Conexión de una VPN basada en políticas de IBM a un igual de FortiGate

Seleccione VPN > Túneles IPsec y cree un nuevo túnel personalizado o edite un túnel existente.

Cuando una VPN de FortiGate recibe una solicitud de conexión de VPN for VPC, FortiGate utiliza los parámetros de fase 1 de IPsec para establecer una conexión segura y autenticarse en VPN for VPC. A continuación, si la política de seguridad permite la conexión, la VPN FortiGate establece el túnel utilizando parámetros IPsec Fase 2 y aplica la política de seguridad IPsec. Los servicios de seguridad, autenticación y gestión de claves se negocian dinámicamente mediante el protocolo IKE.

Para ofrecer soporte a estas funciones, se deben seguir los siguientes pasos de configuración general en la VPN de FortiGate:

• Defina los parámetros de fase 1 que la VPN de FortiGate necesita para autenticar VPN for VPC y establecer una conexión segura.
• Defina los parámetros de fase 2 que la VPN de FortiGate necesita para crear un túnel VPN con VPN for VPC.
• Cree políticas de seguridad para controlar los servicios permitidos y la dirección de tráfico permitida entre las direcciones IP de origen y de destino.

A continuación, se muestra una configuración de ejemplo:

1. Elija IKEv2 en la autenticación.
2. Habilitar DH-group 19 en la propuesta de la Fase 1.
3. Establezca lifetime = 36000 en la propuesta de fase 1.
4. Inhabilite PFS en la propuesta de fase 2.
5. Establezca lifetime = 10800 en la propuesta de fase 2.
6. Especifique la información de la subred en la fase 2.
7. Los parámetros restantes conservan los valores predeterminados.

Conexión de una VPN estática basada en ruta de IBM a un igual de FortiGate

Los siguientes pasos muestran cómo conectar una VPN estática basada en rutas IBM a un peer FortiGate.

1. Para configurar un túnel primario, seleccione VPN > Túneles IPsec y cree un nuevo túnel de tipo de plantilla personalizado o edite un túnel existente.

   

2. Para configurar una IP de igual de un túnel primario, utilice la dirección IP pública pequeña de la pasarela VPN basada en ruta de IBM como dirección IP de pasarela remota.

   Para obtener más información sobre la IP pública pequeña, consulte este aviso importante. Además, tenga en cuenta que en algunos casos, cuando configure el par Fortigate, establezca la opción NAT Traversal en Forced (Forzado) en lugar de Enabled (Activado) para evitar experimentar problemas de caída de paquetes.

   

3. Para configurar una propuesta IKE, utilice la versión IKE y las propuestas coincidentes.

   

4. Para configurar una propuesta IPsec, utilice las propuestas IPsec coincidentes.

   

Cuando se conecta FortiGate a una VPN peer de terceros, la autenticación de Fase 1 puede fallar si el ID local se envía en un formato incorrecto. Por defecto, FortiGate envía su ID local como un nombre de dominio completo (FQDN), incluso si se ha configurado una dirección IP. Sin embargo, algunas pasarelas VPN de terceros esperan el ID local en formato de dirección IP. Un desajuste en los tipos de identidad puede hacer que el túnel VPN falle con el error: AUTHENTICATION_FAILED. En el lado del par, los registros pueden mostrar este error: Failed to locate an item in the database – Peer identity type is FQDN.

Para resolver este error, utilice la CLI FortiGate y configure localid-type a address y localid a la IP pública FortiGate.

config vpn ipsec phase1-interface
    edit <tunnel_name>
        set localid-type address
        set localid <your FortiGate public IP>
    next
end