Richtlinienbasiertes IBM VPN mit einem FortiGate-Peer verbinden

Wählen Sie VPN > IPsec-Tunnel aus und erstellen Sie einen neuen angepassten Tunnel oder bearbeiten Sie einen vorhandenen Tunnel.

Wenn ein FortiGate-VPN eine Verbindungsanforderung von VPN for VPC empfängt, werden von FortiGate die IPsec Phase 1-Parameter verwendet, um eine sichere Verbindung herzustellen und das VPN for VPC-Gateway zu authentifizieren. Wenn die Sicherheitsrichtlinie die Verbindung zulässt, baut das FortiGate VPN den Tunnel mit Hilfe von IPsec-Phase-2-Parametern auf und wendet die IPsec-Sicherheitsrichtlinie an. Schlüsselmanagement, Authentifizierung und Sicherheitsservices werden über das IKE-Protokoll dynamisch vereinbart.

Zur Unterstützung dieser Funktionen müssen die folgenden allgemeinen Konfigurationsschritte für das FortiGate-VPN ausgeführt werden:

• Definieren Sie die Phase 1-Parameter, die das FortiGate-VPN zum Authentifizieren von VPN for VPC und zum Einrichten einer sicheren Verbindung benötigt.
• Definieren Sie die Phase 2-Parameter, die das FortiGate-VPN zum Erstellen eines VPN-Tunnels mit VPN for VPC benötigt.
• Erstellen Sie Sicherheitsrichtlinien, um die zulässigen Services und die zulässige Richtung für den Datenverkehr zwischen der IP-Quellenadresse und der IP-Zieladresse zu steuern.

Hier eine Beispielkonfiguration:

1. Wählen Sie IKEv2 für die Authentifizierung aus.
2. Aktivieren Sie DH-group 19 im Vorschlag für Phase 1.
3. Legen Sie lifetime = 36000 im Vorschlag für Phase 1 fest.
4. Inaktivieren Sie PFS im Vorschlag für Phase 2.
5. Legen Sie lifetime = 10800 im Vorschlag für Phase 2 fest.
6. Geben Sie die Informationen für Ihr Teilnetz in Phase 2 ein.
7. Für die übrigen Parameter werden die Standardwerte beibehalten.

Statisches, routenbasiertes IBM VPN mit einem FortiGate-Peer verbinden

Die folgenden Schritte zeigen, wie man ein statisches, routenbasiertes VPN IBM mit einer Gegenstelle FortiGate verbindet.

1. Um einen primären Tunnel zu konfigurieren, wählen Sie VPN > IPsec-Tunnel aus und erstellen Sie eine neue angepasste Tunnelvorlage oder bearbeiten Sie einen vorhandenen Tunnel.

   

2. Verwenden Sie zum Konfigurieren der Peer-IP eines primären Tunnels die kurze öffentliche IP-Adresse des routenbasierten IBM VPN-Gateways als IP-Adresse des fernen Gateways.

   Weitere Informationen zur kurzen öffentlichen IP-Adresse finden Sie unter Wichtiger Hinweis. Beachten Sie auch, dass Sie in manchen Fällen bei der Konfiguration der Fortigate-Peer die Option NAT-Traversal auf Erzwungen statt auf Aktiviert setzen müssen, um Probleme mit Paketverlusten zu vermeiden.

   

3. Verwenden Sie zum Konfigurieren eines IKE-Vorschlags die entsprechende IKE-Version und die entsprechenden Vorschläge.

   

4. Verwenden Sie zum Konfigurieren eines IPsec-Vorschlags die übereinstimmenden IPsec-Vorschläge.

   

Wenn Sie FortiGate mit einer VPN-Gegenstelle eines Drittanbieters verbinden, kann die Phase-1-Authentifizierung fehlschlagen, wenn die lokale ID im falschen Format gesendet wird. Standardmäßig sendet FortiGate seine lokale ID als vollqualifizierten Domänennamen (FQDN), auch wenn eine IP-Adresse konfiguriert ist. Einige VPN-Gateways von Drittanbietern erwarten jedoch stattdessen die lokale ID im IP-Adressformat. Eine Nichtübereinstimmung der Identitätstypen kann dazu führen, dass der VPN-Tunnel mit der Fehlermeldung: AUTHENTICATION_FAILED fehlschlägt. Auf der Peer-Seite zeigen die Protokolle möglicherweise diesen Fehler: Failed to locate an item in the database – Peer identity type is FQDN.

Um diesen Fehler zu beheben, verwenden Sie die FortiGate CLI und setzen Sie localid-type auf address und localid auf die öffentliche IP von FortiGate.

config vpn ipsec phase1-interface
    edit <tunnel_name>
        set localid-type address
        set localid <your FortiGate public IP>
    next
end