Lai pieslēgtu FortiGate VPSnet privātajam tīklam, VPSnet vadības panelī pievienojiet filiāli un pēc tam FortiGate izveidojiet pielāgotu (Custom) maršrutētu IPsec IKEv2 tuneli ar vērtībām no paneļa ceļveža, pievienojiet adrešu objektus, statisko maršrutu un divus ugunsmūra noteikumus. Ceļvedis pārbaudīts ar FortiOS 8.0.2 un pastāvīgu publisko IPv4 adresi.
Pirms sākat
- VPSnet vadības panelī atveriet savu VPN, izvēlieties Pieslēgt filiāli (maršrutētāju), atzīmējiet FortiGate un nospiediet Tālāk. Ievadiet filiāles tīklus un maršrutētāja publisko IPv4 adresi.
- Uzreiz nokopējiet kopīgo atslēgu (PSK): tā tiek parādīta vienu reizi.
- Turiet atvērtu filiāles Maršrutētāja ceļvedis, cilni Pārlūkā: tajā jau ir jūsu VPN adrese, tuneļa adreses un tīkli.
Attēlos redzamas paraugvērtības no dokumentācijai paredzētajām adresēm. Ievadiet vērtības no sava ceļveža.
1. Izveidojiet tuneli
VPN > VPN Tunnels > Create new
Nospiediet Create new un izvēlieties Custom IPsec tunnel: atveras tuneļa forma.
| # | Lauks | Vērtība |
|---|---|---|
| 1 | Custom IPsec tunnel | izvēlieties |
2. Tunelis: Network
VPN > VPN Tunnels > Custom IPsec tunnel > Network
Nosaukums – ne garāks par 15 rakstzīmēm: tāds būs arī tuneļa saskarnes nosaukums. Device creation atrodas sadaļā Advanced network settings.
| # | Lauks | Vērtība |
|---|---|---|
| 1 | Name | tuneļa nosaukums no ceļveža |
| 2 | IP version | IPv4 |
| 3 | Remote gateway | Static IP address |
| 4 | IP address | VPN adrese no ceļveža |
| 5 | Interface | jūsu WAN saskarne |
| 6 | Local gateway | Off |
| 7 | Mode config | Off |
| 8 | NAT traversal | Enable |
| 9 | Keepalive frequency | 10 |
| 10 | Dead peer detection | On Idle |
| 11 | DPD retry count | 3 |
| 12 | DPD retry interval | 30 (vai ceļvedī norādītā vērtība) |
| 13 | Device creation | Disable |
3. Tunelis: Authentication
VPN > VPN Tunnels > Custom IPsec tunnel > Authentication
Ielīmējiet kopīgo atslēgu no paneļa un izvēlieties IKE 2. versiju.
| # | Lauks | Vērtība |
|---|---|---|
| 1 | Method | Pre-shared Key |
| 2 | Pre-shared key | kopīgā atslēga (tiek parādīta vienu reizi) |
| 3 | IKE | Version 2 |
4. Tunelis: Phase 1 proposal
VPN > VPN Tunnels > Custom IPsec tunnel > Phase 1 proposal
Atstājiet vienu šifrēšanas rindu, pārējās noņemiet ar ×. Atzīmējiet tikai divas Diffie-Hellman grupas.
| # | Lauks | Vērtība |
|---|---|---|
| 1 | Encryption - authentication | AES256GCM - PRFSHA384 |
| 2 | Diffie-Hellman groups | 19, 20 |
| 3 | Key lifetime | 86400 (vai ceļvedī norādītā vērtība) |
| 4 | Local ID | jūsu publiskā IPv4 adrese (vajadzīga, ja FortiGate ir aiz NAT) |
5. Phase 2 selektors
VPN > VPN Tunnels > Custom IPsec tunnel > Phase 2 selectors > Create new
Šifrēšana un pārējais atrodas sadaļā Advanced. OK aizver selektoru; pēc tam nospiediet OK arī tuneļa formā.
| # | Lauks | Vērtība |
|---|---|---|
| 1 | Name | tuneļa nosaukums no ceļveža |
| 2 | Local address | Subnet Address 0.0.0.0/0.0.0.0 |
| 3 | Remote address | Subnet Address 0.0.0.0/0.0.0.0 |
| 4 | Encryption - authentication | AES256GCM |
| 5 | Replay detection | Enable |
| 6 | Perfect forward secrecy (PFS) | Enable |
| 7 | Diffie-Hellman groups | 19, 20 |
| 8 | Local port | All |
| 9 | Remote port | All |
| 10 | Protocol | All |
| 11 | Auto-negotiate | Enable |
| 12 | Key lifetime | Seconds: 3600 (vai ceļvedī norādītā vērtība) |
6. Biroja tīkla adrese
Policy & Objects > Addresses > Create new
Katram biroja tīklam – savs adreses objekts: ceļvedī tie numurēti -office-1, -office-2 utt.
| # | Lauks | Vērtība |
|---|---|---|
| 1 | Name | tuneļa nosaukums ar -office-1 |
| 2 | Type | Subnet |
| 3 | IP/Netmask | jūsu biroja tīkls |
| 4 | Comments | VPSnet VPN: office network |
7. VPSnet tīkla adrese
Policy & Objects > Addresses > Create new
Katram ceļvedī norādītajam VPSnet tīklam – savs adreses objekts.
