Pianificatore Netmap

Quando due sedi collegate in VPN usano la stessa rete, inserisci la rete reale e quella mappata di ogni sede e il pianificatore ti dà le impostazioni VPN e NETMAP per entrambi i firewall. Vedi Netmap per il funzionamento delle regole.

Reti

Sede A

Rete reale (LAN)Rete mappata

Sede B

Rete reale (LAN)Rete mappata

Come un pacchetto della sede A raggiunge la sede B

Esce dalla sede A

Origine192.168.1.10

Destinazione10.2.2.20

NETMAP_SRC_AIl firewall della sede A riscrive l'origine

Nel tunnel VPN

Origine10.1.1.10

Destinazione10.2.2.20

NETMAP_DST_BIl firewall della sede B riscrive la destinazione

Arriva alla sede B

Origine10.1.1.10

Destinazione192.168.1.20

Configurazione

Sede A

1. Tunnel VPN

Usa le reti mappate, mai quelle reali.

Rete locale	Rete remota
10.1.1.0/24	10.2.2.0/24

2. Firewall › NAT › Regole e NETMAP › Aggiungi NETMAP sorgente

NETMAP sorgente

Nome	Rete destinazione	Rete sorgente	Rete mappata
NETMAP_SRC_A	10.2.2.0/24	192.168.1.0/24	10.1.1.0/24

3. Firewall › NAT › Regole e NETMAP › Aggiungi NETMAP destinazione

NETMAP destinazione

Nome	Rete sorgente	Rete destinazione	Rete mappata
NETMAP_DST_A	10.2.2.0/24	10.1.1.0/24	192.168.1.0/24

Sede B

1. Tunnel VPN

Usa le reti mappate, mai quelle reali.

Rete locale	Rete remota
10.2.2.0/24	10.1.1.0/24

2. Firewall › NAT › Regole e NETMAP › Aggiungi NETMAP sorgente

NETMAP sorgente

Nome	Rete destinazione	Rete sorgente	Rete mappata
NETMAP_SRC_B	10.1.1.0/24	192.168.1.0/24	10.2.2.0/24

3. Firewall › NAT › Regole e NETMAP › Aggiungi NETMAP destinazione

NETMAP destinazione

Nome	Rete sorgente	Rete destinazione	Rete mappata
NETMAP_DST_B	10.1.1.0/24	10.2.2.0/24	192.168.1.0/24

Verifica con due host di esempio

Da 192.168.1.10 (sede A), per raggiungere 192.168.1.20 (sede B): ping 10.2.2.20

Da 192.168.1.20 (sede B), per raggiungere 192.168.1.10 (sede A): ping 10.1.1.10

La sede B vede la connessione arrivare da 10.1.1.10. Usa questo indirizzo nelle regole firewall e cercalo nei log.

Da sapere

• Le regole firewall tra le due sedi si scrivono con la rete mappata dell'altra sede.
• Le reti mappate non devono esistere in nessuna delle due sedi né in altre VPN.
• Un nome DNS che risolve all'IP reale di un host dell'altra sede non funziona. Usa invece l'indirizzo mappato.