Phương thức IPSec VPN giúp thiết lập kết nối giữa 2 mạng LAN tại 2 Site khác nhau bằng cách cấp 1 tunnel ảo giữa 2 thiết bị (hỗ trợ cho các thiết bị router hoặc firewall của các hãng khác nhau) để duy trì kết nối. Trong bài viết này mình sẽ hướng dẫn cách cấu hình IPSec VPN Site-to-Site giữa 2 thiết bị Firewall FortiGate như mô hình sau:
I. Cấu hình IPSec VPN Site to Site Tunnel
Bước 1:
Truy cập vào phần VPN > IPsec Wizard, tại mục cấu hình VPN Setup bạn sẽ cấu hình cho kết nối VPN của mình:
Tại phần Authentication cấu hình các thông tin sau:
Tại phần Policy & Routing, mình sẽ nhập các thông tin bao gồm Local Interface và Subnet mình muốn duy trì kết nối và ngược lại là thông tin Remote Subnets của mạng LAN tại Site còn lại, sau đó chọn Create
Sau đó bạn vào phần Policy kiểm tra thì bạn sẽ thấy Policy sẽ tạo sẵn 2 rule để 2 site có thể nhận được traffic mạng LAN của nhau:
II. Kiểm tra kết nối
Vào phần VPN > IPSec Tunnels chọn Edit đường VPN:
Chọn Convert to Custom Tunnel:
Sau ta các bạn có thể điều chỉnh các thông số bên trong kết nối của mình bao gồm thông tin Encryption, NAT,...
Các bạn cũng cấu hình tương tự các bước cho Firewall tại Site 2, điền đúng thông tin IP Public của Firewall Site 1 và Pre-shared key
Sau đó bạn tiến hành ping kiểm tra mạng LAN giữa 2 Site và kiểm tra kết nối đã thấy up:
Chúc các bạn thành công :">
I. Cấu hình IPSec VPN Site to Site Tunnel
Bước 1:
Truy cập vào phần VPN > IPsec Wizard, tại mục cấu hình VPN Setup bạn sẽ cấu hình cho kết nối VPN của mình:
- Name: điền tên của kết nối (không yêu cầu tên giống nhau tại 2 site nên bạn có thể đặt tùy ý)
- Template type: mình đang muốn cấu hình Site to Site nên chọn option này
- NAT configuration: chọn option "No NAT between sites" vì Firewall của 2 Site đang kết nối trực tiếp với ISP để đi Internet, trong trường hợp nếu phía trước Firewall Site 1 có một thiết bị khác chạy NAT thì bạn chọn option "This site is behind NAT" (tương tự nếu Firewall Site 2 lại đứng phía sau một thiết bị NAT thì bạn chọn "The remote site is behind NAT") và trên thiết bị chạy NAT đó yêu cầu cần mở 2 port UDP 500 và UDP 4500
- Remote device type: hiện tại FortiGate hỗ trợ cấu hình với thiết bị Cisco, trong trường hợp hiện tại mình sẽ chọn FortiGate vì cả 2 Firewall tại 2 Site mình đều dùng FortiGate.
Tại phần Authentication cấu hình các thông tin sau:
- Remote device: option IP Address để điền thông tin IP và option Dynamic DNS để điền thông tin DNS của Firewall Site 2, tại đây mình sẽ chọn IP Address
- Remote IP address: nếu các bạn chọn option IP Address thì tại đây các bạn điền IP Public của Firewall FortiGate của Site 2
- Outgoing Interface: Interface được sử dụng để kết nối đi Internet, mình sẽ chọn là cổng Wan 1 như sơ đồ
- Authentication method: Có 2 option để các bạn như hình, để đơn giản mình sẽ chọn Pre-shared Key
- Pre-shared key: với option trên thì mình sẽ nhập key để 2 Firewall của 2 Site xác thực nhau khi kết nối (lưu ý bạn phải nhập thông tin giống nhau cho cả 2 thiết bị Firewall kết nối VPN với nhau)
Tại phần Policy & Routing, mình sẽ nhập các thông tin bao gồm Local Interface và Subnet mình muốn duy trì kết nối và ngược lại là thông tin Remote Subnets của mạng LAN tại Site còn lại, sau đó chọn Create
Sau đó bạn vào phần Policy kiểm tra thì bạn sẽ thấy Policy sẽ tạo sẵn 2 rule để 2 site có thể nhận được traffic mạng LAN của nhau:
II. Kiểm tra kết nối
Vào phần VPN > IPSec Tunnels chọn Edit đường VPN:
Chọn Convert to Custom Tunnel:
Sau ta các bạn có thể điều chỉnh các thông số bên trong kết nối của mình bao gồm thông tin Encryption, NAT,...
Các bạn cũng cấu hình tương tự các bước cho Firewall tại Site 2, điền đúng thông tin IP Public của Firewall Site 1 và Pre-shared key
Sau đó bạn tiến hành ping kiểm tra mạng LAN giữa 2 Site và kiểm tra kết nối đã thấy up:
Chúc các bạn thành công :">
Attachments
Last edited:
