ファイアーウォールでの宛先と送付元の同時ＮＡＴ

質問

画像の説明
Ａ=サーバー　仮にipアドレスが192.168.1.5/24　Ｃのipアドレスや許可していないアドレスからは接続させない設定
拒否　CのＬＡＮ側192.168.1.1/24や許可した物以外のすべて
許可　C以外の192.168.1.0/24と拡張用にとっておいた192.168.2.0/24
B=クライアント　仮にipアドレスが192.168.1.0/24のうちでどれか
Ｃ=ファイアーウォール 仮にＬＡＮ側が192.168.1.1/24ＷＡＮ側が10.10.10.1/24
D＝モデム
Ｅ＝インターネット

こんなネットワークがあります。
Ｂのサーバーは内部にしか公開していないサーバーでＢのような端末がいっぱいあるネットワークに所属しています。

今度このサーバーを外部にも公開したいのですがサーバーの設定をかえる許可がでません。
そこでファイアーウォール（JuniperのSSG20という製品です。）を設定しなおし対応しようと思っているのですが
サーバーの接続拒否設定もありただＣのファイアーウォールで宛先ＮＡＴJuniperでいえばMＩＰをして
10.10.10.10を192.168.1.5に変えただけでは送付元が拒否の範囲なので接続できません。
そこで将来のＬＡＮを拡張用にしておいた192.168.2.0のネットワークアドレスが許可になっているのを
利用して送付元をこの192.168.2.0/24で動的ＮＡＴをしてやればうまくいくんじゃない？という話になっています。
ただ夜間にですが実験を行ったところどうにもうまく接続できない状態です。

ＣｉｓｃｏのルータをＣとＤの間にはさみそこで宛先と送付元の二つをＮＡＴしてあげるのはうまくいきそうなのですが
ファイアーウォールのＳＳＧ２０だけでなんとかこの二つのＮＡＴをしてあげることはできないでしょうか？
もしくはなにかいい方法があればと思い質問させていただきます。
ちなみにサーバーの設定変更や専門業者への依頼はできない制約になっています。
あとログの確認のしやすさのため外部から接続してきたＰＣの192.168.2.0/24のネットワークアドレスで
動的に振り分けないといけないというのも必要なのです。

ネットワークの知識があまりないためうまくご説明できないのですが
どうかよろしくお願いいたします。

回答No.2

gamera4500

Ｎｏ１です

一応レスしているので、まあ、追記します

定義の方法ですが
ＩＰ／２４でＤＥＮＹのポリシー
がサーバの拒否になってしまうというのであれば

サーバのＩＰ／３２　ＰＥＲＭＩＴ（３２ビット指定）
ＩＰ／２４　ＤＥＮＹ

の順に記述すればそのセグメントのサーバのみ許可可能となります。

ＪＵＮＩＰＥＲのポリシーは上から順に見ていきＨＩＴした時点で
処理を行います

補足

回答ありがとうございます。
ただ回答の意味が少しわかりかねます。
一応自己解決しましたのでご報告だけ。
MIPの In the same subnet as the extended IP に192.168.2.0と設定してやれば
そのネットワークアドレスで動的にソースアドレスをNATしてやることができました。

回答No.1

gamera4500

こんちす

文章が良くわからないないのですが

新しく、サーバを公開したい
MIPを使用している

という意味でしたら、

MIPとは１対１のNATである

うろおぼえで申し訳けないのすが

MIPは１対１であるが、外部複数に対して、内部１のNATはできる

であったと記憶しています。

よって

今：グローバルIP－A＜－MIP->該当サーバのIP

という設定なので、MIPをもう一個追加して

グローバルIP－A－MIP->該当サーバのIP
グローバルIP－B－MIP->該当サーバのIP

としてやれば、新しいIP（B)でサーバが公開できます。
IPの管理はご自分の範囲なんでしょ？多分

補足

送信元IPもNATしないといけないのでそれじゃサーバー側でアクセスがはねられるのですよ