Der IPSEC-Tunnel kommt an, aber Gastgeber hinter Peer sind nicht erreichbar

Problem

Gelegentlich werden auf einer Website-to-Site IPSec VPN zwischen einem Palo Alto Networks-Gerät und einem anderen Gerät, Phase 1 und Phase 2 stehen. Die Gastgeber hinter dem Peer sind aber nicht erreichbar.

Details

Bestimmen Sie, in welcher Zone sich die Tunnel Schnittstelle befindet. Wenn sich die Tunnel Schnittstelle in der unvertrauens Zone befindet, wird der Verkehr durch die Standard-NAT-Regel auf dem Palo Alto Networks-Gerät an die öffentliche IP-Adresse, während Sie den Tunnel verlässt, niert.

Lösung

Es gibt zwei Möglichkeiten, dieses Problem zu lösen:

• Bewegen Sie die Tunnel Schnittstelle in eine der innenzonen, so dass der Verkehr beim Verlassen des Tunnels nicht niert wird.
• Erstellen Sie eine No-NAT-Regel für den Datenverkehr von den innen Zonen zu den Zieladressen hinter dem Peer.

Besitzer: achalla