DHCP トラフィックをポリシーベースの IPsec VPN 経由でサーバーに送信する

支社の Sophos Firewall を DHCP リレーエージェントとして設定し、クライアントからの DHCP リクエストをポリシーベースの IPsec トンネル経由で本社のファイアウォールの内側にある DHCP サーバーに安全に送信する方法を学びます。

ネットワーク図

この例では、Windows Server を DHCPサーバーとして設定しています。ネットワークの詳細は以下のとおりです。

本社:

支店:

DHCP リレーエージェントと、ポリシーベースの IPSec 接続を設定し、LAN インターフェースを変換します。

支社の Sophos Firewall を DHCP リレーエージェントとして設定します。この例では、DHCP サーバーからリースされた IP アドレスを支社のクライアントにリレーします。

「ネットワーク > DHCP」の順に選択します。
「リレー」で「追加」をクリックします。
「インターフェース」で、クライアント側のインターフェースを選択します (例：Port2 - 10.10.1.1 )。

サーバーは、設定済みのリース範囲がこのインターフェースサブネットに属している場合に応答します。
「DHCP サーバー IP」に IP アドレスを入力します (例：172.16.16.17)。
「保存」をクリックします。

次に例を示します。

支社のファイアウォールで、ポリシーベースの IPSec 接続を次のように設定します。

設定の例を以下に示します。ご利用のネットワークに応じた設定を行ってください。

設定	値
接続タイプ	`Policy-based`
ゲートウェイの種類	`Initiate the connection`
ファイアウォールルールの作成	チェックボックスをオフにします。ファイアウォールルールによって、システム生成トラフィックを制御しません。
認証タイプ	`Preshared key` 本社のファイアウォールで指定した鍵を入力します。
リスニングインターフェース	`Port3 - 203.0.113.1`
ゲートウェイのアドレス	`192.0.2.1`
ローカルサブネット	`10.10.1.0`
リモートサブネット	`172.16.16.0`

CLI を使って、DHCP リクエストなどのシステム生成トラフィックに対して SNAT (送信元ネットワークのアドレス変換) を設定する必要があります。

以下の手順に従って、支社のファイアウォールの LAN ポート (DHCP リレーインターフェース) の IP アドレスを、本社の DHCP サーバーに変換します。

次のコマンドを実行します。

set advanced-firewall sys-traffic-nat add destination <宛先の IP またはネットワークアドレス> snatip <変換対象の、送信元 IP アドレス>

例

set advanced-firewall sys-traffic-nat add destination 172.16.16.17 snatip 10.10.1.1

DHCP リクエストがトンネル経由で送信されない場合は、IPsec ルートを設定する必要があります。この手順はオプションであり、ネットワーク構成に依存します。

ルートを追加するには、次のコマンドを実行します。

system ipsec_route add host <ホストの IP アドレス> tunnelname <トンネル名>

例

system ipsec_route add host 172.16.16.17 tunnelname BO_to_HO

注

SFOS 22.0 以降では、ルーティングテーブルに ipsec0 ルートは表示されませんが、トラフィックは内部ルーティングに基づいて処理されます。

ポリシーベースの IPsec 接続およびファイアウォールルールを設定します。

本社のファイアウォールで、ポリシーベースの IPSec 接続を次のように設定します。

設定の例を以下に示します。ご利用のネットワークに応じた設定を行ってください。

設定	値
接続タイプ	`Policy-based`
ゲートウェイの種類	`Respond only` WAN トラフィックが IPsec トンネルにアクセスできるようにするには、「管理 > デバイスのアクセス」に移動し、「IPsec」に対して「WAN」を選択します。.
ファイアウォールルールの作成	チェックボックスを選択します。
認証タイプ	`Preshared key` 支社のファイアウォールで指定した鍵を入力します。
リスニングインターフェース	`Port3 - 192.0.2.1`
ゲートウェイのアドレス	`203.0.113.1`
ローカルサブネット	`172.16.16.17`
リモートサブネット	`10.10.1.0`

本社のファイアウォールで自動生成されたファイアウォールルールを編集して、サーバーから支社の DHCP リレーエージェントへの送信方向の DHCP 通信を許可します。

次の設定を指定します。

本社のファイアウォールルールで、支社の DHCP リレーエージェントからサーバーへの受信方向の DHCP 通信を許可します。

次の設定を指定します。