0


实验篇(7.2) 11. 站对站安全隧道 - 双方互相发起连接(FortiGate-IPsec) ❀ 远程访问

  【简介】前面我们实验的是FortiClient客户端与防火墙进行VPN连接,现在我们要做的实验是防火墙与防火墙之间进行VPN连接。现在我们来看看两台防火墙之间要怎样创建VPN连接。


实验要求与环境

  OldMei集团深圳总部部署了域服务器和ERP服务器,用来对集团总部进行管理。

  OldMei集团上海分公司需要实时访问深圳总部的域服务器和ERP服务器,要求访问便捷,并且安全性要高。

  解决方案:上海分公司和深圳总部都部署FortiGate防火墙,两地防火墙通过宽带创建VPN连接,创建VPN隧道后,两地互相访问如同在同一个局域网内,十分便捷。另外由于VPN是加密隧道,可以保证数据通过互联网传输时的安全。

  实验目标:笔记本电脑通过网卡上网,可以从上海分公司访问深圳总部的域服务器远程桌面。

深圳总部防火墙配置

  我们可以用向导,快速的建立点对点的连接。

  ① 远程登录深圳总部防火墙,选择菜单【VPN】-【IPsec隧道】,点击【新建】-【IPsec隧道】。

  ② 自动启动VPN创建向导,输入隧道名称,建议用双方地名简称。默认模板类型为【站到站】,NAT配置为【站点之间没有NAT】。这个是什么意思呢?表示双方宽带都可以直接访问,没有经过NAT设备,假设上海分公司的Wan口不是直接接入宽带,而是接入一个路由器,那么这里就必须选择【远端站点在NAT后端】。点击【下一步】。

  ③ 远程设备默认为【IP地址】,填入正确的远程IP地址。也就是上海分公司防火墙wan1接口IP,要求这个IP可以远程访问,如果不能远程访问会怎么样?我们后面会看到实验结果。流出接口选择正确的宽带接口,对方配置时也要输入这边的公网IP的。自定义共享密钥,两端设置必须相同。

  ④ 本实验的目标,是上海分公司防火墙internal接口下的电脑能够远程访问深圳总部防火墙DMZ接口下的服务器。因此接口和双方子网要设置正确。

  ⑤ 不知道大家还记不记得FortiClient连接向导时创建的内容,包括接口、策略和地址对象。站对站的向导创建的内容更多一些,有接口、地址对象及二条策略和两条路由。

  ⑥ 只需简单的几步,我们就创建了站对站的IPsec VPN。下面我们看看向导有创建哪些内容。点击【显示隧道列表】。

  ⑦ 在【IPsec隧道】菜单,我们看到新建了一条站到站隧道。选择新建的隧道,点击【编辑】。

  ⑧ 隧道内容看上去不是很多,后期我们还要学习如何修改隧道内容。

  ⑨ 选择菜单【策略&对象】-【防火墙策略】,可以看到向导自动创建的两条一进一出的策略。

  ⑩ 选择菜单【网络】-【静态路由】,可以看到向导自动创建的两条静态路由。

  ⑪ 向导也自动创建了地址对象。

  ⑫ 向导也自动创建了地址组。为什么我们要了解向导创建了什么,因为这对我们删除向导创建的VPN隧道会有帮助。

上海分公司防火墙配置

  可以和深圳总部防火墙一样,用向导创建上海分公司防火墙站对站的IPsec VPN连接。

  ① 远程登录上海分公司防火墙,选择菜单【VPN】-【IPsec隧道】,点击【新建】-【IPsec隧道】。

  ② 输入名称,其它保持默认,点击【下一步】。

  ③ 远程IP地址输入深圳总部防火墙wan1接口的IP。流出接口选择宽带接口,预共享密钥和深圳总部防火墙一致。点击【下一步】。

  ④ 实验目标是从上海分公司防火墙的internal接口下的电脑去访问深圳总部DMZ接口下的服务器,因此本地接口选择【internal】,填写本地子网与无端子网,注意:这两项内容的填写,必须与对方完全相同,只是互为相反。

