Como posso encaminhar por um NAT VPN?

Question

Eu tenho uma VPN multi-site atualmente sendo executada com caixas pfSense e atualmente usando o OpenVPN. No entanto, posso alterar o sistema operacional e o tipo de VPN, se necessário.

O roteador principal tem uma sub-rede 10.13.0.0/16 e uma série de IPs públicos

Por exemplo, uma ramificação tem uma sub-rede 10.12.1.0/24

Como posso redirecionar o tráfego NAT em um IP público do roteador principal para um servidor atrás do NAT do segundo? Assim, por exemplo, a porta 95 em um IP público atribuído ao roteador principal encaminha para 10.12.1.102 no outro roteador.

Isso é possível? Atualmente minha configuração funciona muito bem, mas apenas para tráfego interno

    

Answer 1

Você usará NAT 1: 1 para mapear um IP público para um IP privado. Teoricamente, você pode empilhar várias camadas de NAT 1: 1. Por exemplo:

1.1.1.1 ---[1:1 NAT]---> 2.2.2.2 ---[1:1 NAT]---> 3.3.3.3

Ou se você quiser que apenas uma porta fique atrás de seus dois roteadores, o mesmo é possível com regras simples de encaminhamento de porta. Exemplo:

1.1.1.1:95 ---[port forward]---> 2.2.2.2:95 ---[port forward]---> 3.3.3.3:95

As caixas pfSense mantêm as tabelas de sessão e movem com precisão o tráfego para frente e para trás nos múltiplos encaminhamentos.

    

Answer 2

Tudo o que você precisa é fazer uma porta a partir dos dois roteadores

Deixa seu nome na interface do roteador para facilitar a explicação

10.12.0.0/16 router : Router-1
    WAN interface: Router-1-ext (this should have a public IP)
    LAN interface: Router-1-int (this should have a 10.13.x.x IP)

10.12.1.0/16 router : Router-2
    WAN/NAT interface: Router-2-ext (this should have a 10.13.x.x IP) * *
    LAN interface: Router-2-int (this should have a 10.12.x.x IP)

Roteador 1

pf.conf adicione a seguinte regra de encaminhamento de porta

pass in on <Router-1-ext> proto tcp from any to any port 90 rdr-to <Router-2-ext IP>

Roteador 2

pf.conf adicione a seguinte regra de encaminhamento de porta

pass in on <Router-2-ext> proto tcp from any to any port 90 rdr-to 10.12.1.102

Porta encaminhando o caminho pfsense (mais fácil)

Você também pode fazer isso na interface pfsense. A instrução oficial é aqui .

A ideia é a mesma, a porta do roteador 1 encaminha para o roteador 2, a porta do roteador 2 é encaminhada para o servidor de destino.

PS: Se a sua VPN Router-2 para Router-1 estiver na Internet, a interface Router-2-ext acima deve se referir à interface VPN ponto-a-ponto , NOT a interface física da WAN com um IP público.