Edge Network Acceleration：邊緣雲廣域網路互連解決方案

2.1 匯入license

1. 建立後的預設初始化帳號密碼為：帳號 admin，密碼請在配置完畢後儘快修改預設密碼，避免風險。

通過 SSH 登入 FortiGate VM，執行 diagnose debug vm-print-license 命令查看當前許可證狀態，確認當前為 EVAL 評估許可。

tianhong@U-Y7T49NCJ-2218 ~ % ssh admin@112.13.209.140
admin@1xxx40's password:
FortiGate-VM64-KVM # diagnose debug vm-print-license
SerialNumber: FGVMEVO84K13L75D
CreateDate: Tue Jul  2 02:39:59 2024
Model: EVAL (1)
CPU: 1
MEM: 2048
VDOM license:
    permanent: 2
    subscription: 0
FortiGate-VM64-KVM #

2. 需要綁定FortiGate License，本文使用BYOL的方式綁定。

在彈出的 FortiGate VM License 對話方塊中，選擇 Full license，在 Upload License File 地區單擊 Select file 選擇已擷取的許可證檔案，然後單擊 OK。

3. 需要特別注意的是，匯入license後會自動重啟，重啟後需要重新登入，並開始配置IPSEC。

2.2 系統初始化

1. 重啟後，在網頁輸入IP地址進入控制台，通過HTTPS訪問fortigate。

   此時顯示 FortiGate 管理登入頁面，輸入 Username（使用者名稱）和 Password（密碼），單擊 Login 登入。

2. 正常初始化配置。

   FortiGate Setup 嚮導頁面列出四個初始化步驟：Register with FortiCare、Automatic Patch Upgrades、Dashboard Setup 和 Change Your Password，單擊 Begin 按鈕開始配置。

3. 第一次部署時，建議升級到最新版本7.4.X或諮詢廠商（最新版本比如配置IPsec時候可以減少後期手動設定），登入進入控制台。

   登入後進入 Dashboard > Status 頁面，可查看以下面板：System Information（主機名稱、序號、韌體版本、運行模式、系統時間、WAN IP 等）、Licenses（FortiCare Support、IPS、AntiVirus、Web Filtering 等許可證啟用狀態）、Virtual Machine（vCPU 分配比例與 RAM 大小）、FortiGate Cloud（啟用狀態）、Security Fabric（串連狀態）以及 CPU 即時使用率。確認當前韌體版本（例如 v7.2.8）後，根據需要升級至推薦的 7.4.X 版本。

4. 系統需要進行初始化後才能繼續使用，在左側選擇settings，進行如hostname、時區等配置。

   將 Host name 設定為 FortiGWENSTest，Time zone 選擇 (GMT+8:00) Beijing, ChongQing, HongKong。

2.3 驗證網路設定生效

1. 測試本機 ping 10.0.100.2。

   FortiGWENSTest # exec ping 10.0.100.2
   PING 10.0.100.2 (10.0.100.2): 56 data bytes
   64 bytes from 10.0.100.2: icmp_seq=0 ttl=255 time=0.0 ms
   64 bytes from 10.0.100.2: icmp_seq=1 ttl=255 time=0.0 ms
   64 bytes from 10.0.100.2: icmp_seq=2 ttl=255 time=0.0 ms
   64 bytes from 10.0.100.2: icmp_seq=3 ttl=255 time=0.0 ms
   64 bytes from 10.0.100.2: icmp_seq=4 ttl=255 time=0.0 ms
   --- 10.0.100.2 ping statistics ---
   5 packets transmitted, 5 packets received, 0% packet loss
   round-trip min/avg/max = 0.0/0.0/0.0 ms

2. 測試同VPC內VM ping 10.0.100.3。

   FortiGWENSTest # exec ping 10.0.100.3
   PING 10.0.100.3 (10.0.100.3): 56 data bytes
   64 bytes from 10.0.100.3: icmp_seq=0 ttl=64 time=1.6 ms
   64 bytes from 10.0.100.3: icmp_seq=1 ttl=64 time=0.1 ms
   64 bytes from 10.0.100.3: icmp_seq=2 ttl=64 time=0.1 ms
   64 bytes from 10.0.100.3: icmp_seq=3 ttl=64 time=0.1 ms
   64 bytes from 10.0.100.3: icmp_seq=4 ttl=64 time=0.1 ms
   --- 10.0.100.3 ping statistics ---
   5 packets transmitted, 5 packets received, 0% packet loss
   round-trip min/avg/max = 0.1/0.4/1.6 ms

3. ping www.aliyun.com判斷互連網串連是否正常。

   FortiGWENSTest #
   FortiGWENSTest # exec ping www.ba
   PING www.a.shifen.com (153.x.x.x): 56 data bytes
   64 bytes from 153.x.x.x: icmp_seq=0 ttl=46 time=13.6 ms
   64 bytes from 153.x.x.x: icmp_seq=1 ttl=46 time=10.0 ms
   64 bytes from 153.x.x.x: icmp_seq=2 ttl=46 time=10.4 ms
   64 bytes from 153.x.x.x: icmp_seq=3 ttl=46 time=10.0 ms
   64 bytes from 153.x.x.x: icmp_seq=4 ttl=46 time=10.0 ms
   --- www.xxx.com ping statistics ---
   5 packets transmitted, 5 packets received, 0% packet loss
   round-trip min/avg/max = 10.0/10.8/13.6 ms

