Site-to-Site VPN dengan Overlapping Subnet di FortiGate | Trik NAT Dua Arah

 

🧠 Pendahuluan:

Gue nemu kasus klasik tapi tetap ngeselin:

Dua site beda lokasi mau gue sambungin via IPsec VPN.
Tapi ternyata… subnet internalnya sama persis: 192.168.1.0/24.

Masalahnya?
Kalau langsung disambungin, routingnya konflik. Device di HQ gak bisa ngebedain mana 192.168.1.10 dari Jakarta dan mana yang dari Surabaya.

Ganti IP client? Ribet.
Makanya gue ambil jalan ninja: NAT dua arah pake subnet bohongan.

---

🧰 Topologi Jaringan

📌 Gambar referensi dari dokumentasi resmi Fortinet: “Site-to-site VPN with overlapping subnets”

• HQ Internal: 192.168.1.0/24 → di-NAT ke 10.1.1.0/24

• Branch Internal: 192.168.1.0/24 → di-NAT ke 10.2.2.0/24

• Kedua FortiGate saling terhubung via IPsec VPN (route-based)

---

⚙️ Langkah Konfigurasi

1. IPsec VPN di HQ FortiGate

• Remote Gateway: 172.25.177.46 (Branch)

• Phase 2:

  • Local: 10.1.1.0/24

  • Remote: 10.2.2.0/24

2. Static Route

• Route 10.2.2.0/24 → via tunnel

• Route 10.2.2.0/24 → via blackhole (AD 200)

3. Address Object

• HQ-original → 192.168.1.0/24

• Branch-new → 10.2.2.0/24

4. IP Pool (S-NAT)

• Nama: HQ-new

• IP virtual: 10.1.1.1 – 10.1.1.254

• IP asli: 192.168.1.1 – 192.168.1.254

5. VIP (D-NAT)

• Nama: HQ-new-to-original

• External IP: 10.1.1.1 – 10.1.1.254

• Map ke: 192.168.1.1 – 192.168.1.254

6. Firewall Policy

• HQ → Branch: NAT enable (pakai IP Pool)

• Branch → HQ: NAT disable (pakai VIP)

---

🔄 Langkah Sama di Branch FortiGate

• Di-mirror dari HQ, tapi ganti:

  • NAT Pool: 10.2.2.1 – 10.2.2.254

  • VIP: Branch-new-to-original

---

✅ Testing

• Dari HQ: ping 10.2.2.10 → NAT → 192.168.1.10 (Branch)

• Dari Branch: ping 10.1.1.20 → NAT → 192.168.1.20 (HQ)

Sukses ngobrol meskipun dua site punya IP kembar. NAT yang nyelametin 😎

---

🎯 Kesimpulan

Kalau lo mentok dengan IP kembar antar site, NAT dua arah ini bisa jadi penyelamat:

• Gak perlu re-IP client

• Bisa jalan tanpa overlay ribet

• Kompatibel di banyak skenario real world

Tapi ingat:

Solusi ini cocok buat kasus kecil-menengah. Kalau skalanya udah ratusan VLAN, pertimbangkan redesign IP yang lebih scalable.

---

💬 Penutup

Lo pernah ngalamin kasus kayak gini juga? Atau punya pendekatan yang lebih clean?
Gue open banget buat diskusi di kolom komentar.

---

🔖 Tag:

#FortiGate #VPN #OverlappingSubnet #NAT #NetworkDesign #CaraDimas