0


实验篇(7.2) 15. 站对站安全隧道 - 多条隧道聚合(FortiGate-IPsec) ❀ 远程访问

  【简介】虽然隧道冗余可以解决连接问题,但是当大量数据访问或要求访问不能中断时,隧道冗余就力不从心了。这种情况就要用到隧道聚合。但是对宽带的要求也高了,双端都至少需要二条宽带。


实验要求与环境

  OldMei集团深圳总部部署了域服务器和ERP服务器,用来对集团总部进行管理。

  OldMei集团上海分公司需要实时访问深圳总部的域服务器和ERP服务器,要求安全高效,并且访问不能中断,对丢包有严格要求。

  解决方案:上海分公司和深圳总部都部署FortiGate防火墙,两地防火墙通过宽带创建VPN连接,由于VPN是加密隧道,可以保证数据通过互联网传输时的安全。上海分公司和深圳总部均配置两条宽带,一一对应配置两条VPN,将两条VPN聚合,即使一条VPN断开,另一条会继续工作,保证远程访问不中断。

  实验目标:笔记本电脑网卡连接上海分公司internal接口,可以通过VPN隧道访问深圳服务器,在一条宽带断开的情况下,远程访问不丢一个数据包。

实验前的准备工作

  删除前期在上海分公司防火墙和深圳总部防火墙配置的IPsec 隧道,删除方法和过程就不再叙述。

  目前为目,上海分公司已经配置有两条宽带,深圳总部有一条宽带,一条专线,由于专线是用来访问指定网站专用的,因此需要再增加一条宽带,用来创建IPsec VPN连接。新增加的宽带,我们仍然用真实的公网IP地址来做演示。

  用网线连接深圳总部防火墙的7号口,另一端接入模拟互联网的FortiWiFi 60D的wan2口。

  ① 登录深圳防火墙,选择菜单【网络】-【接口】,选择【internal】接口,点击【编辑】。从上面的接口状态示图可以看到,7号口是internal接口的一部分,我们需要先释放它。

  ② 在接口成员会显示所有属于internal的接口,点击internal7接口右边的X号,就可以释放这个接。

  ③ 可以看到7号口已经是一个独立的接口了,编辑该接口。

  ④ 输入新增宽带的网关IP,启用https和ping协议。点击【确认】。新增加的宽带IP可以是真正可用的,因为实验不联网,所以不会有冲突和影响。

  ⑤ 为了区分宽带,我们将三条宽带都输入了中文注释。

  ⑥ 下一步是配置宽带的网关。选择菜单【网络】-【静态路由】,点击【新建】。

  ⑦ 接口选择7号口,输入网关地址,需要注意的是,需要修改优先级,以将宽带错开。

  ⑧ 选择菜单【仪表板】-【网络】,点击【路由】,可以看到三条宽带的默认路由,它们的优先级不同。

  ⑨ 登录模拟互联网的FortiWiFi 60D,选择菜单【网络】-【接口】,编辑wan2接口。

  ⑩ 输入新增宽带的网关,启用https、ping协议。点击【确认】。

  ⑪ 选择菜单【策略&对象】-【IPv4策略】,编辑3号口到wan1的策略。

  ⑫ 我们不再需要二对一的访问了,现在要的是一对一的互访。

  ⑬ 经过一番增加和修改,我们形成了上海和深圳两端各两条宽带允许互相访问的局面。

配置深圳防火墙

  准备工作都完成了,下面我们开始配置深圳防火墙。

  ① 登录深圳防火墙,选择菜单【VPN】-【IPsec隧道】,点击【新建】-【IPsec隧道】。

  ② 输入自定义名称,模板类型选择【自定义】,点击【下一步】。

  ③ 接口选择第一条宽带的wan1口,对端网关IP地址填写对应的上海防火墙的wan1接口IP。点击高级前面的+号。

  ④ 隧道聚合成员选择【启用】,输入自定义的预共享密钥,两端需要保持一致。

  ⑤ 阶段2的本地地址和对端地址默认都没有做限制,其它都保持默认设置,点击【确认】。

  ⑥ 由于有两条宽带可以创建IPsec VPN,因此再次点击【新建】-【IPsec隧道】。

  ⑦ 输入第二条隧道的名称,模板类型选择【自定义】,点击【下一步】。

  ⑧ 这次接口选择7号口,对端网关IP地址填写的是上海防火墙wan2接口IP地址。

  ⑨ 同样启用隧道取合成员,输入预共享密钥。点击【确认】,第二条隧道就创建好了。

  ⑩ 两条隧道都创建好了,一下步就是创建聚合隧道了。点击【新建】-【IPsec聚合隧道】。

  ⑪ 聚合算法有四种,默认是【基于权重的轮询】,选择两条隧道,默认权重都是1,可以根据实际情况进行调整。例如第一条宽带上网多一些,那么第二条隧道的权重就可以设置大一些。

