- PR -

Netscreen でハブアンドスポークのVPN構成　＋　ハブ側のLANアドレスをNATしたい

1
投稿者投稿内容
akamiso
会議室デビュー日: 2006/10/27
投稿数: 2
投稿日時: 2006-10-27 21:33
本部側（ハブ）と各複数拠点（スポーク）間のVPNを構築したいと考えています。

しかしながら、VPNを構築する各拠点のLAN（trust)のアドレス体系がバラバラで重複することも考えられます。
よって、拠点のサーバ（今回本部側と通信したいサーバ）のローカルアドレスにNATをかけて、管理上都合の良いアドレス体系にした上で、VPN経由で本部側にデータを送信する方法をNetscreenで考えています。

検証環境では
SV--(LAN1)--netscreen ---(WAN1)--- netscreen --(LAN3)-- SV
(LAN2) をLAN3からNATするアドレス用に使う

LAN1:10.1.1.0/24
LAN2:10.1.2.0/24
LAN3:192.168.1.0/24
でやっています。

VPNをはることはできるのですが。
いまひとつNetscreenでのNATの方法も理解していないということもあって、NATがからむとうまくいきません。
アドバイスお願いします。


thanks in advance

BackDoor
ぬし
会議室デビュー日: 2006/02/20
投稿数: 831
投稿日時: 2006-10-28 22:45
こんにちは。

引用:

akamisoさんの書き込み (2006-10-27 21:33) より:

VPNをはることはできるのですが。
いまひとつNetscreenでのNATの方法も理解していないということもあって、NATがからむとうまくいきません。

上手くいかなくて当然だと思われます。

＞VPNを構築する各拠点のLAN（trust)のアドレス体系がバラバラで
＞重複することも考えられます。

この状況を整備することなく、社内ネットワークを運用するのは無謀だと思います。

例えば、A拠点とB拠点が同じプライベートアドレス体系を採用されていた場合、
A拠点にも、B拠点にも同じIPアドレスを持つサーバが存在する可能性が発生します。
→　いくらWAN上で完璧なルーティング設計をしても、上記状態では重複したIPアドレス
　　を持つサーバへのアクセスは困難だと思われませんか？

この機会をポジティブに捉えて、全社のIPアドレス体系の整備をされることを推奨します。
kaz
ぬし
会議室デビュー日: 2003/11/06
投稿数: 5403
投稿日時: 2006-10-29 15:20
こんにちわ．
引用:

akamisoさんの書き込み (2006-10-27 21:33) より:

VPNをはることはできるのですが。
いまひとつNetscreenでのNATの方法も理解していないということもあって、NATがからむとうまくいきません。
アドバイスお願いします。

基本的には BackDoor 様のご指摘通りだと思います．
いろいろな事情で「現行の address 体系を変えることができない」ことも
あるでしょうけど，どのように「うまくいかない」のか書かれていないと
議論にならないと思いますよ．
それすら「うまく纏められない」のであれば，
やはり network 体系の整理から始められるべきかと思われます．

以上，ご参考までに．
akamiso
会議室デビュー日: 2006/10/27
投稿数: 2
投稿日時: 2006-10-31 13:18
アドバイスありがとうございます。

いろいろと試してみた結果、うまくいきました。
「MIP」や「DIP」など、どうも私には不慣れなものでしたので。。。
1

スキルアップ／キャリアアップ（JOB@IT）