仮想ルーターとポリシーベースの転送を使用して、GlobalProtect VPN でデュアル ISP ネットワークを構成する方法

101477

Created On 09/25/18 17:46 PM - Last Modified 05/08/20 23:25 PM

Resolution

概要

このドキュメントでは、GlobalProtect VPN と組み合わせてデュアル ISP 接続を持つ、パロアルトネットワークファイアウォールを構成する方法について説明します。1つの ISP リンクは非 vpn トラフィックに使用され、もう一方は GlobalProtect vpn トラフィック専用に使用されます。

構成の目標:

VPN トンネルとの組み合わせでデュアル ISP 接続。
シンプルなグローバル保護 VPN ゲートウェイ/ポータルとクライアント
1 ISP は、LAN のインターネットトラフィックに優先される-ISP1 に向かってデフォルトのルート
GP VPN トラフィックに使用されるその他の ISP リンク

詳細

ISP1 は、プライマリ ISP として使用されます。 ISP2 は、GlobalProtect の VPN トラフィックの ISP です。

パロアルトネットワークファイアウォールのバージョン: 5.0.6 (任意のバージョン > = 4.1. x を使用することができます)

2_isp_gp_1vr_pbf (1) jpg

インターフェイスの構成

4つのインターフェイスを構成する:

イーサネット 1/1-10.193.19.1/23-LAN ゾーンインターフェイス
イーサネット 1/2-192.168.2.11/24 ゾーン ISP 1 インターフェイス
イーサネット 1/3-10.193.17.1/23 ゾーン ISP 2 インターフェイス
トンネル. 1-172.16.1.1/24 ゾーン VPN インタフェース

10.51.23 でスクリーンショット2013-10-15

11.31.48 でスクリーンショット2013-10-15

、VPN ゾーン

GlobalProtect VPN はすぐに設定されます。VPN が機能するための要件は、トンネルレイヤ3インターフェイスです。このインターフェイスは、物理インターフェイスのすべての機能を持つ仮想インターフェイスです。そのため、独自のゾーンで構成することができます。

この構成では、トンネル 1インターフェイスがゾーン VPNに配置されます。vpn トラフィックが顧客によって開始されるたびに、このトラフィックはトンネルからの出口としてファイアウォールによって見られます。1インターフェイスと VPN ゾーン。VPN トラフィックは、ISP2 ゾーンに到達する必要があります。

ネットワークセキュリティの構成

次の間のトラフィックを許可する基本的なネットワークとセキュリティポリシーを構成します。

蘭と ISP1
VPN と ISP2

6036_1

デフォルトのルート 0.0.0.0/0 を ISP1 に追加します。

NAT ルールを使用して2つの isp へのトラフィックを許可する

発信トラフィックを内部 ip アドレスから外部 ip アドレスに変換するためには、何らかのソース NAT を使用する必要があります。この例では、動的 IP とポート NAT が使用されています。グローバル ip は、発信インターフェイス ip になります。

ISP1 への NAT:

ソースゾーン: 任意
宛先ゾーン: ISP1
nat の種類: ソース nat
ソース翻訳: 動的 IP およびポート;インターフェイス: イーサネット 1/2;IP アドレス: 192.168.2.11

ISP2 への NAT:

ソースゾーン: 任意
宛先ゾーン: ISP2
nat の種類: ソース nat
ソース翻訳: 動的 IP およびポート;インターフェイス: イーサネット 1/3;IP アドレス: 10.193.17.1

11.44.56 でスクリーンショット2013-10-15

この時点で、トラフィックはまだ構成されていない GlobalProtect VPN から LAN と ISP2 から ISP1 に到達することができるはずです。

ISP1 接続テスト

ping-isp1。png 形式

スクリーンショット2013-10-15 で 2.18.29 pm.

ポリシーベースの転送

デフォルトのルート 0.0.0.0/0 を GlobalProtect クライアントに渡しているので、ファイアウォールのデフォルトの動作は、仮想ルーターの静的ルートに設定されたデフォルトルートのために、パケットを ISP1 の方にルーティングすることです。

PBF は、次のようにルーティング動作を変更します。

インターフェイストンネルから開始されるすべてのパケット。直接接続された LAN サブネットワークまたは直接接続された ISP1 サブネットワーク以外の他のアドレスに向かっている1は、ISP2 に行くインターフェイスイーサネット1/3 に転送する必要があります。次のホップは、インターネットに行く ISP2 ルータを指している IP です。NAT が NATed セッションを識別し、それを初期の内部 IP に変換するため、対称型を返す必要はありません。これは、GlobalProtect トンネルインターフェイスから発信された不明なアドレスに行くすべてのパケットを上書きします。

スクリーンショット2013-10-15 で 2.00.01 pm.