コンテンツにスキップ
Sophos XG シリーズのハードウェアアプライアンスは、2025年 3月 31日にサポート終了 (EOL) となります。XG から XGS への移行に関しては、こちらをクリックしてください。

ページのパーマリンク

このページを参照する際は、常に以下のパーマリンクを使用してください。今後ヘルプが更新されても、パーマリンクは変更されません。

https://docs.sophos.com/nsg/sophos-firewall/21.5/Help/ja-jp/webhelp/onlinehelp/index.html?contextId=rules-policies-dnat-ipsec-sd-wan-route

DNAT で SD-WAN ルートを使用する

SD-WAN ルートを使用して、リモートネットワーク内の内部サーバーに DNAT トラフィックをルーティングできます。

  • シナリオ

    この例は、以下の構成に基づいています。

    • リモートネットワークの内部サーバーに TCP ポート 3389 経由でアクセスできる。
    • Sophos Firewall とリモートのファイアウォールが、ルートベースの IPsec VPN で接続されている。
    • リモートファイアウォールの背後にある内部サーバーに、「gw6」ゲートウェイ経由でアクセスできる。

ネットワーク図

IPsec および SD WAN ルートを使用する DNAT。

必要条件

以下を設定していることを確認します。

IP ホストの構成

内部サーバーの IP ホストオブジェクトを作成するには、次の手順を実行します。

  1. 「ホストとサービス > IP ホスト」に移動し、「追加」をクリックします。
  2. 名前を入力します。この例では Internal_Server を使用しています。
  3. 「IP バージョン」で「IPv4」を選択します。
  4. 「タイプ」で「IP」を選択します。
  5. 「IP アドレス」に内部サーバーの IP アドレスを入力します。
  6. 「保存」をクリックします。

ゲートウェイオブジェクトを設定する

リモート内部サーバーと通信可能なゲートウェイに、ゲートウェイオブジェクトを構成する必要があります。ゲートウェイオブジェクトを設定するには、次の手順を実行します。

  1. 「ルーティング > ゲートウェイ」に移動します。
  2. 「IPv4 ゲートウェイ」で、「追加」をクリックします。
  3. 名前を入力します。この例では gw6 を使用しています。
  4. 「ゲートウェイ IP」に、リモートゲートウェイの IP アドレスを入力します。この例では 10.12.13.2 を使用しています。
  5. 「インターフェース」で、ゲートウェイのインターフェースを選択します。この例では xfrm1-10.12.13.1 を使用しています。
  6. 「監視条件」で、ゲートウェイの背後にあるホストデバイスの IP アドレスを入力します。この例では 10.12.13.2 を使用しています。

詳細は、ゲートウェイの追加を参照してください。

DNAT SD-WAN ルートのゲートウェイ。

DNAT の構成

DNAT を設定するには、次の手順を実行します。

  1. 「ルールとポリシー > NAT ルール」に移動します。
  2. 「NAT ルールの追加」 > 「新しい NAT ルール」をクリックします。
  3. 名前を入力します。この例では DNAT_RDP を使用しています。
  4. 「変換後の送信元 (SNAT)」で「MASQ」を選択します。これにより、応答トラフィックが確実に Sophos Firewall に送り返されます。
  5. 「元の宛先」で、内部サーバーと通信で可能な WAN インターフェースを選択します。この例では #Port1 を使用しています。
  6. 「変換後の宛先 (DNAT)」で内部サーバーを選択します。この例では Internal_Server を使用しています。
  7. 「元のサービス」で、内部サーバーと通信可能なポートのサービスオブジェクトを選択します。この例では 3389 を使用しています。
  8. 「保存」をクリックします。

DNAT ルール。

SD-WAN ルートを設定する

SD-WAN ルートを設定するには、次の手順を実行します。

  1. 「ルーティング > SD-WAN ルート」に移動します。

  2. 「IPv4」を選択して「追加」をクリックします。

  3. 名前を入力します。この例では SD-WAN DNAT を使用しています。

  4. 「宛先ネットワーク」で、Any を削除し、内部サーバーと通信可能な WAN インターフェースを選択します。この例では #Port1 を使用しています。

  5. 「サービス」で、Any を削除し、内部サーバーと通信可能なポートのサービスオブジェクトを選択します。この例では TCP 3389 を使用しています。

内部サーバーの外部 TCP ポートが内部 TCP ポートと異なる場合は、SD-WAN ルートで外部 TCP ポートを使用してください。

DNAT SD-WAN ルートのトラフィックセレクタ。

  1. 「リンク選択の設定」で、「プライマリゲートウェイとバックアップゲートウェイ」を選択します。

  2. 「プライマリゲートウェイ」で、内部サーバーと通信可能なゲートウェイを選択します。この例では gw6 を使用しています。

DNAT SD-WAN ルートのリンクの選択。

  1. 「保存」をクリックします。

複数の内部サーバーへのルーティング

トラフィックを複数の内部サーバーにルーティングするには、次の手順を実行します。

  • 複数のサーバーが、同じゲートウェイで異なる TCP ポートまたは WAN IP アドレスを使用している場合は、同じ SD-WAN ルートを使用します。これらのポートを SD-WAN ルートのサービスに追加し、WAN IP アドレスを宛先ネットワークに追加します。
  • 複数のサーバーが異なるゲートウェイを使用している場合は、異なる SD-WAN ルートを使用します。