卷土重来！这次终于把FortiGate的IPsec VPN配置成功了！

最新推荐文章于 2025-03-16 07:47:28 发布

Danileaf_Guo

最新推荐文章于 2025-03-16 07:47:28 发布

阅读量1.3k

点赞数 21

文章标签：网络服务器前端 linux 运维

本文链接：https://blog.csdn.net/gtj0617/article/details/144798172

版权

我们之前曾经尝试使用FortiOS来配置IPsec VPN，但是打流之后的FortiOS不能转发流量了，然后我就换了FortiGate（飞塔FortiGate的IPsec VPN应该怎么配？），结果还是没有成功。

又过了这么久，要不我们今天再尝试一下？

还是上次配置GENEVE的拓扑（如何配置GENEVE？我们用飞塔防火墙FortiGate来演示一下），在两台防火墙下面分别挂一台PC。

我们先来配置FGT44，首先配置好互联接口。

然后，进入“VPN”下的“IPsec向导”，我们先看看飞塔默认支持的IPsec VPN是如何配置的。

第一步是“VPN建立”。可以看到，模板类型分为【站到站】、【HUB-and-SPOKE】、【远程拨号】和【自定义】，一般比较常用的就是【站到站】和【HUB-and-SPOKE】，我们这次先测试站到站（Site to Site）。NAT配置和我们常用的场景类似，分为【站点之间没有NAT】和本端或远端在NAT设备后端，我们这次先测试【站点之间没有NAT】。

使用模板进行配置时，远端设备类型仅支持FortiGate和Cisco，如果使用其他设备，需要选择“自定义”的模板类型。下面还有一个简单的示意图。

本次配置，我们只要配置一个名称就可以了。

第二步是“认证”，远程设备配置为IP地址10.23.1.3，此时默认匹配到了流出接口为port2；认证方法选择【预共享密钥】，并配置密钥。

第三步是“策略&路由”，配置要绑定策略的本地接口，以及本地子网和远端子网信息即可。在选择本地接口之后，会自动带入接口所属的子网信息。Internet访问选项中，【无】表示站点到站点设备通过VPN进行通信，但互联网访问不需要经过VPN；【本地共享】表示允许远程站点将此FortiGate用作互联网网关；【使用远程】则相反，表示此FortiGate将从源端位置引导互联网访问。

第四步是“回顾设置”，比较不友好的是，我们都是设置的具体地址什么的，却被设备全都转换成了对象，完全看不到内容，检查了约等于没检查。

点击“完成”之后，就可以查看对象摘要信息了。

可以看到，这里创建了以下对象：阶段1接口、阶段2接口、本地地址组、对端地址组、静态路由、黑洞路由、本地远程策略和对端到内网策略。

其中，阶段1接口位于物理接口port2下面，状态是DOWN。

阶段2接口即IPsec隧道接口，红色的向下箭头表示状态不活跃，也就是未协商成功。

本地地址组、对端地址组。

静态路由和黑洞路由，上次的配置就是黑洞路由自动生成失败了，我当时还没反应过来。

还有自动放通的本地远程策略和对端到内网策略，上次也没有自动生成。

然后，我们对照FGT44配置一下FGT45，为了方便对比，FGT45我们使用英文的配置页面。

在“VPN”下的“IPsec Wizard”下面，第一步是“VPN Setup”。Template type使用默认的【Site to Site】，NAT configuration使用默认的【No NAT between sites】，Remote device type选择【FortiGate】。

第二步是“Authentication”，Remote device选择【IP Address】，Remote IP address配置为10.12.1.1，Outgoing Interface默认匹配到了port3；Authentication method选择【Pre-shared key】，并配置Pre-shared key密钥。