Edge Network Acceleration:VPN site-to-site entre nós do ENS com FortiGate

2,1 Importar licença

1. O nome de usuário padrão é admin. Para mitigar riscos de segurança, altere a senha padrão o mais rápido possível após a configuração inicial.

Acesse a VM do FortiGate via SSH e execute o comando diagnose debug vm-print-license para verificar o status atual da licença e confirmar se é uma licença de avaliação.

tianhong@U-Y7T49NCJ-2218 ~ % ssh admin@112.13.XXX.XXX
admin@1xxx40's password:
FortiGate-VM64-KVM # diagnose debug vm-print-license
SerialNumber: FGVMEVO84K13L75D
CreateDate: Tue Jul  2 02:39:59 2024
Model: EVAL (1)
CPU: 1
MEM: 2048
VDOM license:
    permanent: 2
    subscription: 0
FortiGate-VM64-KVM #

2. É necessário aplicar uma licença do FortiGate. Este tutorial utiliza o método Bring Your Own License (BYOL).

Na caixa de diálogo FortiGate VM License, selecione Full license. Na área Upload License File, clique em Select file para escolher seu arquivo de licença e, em seguida, clique em OK.

3. Importante: O dispositivo reiniciará automaticamente depois que você importar a licença. Você precisará fazer login novamente para configurar o IPsec.

2,2 Inicializar o sistema

1. Após reiniciar, acesse o console do FortiGate inserindo o endereço IP público no seu navegador web usando HTTPS.

   Na página de login de gerenciamento do FortiGate, insira seu Username e Password e clique em Login.

2. Conclua o assistente de configuração inicial.

   O assistente FortiGate Setup orienta você em quatro etapas de inicialização: Register with FortiCare, Automatic Patch Upgrades, Dashboard Setup e Change Your Password. Clique em Begin para iniciar.

3. Para uma primeira implantação, recomendamos atualizar para a versão estável mais recente (por exemplo, 7.4.X) ou consultar o fornecedor. Versões mais recentes reduzem as etapas de configuração manual, como as do IPsec. Acesse o console.

   Após fazer login, a página Dashboard > Status exibe vários painéis: System Information (hostname, número de série, versão do firmware, modo de operação, hora do sistema, IP da WAN), Licenses (status de ativação para FortiCare Support, IPS, AntiVirus, Web Filtering), Virtual Machine (alocação de vCPU e tamanho da RAM), FortiGate Cloud (status de ativação), Security Fabric (status de conexão) e uso de CPU em tempo real. Confirme a versão atual do firmware (por exemplo, v7.2.8) e atualize para a versão recomendada 7.4.X, se necessário.

4. O sistema requer inicialização antes do uso. No painel de navegação à esquerda, selecione Settings para configurar parâmetros como o hostname e o fuso horário.

   Defina o Host name como FortiGWENSTest e o Time zone como (GMT+8:00) Beijing, ChongQing, HongKong.

2,3 Verifique a conectividade de rede

1. Execute o ping no próprio dispositivo: ping 10.0.100.2.

   FortiGWENSTest # exec ping 10.0.100.2
   PING 10.0.100.2 (10.0.100.2): 56 data bytes
   64 bytes from 10.0.100.2: icmp_seq=0 ttl=255 time=0.0 ms
   64 bytes from 10.0.100.2: icmp_seq=1 ttl=255 time=0.0 ms
   64 bytes from 10.0.100.2: icmp_seq=2 ttl=255 time=0.0 ms
   64 bytes from 10.0.100.2: icmp_seq=3 ttl=255 time=0.0 ms
   64 bytes from 10.0.100.2: icmp_seq=4 ttl=255 time=0.0 ms
   --- 10.0.100.2 ping statistics ---
   5 packets transmitted, 5 packets received, 0% packet loss
   round-trip min/avg/max = 0.0/0.0/0.0 ms

2. Execute o ping na VM de teste na mesma VPC: ping 10.0.100.3.

   FortiGWENSTest # exec ping 10.0.100.3
   PING 10.0.100.3 (10.0.100.3): 56 data bytes
   64 bytes from 10.0.100.3: icmp_seq=0 ttl=64 time=1.6 ms
   64 bytes from 10.0.100.3: icmp_seq=1 ttl=64 time=0.1 ms
   64 bytes from 10.0.100.3: icmp_seq=2 ttl=64 time=0.1 ms
   64 bytes from 10.0.100.3: icmp_seq=3 ttl=64 time=0.1 ms
   64 bytes from 10.0.100.3: icmp_seq=4 ttl=64 time=0.1 ms
   --- 10.0.100.3 ping statistics ---
   5 packets transmitted, 5 packets received, 0% packet loss
   round-trip min/avg/max = 0.1/0.4/1.6 ms

3. Execute o ping em um domínio público, como www.aliyun.com, para verificar a conectividade com a internet.

   FortiGWENSTest #
   FortiGWENSTest # exec ping www.aliyun.com
   PING www.a.shifen.com (153.x.x.x): 56 data bytes
   64 bytes from 153.x.x.x: icmp_seq=0 ttl=46 time=13.6 ms
   64 bytes from 153.x.x.x: icmp_seq=1 ttl=46 time=10.0 ms
   64 bytes from 153.x.x.x: icmp_seq=2 ttl=46 time=10.4 ms
   64 bytes from 153.x.x.x: icmp_seq=3 ttl=46 time=10.0 ms
   64 bytes from 153.x.x.x: icmp_seq=4 ttl=46 time=10.0 ms
   --- www.aliyun.com ping statistics ---
   5 packets transmitted, 5 packets received, 0% packet loss
   round-trip min/avg/max = 10.0/10.8/13.6 ms