  ⑫ 经过聚合后,统一对聚合接口进行操作,简化了很多。

  ⑬ 前面我们用向导创建IPsec VPN的时候了解到,除了要有隧道外,还需要有路由和两条来回策略。现在我们创建一条表态路由,接口为隧道聚合口,目标地址为上海防火墙internal接口网段。

  ⑭ 路由创建后好,就需要创建来回访问的策略了。

  ⑮ 创建一条隧道访问DMZ接口策略,不要启用NAT。

  ⑯ 再创建一条反向的访问策略。

  ⑰ 当你创建了隧道、路由以及两条来回策略后,IPsec隧道的配置就完成了。

配置上海防火墙

  我们需要把在深圳防火墙所做的操作,再到上海防火墙上来一遍,只做小小的改动。

  ① 登录上海防火墙,选择菜单【VPN】-【IPsec隧道】,点击【新建】-【IPsec隧道】。

  ② 输入自定义名称,模板类型选择【自定义】,点击【下一步】。

  ③ 接口选择第一条宽带的wan1口,对端网关IP地址填写对应的深圳防火墙的wan1接口IP。点击高级前面的+号。

  ④ 隧道聚合成员选择【启用】,输入自定义的预共享密钥,两端需要保持一致。其它保持默认,点击【确定】。

  ⑤ 再用同样的办法创建另一条隧道。

  ⑥ 输入第二条隧道的名称,模式类型选择【自定义】,点击【下一步】。

  ⑦ 这次接口选择wan2,输入对端7号宽带接口IP。

  ⑧ 同样启动隧道聚合成员,输入预共享密钥。点击【确认】。

  ⑨ 两条隧道都创建好了,就可以创建聚合隧道了。

  ⑩ 一共有四种算法,有什么不同?大家做实验去了解吧。这里就不讲了,讲了怕你映象不深。

  ⑪ 聚合隧道就创建好了,下一步做什么?对的,创建路由。

  ⑫ 该路由的使用就是,访问10.10.10.0网段时走聚合隧道出去。

  ⑬ 扩展一下思路,如果我们上网流量也要走隧道出去,那么怎么办?创建一条策略路由,目标地址为all,流出接口为聚合隧道就好了。。。。很简单吧?

  ⑭ 创建访问策略,这里源地址和目标地址都用的是all,这样如果走隧道上网,也就不用修改了。

  ⑮ 访问策略是双向的。

  ⑯ 当隧道、路由和访问策略都创建好的,配置就完成了。

验证效果

  这次是手动创建,没有使用向导,能不能成功呢?

  ① 我们从上海防火墙发起连接。选择菜单【仪表板】-【网络】,点击【IPsec】,选择聚合隧道里的一条隧道,点击【启用】-【阶段2选择器:SH1-SZ】。小技巧,隧道能不能起来,看阶段1的状态,阶段1显示绿色向上箭头,那十有八九没问题。

  ② 启动第一条隧道后,再启动第二条隧道。

  ③ 两条隧道都启动了。

  ④ 笔记本现在是关闭所有无线,有线接入上海防火墙internal接口的状态,长ping域服务器IP是通的,表示隧道是通的。

  ⑤ 我们试着断开一条隧道。

  ⑥ 我们试着断开一条隧道。

  ⑦ 仅仅丢了一个包,就走另一条隧道了。这还是测试设备较底端,要是在机架式设备,一个包都不会掉。

【实验总结】

  经过上篇文章和这篇文章的实验,我们看到了二对一和二对二的区别。很多人解决VPN访问慢的方法,就是本地加一条宽带,以为本地两条宽带了,和对方建了两条VPN就会快很多。实际上对方只有一条宽带,你就是建十个VPN,那条宽带速度也不会变。

  只有两端都有两条宽带,才可以建立起两条不同的隧道,隧道聚合功能很好的帮我们解决了多条隧道相同路由和策略的问题。

  扩展思考:如果每端的二条宽带与对方两条宽带各自建立IPsec隧道,理论上一共可以创建四条隧道,那么这四条隧道建立聚合,和一对一的两条隧道建立聚合相比,效果更好?还是效果更差?



本文转载自: https://blog.csdn.net/meigang2012/article/details/131244138
版权归原作者 飞塔老梅子 所有, 如有侵权,请联系我们删除。

“实验篇(7.2) 15. 站对站安全隧道 - 多条隧道聚合(FortiGate-IPsec) ❀ 远程访问”的评论:

还没有评论