 《分享》Cyberoam與FortiGate VPN串接 |       |
異質防火牆在做IPSec的VPN串接時，最重要的就是兩端的IPSec Policy要一致，
諸如preshare-key、加解密方式(3DES/AES/MD5)、DH Group等。
只要這個大方向確認好，再針對不同防火牆設定對應的放行規則後，
基本上都能串接成功。
在設定Cyberoam與FortiGate串接時，當然也是如此。
不過由於Cyberoam的IPSec Policy是可以重覆套用於不用的VPN連線，
而FortiGate的Policy則是跟著每一條IPSec跑，
所以在設定時，順子建議以Cyberoam為標準，修改FortiGate的Policy設定來迎合Cyberoam需求，
以免影響到既有Cyberoam的IPSec連線。
Cyberoam端設定如下
- 確認VPN Policy的內容細項設定，包含Phase 1/2的加解密方式(3DES/AES/MD5)、DH Group等。
- 建立IPSec連線。設定preshare-key、Policy與local/remote網段資訊。
- IPSec連線內容確認後，建立LAN to VPN與VPN to LAN雙向規則，讓內部與VPN網段能雙向溝通。
- 待FortiGate端設定好後，啟用IPSec連線。
FortiGate端設定如下
- 建立IPSec Phase 1/2連線資訊。
Phase 1/2裏的相關設定需要跟Cyberoam的設定相同，包含preshare-key、加解密方式(3DES/AES/MD5)、DH Group等。
↑這邊要留意的是，Phase 2的來源地址與目的地址網段要確認清楚，
若打0.0.0.0/0，在順子的測試上是會失敗的。
- IPSec設定完成後，接著就是設定防火牆的規則，讓內部與VPN網段能雙向溝通。
*某些韌體版本的FortiGate，在防火牆的設定上並不是對內部與VPN間做雙向開放，
而是僅設定一條透過IPSec Tunnel的Action來放行內部與VPN間的封包。
在設定FortiGate時，需要依韌體版本來決定防火牆規則的做法。
- 設定路由。讓FortiGate知道遠端網段是透過IPSec來傳導。
- 當Cyberoam與FortiGate都設定好後，可由Cyberoam或FortiGate來啟用VPN。
而兩端的封包是否成功傳導，則可在FortiGate中查看VPN的雙向流量是否產生。
♥順子老婆的網拍，請多關照∼
If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!
|
2015-04-10, 18:17
