NAT環境下の拠点間接続時の同一ネットワーク（VXLAN over IPsec under NAT）

「その１」の続き。NAT環境下の拠点間接続時に同一ネットワークを実現する。調査及びトライ＆エラーの結果、IPsec+NATトラバーサルを使わざるを得ないようであった。

ネットワーク

下記のようなネットワーク構成。中央にNATが存在し、左が内側、右が外側である。末端のPCどうしが同一ネットワークに属する。

設定

各種項目作成については、「その１」も参照されたし。特記事項がなければ、基本的に左側のForigateの設定を記載している。

ループバック（Loopback）

後述するVXLANの宛先として、Loopback IPアドレスを作成する。

ここでは、左側FortigateのLoopback IPアドレスとして”1.1.1.1”、右側FortigateのLoopback IPアドレスとして”1.1.1.2”を用いる。

VXLAN

CLIによる作成。VNIとして、10を用いる。これは、双方のFortigateで同じ値。

FG1 (vxlan) # show
config system vxlan
    edit "vxlan"
        set interface "Lo"
        set vni 10
        set remote-ip "1.1.1.2"
    next
end

ソフトウェアスイッチ（Bridge）

ここは「その１」と同じ。作成したVXLANとInternal（ここではPort4および5）とをつなぐソフトウェアスイッチ（Bridge）を作成。

WAN

左側Fortigate：DHCPによるIPアドレス（10.1.1.x/24）
右側Fortigate：10.1.3.1/24（固定）

ネットワークインターフェース

最終的には下記となる（一部後述するVPN記述含む）。

左側Fortigate

右側Fortigate

IPsec VPN

IPsecトンネルにて、「カスタム」を選択して作成する。

左側Fortigate（NAT inside）

リモートゲートウェイのスタティックIPアドレスとして、対向peerのIPアドレス”10.1.3.1”を指定する。NATトラバーサルを有効化することも重要。

事前認証鍵を指定する。

オートネゴシエーション選択。

IPsec対象とするIPアドレスは指定しない。

右側Fortigate（NAT outside）

NAT外側では、対向PeerのIPアドレスが不定となる。リモートゲートウェイのダイアルアップユーザを選択する。NATトラバーサルを有効化することも同じ。

事前認証鍵指定は先ほどと同様。なお、ダイアルアップユーザの場合、オートネゴシエーション指定はできない。また、IPsec対象とするIPアドレスは指定しない。

Static Route

左側Fortigate（NAT inside）

対向PeerのIPアドレス（10.1.3.1）へのルートを作成。今回の最大のポイントと感じたのは、対向PeerのループバックIPアドレス（1.1.1.1）のインターフェースとして、VPNトンネル（vpn1）を指定することであった。

右側Fortigate（NAT outside）

同じく対向PeerのループバックIPアドレス（1.1.1.2）のインターフェースとして、VPNトンネル（vpn2）を指定。

Firewall

Fortigate内外（WAN-LAN間）を通信させるためのFirewall設定。VPNトンネル、ソフトウェアスイッチ、ループバックIPアドレス間通信を許可する。

右側Fortigateでは、上記vpn1がvpn2に置き換わるだけである。

検証

pingによる検証。パケットはESPとなってしまい、見ることができないので、Wiresharkで取得したデータは省略。左側Fortigateのルーティングテーブルは下記となる。

FG1 # get route info routing-table all
Codes: K - kernel, C - connected, S - static, R - RIP, B - BGP
       O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2
       i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
       V - BGP VPNv4
       * - candidate default

Routing table for VRF=0
C       1.1.1.1/32 is directly connected, Lo
S       1.1.1.2/32 [10/0] via vpn1 tunnel 10.1.3.1, [1/0]
C       10.1.1.0/24 is directly connected, wan1
S       10.1.3.1/32 [10/0] via 10.1.1.1, wan1, [1/0]
C       192.168.10.0/24 is directly connected, internal

右側ortigateのルーティングテーブルは下記となる。

FG2 # get route info routing-table all
Codes: K - kernel, C - connected, S - static, R - RIP, B - BGP
       O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2
       i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
       V - BGP VPNv4
       * - candidate default

Routing table for VRF=0
S*      0.0.0.0/0 [15/0] via vpn2 tunnel 10.1.3.2, [1/0]
S       1.1.1.1/32 [10/0] via vpn2 tunnel 10.1.3.2, [1/0]
C       1.1.1.2/32 is directly connected, Lo
C       10.1.3.0/24 is directly connected, wan1
C       192.168.30.0/24 is directly connected, internal

なお、IPsecトンネルが確立されている状況は下記となる。

終わりに

VXLANはUDPパケットなので、理論的には、NAT環境下でIPsecなしでも実現できるのではあるが、このあたりはFortigateの仕様なのであろう。