関連トピック

# SNAT を使って Inbound IPSec パススルーを構成する

Firebox は既定では、Firebox ですべてのインバウンド IPSec VPN トンネルが終端するように構成されています。Firebox は、インバウンド IPSec VPN トラフィックを信頼済みネットワークや任意ネットワーク上の VPN コンセントレータなど、別の VPN エンドポイントまで通過させるように構成することができます。

この VPN トラフィックが別のエンドポイントに通過するように Firebox を構成するには、Firebox にすべてのインバウンド トラフィックを送信する組み込み IPSec ポリシーを無効化する必要があります。その後、Firebox またはネットワーク上の別のデバイスで終端する受信 VPN トラフィックを処理する特定の IPSec ポリシーを作成する必要があります。静的 NAT (SNAT) アクションをポリシーで使用して、外部 IP アドレスをネットワーク上の VPN エンドポイントのプライベート IP アドレスにマッピングすることができます。

## 組み込み IPSec ポリシーを無効化する

組み込み IPSec ポリシーは非表示のポリシーのため、直接編集することはできません。VPN グローバル設定で組み込み IPSec ポリシーを無効にする必要があります。

組み込み IPSec ポリシーを無効化するには、Fireware Web UI または Policy Manager から以下の手順を実行します：

1. VPN > VPN 設定 の順に選択します。
2. 組み込み IPSec ポリシーの有効化 チェックボックスをクリアします。

## IPSec ポリシーの追加

組み込み IPSec ポリシーを無効にした後、受信 IPSec VPN トラフィックを処理する IPSec パケット フィルタ ポリシーを 1 つ以上追加する必要があります。

たとえば、Fireboxに 203.0.113.2 というプライマリ外部 IP アドレスと、203.0.113.10 というセカンダリ外部 IP アドレスが指定されている場合、IPSec ポリシーで SNAT アクションを使用して、セカンダリ外部 IP アドレスに送信される IPSec トラフィックを VPN コンセントレータのプライベート IP アドレスにマッピングすることができます。別のポリシーを作成して、他すべての受信 IPSec トラフィックを Firebox に送信することもできます。

これら 2 つのポリシーは以下のように指定することができます。

ポリシー：IPSec_to_VPN_concentrator

IPSec 接続：許可
送信元：Any-External
送信先：203.0.113.10 --> 10.0.2.10 (SNAT アクションとして追加)

ポリシー：IPSec_to_XTM_Device

IPSec 接続：許可
送信元：Any-External
送信先：Firebox

自動順序指定モードを有効にすると、ポリシーが正しい優先順位で自動的に並べ替えられ、SNAT アクションを含む IPSec ポリシーはポリシー リスト内で他の IPSec ポリシーよりも高い順位に表示されます。つまり、1 つ目の IPSec ポリシー内の SNAT ルールに一致しない送信先を持つ受信 IPSec トラフィックは、すべて 2 つ目の IPSec ポリシーで処理されます。

この例では、受信トラフィックを内部 VPN コンセントレータに向ける静的 NAT を使用しています。1-to-1 NAT をこの目的のために使用することもできます。

#### 関連情報

グローバル VPN 設定について

静的 NAT を構成する

1 - 1 NAT について

フィードバックの送信 • サポートのリクエスト • 全製品ドキュメント • 技術検索