールの DHCP リレーインターフェースに対応する IP ホストを選択します (例: DHCPRelay_10.10.1.1)。
「宛先ゾーン」で「DMZ」を選択します。
「 宛先ネットワーク」で、DHCP サーバーを選択します (例: DHCPServer_172.16.16.17)。
「サービス」で「DHCP」を選択します。
「保存」をクリックします。

支店のファイアウォールで、DHCP リレーエージェントとルートを設定します。

支社のファイアウォールのインターフェースを DHCP リレーエージェントとして設定します。このインターフェースが、サブネット内にあるエンドポイントからの DHCP リクエストを本社のファイアウォールの背後にある DHCP サーバーに転送します。

「ネットワーク > DHCP」の順に選択します。
「リレー」で「追加」をクリックします。
名前を入力します。
インターフェースを選択します (例：Port2 - 10.10.1.1)。

DHCP クライアントは、このインターフェースと同じサブネットに属します。
「DHCP サーバー IP」に、DHCP サーバーの IP アドレスを入力し (例: 172.16.16.17)、をクリックします。
「保存」をクリックします。

スタティックルート、SD-WAN ルート、またはダイナミックルートを設定して、支社のインターフェースから本社の DHCP サーバーへの DHCP リクエストトラフィックをルートベースの VPN トンネルにルーティングできます。

SD-WAN ルートを設定する例を以下に示します。

「ルーティング > SD-WAN ルート」に移動します。
「IPv4」を選択して「追加」をクリックします。
「名前」を入力します。
「送信元ネットワーク」で「任意」を選択します。
「宛先ネットワーク」で、DHCP サーバー用に作成した IP ホストを選択します (例：DHCP_Server_172.16.16.17)。
「サービス」で「DHCP」を選択します。
「リンク選択の設定」で、「プライマリゲートウェイとバックアップゲートウェイ」を選択します。
「プライマリゲートウェイ」で XFRM ゲートウェイを選択します (例：xfrm1_3.3.3.3)。
(任意) XFRM ゲートウェイを使用できない場合にトラフィックをドロップするには、「指定されたゲートウェイのみを経由してルーティングする」を選択します。
「保存」をクリックします。

その他のリソース