4. Ao concluir estas etapas, você finaliza a configuração básica do appliance FortiGate no ENS.

3,1 Configuração do Site 1

Siga as etapas do assistente de configuração conforme descrito abaixo:

1. No painel de navegação à esquerda, acesse VPN > IPsec Tunnels > Create New e clique em IPsec Tunnel.

2. Insira um nome e selecione o modelo Site to Site.

   Para Name, insira toVPC2fortigate. Para NAT Configuration, selecione No NAT between sites. Para Remote Device Type, selecione FortiGate.

3. Configure a interface e a chave pré-compartilhada.

   Defina Remote device como IP Address e insira o IP público remoto. Defina Outgoing Interface como port2. Para Authentication method, selecione Pre-shared Key e insira sua chave pré-compartilhada.

4. Configure os seletores de tráfego (as sub-redes local e remota para a conexão VPN).

   Na etapa Policy & Routing, defina Local Interface como port4. Defina Local Subnets como 10.0.100.0/24 e Remote Subnets como 172.16.100.0/24. Para Internet Access, selecione None.

5. Revise o resumo da configuração e clique em Create.

   O Object Summary na página Review Settings mostra a configuração: Phase 1 interface é toVPC2fortigate, Local address group é toVPC2fortigate_local, Remote address group é toVPC2fortigate_remote, Phase 2 interface é toVPC2fortigate, Static route e Blackhole route são ambas static, Local to remote policies é vpn_toVPC2fortigate_local e Remote to local policies é vpn_toVPC2fortigate_remote.

6. Configure a política de firewall. Em Policy & Objects > Firewall Policy, crie uma política para permitir o tráfego da rede privada para o túnel IPsec e do túnel de volta para a rede privada. Nota: Em versões mais recentes, o modelo de configuração VPN pode gerar essas políticas automaticamente. Consulte o manual oficial do FortiGate.

   Neste exemplo, crie duas políticas VPN: vpn_toVPC2fortigate_local para tráfego de port4 para toVPC2fortigate (origem toVPC2fortigate_local, destino toVPC2fortigate_remote) e vpn_toVPC2fortigate_remote para tráfego de toVPC2fortigate para port4 (origem toVPC2fortigate_remote, destino toVPC2fortigate_local). Ambas as políticas têm service definido como ALL, Action como ACCEPT, Schedule como always e NAT como Disabled.

7. Configure uma rota estática para o tráfego de negócios. No painel de navegação à esquerda, acesse Network -> Static Routes e configure manualmente uma rota para direcionar o tráfego destinado à sub-rede remota através do túnel VPN IPsec. Nota: Versões mais recentes podem automatizar esta etapa por meio do modelo de configuração VPN.

   No formulário New Static Route, defina Destination como Subnet com o valor 172.16.100.0/24. Defina Interface como toVPC2fortigate. Defina Administrative Distance como 10 e Status como Enabled.

   A lista de rotas estáticas inclui a rota do túnel e a rota Blackhole correspondente criadas pelo assistente de VPN (Destination toVPC2fortigate_remote, Interface toVPC2fortigate, com o comentário VPN: toVPC2fortigate (Created by VPN wizard)), bem como quaisquer outras rotas de negócios adicionadas manualmente.

8. Ative o ping na interface para testes. Por padrão, o ping vem desabilitado nos endereços de interface. Clique duas vezes na porta na lista para editar suas configurações e ative-o manualmente.

   Edite a interface port4. Defina Addressing mode como Manual e insira 10.0.100.2/255.255.255.0 para o IP/Netmask. Na área Administrative Access, selecione apenas PING.

   Após configurar, o endereço IP da interface port4 é 10.0.100.2/255.255.255.0 e o PING está ativado em Administrative Access.

3,2 Configuração do Site 2

• Na página VPN > IPsec Tunnels, um túnel chamado toVPC1 está estabelecido sob o grupo Site to Site - FortiGate. Seu Interface Binding é port1 e seu Status é Up (verde).

  Na página Network > Static Routes, o assistente de VPN criou automaticamente duas rotas estáticas. A primeira tem destino toVPC1_remote e interface toVPC1 (o túnel VPN), com status Enabled. A segunda é uma rota Blackhole com o mesmo destino e status Enabled. Ambas as rotas têm o comentário VPN: toVPC1 (Created by VPN wizard).

  Na página Policy & Objects > Firewall Policy, o assistente de VPN criou automaticamente duas políticas de firewall bidirecionais. A política vpn_toVPC1_local (port2 → toVPC1) permite tráfego com source toVPC1_local e Destination toVPC1_remote. A política vpn_toVPC1_remote (toVPC1 → port2) permite tráfego com source toVPC1_remote e Destination toVPC1_local. Ambas as políticas têm service definido como ALL, Action como ACCEPT, Schedule como always e NAT como Disabled.