目录简介... 3 组网需求与拓扑... 3 配置步骤... 4 步骤 1 基本上网配置... 4 步骤 2 配置 VPN 拨号的用户和用户组... 4 步骤 3 配置 L2TP VPN... 5 步骤 4 配置 IPsec VPN... 6 步骤 5 配置防火墙策略... 9 客户端接入...

Size: px

Start display at page:

Download "目录简介... 3 组网需求与拓扑... 3 配置步骤... 4 步骤 1 基本上网配置... 4 步骤 2 配置 VPN 拨号的用户和用户组... 4 步骤 3 配置 L2TP VPN... 5 步骤 4 配置 IPsec VPN... 6 步骤 5 配置防火墙策略... 9 客户端接入..."

畅香
5 years ago
Views:

1 FortiGate-v5.0 L2TP over IPsec 配置案例版本 1.0 时间支持的版本作者状态反馈 2015 年 10 月 FortiGate v4.x.x v5.x.x 刘康明已审核

2 目录简介... 3 组网需求与拓扑... 3 配置步骤... 4 步骤 1 基本上网配置... 4 步骤 2 配置 VPN 拨号的用户和用户组... 4 步骤 3 配置 L2TP VPN... 5 步骤 4 配置 IPsec VPN... 6 步骤 5 配置防火墙策略... 9 客户端接入 Fortinet 公司第 2 页 / 共 18 页

3 简介 FortiGate 的 L2TP over IPsec VPN 支持 PC 客户端以及手机客户端进行拨号, 封装的原理是 L2TP VPN 封装第二层数据, 对身份进行认证, 然后再使用 IPSec 对 L2TP 的整个数据进行加密保护本文将举例一个 L2TP over IPsec 的典型应用场景, 详细的说明其配置与客户端拨号过程组网需求与拓扑如下图所示, 某公司内部有一台 OA 服务器, 在外移动办公的工作人员需要通过 L2TP over IPSEC VPN 拨入到公司内网来对内网服 OA 服务器进行访问 Fortinet 公司第 3 页 / 共 18 页

4 配置步骤步骤 1 基本上网配置主要为接口 IP 路由设备管理等基本配置, 此处略步骤 2 配置 VPN 拨号的用户和用户组 1) 定义用户菜单 : 设置用户 -- 设置用户 -- 设置用户 : 点击 " 新建 " 添加用户名 :usera, 密码 abc23 Fortinet 公司第 4 页 / 共 18 页

5 2) 定义用户组菜单 : 设置用户 -- 用户组 -- 用户组 : 点击 " 新建 " 添加用户组 : 1_GROUP 添加 usera 用户到该组步骤 3 配置 L2TP VPN FortiGate # config vpn l2tp FortiGate (l2tp) #set status enable // 开启 vpn 功能 Fortinet 公司第 5 页 / 共 18 页

6 FortiGate (l2tp) #set eip // 配置客户端分配的 ip 范围 : 结束 ip FortiGate (l2tp) #set sip // 配置客户端分配的 ip 范围 : 开始 ip FortiGate (l2tp) #set usrgrp L2TP_over_IPSEC _GROUP // 调用 VPN 用户组 FortiGate (l2tp) #end 说明 :VPN 用户所分配的地址范围可以是内网地址的一段地址空间, 也可以是独立的网段步骤 4 配置 IPsec VPN (1) 创建阶段 1 ( 可通过 web 界面及 CLI 命令行配置 ) 虚拟专网 --IPsec-- 自动交换密钥 (IKE)-- 创建阶段 1 名称 :1 远程网关 : 选择 " 连接用户 " 本地接口 : 选择出口 "wan1" 模式 : 选择 " 主模式 " 认证方式 : 选择 " 预共享密钥 " 预共享密钥 : 输入密钥 "abc123" 对等体选项 : 选择 " 接受任何对等体 ID" 启动 IPSEC 接口模式 : 默认配置阶段 1 交互方案 : 默认 ( 微软电脑默认加密集包含 3DES + SHA1) DH 组 : 选择 Group 2(1024) 5(1536) 14(2048) ( 微软电脑较多使用 DH 组 14) 密钥周期 : 默认 ( 微软电脑密钥周期也默认为 28800) Fortinet 公司第 6 页 / 共 18 页

