Туннелирование IPSec между 3 разными сайтами

Без доступа к сайту C у вас нет возможности направить трафик, предназначенный для сайта A, через туннель. Это требует маршрутизации и изменения SA на сайте C.

Таким образом, единственное решение - сделать двойной NAT один к одному на сайте B, чтобы вы «сопоставили» пространство IP-адресов сайта A с сайтом B, а адресное пространство сайта C с сайтом B.

Приведем пример. Скажем Computer C в Site C хочет общаться с Computer A в Site A. Компьютер A имеет IP-адрес 10.1.1.10, а компьютер C - IP-адрес 10.3.3.10. Сайт A знает ТОЛЬКО об IP-адресах сайта B, а сайт C знает ТОЛЬКО об адресах сайта B. Итак, вам нужен NAT «один-к-одному» в обоих направлениях.

Визуально это выглядит так, используя примеры IP-адресов из каждой сети:

Во-первых, компьютер C отправляет данные в 10.2.2.10 вместо 10.1.1.10. Сайт B преобразует трафик через NAT, а компьютер A видит трафик, исходящий от 10.2.2.11:

• [10.3.3.10] -> IPSEC -> [10.2.2.10] SNAT / DNAT [10.2.2.11] -> IPSEC -> [10.1.1.10]

Во-вторых, компьютер A отправляет возвращаемые данные в 10.2.2.11, а сайт B выполняет NAT, так что 10.3.3.10 видит трафик, возвращающийся из 10.2.2.10:

• [10.1.1.10] -> IPSEC -> [10.2.2.11] SNAT / DNAT [10.2.2.10] -> IPSEC -> [10.3.3.10]

По сути, сайт C считает, что компьютер A находится в 10.2.2.10, а сайт A считает, что компьютер C находится в 10.2.2.11.