Belangrijke mededeling: |
Scenario:
In grotere netwerken kan het bij gebruik van VPN's nodig zijn om een bronsubnet te maskeren om IP-adressenconflicten te voorkomen. Dit staat bekend als SNAT-instelling.
Deze tutorial laat zien hoe je een USG-apparaat kunt configureren als aanvulling op de SNAT-instelling!
Stap voor stap handleiding:
In deze tutorial leggen we uit hoe je je lokale subnet kunt "maskeren" of overlapping van subnetten kunt voorkomen wanneer hetzelfde subnet zich op de externe locatie van de VPN-tunnel bevindt. Deze tutorial vereist dat u uw IPsec gateway al hebt ingesteld (IPsec Phase1):
1. Sluit uw computer rechtstreeks aan op een van de LAN-poorten en log in op de webinterface met het standaard IP 192.168.1.1 met de standaardgegevens admin/1234
2. Navigeer naar Configuratie > VPN > IPSec VPN > VPN-verbinding en voeg een nieuwe VPN-verbinding toe met de knop "Toevoegen
3. Gebruik de knop "Nieuw object maken" om een nieuw object van het type "IPv4-adres" te maken.
4. Maak uw lokale subnetobject en subnetobject op afstand aan
Zorg ervoor dat u een subnet kiest dat niet conflicteert met een subnet op uw eigen site of op de externe site!
5. Beide gemaakte subnetobjecten moeten worden geselecteerd als uw "Lokaal beleid" en "Beleid op afstand" in de VPN-verbinding.
6. Scroll naar het einde van de pagina en open de "Advance"-pijl om de sectie "Inbound/Outbound traffic NAT" te configureren (Om de geavanceerde instellingen zichtbaar te maken, drukt u op "Show Advanced Settings" (Geavanceerde instellingen weergeven)). Vink het selectievakje "Source NAT" aan, kies uw "echte" lokale subnet als uw "Source", het subnet op afstand als uw "Destination" en het "nep"-subnet voor de "SNAT".
Vink ook het selectievakje "Destination NAT" aan, klik op "Toevoegen" en kies uw "nep"-subnet als het "Oorspronkelijke IP", uw lokale subnet als het "Gemapte IP" en klik op "OK" om de VPN-verbinding te maken.
8. Navigeer naar Configuratie > Netwerk > Routing > Beleidsroute en klik op "Toevoegen".
9. Kies uw lokale subnet als het "Bronadres", het subnet op afstand als het "Bestemmingsadres", kies onder "Volgende hop" het "Type" "VPN-tunnel" en kies de gemaakte VPN-verbinding voor "VPN-tunnel" voordat u op "OK" klikt.
Nadat deze instellingen zijn toegepast, kent de externe site uw echte lokale subnet niet, omdat ze uw "nep"-subnet gebruiken als hun beleid op hun site.
Bovendien: Als er hetzelfde echte subnet op uw en de externe site zou zijn, zouden routeringsproblemen als gevolg van overlappende subnetten nu worden vermeden.
Video:
KB-00026