IPSEC隧道Fortinet透明模式到内Fortinet防火墙在NAT模式下不响应无法通行的流量

Question

我有2个fortinet防火墙(完全修补)；fw1在透明模式下提供IPSEC隧道。在这个防火墙下面是一个fw2，一个NAT防火墙，它的VIP地址已经被确认可以工作。此配置对于希望连接到隧道内的公共地址空间的客户是必需的，以防止IP空间中的交叉。这种配置对于出站到隧道的远程端的流量非常有用，但不适用于入站。在嗅探流量时，我可以看到入站流量从fw1中流出，但在fw2中从未见过。

Cust Net > 10.1.1.100                         
                |
                |
                |
FW1      >TRANSPARENT IPSEC
                |
                |
                |
FW2 EXT  >99.1.1.1.100-VIP
                |
FW2 NAT  >192.1.1.100-NAT

Answer 1

这是一个Arp缓存问题，通过在第二个防火墙上为第三个防火墙创建一个条目来解决。