pfSense具有相同子网的站点到站点 IPsec VPN

在使用 IPsec VPN 连接两个站点时，有时可能会遇到两个站点位于同一寻址范围。在这种情况下，可以使用 NAT来解决互相访问的问题。

例如，如果两个站点的LAN使用同一子网192.168.1.0/24 ，则它们将无法通过 VPN 相互通信，因为子网在本地网络上是相同的，并且在远程网络也是相同的。

为了解决这个问题，可以使用 NAT 从一个网络到另一个网络进行通信。这是具有重叠子网进行VPN连接的方法。

注意：如何配置站点到站点的 IPsec VPN，请参阅pfSense配置站点到站点IPsec VPN。

网络拓扑

以两个站点（A 和 B）为例，它们的 LAN 上是相同的子网：192.168.1.0/24

为了将这两个站点与 IPsec VPN 连接起来，有两种方案：

对站点 A的整个子网进行NAT，以便可以从站点 B 通过 IPsec VPN 访问它。相反，我们将对站点 B 的子网执行相同操作，以便可以从站点 A 通过 IPsec VPN 访问它。
将所有流量通过 NAT 转换到一个 IP 地址。这是上网时使用的原则：局域网的所有私有IP地址都是NAT到Internet连接的公共IP地址。

NAT 类型的选择取决于使用的方案和目标。如果要访问多个设备，最好的解决方案是使用一对一 NAT（1:1 NAT），即第一个解决方案。否则，单个 IP 地址上的简单NAT就可以了。

在本示例中，将设置以下选项：

从站点A访问：站点 B 的 LAN 将可以通过以下子网访问： 192.168.200.0/24；因此，从站点 A 到达服务器 192.168.1.222（位于站点 B），我们将请求 IP 地址 192.168.200.222。
从站点B访问：站点 A 的 LAN 将可以通过以下子网访问： 192.168.100.0/24；因此，从站点 B 到达服务器 192.168.1.111（位于站点 A），我们将请求 IP 地址 192.168.100.111。

在站点 A上，转到 VPN > IPsec，按pfSense配置站点到站点 IPsec VPN介绍的方法配置阶段1。

阶段 2要配置的信息如下：

阶段 2 的其他参数不参与使用NAT设置 VPN，这里不进行详述。

在站点B上，执行相同的配置，注意设置的差异。

配置过滤规则

根据转换后的寻址方案调整过滤规则。

在LAN 接口上，为了过滤从站点 A 的本地网络到站点 B 的流量，在源字段中设置 LAN 子网 (192.168.1.0/24)，在目标字段中设置站点 B 的转换子网（ 192.168.200.0/24）。如下图所示：

要过滤来自IPsec VPN（IPsec 选项卡）的网络流量，由于NAT规则已自动生成，过滤必须在本地站点的真实IP地址和远程站点的转换IP地址上完成。

站点A配置示例：

发送评论编辑评论