Connessione di una VPN basata sulla politica IBM a un peer FortiGate

Selezionare VPN > Tunnel IPsec e creare un nuovo tunnel personalizzato o modificare un tunnel esistente.

Quando una VPN FortiGate riceve una richiesta di connessione da VPN for VPC, FortiGate utilizza i parametri IPsec Fase 1 per stabilire una connessione sicura e autenticare VPN for VPC. Quindi, se il criterio di sicurezza consente la connessione, la VPN FortiGate stabilisce il tunnel utilizzando i parametri IPsec Fase 2 e applica il criterio di sicurezza IPsec. I servizi di sicurezza, autenticazione e di gestione della chiave vengono negoziati in modo dinamico tramite il protocollo IKE.

Per supportare queste funzioni, è necessario eseguire i seguenti passi di configurazione generali per la VPN FortiGate:

• Definire i parametri della Fase 1 che la VPN FortiGate richiede per autenticare VPN for VPC e stabilire una connessione sicura.
• Definire i parametri di Fase 2 che la VPN FortiGate richiede per creare un tunnel VPN con VPN for VPC.
• Crea le politiche di sicurezza per controllare i servizi e la direzione del traffico consentiti tra gli indirizzi di destinazione e di origine IP.

Un esempio di configurazione è il seguente:

1. Scegli IKEv2 nell'autenticazione.
2. Attivare il sito DH-group 19 nella proposta di Fase 1.
3. Imposta lifetime = 36000 nella proposta della fase 1.
4. Disabilita PFS nella proposta della fase 2.
5. Imposta lifetime = 10800 nella proposta della fase 2.
6. Immetti le informazioni sulla tua sottorete nella fase 2.
7. I parametri rimanenti conservano i propri valori predefiniti.

Connessione di una VPN statica IBM, basata sull'instradamento a un peer di FortiGate

I passi seguenti mostrano come collegare una VPN statica basata su route IBM a un peer FortiGate.

1. Per configurare un tunnel primario, selezionare VPN> Tunnel IPsec e creare un nuovo tunnel di tipo template personalizzato oppure modificare un tunnel esistente.

   

2. Per configurare un IP peer di un tunnel primario, utilizza il piccolo indirizzo IP pubblico del gateway VPN basato sull'instradamento IBM come indirizzo IP del gateway remoto.

   Per ulteriori informazioni sul piccolo IP pubblico, vedi questa nota importante. Inoltre, si tenga presente che in alcuni casi, quando si configura il peer Fortigate, si deve impostare l'opzione NAT Traversal su Forced (forzato) invece che su Enabled (abilitato) per evitare problemi di caduta dei pacchetti.

   

3. Per configurare una proposta IKE, utilizzare le proposte e la versione IKE corrispondenti.

   

4. Per configurare una proposta IPsec, utilizzare le proposte IPsec corrispondenti.

   

Quando si collega FortiGate a un peer VPN di terze parti, l'autenticazione di Fase 1 potrebbe fallire se l'ID locale viene inviato nel formato sbagliato. Per impostazione predefinita, FortiGate invia il proprio ID locale come nome di dominio completamente qualificato (FQDN), anche se è configurato un indirizzo IP. Tuttavia, alcuni gateway VPN di terze parti prevedono l'ID locale in formato di indirizzo IP. Una mancata corrispondenza dei tipi di identità può causare il fallimento del tunnel VPN con l'errore: AUTHENTICATION_FAILED. Sul lato peer, i log potrebbero mostrare questo errore: Failed to locate an item in the database – Peer identity type is FQDN.

Per risolvere questo errore, utilizzare la CLI FortiGate e impostare localid-type su address e localid sull'IP pubblico FortiGate.

config vpn ipsec phase1-interface
    edit <tunnel_name>
        set localid-type address
        set localid <your FortiGate public IP>
    next
end