☰

2つのサブネットのIPルーティング

tag-icon • tag-icon firewall routing switch subnet
2つのサブネットのIPルーティング

サブネットが2つあります

  • A: 192.168.2.0/24。A 内にはファイアウォールとインターネットへの接続があります。
  • B: 172.16.12.0/24。

これらはスイッチを介して相互に接続されており、両方のサブネットは VLAN として構成されています。したがって、スイッチには両方のサブネット内の IP アドレスがあります。

  • A内には192.168.2.226があります
  • B内では172.16.12.175です

さて、A のマシンを次のように構成すると、すべて正常に動作します。

  • sudo ip ルート 172.16.12.0/24 を 192.168.2.226 経由で追加します

そしてBのマシンは

  • sudo ip ルート 192.168.2.0/24 を 172.16.12.175 経由で追加します

B 上のホストは、A 上のホスト (およびインターネット ホスト) にアクセスできるようになりました。

ここで、A のホストの手動の静的ルートを削除したいと思います。代わりに、ファイアウォールのルールを使用して 192 から 172 へのルートを追加し、A のホストがそれ以上の構成を必要としないようにしたいと思います。このために、ターゲット 172.16.12.0/24 とゲートウェイ 192.168.2.226 を持つ「IPv4-Unicast-Route」を追加しました。これで、A のホストは B に到達できます。

> traceroute 172.16.12.4 /// running on 192.168.2.84
traceroute to 172.16.12.4 (172.16.12.4), 30 hops max, 60 byte packets
 1  _gateway (192.168.2.254)  0.199 ms  0.219 ms  0.243 ms
 2  192.168.2.226 (192.168.2.226)  1.579 ms  1.995 ms  2.429 ms
 3  172.16.12.4 (172.16.12.4)  1.064 ms  1.044 ms  1.026 ms

しかし、B 上のホストは A 上のホストにアクセスできません。

> traceroute 192.168.2.84 //// running on 172.16.12.4
traceroute to 192.168.2.84 (192.168.2.84), 30 hops max, 60 byte packets
 1  _gateway (172.16.12.175)  8.750 ms  9.058 ms  9.410 ms
 2  _gateway (172.16.12.175)  3.811 ms !H  4.551 ms !H  5.006 ms !H

(B 上のホストは、8.8.8.8 などのインターネット ホスト、またはアクティブな手動 IP ルート () を持つ A 上のホストにアクセスできますsudo ip route add 172.16.12.0/24 via 192.168.2.226)

この原因は何でしょうか。ファイアウォールの設定に関して何が欠けているのでしょうか。172 台のホストから 192 台のホストへのアクセスを許可するファイアウォール ルールを追加してみましたが、違いはありませんでした。

編集: ファイアウォールの IP アドレスが 192.168.2.254 であることを追加します。最初の traceroute でわかるように、192.168.2.226 に正しくルーティングされます。

追加された画像で定義されているNetgearスイッチルートネットギアスイッチルート

答え1

サブネット A のホストがサブネット B のホストから要求を受信して​​も、サブネット B に戻るルートがない場合は、応答を送信できません。この場合、サブネット A のホストは、デフォルト ゲートウェイに応答を送信しようとします。デフォルト ゲートウェイにサブネット B へのルートがない場合、応答はドロップされ、サブネット B のホストは応答を受信しません。

答え2

当社のファイアウォールの掲示板の次の URL に、問題と解決策が記載されています。https://community.sophos.com/sophos-xg-firewall/f/discussions/100540/strange-behavior-xg-forwarding-to-internal-lan-second-router

非対称ルーティングが発生しています。次のコマンドを使用して、接続の追跡と検査を無効にしてみてください。

advanced-firewall bypass-stateful-firewall-config を設定し、source_network xxxx source_netmask 255.255.255.0 dest_network yyyy dest_netmask 255.255.255.0 を追加します。

advanced-firewall bypass-stateful-firewall-config を設定し、source_network yyyy source_netmask 255.255.255.0 dest_network xxxx dest_netmask 255.255.255.0 を追加します。

関連情報