目录介绍...3 测试环境...3 环境介绍...3 组件...4 配置过程基本的网络配置, 略配置 modem 插入 3G/4G 上网卡, 重启设备 ( 如果插入后拨不上号但是可以识别, 通过重启设备解决 ) 配置 modem 接口上

Size: px

Start display at page:

Download "目录介绍...3 测试环境...3 环境介绍...3 组件...4 配置过程基本的网络配置, 略配置 modem 插入 3G/4G 上网卡, 重启设备 ( 如果插入后拨不上号但是可以识别, 通过重启设备解决 ) 配置 modem 接口上"

笺衲穆
5 years ago
Views:

1 FGT 配合天翼电信 3G/4G 网卡实现链路与 VPN 备份版本 1.0 时间支持的版本作者状态反馈 2015 年 3 月 FortiOS v4.3.18, v 李威峰草稿 support_cn@fortinet.com Fortinet 公司第 1 页 / 共 23 页

2 目录介绍...3 测试环境...3 环境介绍...3 组件...4 配置过程基本的网络配置, 略配置 modem 插入 3G/4G 上网卡, 重启设备 ( 如果插入后拨不上号但是可以识别, 通过重启设备解决 ) 配置 modem 接口上的 VPN 配置调整 - 优化配置测试及诊断场景场景场景场景参考资料 Fortinet 公司第 2 页 / 共 23 页

3 介绍在偏远地区或出于成本原因,3G 或 4G 无线网卡配合 3G/4G 路由器成为一种上网的选择, 本文介绍 FGT 配合 3G/4G 网卡实现线路的冗余与 VPN 备份其中 VPN 备份内容介绍的较为粗略, 只要是为了证明能够在该条链路上使用 IPSec VPN 及拨号时间本文测试使用电信网卡为 huawei EC ,FGT80C 基于 FortiOS (v 已经过测试亦可 ), 联通 E1750 配置与此相同, 不用自定义 3G-modem 测试环境环境介绍支行与分行通过 3G modem 创建 VPN 隧道 ; FGT300D 模拟分行,FGT80C 模拟支行,FGT100D 模拟专线其中 : FGT300D lookback1 为 /24, 模拟墙后面的一台主机 FGT80C lookback1 为 /24, 模拟墙后面的一台主机. 两台主机通过 VPN 互通 Fortinet 公司第 3 页 / 共 23 页

4 FGT80C WAN2 地址为网关配置为 , 启用网关检测功能模拟 WAN2 各种场景下 Modem 及 VPN 的行为组件序号组件名称软件版本数量备注 1 FortiGate-80C V (v5.0.11) 1 也可以是别的带 USB 接口的 FGT 设备 2 电信 huawei EC 联通 E1750 除了不需要自定义 modem, 配置与该文档相同, 可参考此文档配置过程配置总步骤 1. 启用 3G modem 启用后 modem 相当于一个物理接口, 防火墙策略,VPN 路由都可以使用该接口 2. 配置 modem 拨号字符串及拨号方式设置为冗余模式, 设置为 WAN2 接口的备份 ( 配置拨号字符串, 自定义 modem 等 ) 3. 配置 modem 接口下启用自动生成网关 4. 配置 WAN2 网关检测 ping 上一跳地址, 如果不可达, 删除该接口路由, 并通知 WAN down 5. 配置在 modem 接口上的 VPN 在第 1,2 阶段启用自动协商. 1 阶段自动拨号为 30 秒, 可以调整为 1 秒到 VPN 隧道的路由可以调整为 distance 为参数微调 3G/4G holdontimer // 默认 60 秒, 可以调整为 15 秒 Fortinet 公司第 4 页 / 共 23 页

5 DPD( 分行, 支行 ), 因为 WAN2 突然中断或 model 中断, 分行 VPN 并不知道状态, 此时靠 DPD 清除假隧道 7. 诊断 1.Debug modem 拨号 ( 及断开 ) diagnose debug application modemd -1(0 是关闭 ) Diag debug enable 2.Debug vpn Diag debug app ike -1 Diag debug enable 3. 日志可以观察过程 1. 基本的网络配置, 略 2. 配置 modem 1. 启用 modem 在命令行下配置开启 Modem,WEB 管理界面网络接口部分显示 Modem 接口 config system modem set status enable end 配置后在网络 -> 接口处和调制解调器中显示 Fortinet 公司第 5 页 / 共 23 页

2. 配置拨号码并设置备份模式 config system modem set mode redundant // 设置模式 set holddown-timer 15 // 设置 holdown-timer 时间, 当监控的端口恢复状态时, 多长时间断开连接 set interface "wan2" // 设置监控端口当该接口故障或