7 扩展身份认证 : 默认对等体状态监测 : 默认上述 web 界面配置, 也可在 CLI 命令行下配置, 命令如下 : FortiGate # config vpn ipsec phase1 FortiGate (phase1) # edit 1 new entry '1' added FortiGate (1) # set type dynamic FortiGate (1) # set interface wan1 FortiGate (1) # set mode main FortiGate (1) # set psksecret abc23 FortiGate (1) # set proposal 3des-sha1 aes128-sha1 FortiGate (1) # set dhgrp FortiGate (1) # set nattraversal enable FortiGate (1) # set dpd enable FortiGate (1) # end 微软电脑的 L2TP_over_IPsec 拨号使用的第一阶段的 Transform 加密集默认包含 : 3DES+SHA1+DH 14 3DES+SHA1+DH 2 AES256+SHA1+DH 14 等, 建议按照以上 Transform 配置 FGT 的 IPSEC 第一阶段参数, 至少包含其中一个加密集 (2) 配置阶段 2 虚拟专网 --ipsec-- 选中 2, 创建阶段 2 Fortinet 公司第 7 页 / 共 18 页

名称 : 2 阶段 2 交互方案 : 认证算法 "3des sha1" "aes128 sha1" PFS: 关闭 PFS,Windows 电脑默认关闭 PFS 密钥周期 : 修改为 3600 秒,Windows 电脑默认的密钥周期为 3600 秒其他 : 默认阶段 2 中需要将封装模式设定为 transport-mode, 此配置需要在命令行配置 L2TP_over_IPSEC

8 名称 : 2 阶段 2 交互方案 : 认证算法 "3des sha1" "aes128 sha1" PFS: 关闭 PFS,Windows 电脑默认关闭 PFS 密钥周期 : 修改为 3600 秒,Windows 电脑默认的密钥周期为 3600 秒其他 : 默认阶段 2 中需要将封装模式设定为 transport-mode, 此配置需要在命令行配置 L2TP_over_IPSEC 由于加密点等于通信点, 因此需要修改 ESP 的封装方式为传输模式 : FortiGate #config vpn ipsec phase2-interface FortiGate (phase2-interface) # edit 2 FortiGate (2) # set encapsulation transport-mode 需要在命令行下配置 FortiGate (2) # end 以上 WEB 页面配置, 也可在命令行下完成, 命令如下 FortiGate #config vpn ipsec phase2-interface FortiGate (phase2-interface) # edit 2 FortiGate (2) # set phase1name 1 FortiGate (2) # set proposal 3des-sha1 aes128-sha1 FortiGate (2) # set replay enable FortiGate (2) # set pfs disable(windows 电脑默认 pfs 为关闭, 开启将导致认证失败 ) FortiGate (2) # set keylifeseconds 3600(Windows 电脑默认 lifetime 3600, 如果不一致将导致认证失败 ) Fortinet 公司第 8 页 / 共 18 页

FortiGate (2) # set encapsulation transport-mode FortiGate (2) # end 需要在命令行下配置注意 : 对于如果存在在同一局域网有多台手机或者电脑通过同一账号登录, 则需在第二阶段开启如下命令 set l2tp enable: FortiGate

配置可访问的内部服务器地址创建防火墙策略 (1) 由于 IPSEC VPN 为传输模式, 加密点等于通信点, 无需配置任何安全策略 IPSEC 就可以成功协商当 IPSEC 第一阶段和第二阶段认证完毕之后,VPN 客户端将发起 L2TP 的认证请求连接, 此时请求的数据被 IPSEC 加密处理,FGT

