Configuración de NAT de destino mediante un VSYS con Gateway compartido

Este documento explica cómo configurar el acceso a Internet (con NAT de destino) utilizando un VSYS y una puerta de enlace compartida.

Asumiendo lo siguiente para este ejemplo:

• SG = nombre de la puerta de enlace compartida.
• SG1 = nombre del sistema virtual de Gateway compartido.
• Vsys1 y Vsys2 = los dos sistemas virtuales que compartirán la pasarela.
• El enrutador virtual predeterminado contiene eth1/3 reside en vsys1.
• Estamos utilizando NATs bi-direccional para conexiones Dra para dos servidores web diferentes que necesitan tener NAT público.
• El servidor Web en vsys1 es 192.168.85.80 (Internal) 1.1.1.80 (externo).
• El servidor Web en vsys2 es 192.168.95.81 (Internal) 1.1.1.81 (externo).
• La interfaz no confiable es eth1/3, que está conectada al ISP. Esta interfaz se ha eliminado de cualquier zona o de directivas NAT.
• Existen las siguientes zonas:

Procedimiento

• Crear una puerta de enlace compartida en el dispositivo > gateways compartidos y agregar la interfaz de conexión a Internet. Si esta interfaz ya está asignada a otro sistema virtual (vsys), puede cambiar el vsys al que está asignado después de crear la puerta de enlace compartida.
• Cree un tipo de zona externa en cada vsys que incluya su sistema virtual de Gateway compartido, para que sea el conducto entre sus sistemas virtuales internos y la puerta de enlace compartida.

• Cree una zona de capa 3 ubicada en la puerta de enlace compartida vsys para la puerta de enlace compartida que incluye la interfaz de conexión a Internet (eth1/3 en este caso). Esta será la zona no confiable o externa que se compartirá entre ambos sistemas virtuales.

• Crear directivas NAT para cada servidor Web bajo la pasarela compartida vsys con los siguientes valores (esta Directiva no está ubicada en el vsys):

• En vsys1, cree las siguientes directivas de seguridad, una para las conexiones salientes y otra para conexiones entrantes al servidor Web que se ejecuta detrás de esa vsys la Directiva entrante debe contener tanto la dirección traducida como la no traducida como dirección de destino:

• En vsys2, cree las siguientes directivas de seguridad, una para las conexiones salientes y otra para conexiones entrantes al servidor Web que se ejecuta detrás de ese vsys. La Directiva entrante debe contener tanto la dirección traducida como la no traducida como dirección de destino:

• Cree un enrutador virtual para Vsys2 que contenga la interfaz de confianza para Vsys2 (eth1/9) y cree la siguiente ruta predeterminada:

Destination = 0.0.0.0/0

Siguiente salto = siguiente VR y seleccionar el nombre del enrutador virtual en vsys1

• Para el enrutador virtual en vsys1, cree una ruta para la red de confianza para vsys2:

Destination = 192.168.95.0/24

Siguiente salto = siguiente VR y seleccionar el nombre del enrutador virtual en vsys2

Propietario: jteetsel