6 2. 配置拨号码并设置备份模式 config system modem set mode redundant // 设置模式 set holddown-timer 15 // 设置 holdown-timer 时间, 当监控的端口恢复状态时, 多长时间断开连接 set interface "wan2" // 设置监控端口当该接口故障或 ping 检测失败时,modem 开始拨号 set phone1 "*99#" // 设置拨号码 set distance 20 // 设置 distance 值, 可以不配置 end 启用后界面将显示 modem 及配置网络接口处显示 modem 接口 Fortinet 公司第 6 页 / 共 23 页

7 3. 配置 modem 接口 config system interface edit "modem" set vdom "root" set mode pppoe set distance 20 set allowaccess ping https ssh snmp http telnet fgfm // 管理权限, 可以不开启 set type physical set defaultgw enable // 启用默认自动生成网关 set dns-server-override disable next end 其它为默认配置 4. 因为电信 EC 因为不在 FGT modem 列表中, 需要自定义 ( 如果型号在列表中, 可以省略这步 ) config system 3g-modem custom edit 1 set vendor "Huawei" set model "EC3372" set vendor-id 12d1 set product-id 1f01 set init-string "inquire=1 msg= " next Fortinet 公司第 7 页 / 共 23 页

8 edit 2 set vendor "Huawei" set model "EC3372" set vendor-id 12d1 set product-id 1442 set class-id ff next end 3. 插入 3G/4G 上网卡, 重启设备 ( 如果插入后拨不上号但是可以识别, 通过重启设备解决 ) 4. 配置 modem 接口上的 VPN 阶段 1: FGT80C # show vpn ipsec phase1-interface config vpn ipsec phase1-interface edit "modem-to-fh" set interface "modem" set keylife set mode aggressive // 配置野蛮模式 set proposal des-md5 set localid "test" // 配置 localid, 因为 IP 地址经过了 NAT, 中心端不能靠 IP 地址识别身份, 所以要配置 localid set negotiate-timeout 1 // 自动重连时间, 默认为 30 秒钟, 此处修改为 1 秒钟阶段 1 默认启用了自动重连, 所以不必单独配置且默认启用了 NAT 穿越 set remote-gw set psksecret set dpd-retrycount 10 next Fortinet 公司第 8 页 / 共 23 页

9 end 阶段 2: config vpn ipsec phase2-interface edit "modem-to-fh-p2" set auto-negotiate enable // 启用阶段 2 自动连接, 否则没有流量触发阶段 2 不会自动连接 set phase1name "modem-to-fh" set proposal des-md5 set dst-subnet set src-subnet next end 配置隧道路由 : FGT80C # show router static config router static edit 1 set device "wan2" set gateway next edit 2 set device "modem-to-fh" set distance 20 // 设置 distance 值为 20, 也可以保持默认 set dst next end Fortinet 公司第 9 页 / 共 23 页

10 创建 lookback 接口 : 以便测试创建 VPN 互通策略 Fortinet 公司第 10 页 / 共 23 页

11 中心端 : 配置阶段 1, 阶段 2 配置, 略配置隧道路由, 不需要, 因为使用时拨号方式, 中心端会根据分支端提供的第二阶段 local Fortinet 公司第 11 页 / 共 23 页

network 自动生成创建 lookback1 测试接口 5. 配置调整 - 优化配置默认情况下, 当 WAN2 接口 down 时,modem 才能触发拨号为了避免 WAN2 接口 up,modem 不拨号的情况, 启用 ping 检测配置 WAN2 ping 检测 config router gwdetect // v5.2.3 配置 config system link-monitor edit "wan2" set server "2.

12 network 自动生成创建 lookback1 测试接口 5. 配置调整 - 优化配置默认情况下, 当 WAN2 接口 down 时,modem 才能触发拨号为了避免 WAN2 接口 up,modem 不拨号的情况, 启用 ping 检测配置 WAN2 ping 检测 config router gwdetect // v5.2.3 配置 config system link-monitor edit "wan2" set server " " next end 调整 modem hold-down-timer config system modem set mode redundant // 设置模式备份模式 Fortinet 公司第 12 页 / 共 23 页

设置拨号码 set distance 20 // 设置 distance 值, 可以不配置 end 测试及诊断场景 1 拔掉 WAN2 网线,WAN2

13 set holddown-timer 15 // 设置 holdown-timer 时间, 当监控的端口恢复状态时, 多长时间断开连接 set interface "wan2" // 设置监控端口当该接口故障或 ping 检测失败时,modem 开始拨号 set phone1 "*99#" // 设置拨号码 set distance 20 // 设置 distance 值, 可以不配置 end 测试及诊断场景 1 拔掉 WAN2 网线,WAN2 物理端口 down,modem 自动连接, 同时 VPN 也自动连接 Fortinet 公司第 13 页 / 共 23 页

路由 : VPN: 日志 : 可以看到 VPN 在 WAN 拔线 7 秒后 ( 其中 6

ping 互联网测试 FGT80C3914603242 # execute ping 8.

14 路由 : VPN: 日志 : 可以看到 VPN 在 WAN 拔线 7 秒后 ( 其中 6 秒 3G 拨号,1 秒 VPN 发起连接 ) 建立连接 Ping 测试 : 1.ping 互联网测试 FGT80C # execute ping PING ( ): 56 data bytes 64 bytes from : icmp_seq=0 ttl=38 time=268.2 ms Fortinet 公司第 14 页 / 共 23 页

15 64 bytes from : icmp_seq=1 ttl=38 time=252.8 ms 64 bytes from : icmp_seq=2 ttl=38 time=244.8 ms 64 bytes from : icmp_seq=3 ttl=38 time=271.8 ms 64 bytes from : icmp_seq=4 ttl=38 time=300.9 ms ping statistics packets transmitted, 5 packets received, 0% packet loss round-trip min/avg/max = 244.8/267.7/300.9 ms FGT80C # execute ping PING ( ): 56 data bytes 64 bytes from : icmp_seq=0 ttl=47 time=176.8 ms 64 bytes from : icmp_seq=4 ttl=47 time=158.8 ms ping statistics packets transmitted, 2 packets received, 60% packet loss round-trip min/avg/max = 158.8/167.8/176.8 ms sniffer 抓包 : FGT80C # diagnose sniffer pa any 'icmp' 4 interfaces=[any] filters=[icmp] modem out > : icmp: echo request modem in > : icmp: echo reply modem out > : icmp: echo request root out > : icmp: host unreachable root in > : icmp: host unreachable VPN ping 测试 FGT80C # execute ping-options source // 指定源接口 FGT80C # execute ping PING ( ): 56 data bytes 64 bytes from : icmp_seq=0 ttl=255 time=40.9 ms 64 bytes from : icmp_seq=2 ttl=255 time=32.1 ms 64 bytes from : icmp_seq=3 ttl=255 time=33.1 ms Fortinet 公司第 15 页 / 共 23 页

16 64 bytes from : icmp_seq=4 ttl=255 time=33.1 ms ping statistics packets transmitted, 4 packets received, 20% packet loss round-trip min/avg/max = 32.1/34.8/40.9 ms 抓包, 说明确实经过了 VPN 隧道 FGT80C # diagnose sniffer packet any 'host ' 4 interfaces=[any] filters=[host ] modem-to-fh out > : icmp: echo request modem-to-fh in > : icmp: echo reply modem-to-fh out > : icmp: echo request modem-to-fh in > : icmp: echo reply modem-to-fh out > : icmp: echo request modem-to-fh in > : icmp: echo reply modem-to-fh out > : icmp: echo request modem-to-fh in > : icmp: echo reply modem-to-fh out > : icmp: echo request modem-to-fh in > : icmp: echo reply 拨号过程 : FGT80C # scan_usb_dev():628 scan_usb_dev():628 modemd: interface wan2, event type 1, state_change 2 //WAN2 down modem: wan2 link status is 0 modem: primary interface has failed - launch modem. modem: Begin dialing: redials left = modem state changed: 1(inactive) -> 2(dialing) //modem 开始拨号 chat: abort on (BUSY) chat: abort on (NO DIAL TONE) chat: abort on (NO DIALTONE) Fortinet 公司第 16 页 / 共 23 页

17 chat: abort on (NO CARRIER) chat: abort on (NO ANSWER) chat: abort on (ERROR) chat: send (atz^m) chat: expect (OK) chat: ^M chat: ^HCSQ: "LTE",42,32,131,22^M chat: ^M chat: ^HCSQ: "LTE",42,32,161,22^M chat: atz^m^m chat: OK chat: -- got it chat: send (ath0^m) chat: expect (OK) chat: ^M chat: ath0^m^m chat: OK chat: -- got it chat: send (ats7=90^m) chat: timeout set to 90 seconds chat: expect (OK) chat: ^M chat: ats7=90^m^m chat: OK chat: -- got it chat: send (atdt*99#^m) chat: expect (CONNECT) Fortinet 公司第 17 页 / 共 23 页

18 chat: ^M chat: atdt*99#^m^m chat: CONNECT chat: -- got it chat: send (^M) scan_usb_dev():628 modem: PPP is connected. modem state changed: 2(dialing) -> 3(connected) 连接成功 redails:0 isp:0 dev:/dev/ttyusb0 tel:*99# scan_usb_dev():628 scan_usb_dev():628 scan_usb_dev():628 scan_usb_dev():628 场景 2 插上 WAN2,modem 自动断开连接,VPN 自动断开 FGT80C # diagnose debug enable FGT80C # scan_usb_dev():628 scan_usb_dev():628 scan_usb_dev():628 modemd: interface wan2, event type 2, state_change 1 modem: wan2 link status is 16 modemd: pingserver 'wan2' status changed modem: wan2 link status is 16 modem: primary interface has recovered - holddown for 15 seconds. //Hold15 秒后断开连接 : modem state changed: 3(connected) -> 7(holddown) scan_usb_dev():628 scan_usb_dev():628 Fortinet 公司第 18 页 / 共 23 页

19 scan_usb_dev():628 modem: primary interface has recovered - disconnect modem. modem state changed: 7(holddown) -> 4(hangingup) chat: abort on (BUSY) chat: abort on (NO DIAL TONE) chat: abort on (NO CARRIER) chat: abort on (NO ANSWER) chat: abort on (ERROR) chat: send (ath^m) chat: expect (OK) modem: PPP has disconnected (222). //Hold15 秒后断开连接 : chat: ^M chat: NO CARRIER chat: -- failed chat: Failed (NO CARRIER) modem state changed: 4(hangingup) -> 0(uninit) modem state changed: 0(uninit) -> 1(inactive) modem: primary interface has recovered - reset_current_isp. redails:0 isp:0 dev:/dev/ttyusb0 tel:*99# scan_usb_dev():628 model 断开连接 : Fortinet 公司第 19 页 / 共 23 页

FGT80C3914603242 # get router info routing-table all Codes: K - kernel, C - connected, S - static, R - RIP, B - BGP O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA

20 FGT80C # get router info routing-table all Codes: K - kernel, C - connected, S - static, R - RIP, B - BGP O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2 i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area * - candidate default S* /0 [10/0] via , wan2 C C C C C C /24 is directly connected, wan /24 is directly connected, internal /24 is directly connected, lookback /26 is directly connected, V /26 is directly connected, V /26 is directly connected, V103 Fortinet 公司第 20 页 / 共 23 页

日志 : 场景 3 WAN2 ping 网关检测功能失败,modem 自动拨号,VPN 自动重连 KF (internal) # config secondaryip KF (secondaryip) # edit KF (secondaryip) # show config secondaryip edit 1 set ip 2.2.2.1 255.

21 日志 : 场景 3 WAN2 ping 网关检测功能失败,modem 自动拨号,VPN 自动重连 KF (internal) # config secondaryip KF (secondaryip) # edit KF (secondaryip) # show config secondaryip edit 1 set ip set allowaccess ping https ssh snmp http telnet fgfm next end KF (secondaryip) # edit 1 KF (1) # set ip KF (1) # next 日志中 : 能够看到从看到 modem 拨号和 VPN 协商成功的信息 Fortinet 公司第 21 页 / 共 23 页

22 场景 4 WAN2 ping 网关检测功能检测成功,modem hold 15 秒钟自动断开,VPN 随之立即断开可以从日志中观察过程 ( 也可以 diagnose debug application modemd -1 观察 modme 断开和 KF # diagnose debug application ike -1 观察 VPN 断开过程 ) Fortinet 公司第 22 页 / 共 23 页

23 参考资料 Fortinet 公司杜贵中 Fortigate 防火墙 4G 上网卡配置 Fortinet 公司第 23 页 / 共 23 页

FGT 配合 FortiExtender 扩展 3G(4G) 适用场景版本 1.0 时间支持的版本作者状态反馈 2015 年 3 月 FortiOS v5.2.3 李威峰草稿 Fortinet 公司第 1 页 / 共 24 页

FGT 配合 FortiExtender 扩展 3G(4G) 适用场景版本 1.0 时间支持的版本作者状态反馈 2015 年 3 月 FortiOS v5.2.3 李威峰草稿 support_cn@fortinet.com Fortinet 公司第 1 页 / 共 24 页 www.fortinet.com.cn 目录 Fortiextender 介绍...3 测试环境...4 环境介绍...4

目录 介绍...3 测试环境...3 环境介绍...3 组件...4 配置过程 基本的网络配置, 略 配置 modem 插入 3G/4G 上网卡, 重启设备 ( 如果插入后拨不上号但是可以识别, 通过重启设备解决 ) 配置 modem 接口上

目录介绍...3 测试环境...3 环境介绍...3 组件...4 配置过程基本的网络配置, 略配置 modem 插入 3G/4G 上网卡, 重启设备 ( 如果插入后拨不上号但是可以识别, 通过重启设备解决 ) 配置 modem 接口上