サイト間VPNで上位機器でIKE,ESPの許可設定
下記のことを実施したいと考えていますが、YAMAHAのRTX1000同士でVPNが張れません。
原因及び対応方法がわからず、困っております。
ご教示頂けますようお願い致します。
【行いたいこと】
1.VPNルータAのLAN1のセグメント(192.168.5.0/24)の端末からVPNルータBのLAN1のセグメント(192.168.3.0/24)の端末へVPN接続を行いたい。VPM接続を行うのは、RTX1000同士だが、VPNルータBの上位にSonicWALL TZ100があり、VPN接続を行うため、IKE,ESPを許可する必要がある。
2.PNルータAのLAN1のセグメント(192.168.5.0/24)の端末からVPNルータBのLAN1のセグメント(192.168.3.0/24)にVPN接続した後にSonicWALL TZ100のX2(LAN)のセグメント(192.168.4.0/24)にアクセスをさせたい。
【構成】
192.168.4.0/24 (X2) --TZ100 (X1) ----- (LAN2) RTX1000 VPNルータA(LAN1) --192.168.5.0/24
(X0)
|
(LAN2)
RTX1000 VPNルータB
(LAN1)
|
192.168.3.0/24
【YAMAHA RTX1000 ファームウェア:8.01.29 VPNルータA】
ip lan1 address 192.168.5.50/24ip lan2 address 192.168.1.60/24
ip route default gateway 192.168.1.1
ip lan2 nat descriptor 1nat descriptor type 1 masquerade
nat descriptor address outer 1 192.168.1.60
nat descriptor address inner 1 auto
tunnel select 1
ipsec tunnel 101ipsec sa policy 101 1 esp 3des-cbc sha-hmac
ipsec ike keepalive use 1 on
ipsec ike local address 1 192.168.5.50
ipsec ike pre-shared-key 1 text password
ipsec ike remote address 1 192.168.1.60
tunnel enable 1
nat descriptor masquerade static 1 1 192.168.5.50 udp 500
nat descriptor masquerade static 1 2 192.168.5.50 esp
ipsec auto refresh on
ip route 192.168.3.0/24 gateway tunnel 1
【YAMAHA RTX1000 ファームウェア:8.01.29 VPNルータB】
ip lan1 address 192.168.3.20/24ip lan2 address 192.168.2.30/24
ip route default gateway 192.168.2.40
ip route 192.168.4.0/24 gateway 192.168.2.40
nat descriptor type 1 masquerade
nat descriptor address outer 1 192.168.2.30
nat descriptor address inner 1 auto
tunnel select 1
ipsec tunnel 101ipsec sa policy 101 1 esp 3des-cbc sha-hmac
ipsec ike keepalive use 1 on
ipsec ike local address 1 192.168.3.20
ipsec ike pre-shared-key 1 text password
ipsec ike remote address 1 192.168.1.60
tunnel enable 1
nat descriptor masquerade static 1 1 192.168.3.20 udp 500
nat descriptor masquerade static 1 2 192.168.3.20 esp
ipsec auto refresh on
ip route 192.168.5.0/24 gateway tunnel 1
【SonicWALL TZ100 ファームウェア:SonicOS Enhanced 5.8.1.12-65o.01.jpn】
X0(LAN) 192.168.2.40/24
X1(WAN) 192.168.1.50/24 G/W:192.168.1.1 DNS:4.2.2.2
X2(LAN) 192.168.4.40/24
アクセスルール(LAN > WAN)
No.1 送信元:すべて 送信先:すべて サービス:すべて 動作:許可
アクセスルール(WAN > LAN)
No.1 送信元:すべて 送信先:WANプライマリIP サービス:ESP(IPSec) 動作:許可
No.2 送信元:すべて 送信先:WANプライマリIP サービス:IKE 動作:許可
NATポリシー
No.1 変換前の送信元:すべて 変換後の送信元:オリジナル 変換前の送信先:WANプライマリIP 変換後の送信先:192.168.2.30 変換前のサービス:ESP(IPSec) 変換後のサービス:オリジナル
No.2 変換前の送信元:すべて 変換後の送信元:オリジナル 変換前の送信先:WANプライマリIP 変換後の送信先:192.168.2.30 変換前のサービス:IKE 変換後のサービス:オリジナル
アドレスオブジェクト
名前:192.168.2.30
ゾーン:LAN
タイプ:ホスト
IPアドレス:192.168.2.30
お礼
ありがとうございます。 可能性は低いとはいえ秘匿が必要であれば、暗号化は必須ということですね。 検討してみます。ありがとうございます!