Full NAT wie bei der Sophos UTM

[dasbo]

Hallo,
ich habe seit kurzem die OPNSense im Einsatz und möchte gerne wie bei der Sophos UTM ein Full NAT machen.
Wie gestaltet sich das bei der OPNSense ?
Beispiel das mir nicht so ganz klar ist:

Kunde kommt mit 145.22.60.0/24 tcp 22 über einen IPSEC Tunnel in die OPSense 10.10.30.x/24 und soll mit ssh auf interne Adress 130.35.0.x/32 genattet werden.

Vg
Andreas

[Patrick M. Hausen]

Kannst du das mal aufmalen? Das ist mir so nämlich auch nicht ganz klar  ;)

[bsch]

Nabend!

Also so richtig klar wird dein Vorhaben nicht. Wenn du ein IPsec VPN aufbaust und die Gegenseite mit einem öffentlichen Adress-Bereich durch den Tunnel kommt (was ja kein Thema ist), benötigst du ja noch viel weniger ein NAT als sonst beim Aufbauen von unzähligen Tunneln.

Das NAT sollte die Gegenseite dann als Source-NAT machen und die Phase 2 entsprechend konfigurieren. Alles andere macht keinen Sinn :D

[dasbo]

Hallo zusammen, es geht darum das ich ein kleines Transfernetz auf meiner Seite ausgedacht habe das auf der Gegenseite als Remote LAN fungiert. Dieses Transfernetz auf meiner Seite muss ich in ein weiteres Netz umnatten.
ein Full NAT wie bei der Sophos UTM.

[dasbo]

Wann kommt FullNAT zum Einsatz?

FullNAT kommt dann zum Einsatz, wenn beim passieren eines IP Paket durch ein NAT Device (hier im Beispiel eine Firewall) die Source und Destination im IP Header so verändert werden soll, dass das Paket als Absender und Empfänger jeweils andere IP Adressen vorweist.

[Monviech (Cedrik)]

https://docs.opnsense.org/manual/how-tos/ipsec-s2s-conn-binat.html

?

[dasbo]

Hier mein Beispiel der Kunde kommt über sein Transfernetz 10.214.46.0/27 zu mir ins Datacenter gekoppelt über IPSEC an mein Transfernetz und muss auf den Zielhost 10.1.7.141. Wie realiesiere ich dies. Ich habe auch schon per tcpdump auf der Firewall rechts die Verbindungsversuche vom Kunden gesehen aber es kommt keine Verbindung (telnet) zustande.

[dasbo]

Kann denn keiner helfen ? Gern auch per Teamviewer oder Teams

[Patrick M. Hausen]

Es ist für mich bisher nicht nachvollziehbar, welche Adressen auf welchem Interface liegen und was da genau geNATet werden soll.

Daher wiederhole ich mich: bitte male das Netzwerk auf.

[Monviech (Cedrik)]

Wenn du remote support brauchst, Deciso bietet Support an. Da bin z.B dann ich drüber verfügbar.

https://shop.opnsense.com/product-categorie/support/

[dasbo]

Haben wir jetzt auch vor zu kaufen.
Danke