  ⑤ 配置好后,点击【完成】。

  ⑥ 根据前面的配置,向导创建了VPN,具体创建了哪些内容,前面已经介绍过了,就不再介绍了。点击【显示隧道列表】。

  ⑦ IPsec隧道创建成功,只是状态为【不活跃】,说明VPN还没有连接。

验证效果

  虽然两端防火墙都已经用向导配置好了IPsec VPN,但是并不会自动连接,需要手动操作。

  ① 在上海分公司防火墙选择菜单【仪表板】-【网络】,选择【IPsec】窗口。

  ② 可以看到SH-SZ隧道,阶段1是绿色向上箭头,表示是连通的,阶段2是红色向下箭头,表示不通。点击【启用】-【阶段2选择器:SH-SZ】,启用阶段2连接。

  ③ 现在阶段1和阶段2都已经是绿色向上箭头头了。说明都连接成功。

  ④ 笔记本电脑网卡现在是接入上海分公司防火墙internal接口,自动获取172.16.30.0网段IP。

  ⑤ 可以Ping通远在深圳总部的域服务器IP,查看路由,也能看到是经过上海分公司防火墙和深圳总部防火墙才访问成功的。

  ⑥ 除了能ping通之外,再看看允许访问的协议,打开远程桌面,输入服务器内网IP。点击【连接】。

  ⑦ 远程桌面登录成功。说明上海和深圳,已经通过IPsec VPN连接起来了。

公网IP对IPsec VPN的影响

  我一直在强调,只有可以远程的公网IP,才能成功的创建IPsec VPN,下面我再来看看,不能远程的公网IP,会有什么结果。

  ① 先看一个正面的例子,前面实验环境已经设置了深圳总部防火墙wan1接口IP是可以远程访问的。现在我们在上海分公司防火墙上进行操作,在IPsec窗口里,选择已经连接成功的隧道,点击【断开】-【Entire Tunnel】。

  ② 隧道虽然断开,但阶段1仍然是连通的,再次选择【启用】-【阶段2选择器:SH-SZ】。

  ③ 隧道再次成功连接。说明由上海分公司发起的隧道连接请求,都可以成功。因为对方宽带IP可以远程访问。【小技巧】如果隧道一直有数据在访问,例如长ping,即使断开连接,也会很快自动重新连通。

  ④ 回到深圳总部防火墙,用同样的方法断开隧道连接。

  ⑤ 你会发现阶段1是断开的,再尝试启用隧道。

  ⑥ 结果是:回不去了。。。。。。

  ⑦ 从深圳防火墙ping上海防火墙wan1接口IP,无法ping通。也就是说,上海防火墙的公网IP是无法远程的,深圳防火墙发起的连接无法连接上海防火墙。

  ⑧ 有办法改变实验环境,允许上海防火墙wan1接口IP可以远程吗?当然有,无线登录作为互联网存在的FortiWiFi 60D防火墙。

  ⑨ 早期的实验,我们只允许单向访问深圳总部。现在需要再建立一条反向访问策略。

  ⑩ 策略很简单,流入接口和流出接口相反就可以了。不要启用NAT。

  ⑪ 再次回到深圳防火墙,点击右上角命令图标。

  ⑫ 这次可以从深圳防火墙上ping通对方宽带IP了。

  ⑬ 回到IPsec小窗口,这次隧道的阶段1也是连通的了。点击【启用】-【阶段2选择器:SZ-SH】。

  ⑭ 隧道成功启动了。也就是说,两边宽带IP都可以远程访问的情况下,两边都可以发起连接,并且连接成功。

钻牛角尖题

  很多情况下,一边是拨号宽带,一边是固定宽带,而拨号宽带得到的IP又无法远程,那我可不可以给接受方一个假IP,只要我能发起连接就可以。

  ① 为了验证这个钻牛角尖题,我们修改接受方的公网IP地址试试。在深圳总部防火墙,选择菜单【VPN】-【IPsec隧道】,选择SZ-SH隧道,点击【编辑】。

  ② 点击【转换为自定义隧道】。

  ③ 点击网络右上角的【编辑】。

  ④ 将对端IP地址修改为一个错误的地址。

  ⑤ 从深圳防火墙上无法启动隧道,阶段1是段开的。这个是肯定的,因为对端IP地址是错误的,自然无法启动。

  ⑥ 那么我们从上海防火墙发起连接,可以启动隧道吗?同样是不可以。阶段1也是断开的。结果已经知道了,那有人知道原因吗?欢迎讨论!



本文转载自: https://blog.csdn.net/meigang2012/article/details/131161722
版权归原作者 飞塔老梅子 所有, 如有侵权,请联系我们删除。

“实验篇(7.2) 11. 站对站安全隧道 - 双方互相发起连接(FortiGate-IPsec) ❀ 远程访问”的评论:

还没有评论