SSG5のVPNパススルー設定について

質問

SSG5をゲートウェイとして使用し、RTX1210へのL2TP/IPsec接続する際のSSG5の設定が分からなくて悩んでいます。
構成としては以下のようになっています。
(Untrust)-SSG5(192.168.1.1)--(192.168.1.128)RTX1210

Untrust側からはWindowsやMacの標準VPNクライアントで接続することを想定しています。
SSG5にどのような設定を行えば良いか教えて頂けますでしょうか。

よろしくお願い致します。

回答No.2

nnori7142

先刻の補足ですが、SSG5がトランスペアモードでの運用であれば、SSG5のIPフィルタでの透過設定かと存じます。
　Untrust⇔Trust双方に対し、ファイアーウォール機能にて透過許諾（Permit）の設定を確認下さい。
　例として下記・・
　(1)　set service L2TP1 protocol udp src-port 4500 dst-port 4500
　(2)　set service L2TP2 protocol udp src-port 1701 dst-port 1701
　(3)　set policy id 1 from trust to Untrust 192.168.1.128/32 Any esp permit
　(4)　set policy id 2 from trust to Untrust 192.168.1.128/32 Any ah permit

回答No.1

nnori7142

確認ですが、L2TP/IPSEC接続自体はNAT越え出来る仕様ですので、RTX1210の静的IPマスカレード設定を先ず実施下さい。
　※　UDP4500及びUDP1701、ESPパケットの透過設定、L2TP/IPSECトンネル設定・pp select anonymousモードでのアクセス・ユーザーID及びパスワード、トンネル・バインド設定

　SSG5のL2TP/IPSECの設定として、必須と想定されますのは、UDP4500及びUDP1701、ESPパケットの透過設定（静的IPマスカレード、ポートマッピングとも言います）、IPフィルタでの上記ポート番号許諾が必要です。

　もし、SSG5とRTX1210間にて、IPSEC拠点間接続をしている場合には、RTX1210でのL2TP/IPSECトンネル設定は不要です。SSG5にLAN接続すれば、RTX1210側のIPへアクセスすればそのままアクセス出来ます。IPSEC拠点間接続の際には、指摘IP体系ですと、L2TPv3-VPN接続が必要かと存じます。
　通常のIPSEC拠点間接続設定ですと、SSG5のIP体系とRTX1210のIP体系は別セグメントにしなければ、ルーピングしますので、別IP体系にする点と静的ルーティング設定をSSG5とRTX1210双方に必要です。