【隧道篇 / IPsec】(7.0) ❀ 02. 两端都是ADSL拨号宽带建立IPsec连接 (点对点) ❀ FortiGate 防火墙

　　【简介】上一篇文章我们介绍了在两边都有可以远程的公网IP的情况下，用向导快速的建立了IPsec安全隧道。但是如果用的是ADSL拨号宽带，每次连接都会变更IP，那么IPsec肯定会经常断开，有什么好办法解决吗？

---

  DDNS

　　ADSL拨号宽带经常会变更IP地址，这样每次变更，连接好的VPN就会断开，特别是两端都是ADSL，就更麻烦了。

　　① 防火墙的接口模式有个【PPPoE】选择，专用用来配置ADSL拨号宽带上网，连接成功后，会显示当前获得的IP地址。【更新】按钮可以重新获取IP地址。默认管理距离为5，如果有其它固定IP宽带的话，建议将管理距离改为10，这样多条宽带可以同时使用。

　　② FortiGate防火墙有个很方便的功能，FortiGuard DDNS，可以将公网IP转换成固定的域名。选择菜单【网络】-【DNS】，启用【FortiGuard DDNS】，接口选择ADSL拨号接口。（前提是这个ADSL拨号宽带生成的IP地址可以远程访问，上一篇文章有介绍测试方法。）共有三个服务器，任选一个，输入独特的位置，会自动成生域名，而这个域名会绑定接口的IP地址。

　　③ Ping域名，能够得到601E Wan1口ADSL拨号宽带的公网IP，并且能Ping通，那么这个域名就是有效的。

　　④ 分公司80E，也是一样设置DDNS，得到一个域名。注意这个只有是ADSL拨号宽带才有配置意义。固定IP或内网地址都没有意义。

　　⑤ Ping分公司80E的域名，可以得到公网IP，并可以Ping通，说明域名有效。

　　⑥ 如果变更或重新获取了公网的IP地址，DDNS会及时更新吗？

　　⑦ 可以看到即使IP地址变更了，域名仍然有效，而且时间很短。DDNS目前使用是有条件的，一个是固件版本在6.4及以上，或者设备在服务期内。

  总部601E防火墙IPsec更改

　　上篇文章，我们直接用公网IP配置了向导，使IPsec连接成功，但是今天又断开了，原因是宽带是ADSL拨号，变更了IP地址。

　　① 登录总部的FortiGate 601E防火墙，选择菜单【VPN】-【IPsec 隧道】，可以看到上次用向导建立的隧道是断开状态。这是因为两边使用的都是ADSL拨号宽带，有一端的公网IP变更了，隧道自然也就断了。选择隧道，点击【编辑】。

 　　② 由于隧道是用向导建立的，很多地方不能直接改动，因此点击【转换为自定议隧道】，这样可对所有配置进行修改。

　　③ 首先编辑网络配置。

　　④ 我们知道分公司的80E使用的是ADSL拨号宽带，也配置了DDNS，因此在总部的601E配置里，对端网关我们选择【动态DNS】。

　　⑤ 输入分公司80E配置的DDNS域名，注意不要加http以及端口号。只是域名。另外对等体状态探测选择【空闲】。隧道内没有流量时，FortiGate会发送DPD探测。当两端的宽带都是可变更IP时，这可以使得IP变更时立即发现。当然启用【空闲】检测会耗费一些资源。

　　⑥ 编辑认证，模式默认为【主模式】，这里更改为【野蛮】。之所以选择野蛮模式，是因为对端IP是动态时，野蛮模式可以使用对端IP进行认证。而主模式无法使用对方ID进行认证。

　　⑦ 访问类型选择【特定对等体ID】，对等体ID输入80E上设置的ID号。有没有觉得和预共享密钥很像，这个ID都是自己定义的，只是两边自定义自己的，而预共享密钥两边是相同的。

　　⑧ 编辑阶段1提案，本地ID输入自定义的ID号，这个要在对方防火墙配置时输入的。默认有四层加密认证，实际上是用不到这么多的，加密复杂了也会影响到访问速度。我们删除最下面的三层，只留下第一层就可以了。

　　⑨ 在阶段2选择器中，点击隧道右边的笔图标，进入编辑页面。

　　⑩ 弹开页面里点击左下角的【高级】。

　　⑾ 在阶段2里，同样不需要这么多加密认证，只保留第一行，其它的删除。启用【自动协商】和【自动密钥保持存活】。启用自动协商的好处是，即使没有流量通过隧道，隧道仍然保持启动状态。因为FortiGate会周期性地通过隧道发送保持活动数据包。启动自动协商后，自动密钥保持存活也就自动启动。

　　点击【确认】，总部601E的IPsec修改就完成了。

  分公司80E防火墙IPsec更改

　　分公司也是ADSL拨号宽带，也配置了DDNS，因此修改和总部类似。

　　① 登录分公司80E防火墙，编辑IPsec隧道，在网络设置中对端网关选择【动态DNS】，输入总部601E的DDNS域名，对等体状态探测选择【空闲】。

　　② 编辑认证界面，模式选择【野蛮】，访问类型选择【特定对等体ID】，输入601E里设置的对等体ID。

　　③ 阶段1设置，删除多余的加密认证，只留第一行，输入本地ID，这个在601E设置时有用到。

　　④ 阶段2设置，删除多于的加密认证，只保留第一行，启用【自动协商】，自动密钥保持存活也自动启用。

　　点击【确认】，分公司80E的IPsec修改也完成了。

  动态网关

　　我们可以发现，当ADSL拨号宽带重新获取了新IP地址时，网关地址也改变了。由于ADSL拨号在FortiGate防火墙是自动生成网关的，因此我们还要做一个设置，就是设置动态网关。

　　① 登录总部601E防火墙，选择【网络】-【静态路由】，点击【新建】。

　　② 启用【自动网关检索】，选择宽带接口，网关地址默认选择【动态】，并显示当前的网关IP地址。点击【确认】。

　　③ 静态路由表上会多一出条有动态网关的路由，而这个路由也会取代ADSL拨号自动产生的路由。

　　④ 这里就忽略操作步骤，在分公司80E上也建立一条动态网关路由。

  验证

　　两边防火墙IPsec配置都修改完成，我们看看成果。

　　① 查看IPsec监控，可以看到IPsec隧道是连接成功的。这是因为我们启用了【自动协商】，即使隧道没有流量，也是会保持启动状态。

　　② 为了证明即使ADSL宽带的公网IP变更也不会对IPsec安全隧道产生很大的影响，我们从分公司电脑长Ping总部服务器。

　　③ 手动更新分公司ADSL拨号宽带的公网IP。

　　④ IPsec隧道经过短暂的断开后，又自动恢复连接了。

　　当两边的防火墙都重新获取IP地址后，也仍通过DDNS功能，快速的、自动的恢复IPsec隧道的连接，不需要为人干预，保证了业务的畅通。

---