【隧道篇 / IPsec】(5.6) ❀ 08. DDNS更改IP地址后仍然保持IPsec正常连接 ❀ FortiGate 防火墙

如何在动态DDNS更改IP地址后仍然保持IPsec正常连接？

PPPoE拨号宽带用DDNS连接IPsec，IP地址更改后隧道就会断开，重连无效，有没有解决办法？

---

　　① PPPoE拨号宽带的IP地址经常会改变，FortiGate防火墙的动态DDNS功能，可以用域名绑定接口IP地址，使得即使IP地址变更，也能远程连接到防火墙。

　　② 为了更清晰的了解整个过程，这里使用两台FortiGate防火墙，分别是100D和90D，分别设置了不同的DDNS。甚至宽带接口也不同，100D使用的是Wan1，90D使用的是Wan2，100D的内网接口是192.168.28.254，90D的内网接口是192.168.18.1。

　　③ 我们可以使用IPsec向导功能，快速的建立100D和90D之间的连接。

　　④ 为了直观的看到两台设备的向导配置，我们将它们的步骤并列显示出来，由于两边都使用的是PPPoE拨号宽带，因此都选择了【启用FortiGuard DDNS】，如果一边有固定宽带，有固定宽带的防火墙选择【启用FortiGuard DDNS】，另一台拨号宽带的防火墙选择【IP地址】。

　　⑤ 用向导建立IPsec后是不会自动连接的，需要选择菜单【监视器】-【IPsec监视器】，选择隧道后点击【启用】下的阶段2。这样IPsec才会发起连接。

　　⑥ 在100D的命令模式下，定义源地址为内网接口192.168.28.254，Ping远程防火墙（90D）的内网接口地址192.168.18.1，可以Ping通，说明IPsec隧道是通的。

　　⑦ 单边通并不能说明隧道是完整的，用同样的方法从90D去Ping 100D的内网接口，这里也是通的。说明隧道双向访问正常。

　　⑧ 现在我们来模拟PPPoE拨号宽带修改IP地址的状况，选择菜单【网络】-【接口】，编辑宽带接口，点击【更新】按钮。

　　⑨ 多点击几次后，我们可以看到IP地址由原来的113.110.151.159，变更成了116.30.216.93。

　　⑩ 查看100D的隧道状态，可以看到是已经断开了。

　　⑾ 90D的隧道状态虽然仍显示连接，但是隧道已经不通了，远程网关仍然是100D变更以前的IP地址。也就是说，虽然有DDNS，但是IP地址变更后，DDNS不能够及时变更。

　　⑿ 为了使得IP地址变更后，隧道仍然可以保持连通，我们需要做出改变。首先在100D上选择菜单【虚拟专网】-【IPsec隧道】，选择隧道后点击【编辑】。

　　⒀ 点击【转换为自定义隧道】，这样就可以对向导生成的隧道进行修改了。

 　　⒁ 点击网络右边的【编辑】，在对等体状态探测选择【空闲】，也就是说，当隧道空闲下来没有数据传输后，就会发起探测，使得隧道一直保持连接状态，这个选项很重要，IP变更后，两边的防火墙仍然可以发起连接请求。

  　　⒂ 点击认证右边的【编辑】，将模式选择为【野蛮】，访问类型选择【特定对端ID】，对等ID输入90D的ID。100D和90D自身的ID都是自己定义的，下一步就能看到。

  　　⒃ 点击阶段1右边的【编辑】，在本地ID处输入100D的ID，这个是自定义的。

  　　⒄ 用完全相同的方法修改90D的IPsec隧道，只是网络下的对等ID输入的是100D的ID名称。本地ID输入的是90D自定义的ID。

  　　⒅ 除了修改IPsec隧道外，还需在有DDNS的防火墙建立动态网关路由。在100D上选择【网络】-【静态路由】，点击【新建】。

  　　⒆ 启动【动态网关】选项，接口选择宽带接口，目的默认为0.0.0.0/0.0.0.0，这样就可以了。这是6.0.9固件版本，早期版本没有动态网关选项，需要用命令来完成设置。

　　config router static

　　　edit 5

　　　　set dst 0.0.0.0 0.0.0.0 

　　 　　set dynamic-gateway enable

　　 　　set device wan2

　　　next

　　end

  　　⒇ 由于90D也是用DDNS，因此也建立了一样的动态网关路由。

  　　(21) 再次连接IPsec隧道。

  　　(22) 再次更新100D的宽带IP地址。

  　　(23) 100D的宽带IP地址由116.30.216.93变更成了113.81.232.223。这个时候IPsec隧道断开了。

  　　(24) 断开约一分钟后，隧道又重新自动连接了。为什么会这样？这是因为本地ID在起作用，防火墙第一选项为IP检测，第二选项为本地ID检测。当然对等体状态探测选择【空闲】也是很重要的，这样防火墙才能自动发起连接。虽然对等体状态探测选择【空闲】会占用一定的系统资源，但对有变更IP后仍然能连接的需求来说，这点资源占用又不算什么了。

---