【简介】现在很多单位都有分公司或者分部,距离离的还比较远,但又经常需要两点之间进行安全的通迅,防火墙与防火墙之间建立IPsec可以很好满足要求,这里介绍两端都是固定IP的情况防火墙的配置。
IPsec的作用
作为一项成熟的技术,广泛应用于组织总部和分支机构之间的组网互联,其利用组织已有的互联网出口,虚拟出一条“专线”,将组织的分支机构和总部连接起来。
IPsec通常是由防火墙与防火墙之间建立连接,但也可以通过远程的客户端与防火墙建立IPsec连接。
环境介绍
本次IPsec选用的设备为比较大众化的FortGate 60D与FortGate 90D。
① IPsec设置之前需要知道双方的公网地址以及内网地址范围。
② 两边内网地址网段不能相同,以免互相访问时发生冲突 。
配置 IPsec
为了能够更好的理解两端IPsec设置的区别,我们将两边的设置放在一起介绍。
① 选择菜单 【虚拟专网】-【IPsec】-【 隧道】,点击 Create New 新建一条隧道。
② FortiGate 90D 与 FortiGate 60D 通过向导建立IPsec隧道对比。
(1) 用户名建议使用地名加设备简称,会比较方便判断是哪里到哪里 ;
(2) 因为两边都是FortiGate设备,所以在向导里选项Site to Site;
(3) 远程网关就是需要连接的对方的外网地址,这里输入对方的外网地址,会自动检测出流出接口;
(4) 预共享密钥为自定义,要求连接的双方设备都设置为相同的预共享密钥;
(5) 选择输入本地接口,本地子网会自动填写,远程子网就是需连接的对方内网范围,这里填写对方的内网范围。
③ 有的时候会报告错误信息,退出重来又会正常 (可以理解为 Bug)。
启动与测试
IPsec建成后需要启动连接。
① 选择菜单【虚拟专网】-【监视器】-【IPsec 监视器】,初始状态为断开(红色下箭头图标),鼠标在上点击右键,弹出子菜单,点击启用 。
② 当 IPsec 监视器中的状态显示为绿色向上箭头时,表明已经连接成功。
③ Ping对方内网网关,也可以验证是否连通。
④ IPsec建好后,就可以安全的访问对方内网了,和本地局域网一样,本例中192.168.1.111就是90D内网中的电脑共享。
【提示】如果对方内网不能Ping通,有可能是因为对方电脑系统内的防火墙启动了,关闭系统防火墙就OK了。
删除 IPsec
当我们因为各种原因需要删除IPsec的时候,先要知道通过模板建立IPsec时,都创建了哪些内容。
① 自动建立了两个地址对象。
② 自动建立了一进一出的两条策略。
③ 自动创建了一条静态路由。
④ 从菜单上可以看到,隧道并不可以直接删除,如果需要删除隧道,需要先删除自动建立的一条静态路由和两条进出策略,然后才可以删除隧道。 当然最好也删除两条地址对象及地址对象组。飞塔技术-老梅子 QQ:57389522