Fortigate Hub-and-spoke IPSec VPN 配置实例

《Fortigate Hub-and-spoke IPSec VPN 配置实例》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、Hub-and-spokeIPSecVPN配置实例1，IPSECVPN应用越来越广泛，下面配置实例是针对单总部多分支机构的实际应用按照本文的配置，可以实现通过最少的VPN隧道数量达到最大的VPN连通性的要求，网络拓扑结构如下：如上图所示，总部防火墙机Hub防火墙名称是FortiGate_1，它的外网口IP地址是：172.16.10.1，总部的内网有2个不同的部门子网分别是财务子网（FinanceNetwork），地址是：192.168.12.0/24；人力资源子网（HRNetwork），地址是：192.168.22.0/24；有2个分支机构，其中一个分支机构防火墙名称叫Spo

2、ke_1，它的外网口IP地址是：172.16.20.1，内网地址是：192.168.33.0/24；另一个分支机构防火墙名称叫Spoke_2，它的外网口IP地址是：172.16.30.1，内网地址是：192.168.44.0/24。按照本文配置，最终我们可以通过2种不同的VPN方案使用总共2条VPN实现3地4个保护子网的互相访问的需求。2，基于策略的VPN(通道模式)通常IPSECVPN网关所实现的的模式都是基于保护和被保护子网的也就是介于VPN策略的模式，也叫做基于策略的VPN模式，具体配置说明如下详细描述。2．1配置FortiGate_12．1．1配置IPSECVPN阶段

3、一登陆FortiGate_1的Web界面，进入虚拟专网----IPSEC----自动交换密钥（IKE），新建阶段一，名称：Spoke_1远程网关：静态IP地址IP地址：172.16.20.1本地接口：wan1模式：主模式认证方式：预共享密钥预共享密钥：123456点开高级选项，去掉“启动IPSEC接口模式”前面的勾，其他配置使用默认设置就可以了，具体配置如下图所示：(点击放大)用同样的方法配置另一条VPN到Spoke_2，如下：(点击放大)2．1．2配置IPSECVPN阶段二登陆FortiGate_1的Web界面，进入虚拟专网----IPSEC----自动交换密钥（IKE），

4、新建阶段二，名称：FG1toSP1_Tunnel阶段1：Spoke_1其余配置使用默认设置就可以了(点击放大)用同样的方法配置另一条VPN到Spoke_2，如下：(点击放大)2．1．3配置防火墙加密规则2．1．3．1定义防火墙地址进入到防火墙-----地址，分别定义本地保护子网地址和远程保护子网地址，具体如下：选择新建，四个地址，名称：Finance_Network；类型：类型：子网/IP地址范围；子网/IP地址范围：192.168.12.0/24名称：HR_Network；类型：类型：子网/IP地址范围；子网/IP地址范围：192.168.22.0/24名称：Site_1；

5、类型：类型：子网/IP地址范围；子网/IP地址范围：192.168.33.0/24名称：Site_2；类型：类型：子网/IP地址范围；子网/IP地址范围：192.168.44.0/242．1．3．2定义2条分别到2个分支机构的防火墙策略规则一：源接口：选则财务所连接的防火墙接口名称，如Internal源地址：Finance_Network，HR_Network目的接口：选择防火墙的外网口，如wan1目的地址：Site_1时间表和服务请按照需求选择模式：IPSECVPN通道：Spoke_1(点击放大)规则二：源接口：选则财务所连接的防火墙接口名称，如Internal源地址：Fi

6、nance_Network，HR_Network目的接口：选择防火墙的外网口，如wan1目的地址：Site_2时间表和服务请按照需求选择模式：IPSECVPN通道：Spoke_2(点击放大)2．1．4配置VPN集中器进入到虚拟专网----IPSEC----集中器，新建一个集中器：名称：Hub_1可用通道：从左侧可用通道中选择Spoke_1，Spoke_2(点击放大)2．2配置Spoke_12．2．1配置IPSECVPN阶段一登陆Spoke_1的Web界面，进入虚拟专网----IPSEC----自动交换密钥（IKE），新建阶段一，名称：FortiGate_1远程网关：静态IP地

7、址IP地址：172.16.10.1本地接口：wan1模式：主模式认证方式：预共享密钥预共享密钥：123456点开高级选项，去掉“启动IPSEC接口模式”前面的勾，其他配置使用默认设置就可以了。2．2．2配置IPSECVPN阶段二登陆Spoke_1的Web界面，进入虚拟专网----IPSEC----自动交换密钥（IKE），新建阶段二，名称：SP1toFG1_Tunnel阶段1：FortiGate_1其余配置使用默认设置就可以了2．2．3配置防火墙加密规则2．2．3．1定义防火墙地址进入到防火墙-----地