RTX1200でNATを使ったＩＰアドレス変換

質問

ＲＴＸ1200を２台LAN3どうしで繋いでいます。（ルータ１はＶＰＮで本部と接続しています）
ルータ１←→(LAN3)←→ルータ2
LAN2 →　pppoe
LAN1 →　パソコン端末
ルータ１（LAN1）：172.31.90.0/24
ルータ２（LAN2）：192.168.90.0/24
ルータ２の配下に　192.168.90.9　のネットカメラをセットしました。

この状態で　本部から　172.31.90.9 と　入力することで　繋がるようにしたいのです。（他拠点も全部172.31.・・なんで全部統一したいとの要望・・・）

静的ＮＡＴの変換で可能かと考え下記の設定を記述してみましたがうまくいきません。
もちろんルータ１から192.168.90.9には疎通しています。

ルータ１側に下記記述をしました。

ip route 192.168.90.0/24 gateway ルータ２

nat descriptor type 1 masquerade
nat descriptor address outer 1 ipcp
nat descriptor address inner 1 172.31.90.1-172.31.90.254
nat descriptor masquerade static 1 1 172.31.90.1 udp 500
nat descriptor masquerade static 1 2 172.31.90.1 esp

nat descriptor type 2 nat-masquerade
nat descriptor address outer 2 172.31.90.9
nat descriptor address inner 2 192.168.90.9
nat descriptor static 2 1 172.31.90.9=192.168.90.9 1
pp select 1 には
ip pp nat descriptor 1 2 と記述しています。

ＤＤＮＳなど提案しましたが、外部から見えてしまうのでＮＧとのことでした。
末筆で恐縮なのですが、お分かりの方ご教授お願いします。

回答No.1

nnori7142 · ベストアンサー

お尋ねの件ですが、「nat descriptor address inner 2　172.31.90.9 192.168.90.9」へ変更、
「nat descriptor static」コマンドのNAT変換エントリーを「nat descriptor masquerade static 2 1 192.168.90.9 tcp www」と変更にてうまくいきませんか？
　ネットワークカメラの参照ポート番号が、TCP80番を想定しております。

お礼

本当にありがとうございます。
通信できました！！

回答No.2

maesen

＞ルータ１←→(LAN3)←→ルータ2
＞ルータ２の配下に　192.168.90.9　のネットカメラをセットしました。
＞この状態で　本部から　172.31.90.9 と　入力することで　繋がるようにしたいのです。

本部はトンネル（VPN）の先、つまりルータ1とインターネットVPN接続された先にあるのですよね。

＞ip pp nat descriptor 1 2 と記述しています。

そうするとpp1にnat descriptor 2を設定してもだめですよね。
（pp1を通るときはトンネルされているのだから）

本部からのトンネルを抜けたあと

(1)トンネルの復号化
(2)tunnelインターフェースのNAT処理
(3)経路探索

と進みますがこの(3)でLAN3へルーティングされるようにならないといけないので、
nat descriptor 2はtunnelインターフェースに設定しないといけないと思います。
tunnel側の情報が書かれていないので微妙ですが。

あと

＞nat descriptor type 2 nat-masquerade

動的NATとマスカレードの組み合わせが必要ではないのでnatかmasqueradeで良いと思います。
単純にアドレス1対1での変換ならnatでいいでしょう。

お礼

細かいところありがとうございます・・。実はpingは開通したものの実際に動作していないことが判明しました・・
ぬか喜びでした・・しかもping通信については該当デバイスを抜いてもずーっと通信しています・・。　トホホ・・・

トンネルについては　ＮＴＴのvpnワイドで通信していますので　ipip　で　通信しています。

＞そうするとpp1にnat descriptor 2を設定してもだめですよね。
→　ずばりその通りなのです・・今は導入前の実験段階ですのでLAN1の端末より確認していますので　ip lan1 nat descriptor 2 で　通信まで確認はできました・・

そうなると　tunnele 内に　ip tunnnle1 descriptor 2でいいのでしょうか？　末筆ですみません・・　
返答いただけると幸いです・・