Nebula VPN - Routing von L2TP VPN zu Site To Site Tunnel konfigurieren

Dieser Artikel zeigt Ihnen, wie Sie den Zugriff auf eine Ressource über L2TP an einem entfernten Standort einrichten, der über ein Site-to-Site-VPN auf der Basis von Nebula verbunden ist.
Dieser Artikel funktioniert mit USG FLEX / ATP / 3rd Party Firewall (Distant Location).

Zunächst müssen wir das Site-to-Site-VPN einrichten; dazu müssen wir auf beiden USGs die folgenden Einstellungen vornehmen:

Navigieren Sie zu:

Site-wide > Configure > Firewall > Site-to-Site VPN

Standort 1:
Wählen Sie "none" für NAT-Traversal nur, wenn Sie eine öffentliche IP auf der WAN-Schnittstelle des USG FLEX / ATP haben!
Wenn Sie sich hinter NAT befinden (die WAN-Schnittstelle hat eine IP wie diese: 192.168.10.123), verwenden Sie die NAT-Traversal-Funktion!

Standort 2:

Wählen Sie "none" für NAT-Traversal nur, wenn Sie eine öffentliche IP auf der WAN-Schnittstelle des USG FLEX / ATP haben!
Wenn Sie sich hinter NAT befinden (die WAN-Schnittstelle hat eine IP wie diese: 192.168.10.123), verwenden Sie die NAT-Traversal-Funktion!

Prüfen Sie im VPN Orchestrator, ob der Tunnel erfolgreich aufgebaut wurde (Beachten Sie, dass es bis zu 10 Minuten dauern kann, bis der Link angezeigt wird):

Organization-wide > Organization-wide manage -> VPN Orchestrator 

Dann müssen wir den L2TP-Zugang für Standort 1 erstellen:

Site-wide > Configure > Firewall > Remote access VPN

So erhalten wir die Einstellungen für unseren Client:

Für die manuelle Einrichtung (über CMD):

powershell -command "Add-VpnConnection -Name '[Sitename]' -ServerAddress '[Public IP/Domain Name]' -TunnelType 'L2tp' -AuthenticationMethod Pap -EncryptionLevel 'Optional' -L2tpPsk '[YourPSK/Secret]' -Force -RememberCredential -PassThru"

Nun müssen wir einen Benutzer für das entfernte VPN erstellen:

Site-wide -> Configure -> Cloud Authentication

Damit erhalten wir die Anmeldedaten für den Tunnel:

Jetzt kommt der kritischste Teil!
Dies muss auf der zweiten Site geschehen (Standort des Clients, auf den wir zugreifen wollen).
Dies funktioniert auch mit 3rd Party Firewalls.
Wir müssen eine Rückleitung auf der zweiten Firewall einrichten, damit unser Datenverkehr zum L2TP-Tunnel zurückgeführt wird:

Site-wide > Configure > Firewall > Routing

Erstellen Sie eine Policy-Route für das entfernte Subnetz (Zieladresse) und leiten Sie den Datenverkehr in den VPN-Tunnel, indem Sie unter "Policy-Route" den Next-Hop-Typ VPN-Verkehr auswählen und dann den VPN-Tunnel wählen, in den der Datenverkehr geleitet werden soll.

Danach können wir auf den Client zugreifen:

Navigieren Sie zur anderen Seite und überprüfen Sie einen anderen Client auf der anderen Seite, in diesem Beispiel die USG20-VPN-Firewall.