Edge Network Acceleration：邊緣雲廣域網路互連解決方案

1. IP地址規劃

2. 網路拓撲

網路拓撲如下，客戶在ENS節點1和節點2分別擁有VPC，並在VPC內部都有獨立的VM，在本次互連測試中，需要使得下圖中的“ENS VM1”和“ENS VM4”實現內網互連。

1. 在ENS上建立VPC和交換器

1. 登入ENS控制台依次選擇網路管理 > 網路 > 建立網路，選擇已使用的節點，輸入名稱、IPv4網段，同時配置交換器，輸入子網段。

   

2. 點擊建立後，在網路和交換器頁面可查看剛才新增的VPC和交換器，以確定已經建立成功。

   

   

2. 配置安全性群組

因為安全性群組預設會過濾流量，所以需要針對安全性群組做特別配置，需要放開部分流量連接埠，測試中為了方便，預設允許入方向所有流量，也可以最嚴格配置，僅允許SSH、ICMP，HTTPS、UDP流量訪問。

1. 選擇網路管理 > 安全性群組管理 > 建立安全性群組。

   

2. 出方向配置。預設全部允許。

   

3. 部署FortiGate執行個體

本步驟將展示如何按要求在ENS控制台上建立出FortiGate執行個體，這個執行個體將承載VPN的流量，對應圖表中的VM2。

1. 選擇算力與鏡像 > 執行個體，點擊建立執行個體。

   

2. 在基礎配置中，執行個體類型選擇X86計算類型，執行個體規格參考FortiGate規格參考說明，鏡像選擇自訂鏡像，選擇提前準備的FortiGate鏡像。其中ENS如何建立自訂鏡像，可以參考此處：建立自訂鏡像。

   

3. 配置網路和儲存。網路選擇自建網路，地區選擇剛剛配置Virtual Private Cloud所在節點，然後依次設定地區節點的網路，交換器和安全性群組，同時建立公網網卡，並設定頻寬限速。

   

4. 系統設定。設定密鑰和執行個體名稱，預設密碼請參考FortiGate官方描述。

   

5. 確認訂單。核對基本配置、網路和儲存、系統配置，選擇購買時間長度，最後點擊確認訂單。

   

6. 建立完畢之後，可通過在執行個體列表查看來驗證是否建立成功。

   

7. 上述步驟是建立VM2的方式，可以在同VPC上建立另外一個VM，但是不選擇FortiGate的鏡像，以用於驗證。

4. 下發引流配置

以左側ENS節點為例，當VM1建立完畢，VM2已經是FortiGate鏡像之後，VM1取往VM4的流量，需要引到VM2對應的FortiGate上，這樣才能實現通過VPN串連VM1和VM4。具體步驟如下：

1. 選擇網路管理 > 網路，在網路列表中選擇建立的網路，點擊對應的路由表。

   

2. 點擊路由表ID，在路由表詳情中，點擊路由條目列表 > 自訂路由條目 > 添加路由條目，配置對端IPv4網段，並把下一跳指定為之前配置好的fortiGate執行個體。

   

   

3. 配置好後介面會顯示如下，則說明流量會引入到FortiGate上。

   

5. 配置Site2 VPC及FortiGate

1. 建立第二個Virtual Private Cloud並分配子網段。

   

2. 建立並配置FortiGate執行個體。

3. 增加引流配置。

   

1. 注意事項

在中國內地會對互連網訪問的HTTP和HTTPS進行備案管理，否則不予開放80和443連接埠，請關注。

可以通過SSH登入FortiGate裝置，修改HTTPS連接埠號碼，然後再進行備案。

下面是修改為8443連接埠的配置命令：

config system global                                       
    set admin-sport 8443                     
end
                                

2. 匯入license並初始化

對裝置進行license匯入後進行基礎的初始化，驗證網路設定生效後才可以做IPSEC的配置。

3. 配置IPSEC

IPSec會有多種配置方式，在當前拓撲中，使用Site2Site的方式來部署，可以使VM1和VM4實現VPN互連，將兩端分別定義為Site1和Site2。