9 FortiGate (2) # set encapsulation transport-mode FortiGate (2) # end 需要在命令行下配置注意 : 对于如果存在在同一局域网有多台手机或者电脑通过同一账号登录, 则需在第二阶段开启如下命令 set l2tp enable: FortiGate #config vpn ipsec phase2-interface FortiGate (phase2) #edit 2 FortiGate (2) # set l2tp enable FortiGate (2) # end 步骤 5 配置防火墙策略配置地址池 (1) 配置拨号用户地址 (2) 配置可访问的内部服务器地址创建防火墙策略 (1) 由于 IPSEC VPN 为传输模式, 加密点等于通信点, 无需配置任何安全策略 IPSEC 就可以成功协商当 IPSEC 第一阶段和第二阶段认证完毕之后,VPN 客户端将发起 L2TP 的认证请求连接, 此时请求的数据被 IPSEC 加密处理,FGT 收到此报文并将其解密, 由于 L2TP 请求报文的目的 IP 是 wan1 的接口 IP, 将发送给 wan1 进行处理, 并进一步上送到 L2TP 接口模块进行用户认证, 根据上述分析, FGT 应该要放通流入接口 1(IPSEC VPN 接口 ) 到流出接口任意 ( 或 WAN1) 服 Fortinet 公司第 9 页 / 共 18 页

可协商成功, 但 L2TP VPN 无法认证成功 (2) 配置 L2TP 访问内网服务器的安全策略点击 " 防火墙 "--" 策略 "-- 新建 : 流入接口 :1 (IPSEC VPN 接口 ) 源地址

10 务为 L2TP 的数据, 这样才能保证 L2TP 的数据可以被 FGT 正常的处理防火墙 -- 策略 -- 新建流入接口 :1 (IPSEC VPN 接口 ) 源地址 :any 流出接口 : 任意目的地址 :any 时间表 :always 服务 :L2TP (L2TP 数据 ) 动作 : 允许配置完此条策略之后,VPN Client 可以成功拨号 L2TP_over_IPSEC 如果没有此条策略, 只有 IPSEC VPN 可协商成功, 但 L2TP VPN 无法认证成功 (2) 配置 L2TP 访问内网服务器的安全策略点击 " 防火墙 "--" 策略 "-- 新建 : 流入接口 :1 (IPSEC VPN 接口 ) 源地址 :L2TP_over_IPSEC_Range (L2TP 地址池 ) 流出接口 :internal 目的地址 :Internal_Server( 内网服务器地址 ) Fortinet 公司第 10 页 / 共 18 页

11 时间表 :always 服务 :any 动作 : 允许配置完此条策略之后,L2TP_over_IPSEC 的业务数据可以正常访问客户端接入 Windows 系统 (win7 为例 ) 的 L2TP_over_IPsec 接入如下 : (1) 打开 " 控制面板 "--" 网络与共享中心 "--" 设置新的连接或网络 " (2) 选择 " 连接到工作区域 " Fortinet 公司第 11 页 / 共 18 页

12 (3) 选择 " 否, 创建新连接 " Fortinet 公司第 12 页 / 共 18 页

13 (4) 选择 " 使用我的 Internet 连接 VPN" (5) 填写 Internet 地址为 FGT 的 wan1 接口地址 , 目的名称 L2TP_over_IPsec, 勾选现在不连接 ; Fortinet 公司第 13 页 / 共 18 页

14 (6) 输入 L2TP VPN 所关联的用户名和密码 (usera,abc123) (7) 配置完毕之后暂时不点击连接, 需要配置 IPSEC VPN 的预共享密钥点击 " 控制面板 -- 网络和 Internet-- 网络连接 " 找到刚刚创建的 "L2TP_over_IPsec" Fortinet 公司第 14 页 / 共 18 页