4. 以上步驟沒問題表示ENS上FortiGW完成基本配置。

3.1 Site1配置

配置如下，按照設定精靈逐步執行即可：

1. 點擊左側“VPN- IPsec Tunnels -Create New”，點擊IPsec Tunnel。

2. 輸入名稱、方式（Site to Site）。

   在 Name 中輸入 toVPC2fortigate，NAT Configuration 選擇 No NAT between sites，Remote Device Type 選擇 FortiGate。

3. 配置介面，和共用密鑰。

   將Remote device設定為IP Address，填寫遠端IP地址，Outgoing Interface選擇port2，Authentication method選擇Pre-shared Key並輸入預先共用金鑰。

4. 配置感興趣流（VPN互連網路：本端業務網段、對端業務網路）。

   在 Policy & Routing 步驟中，將 Local Interface 設定為 port4，Local Subnets 設定為 10.0.100.0/24，Remote Subnets 設定為 172.16.100.0/24，Internet Access 選擇 None。

5. 點擊create核對資訊，確認資訊正確後點擊Create。

   Review Settings 頁面的 Object Summary 地區顯示配置摘要：Phase 1 interface 為 toVPC2fortigate，Local address group 為 toVPC2fortigate_local，Remote address group 為 toVPC2fortigate_remote，Phase 2 interface 為 toVPC2fortigate，Static route 和 Blackhole route 均為 static，Local to remote policies 為 vpn_toVPC2fortigate_local，Remote to local policies 為 vpn_toVPC2fortigate_remote。

6. 配置Firewall Policy策略。在右側Policy&Objects下Firewall Policy 策略允許內網到IPsec VPN隧道和IPsec VPN隧道到內網的策略（不同版本此處會有不同，較高版本通過VPN配置模板自動下發，參考FortiGate官方手冊）。

   樣本中建立了兩條 VPN 策略：從 port4 到 toVPC2 方向的策略 vpn_toVPC2_local_0（源 toVPC2_local，目標 toVPC2_remote）和從 toVPC2 到 port4 方向的策略 vpn_toVPC2_remote（源 toVPC2_remote，目標 toVPC2_local），均設定 Service 為 ALL、Action 為 ACCEPT、Schedule 為 always、NAT 為 Disabled。

7. 配置業務靜態路由。然後在左側Network -> Static Routes手動設定路由，目的訪問對端業務路由通過IPEC VPN隧道進行引流。（高版本通過VPN配置模板自動下發）。

   在 New Static Route 表單中，Destination 選擇 Subnet，值設定為 172.16.100.0/24；Interface 選擇 toVPC2fortigate；Administrative Distance 設定為 10；Status 選擇 Enabled。

   靜態路由列表中包含手動添加的業務路由（如 172.16.30.0/24 經由 port4、192.168.5.0/24 經由 AliENSToCustom），以及 VPN 嚮導自動建立的隧道路由（Destination 為 toVPC2fortigate_remote，Interface 為 toVPC2fortigate，備忘 VPN: toVPC2fortigate (Created by VPN wizard)）和對應的 Blackhole 路由。

8. 介面開Ping用於測試。進行ping測試需要介面地址開Ping，預設是不開Ping，需要雙擊連接埠那一列進入，手工開啟。

   編輯介面 port4，Addressing mode 選擇 Manual，IP/Netmask 填入 10.0.100.2/255.255.255.0，在 Administrative Access 地區僅勾選 PING。

   配置完成後，port4 介面 IP 位址為 10.0.100.2/255.255.255.0，Administrative Access 中 PING 已啟用。

3.2 Site2配置

• 在 VPN > IPsec Tunnels 頁面，Site to Site - FortiGate 分組下已建立隧道 toVPC1，Interface Binding 為 port1，Status 為 Up（綠色），Ref. 值為 4。

  在 FortiGate 管理主控台中，導航至 Network > Static Routes 頁面，VPN 嚮導自動建立了兩條靜態路由：第一條目的地為 toVPC1_remote，介面為 toVPC1（VPN 隧道），狀態為 Enabled；第二條目的地為 toVPC1_remote，介面為 Blackhole，狀態為 Enabled。兩條路由的 Comments 均為 VPN: toVPC1 (Created by VPN wizard)。

  在 Policy & Objects > Firewall Policy 頁面中，VPN 嚮導已自動建立兩條雙向防火牆策略。策略 vpn_toVPC1_local_0（port2 → toVPC1）：Source 為 toVPC1_local，Destination 為 toVPC1_remote，Schedule 為 always，Service 為 ALL，Action 為 ACCEPT，NAT 為 Disabled，Security Profiles 為 SSL no-inspection，Log 為 All。策略 vpn_toVPC1_remote_0（toVPC1 → port2）：Source 為 toVPC1_remote，Destination 為 toVPC1_local，其餘配置與前一條策略相同。