양쪽이 같은 192.168.1.0/24라면 VPN 터널만으로 목적지를 구분하기 어렵습니다. 이때 겹치지 않는 별칭 대역을 정하고 출발지와 목적지 변환을 조합하는 설계가 필요할 수 있습니다. 트와이스 NAT라고 부르는 문제를 FortiGate의 SNAT와 VIP 관점으로 풀어보세요. 양단 매핑과 중앙 NAT, 경로와 VPN 선택자 및 응답 검증을 정리합니다.
겹친 실제 대역과 별칭 대역 설계
예시에서 A와 B의 실제 대역은 모두 192.168.1.0/24입니다. A의 별칭은 10.101.1.0/24, B는 10.102.1.0/24로 정하고 기존 연결망과 겹치지 않는지 확인합니다. A 사용자는 B의 실제 주소 대신 B 별칭으로 접속해야 로컬 망과 구분할 수 있습니다. 전체 범위는 크기와 순서를 맞추고 단말·DNS도 원격 별칭을 쓰도록 변경하세요.
SNAT와 VIP를 양단에서 연결
양단 예시에서는 각 사이트가 나가는 출발지를 자기 별칭으로 SNAT하고 들어오는 자기 별칭을 VIP로 주소에 매핑합니다. 중앙 모드의 SNAT 표와 독립 VIP, 실제 서버 대상 허용 정책을 연결해야 합니다. 한 장비에서 두 변환을 함께 수행하는 설계도 각각의 매칭 주소와 경로를 검증해야 합니다. B측 호스트 예시로 A측 구성과 VPN은 별도로 준비합니다.
| 사이트 | 실제 대역 | 외부에 보일 별칭 |
|---|---|---|
| A | 192.168.1.0/24 | 10.101.1.0/24 |
| B | 192.168.1.0/24 | 10.102.1.0/24 |
| A에서 B 접속 | 실제 B 주소와 구분 | B 별칭 10.102.1.x 사용 |
양단 실제 주소와 별칭을 대응표로 정리하세요. Btagly 메인에서 무료 문서 도구를 찾아보세요.
Btagly 무료 도구 바로가기별칭 경로와 VPN 선택자 검증
원격 별칭 대역의 경로가 VPN을 향하는지와 IPsec 선택자가 터널 안의 주소를 포함하는지 확인합니다. 중앙 SNAT의 목적지 조건은 DNAT 등 해당 처리 단계의 주소와 맞아야 하므로 원본과 변환 후 값을 구분하세요. 터널 단절 시 기본 경로로 새지 않도록 경로도 검토합니다. 양방향 새 연결과 서버의 출발지를 확인해 로컬 망의 우연한 응답과 구분하세요.
중앙 NAT가 활성화된 B측 단일 서버의 실습 발췌입니다. B_REAL_20은 192.168.1.20/32, A_ALIAS_NET은 10.101.1.0/24 주소 객체로 미리 준비합니다. VPN_TO_A와 lan은 실제 인터페이스에 맞춥니다. GUI에서는 IP Pool·Central SNAT·DNAT & Virtual IPs에 대응 항목을 만들고 양단 정책·라우팅·선택자를 별도로 검증합니다.
config firewall ippool
edit "B_ALIAS_20_POOL"
set type one-to-one
set startip 10.102.1.20
set endip 10.102.1.20
next
end
config firewall central-snat-map
edit 0
set srcintf "lan"
set dstintf "VPN_TO_A"
set orig-addr "B_REAL_20"
set dst-addr "A_ALIAS_NET"
set nat enable
set nat-ippool "B_ALIAS_20_POOL"
next
end
config firewall vip
edit "B_ALIAS_20_VIP"
set extintf "VPN_TO_A"
set extip 10.102.1.20
set mappedip "192.168.1.20"
set status enable
next
end- 중복 없는 별칭과 실제 주소의 대응표를 합의합니다.
- 양단 SNAT·VIP와 실제 주소 대상 허용 정책을 연결합니다.
- 별칭 경로·VPN 선택자·DNS 및 양방향 연결을 검증합니다.
- 예시는 양단에서 SNAT와 DNAT를 조합하는 구성입니다.
- 별칭 대역은 기존 연결망과 중복되지 않게 정합니다.
- VIP와 SNAT 코드만으로 VPN 및 허용 정책이 완성되지는 않습니다.
자주 묻는 질문
겹치는 대역은 NAT만 추가하면 해결되나요?
별칭 접속 대상, 양단 매핑, 허용 정책과 라우팅, VPN 선택자가 함께 맞아야 합니다. DNS나 응용프로그램에 실제 주소가 남아 있으면 다른 경로로 갈 수도 있습니다.
예시 코드를 한 장비에 넣으면 전체 구성이 끝나나요?
아닙니다. B측 단일 호스트의 변환 예시입니다. A측의 대응 매핑과 주소 객체, 터널, 허용 정책 및 반환 경로를 준비하고 양방향 신규 연결로 검증해야 합니다.
마치며
동일 대역 NAT는 규칙 두 개를 추가하는 문제보다 양쪽에서 어떤 주소로 상대를 부를지 합의하는 설계입니다. 실제 대역과 별칭 대역의 대응을 정하고 SNAT와 VIP, 허용 정책을 연결하세요. VPN 경로와 선택자는 변환 단계 주소를 기준으로 대조해야 합니다. DNS·응용프로그램의 주소 참조를 검증하세요. 재번호가 가능하면 장기적인 중복 해소도 검토합니다.
참고 자료: 공식 참고 문서 1 · 공식 참고 문서 2 · 공식 참고 문서 3