SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙

时间:2024-03-20 11:38:19

  【简介】经常有人问可不可以通过SSL v*n到达某个防火墙,再通过防火墙与防火墙之间的IPsec v*n访问另一台防火墙后的电脑。这是可以做到的!我们在前面已经创建好IPsec v*n和SSL v*n,现在我们来试着把SSL v*n与IPsec v*n串联起来访问。


SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙 配置环境

  我们在广州有一台FortiGate 200D防火墙,深圳有一台FortiGate 500D防火墙,两台防火墙中间已经用IPsec v*n连接。

 

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙

 

  ① 我们要做到的是:通过远程SSL v*n登录200D,再访问500D的192.168.28.0网段。

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙 允行 SSL v*n 访问 500D 的内网地址段

  在上一篇文章中,配置SSL v*n门户时,已经限制了访问对象,只允许SSL v*n用户访问200D的172.16.1.0网段。我们需要再添加一个允许访问500D的网段。

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙

   ① 登录广州FortiGate 200D防火墙,在地址对象里,我们看到前面已经生成了一个500D的内网的地址对象,如果没有这个地址就新建一个。

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙

  ② 选择菜单【虚拟专网】-【SSL-v*n门户】,选择【full-access】,点击【编辑】。

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙

   ③ 在【启用隧道分割】的路由地址里加入远程地址对象。

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙

     ④ 再次用电脑客户端FortiCliet远程登录SSL v*n,我们会看到生成的路由表中,只要访问172.16.1.0和192.168.28.0这两个网段,都会走SSL v*n隧道。 

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙 200D 创建第二条 IPsec v*n 隧道

  虽然SSL v*n用户访问192.168.28.0网段能到达200D,而静态路由也指向IPsec v*n虚拟接口,但是由于我们在IPsec v*n设置中,只允许172.16.1.0和192.168.28.0互访,而SSL v*n登录防火墙时产生的IP地址是192.168.168.0网段,因此,SSL v*n的访问虽然能到达200D,但仍然不能到达500D,解决的办法就是再建一条隧道,允许SSL v*n地址段与192.168.28.0互访。

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙

   ① 在前面的IPsec v*n设置文章中,我们只建立了一条访问隧道,限定了IP地址网段,如果允许SSL v*n也能访问,需要再建立一条隧道。

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙

    ② 为了方便理解,我们把SSL v*n当作是防火墙的另一个内网接口,这样我们就再建立一个内网的地址对象,内容为SSL v*n自动分配的地址段。

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙

     ③ 选择菜单【虚拟专网】-【IPsec隧道】,选择已经建立的Ipsec v*n,点击【编辑】。

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙

     ④ 在【阶段2选择器】,我们看到已经有一条隧道存在,点击【添加】,再新建第二条隧道。

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙

  ⑤ 输入第二条隧道名,和第一条隧道一样选择【地址命名】,选择本地址对象2和远程地址对象,加密等能参数,与第一条隧道内容相同就可以了。

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙

  ⑥ 由于SSL v*n和内网口都是访问同一个远程地址,因此静态路由就不需要更改了。

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙

  ⑦ 新建一条允许SSL v*n虚拟接口访问IPsec v*n虚拟接口的策略,SSL v*n的虚拟接口还是需要指定地址与用户。

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙

      ⑧ 如果需要500D能访问SSL v*n连接的电脑,就再建一条允许IPsec v*n虚拟接口访问SSL v*n虚拟接口的策略。

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙 500D 创建第二条 IPsec v*n 隧道

  200D创建好第二条隧道后,500D同样也要创建第二条隧道。

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙

  ① 在500D上创建一条访问对方SSL v*n地址的地址对象。

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙

   ② 编辑IPsec v*n,在【阶段2选择器】新建一条隧道,和第一条隧道一样,只是远端地址为对方SSL v*n地址。

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙

   ③ 如果需要500D访问对方SSL v*n拨号电脑,还需要建立一条静态路由,当访问对方SSL v*n地址时走IPsec v*n隧道到达200D,再通过200D到达SSL v*n拨号电脑。

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙

     ④ 修改内网到IPsec v*n虚拟接口策略,在目的加入远程SSL v*n地址。

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙

   ⑤ 修改IPsec v*n虚拟接口到内网接口策略,在源地址加入远程SSL v*n地址。

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙

     ⑥ 由于在阶段2的设置里选择了自动协商,因此配置好后,隧道自动连接,因此可以看到有两条隧道是连接状态。

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙 验证

  IPsec v*n的第二条隧道通了,SSL v*n访问两个地址都能到达200D,现在我们测试一下能不能再通过IPsec v*n达到500D。

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙

  ① 将笔记本电脑连接手机热点,和200D及500D用的不同的宽带,FortiClient客户端拨号到200D,生成临时分配的SSL v*n地址192.168.168.1。

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙

   ② 首先Ping的是200D的内网接口地址,可以Ping通,然后再Ping的是500D的内网接口地址,也可以Ping通。说明笔记本电脑通过SSL v*n到达200D,然后再通过IPsec v*n到达了500D。

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙

  ③ 在500D上,定义内网源接口地址后Ping笔记本电脑的SSL v*n地址,也可以Ping通。双向访问成功。

 

SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙


SSL篇(6.0) 03. 通过 SSL 访问 IPsec ❀ 飞塔 (Fortinet) 防火墙