三年前曾試過為Sonicwall NSA 2400與FortiGate 110C建立Site to Site VPN,不過失敗了,その後、ジュニパー5GTとSonicWALLが実際に成功したテスト。最近では、VPNのFortiGate 110Cを構築するための需要が,雖然手上已經有另一台FortiGate 110C,照理說直接用同型號來建會省事很多,但我還是想再試一次用Sonicwall來建,看看能不能找出當初失敗的原因,來回測試一整天,最後に取得。
双方の環境以下の通りです。:
Sonicwall NSA 4600 | FortiGate 110C |
Lan: 192.168.1.0/24 192.168.2.0/24 Wan: |
Lan: 192.168.100.0/24 Wan: |
【Sonicwall設定】
1.建Object
「Network」->「Address Objects」
名: FortiGate_network
Zone Assignment: VPN
タイプ: ネットワーク
ネットワーク: 192.168.100.0
Netmask: 255.255.255.0
[OK]
2.設定VPN Tunnel
「VPN」
Enable VPN
Add
–General tab
IPSec Keying Mode: IKE using Preshared Secret.
名: FortiGate_network
IPSec primary Gateway Name or Address: 203.4.5.6
Shared Secret: 設一組密碼
Local IKE ID: IP Address (保留空白)
Peer IKE ID: IP Address (保留空白)
–Network tab
ローカルネットワーク:LANプライマリサブネット(192.168.1.0/24、192.168.2.0/24)
対象先ネットワーク:FortiGate_network.
–Proposals tab
IKE (Phase1) Proposal
Exchange: Main Mode
DH Group: Group 2
Encryption: 3DES
Authentication: SHA1
Life Time: 28800
IKE (Phase2) Proposal
Protocol: ESP
Encryption: 3DES
Authentication: SHA1
DH Group: Group 2
Life Time: 28800
–Advanced tab
Enable Keep Alive.
[OK]
接著設定FortiGate,有Tunnel及Interface兩種方式,セットへの代替。(官方教學是Tunnel模式)
【FortiGate設定—1.Tunnel模式】
1.設定VPN
「VPN」->「IPSec」->「Auto Key(IKE)」->「Phase 1」
「Create Phase 1」
Gateway Name: SonicWall
Remote Gateway: Static IP
IP Address: 203.1.2.3
Mode: Main
Authentication Method: Preshared Key
Pre-shared Key: 同上面Sonicwall設定的密碼
–Advanced
Encryption: 3DES
Authentication: SHA1
DH Group: 2
Keylife: 28800
他のセットのデフォルト値のままにします。
[OK]
「VPN」->「IPSec」->「Auto Key(IKE)」->「Phase 2」
「Create Phase 2」
Tunnel Name: SonicWall-192.168.1.0
Remote Gateway: 選SonicWall
–Advanced
Encryption: 3DES
Authentication: SHA1
不勾選「Enable perfect forward secrecy(PFS)"
(如果勾選,就算Sonicwall也勾選,仍可能造成VPN無法建立,原因不明,Interface模式則沒有此問題)
Keylife: 28800
–Quick Mode Selector..
ソースアドレス:192.168.100.0/24
宛先アドレス:192.168.1.0/24
[OK]
**ここではクイックモードは、SonicWALLとの接続を確立するために設定する必要があります。不然FortiGate會出現”no matching gateway for new request”エラー。
設定第二個網段(192.168.2.0)
「Create Phase 2」
Tunnel Name: SonicWall-192.168.2.0
Remote Gateway: 選SonicWall
–Advanced
Encryption: 3DES
Authentication: SHA1
不勾選「Enable perfect forward secrecy(PFS)"
Keylife: 28800
–Quick Mode Selector..