15 (8) 点击 "L2TP_over_IPsec" 属性 --" 安全 "-- 选择 VPN 类型为 "L2TP/IPSEC", 点击 " 高级设置 "--" 使用预共享密钥身份验证 "-- 配置 IPSEC 的预共享密钥 abc123, 确认保存所配置信息 (9) 点击 "L2TP_over_IPsec" 输入密码进行 VPN 连接 Fortinet 公司第 15 页 / 共 18 页

16 (10)L2TP_over_IPsec 连接成功后,FGT 会从 L2TP 地址池中分配 IP 给 VPN 客户端, 客户端默认所有的流量都会走 L2TP/IPSEC 隧道并加密处理 Fortinet 公司第 16 页 / 共 18 页

如果想做到 VPN 隧道数据与访问 Internet 数据进行本地分离, 则需要修改 VPN 拨号的

17 此时 L2TP_over_IPSEC 的客户端所有的数据访问都将经过 FGT 进行处理,FGT 的 Internal 的服务器资源也可以被正常的安全访问 (11)L2TP_over_IPsec 连接成功后, 如果想做到 VPN 隧道数据与访问 Internet 数据进行本地分离, 则需要修改 VPN 拨号的 TCP/IP 属性, 关闭在远程网络中使用默认网关 Fortinet 公司第 17 页 / 共 18 页

此时 L2TP_over_IPSEC 的客户端上 Internet 的数据将会走本地网关, 而访问 FGT 内部的 Internal 服务器资源则需要管理员手工配置静态的指向 L2TP/IPSEC 隧道接口路由以管理员身份打开 "cmd", 手工配置静态路由 route add 192.168.1.0 mask 255.255.255.0 192.168.2.91 说明 : 192.168.1.0 mask 255.255.255.0 是 FGT 的 Internal 服务器资源网段, 192.

18 此时 L2TP_over_IPSEC 的客户端上 Internet 的数据将会走本地网关, 而访问 FGT 内部的 Internal 服务器资源则需要管理员手工配置静态的指向 L2TP/IPSEC 隧道接口路由以管理员身份打开 "cmd", 手工配置静态路由 route add mask 说明 : mask 是 FGT 的 Internal 服务器资源网段, 是 L2TP_over_IPsec VPN 从 FGT 认证成功后获取到的隧道接口 IP 如 L2TP_over_IPSEC 的客户想访问 FGT 的 Internal 服务器资源, 则走管理员手动填写的静态路由, 并从 L2TP_over_IPSEC 隧道接口安全加密发送到 FGT, 如果客户访问 Internet 上的资源, 则走本地网关, 无需对此类数据进行加密 Fortinet 公司第 18 页 / 共 18 页

FortiADC SLB Virtual Server L7 方式部署介绍版本 1.0 时间支持的版本作者状态反馈 2015 年 10 月 FortiADC v4.3.x 刘康明已审核

FortiADC SLB Virtual Server L7 方式部署介绍版本 1.0 时间支持的版本作者状态反馈 2015 年 10 月 FortiADC v4.3.x 刘康明已审核 support_cn@fortinet.com 目录简介... 3 Virtual Server L7 代理部署方式介绍... 3 Virtual Server L7 携带源地址代理部署方式介绍... 5 Fortinet

目录 简介... 3 组网需求与拓扑... 3 配置步骤... 4 步骤 1 基本上网配置... 4 步骤 2 配置 VPN 拨号的用户和用户组... 4 步骤 3 配置 L2TP VPN... 5 步骤 4 配置 IPsec VPN... 6 步骤 5 配置防火墙策略... 9 客户端接入...

目录简介... 3 组网需求与拓扑... 3 配置步骤... 4 步骤 1 基本上网配置... 4 步骤 2 配置 VPN 拨号的用户和用户组... 4 步骤 3 配置 L2TP VPN... 5 步骤 4 配置 IPsec VPN... 6 步骤 5 配置防火墙策略... 9 客户端接入...