1. 项目背景

2. 需求描述​



3. 
   架构图​
   如架构图所示，客户有北京和香港两个AWS环境，已经通过专线打通。现在需求是在北京和香港各部署一台Fortigate作为分流使用，北京客户的访问流量如果是要到海外则通过专线到香港的Fortigate出去。​
   
4. 测试步骤

• 北京区和宁夏区部署Fortigate节点​
• 打通北京和宁夏两个Fortigate节点的IPSec VPN​
• 配置SSLVPN客户端到北京区FortiGate​
• 配置SD-WAN用于分流去往海外的流量​

6. 修改Fortigate时区和语言​选择左侧System-Settings，在右侧修改时区为GMT+8区北京​



7. 
   
   如果想要修改语言可以往下拉修改​



8. 
   
   ​
9. 创建用户和组

2. 创建用户​用户用于登录VPN。选择左侧User&Device- User Definition- Create New​



3. 
   
   选择Local User​



4. 
   
   输入用户名密码​



5. 
   后面都默认即可​
7. 创建用户组​创建用户组​



8. 
   
   起个名字，添加刚才创建的用户即可​



9. 
   
   ​
11. 北京区配置​选择VPN-IPsec Tunnels，右侧选择Create New-IPsec Tunnel​



12. 
    
    之后如果选择模板部署后期还需要改动，所以我们选择自定义部署​
    起个名字，选择自定义，下一步​



13. 
    输入对端香港的内网地址和接口，NAT Traversal选择Forced，Dead Peer Detection选择OnIdle，其他默认即可。​



14. 
    
    输入互相协商的初始秘钥Preshared-Key，其他保持默认​



15. 
    本地和远端的网段打通都输入0.0.0.0/0，具体的网段打通可以通过路由和策略控制，所以这里我们设置打通所有即可。​



16. 
    加密和认证算法只保留截图中几项即可。​
    勾上自动协商。​



17. 
    北京区接口配置完成​



18. 
    
    之后在左侧Network-Interfaces这里我们就能看到我们创建的VPN接口了​



19. 
    
    选择VPN接口，Edit​
    定义一个VPN接口的IP和对端的VPN接口IP​
    选择Ping协议用来测试VPN通道连通性​



20. 
    之后配置一条接口策略​
    左侧选择Policy&Objects-IPv4 Policy​
    右侧输入名称，选择入流量端口，选择出流量端口为刚才创建的VPNtoHK​
    源和目标选择全部放行​
    NAT功能打开​



21. 
    
    测试的话我们可以打开全部日志收集功能​



22. 
    
    到此北京区的站到站VPN配置完成。​
    
    
    ​
24. 香港区配置​过程和北京区是完全相同的。选择VPN-IPsec Tunnels，右侧选择Create New-IPsec Tunnel​
    选择自定义部署，起个名字，选择自定义，下一步​



25. 
    
    输入北京区内网IP，选择端口，NAT Traversal选择Forced，Dead Peer Detection选择On Idle​



26. 
    
    
    填写相同的协商秘钥​



27. 
    
    填写地址范围为全部，只留下AES和SHA的加密算法，勾选自动协商​



28. 
    
    配置接口IP​



29. 
    
    配置本端和对端IP，配置Ping协议用于测试连通性​



30. 
    
    配置接口策略​



31. 
    选择刚才创建的接口，配置源和目标范围，NAT功能打开​



32. 
    
    策略配置完成​



33. 
    
    查看隧道状态，选择左侧Monitor，IPsec Monitor，看到右侧状态为启动​



34. 
    
    测试通道连通性​
    登陆命令行Ping刚才设置的IPsec接口IP​
    命令为execute ping x.x.x.x​



35. 
    
    如果不通可以用抓包命令查看​



36. 
    
    
    ​
38. 配置SSLVPN这个方式需要使用FortiClient软件登陆。
    选择左侧VPN，选择SSLVPN设置，右侧监听端口为Port1，端口号为10443（也可使用其他端口，避免与管理端口冲突）



39. 
    

1. 指定DNS服务器（两种方式可选）

2. 指定DNS服务器为FortiGate自己​



3. 
   之后设置DNS服务器，利用Fortigate分流不同的请求使用不同的DNS解析，例如配置到google.com的流量分流到8.8.8.8。​
   配置显示DNS Database，选择左侧特性可见，选择DNS Database​



4. 
   添加DNS服务器的SSL-VPN接口和port的监听​



5. 
   
   选择SSL-VPN接口（选择递归表示到Gate的DNS请求会先查询DNS数据库，如果没有则会查询本地DNS配置）​



6. 
   
