Cấu hình VPN Site to Site Firewall Fortigate
Trong môi trường doanh nghiệp có nhiều chi nhánh, mỗi chi nhánh thường có mạng LAN riêng biệt và kết nối Internet riêng. Thách thức đặt ra là làm sao để các chi nhánh có thể liên lạc an toàn, bảo mật và liên tục với nhau mà không cần thuê đường truyền riêng đắt đỏ.
Giải pháp VPN site‑to‑site cho phép:
Giải pháp VPN site‑to‑site cho phép:
- Kết nối các mạng LAN của nhiều chi nhánh qua Internet thành một hệ thống mạng nội bộ thống nhất.
- Mã hóa dữ liệu truyền đi, đảm bảo an toàn khi đi qua môi trường Internet công cộng.
- Quản lý tập trung, áp dụng chính sách bảo mật đồng nhất cho toàn bộ hệ thống.
- Hỗ trợ truy cập tài nguyên nội bộ (AD, file server, ứng dụng ERP…) từ bất kỳ chi nhánh nào.
Mô hình và các thông số thiết lập VPN:
Thông số | HQ | Branch |
| WAN IP | 10.0.137.130 | 10.0.137.50 |
| LAN Subnet | 192.168.10.0/24 | 10.0.100.0/24 |
| VPN Tunnel Name | VPN-to-Branch | VPN-to-HQ |
| Remote Gateway | 203.0.113.20 | 203.0.113.10 |
| Pre‑Shared Key | (thống nhất giữa 2 site) | (thống nhất giữa 2 site) |
| Encryption/Auth | AES256 / SHA256 | AES256 / SHA256 |
| Phase 1 Interface | WAN port (ví dụ port1) | WAN port (ví dụ port1) |
| Phase 2 Protocol | ESP | ESP |
Cấu hình VPN SITE TO SITE
Truy cập vào menu: VPN > Ipsec Wizard, tại đây các bạn thiết lập các thông số cơ bản cho VPN.Nhấn Next, sau đó thiết lập các thông số Authentication:
- Remote IP add: nhập ip wan site branch
- Authentication method: chọn phương thức xác thực, trong trường hợp của mình là Pre-shared Key sau đó nhập key.
Nhấn Next, thiết lập các dải mạng của 2 site cho VPN: - Local Interface: chọn cổng mạng trên firewall kết nối xuống LAN mà bạn muốn đưa vào VPN.
- Local Subnets: nhập dải mạng nội bộ, ví dụ trong mô hình là 192.168.10.0/24. Nếu có nhiều mạng nội bộ hoặc VLAN khác, bạn có thể nhấn dấu + để thêm.
- Remote Subnets: nhập dải mạng LAN của site đối tác (site bên kia VPN).
- Internet Access: có ba lựa chọn:
- None: chỉ cho phép lưu lượng giữa các LAN qua tunnel, còn truy cập Internet thì đi trực tiếp ra ngoài, không qua VPN.
- Share Local: lưu lượng Internet của site Branch sẽ đi qua tunnel và dùng đường WAN của HQ để ra ngoài.
- Use Remote: ngược lại, lưu lượng Internet sẽ đi qua tunnel và dùng đường WAN của site remote.
Nhấn Next, sau đó nhấn Create để tạo VPN Tunnel.Vào phần Firewall Policy, chúng ta sẽ thấy Fortigate đã tạo sẵn 2 Policy cho VPN tunnel:
Static Route cũng được tạo tự động cho VPN Tunnel.
Thông tin VPN tunnel
Sau khi kết nối thành công thì trạng thái chuyển qua up:
Tương tự làm trên fw phía Site Branch.
PING TỪ VLAN 100( BRANCH) QUA VLAN 10( HQ):PING TỪ VLAN 10 (HQ) QUA VLAN 100 (BRANCH):