Ricevo il seguente messaggio:

La mia azienda ha tre sedi. Nella sede principale ci sono due connessioni internet con due router/firewall (RF1 e RF2).
RF1 viene utilizzato per la connessione internet e per una VPN verso una delle sedi remote (S1). RF2 solo per la VPN verso l’altra sede (S2).
Mentre la VPN RF1< ->S1 funziona benissimo, nell’altro caso riesco a mettere in contatto solo RF2 con il router di S2, mentre i pacchetti tra le due reti non passano affatto. Dai log vedo che il collegamento si instaura perfettamente. Dov’è il problema?

Questo accade poichè gli host della sede principale usano come default gateway RF1. I pacchetti dalla rete di S2 arrivano fino all’host finale, ma questi indirizza (correttamente) la risposta a RF1, poichè l’IP di destinazione del pacchetto non fa parte della sua sottorete.
RF1 non “conosce” la rete remota di S2, allora inoltra a sua volta il pacchetto verso il suo gateway, oppure lo scarta perchè è di una classe privata (e quindi non routabile su internet). In entrambi i casi il pacchetto non raggiungerà mai la sua destinazione.
Il problema è di semplice soluzione: basta creare una route statica su RF1, che indichi l’indirizzo di RF2 come gateway per i pacchetti destinati alla rete S2. Il tutto sull’interfaccia LAN e con metrica 1.
In questo modo, i pacchetti per S2 provenienti da host della sede centrale verranno inoltrati da RF1 a RF2. Quest’ultimo provvederà a inserire il traffico nel tunnel VPN verso il router di S2, e da lì pacchetti arriveranno a destinazione.