El túnel IPSec aparece, pero los hosts detrás de Peer no son accesibles

Incidencia

Ocasionalmente, en una VPN IPSec de sitio a sitio entre un dispositivo de redes palo alto y otro dispositivo, la fase 1 y la fase 2 estarán en marcha. Sin embargo, los anfitriones detrás del mismo no son accesibles.

Detalles

Determinar en qué zona se encuentra la interfaz del túnel. Si la interfaz del túnel se encuentra en la zona de Untrust, el tráfico será nated a la IP pública, dejando el túnel, por la regla NAT por defecto en el dispositivo Palo Alto Networks.

Resolución

Hay dos opciones para resolver este problema:

• Mueva la interfaz del túnel a una de las zonas interiores, de manera que el tráfico no se conseguirá nated al salir del túnel.
• Cree una regla de no-NAT para el tráfico de las zonas internas a las direcciones de destino detrás del mismo.

Propietario: achalla