   
   配置DNS数据库，添加访问google时候的DNS代理​



7. 
   添加google地址​
   权威需要取消勾选，如果勾上表示访问google时使用本地DNS​
   之后指定DNS转发位置为8.8.8.8和8.8.4.4​



8. 
   
   之后到本地DNS位置设置本地DNS为114.114.114.114和阿里的223.5.5.5​



9. 
   DNS服务器选择FortiGate配置完成​
   
   ​
11. 指定DNS服务器为其他服务器​SSL-VPN设置里面DNS服务器直接指定地址​



12. 
    ​
    之后SSL-VPN设置，在全部用户和组里指定门户​



13. 
    
    选择全部访问​



14. 
    修改SSL VPN Portal，左侧选择VPN，SSL VPN Portals，右侧选择刚才选择的full-access​



15. 
    关掉隧道分割​
    如果打开的话可以给客户端流量设置路由，控制那部分流量走Gate，哪部分走本地。​



16. 
    
    打开这些功能​



17. 
    

3. 修改防火墙策略​



4. 
   
   入接口选择SSL-VPN接口，出接口选择所有​
   源选择所有地址和用户组​



5. 
   
   日志全部打开​



6. 
   
8. 测试SSL VPN连通性​使用FortiClient软件，建立新连接​



9. 
   
   选择SSL VPN，输入名字，IP，接口，用户名，保存​



10. 
    
    选择连接，输入用户名和密码，连接​



11. 
    
    连接成功后可以看到流量产生​



12. 
    
    ​
14. 配置静态路由​添加默认静态路由​
    指定默认网关，选择接口为port1​



15. 
    
    添加指向VPN的静态路由​
    如果不配置SD-WAN​
    新建静态路由，直接指定目标服务，如google服务，接口选择VPN接口​



16. 
    如果配置SD-WAN​
    新建一条静态路由，可以直接选择全部地址，接口为VPN地址​
    管理距离修改为1​
    高级选项里优先级改为1​



17. 
    
    修改原来的默认路由​
    管理距离改为1（保证两条默认路由同时生效）​
    优先级改为0（port1的路由优先级更高）​



18. 
    
    修改完如下图​



19. 
    
    
    
    
    
    如果设置的DNS为FortiGate，可以添加转发到其他DNS服务器的静态路由​
    添加8.8.8.8，接口为VPN接口，管理距离为1，优先级为0​



20. 
    
    添加8.8.4.4，接口为VPN接口，管理距离为1，优先级为0​



21. 
    
    添加完成如下图所示​



22. 
    
    
    ​

41. 新建两个SD-WAN Zone​



42. 
    
    创建一个本地Zone和一个GlobalZone，本地的流量打给port1，跨境流量打给VPN接口​



43. 
    
    
    
    
    
    
    
    本地Zone指定接口为port1，网关为默认的网关​



44. 
    
    GlobalZone指定接口为VPN接口，网关为对端VPN接口连接的地址​



45. 
    
    添加本地和GlobalZone的接口​



46. 
    



47. 
    创建完成​



48. 
    
    6.4版本不建议修改默认静态路由的接口，因为修改后会导致FortiGate控制台无法显示的问题，所以可以依然采取配置两条静态路由的方式配置。​
    6.2版本可以如下图修改​



49. 
    
    
    
    
    
    
    
    
    
51. 创建SD-WAN规则​源地址为全部，选择用户组，添加目标服务​



52. 
    
    选择流出接口为手工设置，指定VPN接口优先​



53. 
    
    
    创建一条默认规则，目标地址为全部，流出接口手工设置为port1​



54. 
    配置完成后，SD-WAN可以按照这两条规则选路，决定什么流量走VPN接口，什么流量走Port1​
    
    
    ​
56. 清理本地DNS缓存​



57. 
    
59. 升级Internet服务数据库​默认Internet服务数据库可能没有更新，所以并不包括要访问的服务，比如google，所以需要更新。两种方式，一种是在命令行输入命令，一种可以在portal上下载之后手动上传。​



60. 
    
    用命令行升级固件​



61. 
    
    
    
    
    
    
    在Portal上下载升级包​



62. 
    



63. 
    
65. 命令行修改静态路由​如果修改了静态路由，将目标定义成了SD-WAN之后导致console打不开，可以将静态路由改回来，用如下命令​



66. 
    



67. 
    
    
    
    
69. 查看FortiGate路由表​选择仪表板，网络，Routing​



70. 
    
    右键菜单位置，显示优先级​



71. 
    
    ​

10. 配置IPSec VPN​
11. 配置客户端接入VPN（SSL VPN、PPTP、L2TP、IOS ）​
12. 配置SD-WAN​
13. 常用命令和配置​
14. 问题提示​

2. 配置步骤​

• 如果修改SSL-VPN设置的话，FortiClient会掉线，需要重新连接​