- PR -

NETSCREEN-5GTによるVPN構築に関する質問

1
投稿者投稿内容
aaabbb
会議室デビュー日: 2004/04/22
投稿数: 14
投稿日時: 2004-06-21 18:49
NETSCREEN-5GTを用いてVPNの構築でわからないことがあるので
質問させていただきます。

環境について説明させていただきます。

　拠点A(192.168.1.0/24)
　　　　|
　　　　|.254
　NETSCREEN-5GT
　　　　|(IP固定)
　　　　|
　　Internet
　　　　|
　　　　|(IP固定)
　NETSCREEN-5GT
　　　　|.254
　　　　|
　拠点B(192.168.2.0/24)

というシンプルな構成です。

ここで質問なのですが、

  • 拠点Aから拠点Bの通信はすべて通す。
  • 拠点Bから拠点Aの通信はまったく通さない

つまり拠点AのNETSCREENの内側にさらにもう一つFWがあるような
構成をNETSCREEN一台ですることができるのでしょうか？
JYAJYA
常連さん
会議室デビュー日: 2002/05/22
投稿数: 48
投稿日時: 2004-06-21 22:30
ポリシーベースVPNで設定するのであれば、拠点A/Bの5GTにVPNを設定して、
拠点Aの5GTにだけ、宛先が拠点Bのポリシー(tunnel)を書いておけば、大丈夫だったような。

拠点Bの5GTにも、宛先が拠点Bのポリシーを書く必要があったかもしれません。
aaabbb
会議室デビュー日: 2004/04/22
投稿数: 14
投稿日時: 2004-06-22 11:11
JYAJYAさん

返事が遅れてしまい申し訳ございません。

引用:

拠点Aの5GTにだけ、宛先が拠点Bのポリシー(tunnel)を書いておけば、大丈夫だったような。

拠点Bの5GTにも、宛先が拠点Bのポリシーを書く必要があったかもしれません。


試してみたのですが、できませんでした。

改めてやりたいことを以下に示します。

拠点BのNETSCREEN-5GT
　　　　　　|
　　　　Internet
　　　　　　|
　　---------------
　　|　NETSCREEN　|
　　---------------
　　　　　　|
　　---------------
　　|　NATルーター　|
　　---------------
　　　　　　|
　　　　　拠点A

質問時にはNATルーターの部分をFWを書いてしまったのを修正いたしました。

上記の拠点A側のNETSCREENとNATルーターを
1台のNETSCREN内で動作させたいのですがやはり無理があるのでしょうか？
JYAJYA
常連さん
会議室デビュー日: 2002/05/22
投稿数: 48
投稿日時: 2004-06-22 17:37
拠点A/Bに5GTを設置していて、拠点AからVPN経由で拠点Bに送る通信を、拠点A側の5GTでNATしてから拠点Bに流したいということですよね？

拠点Aの5GTに設定している（インターフェイスではなく）VPNのポリシーでNATを設定しても動作しなければ難しそうです。拠点Bの5GTに、NATを設定するわけにはいかないんですよね？
aaabbb
会議室デビュー日: 2004/04/22
投稿数: 14
投稿日時: 2004-06-22 19:09
JYAJYAさん
返答ありがとうございます。

引用:

拠点A/Bに5GTを設置していて、拠点AからVPN経由で拠点Bに送る通信を、拠点A側の5GTでNATしてから拠点Bに流したいということですよね？

拠点Aの5GTに設定している（インターフェイスではなく）VPNのポリシーでNATを設定しても動作しなければ難しそうです。拠点Bの5GTに、NATを設定するわけにはいかないんですよね？

いえ。拠点Aの通信自体NATで置き換えられVPNのセッションを張るのは
NATで変換後の(拠点AのNETSCREENとNATルーターの間の)セグメントと
拠点Bのセグメントというイメージです。

なぜこんなことを申し上げたかといいますと、
マニュアルを見ている最中に、仮想ルーターを作成することで
trust内にもう一つ仮想的にルーターが作成され、その中でNAT変換できるのでは
と思い、質問したのですが、NETSCREEN-5GTでは仮想ルーターを作成することが
できないみたいですね。(先ほど知りました。)
もし仮に作成できたとしたらできたのかなぁ･･･

引用:

拠点A/Bに5GTを設置していて、拠点AからVPN経由で拠点Bに送る通信を、拠点A側の5GTでNATしてから拠点Bに流したいということですよね？

拠点Aの5GTに設定している（インターフェイスではなく）VPNのポリシーでNATを設定しても動作しなければ難しそうです。拠点Bの5GTに、NATを設定するわけにはいかないんですよね？

すみません。NETSCREENについて詳しくないのですが、
VPNのポリシーでNATを作成するとはどういうことなのでしょうか？

質問に質問を返すようで申し訳ないのですが、教えていただけますでしょうか？

また、試行錯誤しているうちに(ただ勉強不足だっただけなのですが)
ポリシーベースのVPNではなく、ルーティングベースのVPNで設定し、

拠点B側のNETSCREENにおいて拠点Aへのアクセス許可のポリシーを
作成したところ当初の目的である、

  • 拠点Aから拠点Bの通信はすべて通す。
  • 拠点Bから拠点Aの通信はまったく通さない

ということをすることはできました。

ただ、JYAJYAさんのおっしゃってたVPNのポリシーにてNATの設定ができるのであれば、
そちらも試せればと思います。
よろしくお願い致します。
aaabbb
会議室デビュー日: 2004/04/22
投稿数: 14
投稿日時: 2004-06-22 22:40
すみません。先ほどの返答ですが、おかしなとこがあったため、
訂正させていただきます。

引用:

拠点A/Bに5GTを設置していて、拠点AからVPN経由で拠点Bに送る通信を、拠点A側の5GTでNATしてから拠点Bに流したいということですよね？

先ほどいいえと答えてしまいましたが、そうです。
自分の中で違う風に捉えてしまいました。

また、引用する箇所も間違えてしまいました。

失礼いたしました。
aaabbb
会議室デビュー日: 2004/04/22
投稿数: 14
投稿日時: 2004-06-23 10:26
JYAJYAさん

最初に返答していただいた、

引用:

ポリシーベースVPNで設定するのであれば、拠点A/Bの5GTにVPNを設定して、
拠点Aの5GTにだけ、宛先が拠点Bのポリシー(tunnel)を書いておけば、大丈夫だったような。

拠点Bの5GTにも、宛先が拠点Bのポリシーを書く必要があったかもしれません。


を再度設定してみたところ、できるようになりました。

大変失礼致しました。
1

スキルアップ／キャリアアップ（JOB@IT）