| # | Lauks | Vērtība |
|---|---|---|
| 1 | Name | tuneļa nosaukums ar -vpsnet-1 |
| 2 | Type | Subnet |
| 3 | IP/Netmask | VPSnet tīkls no ceļveža |
| 4 | Comments | VPSnet VPN: network behind the VPSnet gateway |
8. Biroja adrešu grupa
Policy & Objects > Addresses > Address Group > Create new
Izveidojiet biroja adrešu objektu grupu: to izmanto 11. un 12. soļa noteikumi.
| Lauks | Vērtība |
|---|---|
| Name | tuneļa nosaukums ar -office |
| Type | Group |
| Members | visas -office-N adreses |
9. VPSnet adrešu grupa
Policy & Objects > Addresses > Address Group > Create new
Izveidojiet VPSnet adrešu objektu grupu.
| Lauks | Vērtība |
|---|---|
| Name | tuneļa nosaukums ar -vpsnet |
| Type | Group |
| Members | visas -vpsnet-N adreses |
10. Maršrutējiet VPSnet tīklus
Network > Static Routes > Create new
Katram VPSnet tīklam – savs maršruts caur tuneļa saskarni. Vārtejas adrese nav vajadzīga.
| # | Lauks | Vērtība |
|---|---|---|
| 1 | Destination | VPSnet tīkls no ceļveža |
| 2 | Interface | tunelis |
| 3 | Administrative Distance | 10 |
| 4 | Comments | VPSnet VPN |
11. Noteikums: birojs uz VPSnet
Policy & Objects > Firewall Policy > Create new
NAT paliek izslēgts: VPSnet serveri redz biroja datoru adreses.
| # | Lauks | Vērtība |
|---|---|---|
| 1 | Name | tuneļa nosaukums ar -out |
| 2 | Schedule | always |
| 3 | Action | ACCEPT |
| 4 | Incoming interface | jūsu LAN saskarne |
| 5 | Outgoing interface | tunelis |
| 6 | Source | biroja grupa |
| 7 | Destination | VPSnet grupa |
| 8 | Service | ALL |
| 9 | NAT | Off |
| 10 | Log allowed traffic | All sessions |
| 11 | Comments | VPSnet VPN: office -> VPSnet |
12. Noteikums: VPSnet uz biroju
Policy & Objects > Firewall Policy > Create new
Tas pats noteikums pretējā virzienā.
| # | Lauks | Vērtība |
|---|---|---|
| 1 | Name | tuneļa nosaukums ar -in |
| 2 | Schedule | always |
| 3 | Action | ACCEPT |
| 4 | Incoming interface | tunelis |
| 5 | Outgoing interface | jūsu LAN saskarne |
| 6 | Source | VPSnet grupa |
| 7 | Destination | biroja grupa |
| 8 | Service | ALL |
| 9 | NAT | Off |
| 10 | Log allowed traffic | All sessions |
| 11 | Comments | VPSnet VPN: VPSnet -> office |
Pārbaude un problēmas
- Panelī atveriet filiāli un nospiediet Pārbaudīt tuneli: tiek pārbaudīts, vai maršrutētājs atbild, vai atslēgas sakrīt un vai datplūsma iet.
- VPN > VPN Tunnels rāda tuneli kā Up. Ja tas paliek izslēgts, atlasiet to un izvēlieties Bring up. Komandrindā
diagnose vpn ike gateway list name TUNNEL(TUNNEL – tuneļa nosaukums) parāda saskaņošanu. - Tunelis darbojas, bet ping neiet: pārbaudiet statisko maršrutu caur tuneli, abus noteikumus un vai NAT ir izslēgts.
BUJ
Kurām FortiGate (FortiOS) versijām paredzēts šis ceļvedis?
Tas iestatīts un pārbaudīts ar FortiGate (FortiOS) 8.0.2 un pastāvīgu publisko IPv4 adresi. Citās versijās daži lauki var saukties vai atrasties citādi.
Vai varu izmantot komandrindu?
Jā. Ceļvedī ir cilne “Komandas” ar tiem pašiem iestatījumiem, gatavu ielīmēšanai; tajā izvēlieties savu FortiOS versiju.
Kāpēc tuneļa nosaukums ir ne garāks par 15 rakstzīmēm?
FortiOS to izmanto kā tuneļa saskarnes nosaukumu, un saskarņu nosaukumi ir ne garāki par 15 rakstzīmēm.
Mana maršrutētāja publiskā adrese mainās. Vai tomēr varu pieslēgties?
Šis ceļvedis paredzēts pastāvīgai adresei – šo gadījumu pārbaudījām. Pievienojot filiāli, atzīmējiet “Adrese mainās”: tad ceļvedī būs iestatījumi šim gadījumam un identitāte, kas jāieraksta laukā Local ID; tuneli sāk pats FortiGate.
Pazaudēju kopīgo atslēgu. Ko darīt?
Atslēga tiek parādīta vienu reizi. Panelī atveriet filiāli un izvēlieties “Nomainīt atslēgu”: tiek izveidota jauna atslēga, tā tiek parādīta vienu reizi, un vecā pārstāj darboties nākamajā maršrutētāja pieslēgšanās reizē.
Vai tunelim vajadzīgs NAT?
Nē. VPSnet serveri redz biroja datoru adreses.