IPsecをサブネットの内部及び外側に適用する方法

質問

IPsecをサブネットの内部及び外側に適用する方法

添付図のようなネットワークを想定します。
あるイントラネットの中に、サブネットが２つ、独立して接続されているクライアントが２つあります。
このとき、IPsecを使用して 薄い水色で囲んだ範囲内のクライアントは相互に暗号化通信をできるようにしたいと考えています。
ここで、例えば[192.168.2.12]と[192.168.3.1]の通信においては、ルータ[192.168.2.1]と[192.168.3.1]の間でトンネルモードを使用することでIPsec通信が可能となります。
では、Subnet_1 内にある[192.168.1.12]がルータ[192.168.2.1]や[192.168.3.1]とIPsec通信を行う場合、どういった設定を行えば良いのでしょうか？
[192.168.1.12]はサブネット内にありますが、この場合は直接 [192.168.2.1]とのトンネルモード、あるいは直接 [192.168.3.1]とのトランスポートモードの通信は可能なのでしょうか？
ただし、水色枠の範囲外にある[192.168.1.11]は他のクライアントとIPsec通信は行わないようにします。

宜しくお願いします。

回答No.1

ts244

ルータ[192.168.1.1]とHost[192.168.3.1]で、IPsecカプセリングの対象が
[192.168.1.12/32-192.168.3.1/32]の間の通信になるように、
設定すればいいのではないでしょうか？

数千円のブロードバンドルータだと場合によっては、ルータのファイアウォール機能が
悪さをして不味いことがおきることがあるかもしれませんが、業務用のものであれば
ルータ[192.168.1.1]では単純にIPのルーティングだけを行わせて、
ホスト間で直接IPsecで通信することも勿論可能です。