ども。こんばんは。

雨ですね。

部屋干しの洗濯物がいまいち乾かない。

雨だろうが晴れだろうが、今日も家でサーバ、NW機器いじり。

だいぶ前に購入してた[W:FortiGate]-50Bが、SSL-VPN以外に使ってなくて、
折角AntiVirusとURLフィルタのライセンスが2011年7月まで残ってるしということで
サブプロキシが外に出て行くとき、FortiGateを経由するように経路を変更。
プロテクションプロファイルの設定、細かく見たことなかったけど
それっぽくキツめに設定。

今までNS204をDGWにしたからMIPが効いてたけど
DGWをForiGateにしたことでMIPが効かない(当然戻りがNSに帰ってこない)
折角証明書認証で外部にSSHを公開してたのに・・・。
↑っと、ここまでは事前に想定済み。

んで、ForiGateのポリシールートでSSHだけ、NS204にルーティングする予定が・・・。

使い方がわからんｗまぁ、MIP宛通信の送信元をNATすればいいんだけど。
外部から接続したときに、IPが全部NS204のTrust側IFのIPになってしまう。。。

まぁおいおい考えるか。

今日いじった結果経路はこうなった。

・サブプロキシが外に出て行く時の経路
サブプロキシ
　↓
FortiGate:internal
　↓
NS204:eth4
　↓
NS204:eth3
　↓
NS5GT:trust
　↓
NS5GT:Untrust
　↓
インターネット

テラ遠回りｗｗｗ

・通常の経路
プロキシ
　↓
NS204 eth2
　↓
NS204 eth1
　↓
インターネット

eicarのテストでAntiVirusは効いいてるみたい。
ただ、URLフィルタがなんとも。

しかしまぁ、理想はL2で入れたいんだけどなー。
SSL-VPNの設定時2つのIFが必要になる仕様があるみたいで。

50Bにもう一つIFがあればなー。

あー、サブプロキシ以外の端末のDGWをFortiGateに向けようかなぁ。

悩むけど、楽しい。

ではでは。またの機会に。