ソースアドレス:192.168.100.0/24
宛先アドレス:192.168.2.0/24
[OK]
2.建立Address
「Firewall」->「Address」->「Address」
Create New
name:FortiGate_network
IP address:192.168.100.0
subnet:255.255.255.0
[OK]
Create New
name:SonicWall_network_1
IP address:192.168.1.0
subnet::255.255.255.0
[OK]
Create New
name:SonicWall_network_2
IP address:192.168.2.0
subnet::255.255.255.0
[OK]
把Sonicwall兩個網段設為一個群組
「Firewall」->「Address」->「Group」
Create New
Group Name:SonicWall_network
Members:SonicWall_network_1、SonicWall_network_2
[OK]
3.設定防火牆規則
「Firewall」->「Policy」->「Policy」
Create New
Source Interface: Port 1(or Internal)
Source Address: FortiGate_network
Destination Interface: WAN1 (or External)
Destination Address: SonicWall_network
Schedule: always
サービス: ANY
Action: IPSEC (or Encrypt)
VPN Tunnel: SonicWall
勾 Allow inbound
勾 Allow outbound
[OK]
【FortiGate設定—2.Interface模式】
1.設定VPN
「VPN」->「IPSec」->「Auto Key(IKE)」->「Phase 1」
「Create Phase 1」
Gateway Name: SonicWall
Remote Gateway: Static IP
IP Address: 203.1.2.3
Mode: Main
Authentication Method: Preshared Key
Pre-shared Key: 同上面Sonicwall設定的密碼
–Advanced
勾「Enable IPsec Interface Mode」
Encryption: 3DES
Authentication: SHA1
DH Group: 2
Keylife: 28800
他のセットのデフォルト値のままにします。
[OK]
「VPN」->「IPSec」->「Auto Key(IKE)」->「Phase 2」
「Create Phase 2」
Tunnel Name: SonicWall-192.168.1.0
Remote Gateway: SonicWall
–Advanced
Encryption: 3DES
Authentication: SHA1
不勾選Enable perfect forward secrecy(PFS)
Keylife: 28800
–Quick Mode Selector..
ソースアドレス:192.168.100.0/24
宛先アドレス:192.168.1.0/24
[OK]
**ここではクイックモードは、SonicWALLとの接続を確立するために設定する必要があります。不然FortiGate會出現”no matching gateway for new request”エラー。
設定第二個網段(192.168.2.0)
「Create Phase 2」
Tunnel Name: SonicWall-192.168.2.0
Remote Gateway: SonicWall
–Advanced
Encryption: 3DES
Authentication: SHA1
不勾選Enable perfect forward secrecy(PFS)
Keylife: 28800
–Quick Mode Selector..
ソースアドレス:192.168.100.0/24
宛先アドレス:192.168.2.0/24
[OK]
2.建立路由
「Router」->「Static」->「Static Route」
Create New
Destination IP/Mask: 192.168.1.0/24
Device: SonicWall
[OK]
Create New
Destination IP/Mask: 192.168.2.0/24
Device: SonicWall
[OK]
3.設定防火牆規則
「Firewall」->「Policy」->「Policy」
Create New
Source Interface: Port 1(or Internal)
Source Address: FortiGate_network
Destination Interface: SonicWall
Destination Address: SonicWall_network
Schedule: always
サービス: ANY
Action: Accept
[OK]
Create New
Source Interface: SonicWall
Source Address: SonicWall_network
Destination Interface: Port 1(or Internal)
Destination Address: FortiGate_network
Schedule: always
サービス: ANY
Action: Accept
[OK]
【參考連結】
- Fortigate對SonicWALL IPSEC 實作 | Fred’s Blog
- FortiGate to SonicWall VPN setup
- IPSEC VPN for remote users – no matching gateway for new request | Fortinet Technical Discussion Forums
[…] FortiGateの4.XとSonicWALLはサイトVPNにサイトを構築するためにファイアウォール:FortiGateを接続する 5.6 Sonicwallファイアウォールでサイト間の確立 […]
[…] previously「Sonicwall FortiGate Firewall Establishing Site to Site VPN」に関する記事を以前に書いた,当時、多くの場合、サイトVPNにサイトを行うのFortiGateデバイスを保つ遭遇,そして、私の手は、SonicWALLです,結果は実装が時々失敗し、時には成功しています,その後、時間がある完全にいくつかの時間を費やし,両ブランドを整理するための方法であることが設定されています,以後の参照を容易にするために、。当時のニュースをテストし、仕上げ,わずかに異なるのFortiGateファームウェアを発見しました,全く同じ方法が設定されます。,トラブルへ,その後、彼は2つの方法が成功した接続を確立することができました”トンネル”與”インタフェース”記録されています,次の出会いのリビジョンだから,あなたはさまざまな方法を試すことができます。 […]