туннель Ikev2 — нужна помощь с настройкой —
-
@ipo.peniel
настройте статический IP-адрес на маршрутизаторе вместо DHCP, настройте статический NAT на брандмауэре, преобразующий публичный IP-адрес в частный статический IP-адрес маршрутизатора. Настройте правила брандмауэра (извне внутрь), чтобы разрешить udp/500, udp/4500 для IP-адреса маршрутизатора. Убедитесь, что NAT-Traversal настроен на Fortigate. Поскольку вы будете использовать NAT, проверьте идентификатор IKEv2, отправленный другому узлу. -
У вас есть документация, которая может мне помочь? Мне просто нужно знать, что именно нужно делать и где.
-
@ipo.peniel
Настройка NAT/брандмауэра должна выполняться на брандмауэре Fortigate, поэтому вам, вероятно, лучше задать этот вопрос на форумах Fortinet, а не в сообществе Cisco. -
Как уже упоминали другие, на устройстве Fortigate должны быть настроены NAT и правила безопасности. Как упомянул
@Rob Ingram
, если вы настроите маршрутизатор Cisco со статическим IP-адресом, то сможете создать правило NAT на Fortigate для преобразования любого трафика, поступающего на внешний интерфейс Fortigate по портам 500/udp и 4500/udp, в частный IP-адрес маршрутизатора Cisco. Если у вас есть запасной публичный IP-адрес, вы также можете создать сопоставление NAT «один к одному», преобразующее трафик, поступающий на этот выделенный публичный IP-адрес, в частный IP-адрес маршрутизатора Cisco. Кроме того, брандмауэр Fortigate должен разрешать трафик на этих портах в направлении частного IP-адреса маршрутизатора. Еще одна вещь, которую, по-моему, необходимо проверить, — это правило исходящего NAT на Fortigate. Когда маршрутизатор Cisco пытается установить VPN-туннель с удаленным концом, его трафик будет преобразован брандмауэром Fortigate в публичный IP-адрес. Этот IP-адрес может быть IP-адресом внешнего интерфейса Foritgate или другим, настроенным на Fortigate. В любом случае, этот публичный IP-адрес будет удаленным узлом, настроенным на удаленном VPN-узле. Я не согласен с
@Rob Ingram
в том, что NAT-T должен быть настроен на Fortigate, поскольку Fortigate будет только транзитным устройством с точки зрения VPN, но, возможно, я что-то упускаю. -
Спасибо, сэр. Можете ли вы поделиться со мной настройками, которые я могу ввести в маршрутизатор? Я новичок в этих вопросах. Спасибо. Я дошел до того, что подключил туннель при прямом подключении к интернет-провайдеру. Однако, поскольку мы используем только один публичный IP-адрес, я бы очень хотел использовать IP-адрес локальной сети. Сейчас я настроил интерфейс WAN на маршрутизаторе со статическим IP-адресом из локальной сети.
-
Пожалуйста. Я думаю, единственное, что вам нужно изменить на стороне маршрутизатора, это локальный IP-адрес в криптографическом профиле IKEv2. Когда вы подключаете маршрутизатор за Fortigate, этот локальный IP-адрес должен быть изменен, чтобы отражать частный IP-адрес, который вы назначили интерфейсу маршрутизатора, подключенному к Fortigate. NAT-T должен быть уже включен на маршрутизаторе по умолчанию, поэтому, кроме изменения локального IP-адреса, я не думаю, что на маршрутизаторе нужно что-то еще менять. К сожалению, я не могу помочь с настройкой Fortigate, так как не имею опыта работы с ним. Однако я нашел для вас это руководство, посмотрите, надеюсь, оно вам поможет: Статические виртуальные IP-адреса | FortiGate / FortiOS 7.6.0 | Библиотека документов Fortinet
-
Всем привет, я прочитал здесь и там о том, как работает Natting, но все еще испытываю проблемы с его настройкой. Например, мой WAN-канал подключен к брандмауэру Fortigate с публичным IP-адресом 1.1.1.1, а другой WAN-канал подключен к другому маршрутизатору Cisco с публичным IP-адресом 2.2.2.2. Мой маршрутизатор имеет внутреннюю сеть 192.168.50.0/24. LAN за брандмауэром Fortigate имеет адрес 192.168.60.0/24, а его публичный IP-адрес — 1.1.1.1. Сейчас я пытаюсь настроить туннель ikev2 на маршрутизаторе, поэтому мне нужно использовать порты 4500 и 500. Как мне настроить NAT для этого? Спасибо.
-
Не могли бы вы поделиться схемой для ознакомления? NAT должен выполняться на Fortigate, поскольку маршрутизатор Cisco находится за Fortigate. Fortigate должен преобразовывать публичный IP-адрес, который будет использоваться для VPN. Вы можете выполнить NAT 1:1, который преобразует все, что поступает на этот IP-адрес, в частный IP-адрес маршрутизатора Cisco, или вы можете выполнить статический порт NAT, где вам нужно настроить преобразование для ESP, порта 500/udp и порта 4500/udp.
-
Для NAT легко использовать WAN-порт 500 и 4500 NATing к частному IP-порту маршрутизатора 500 и 4500, убедившись, что оба порта открыты. Я думаю, проблема в том, что ваш профиль ikev2 не настроен правильно. Поделитесь конфигурацией, я проверю. MHM
-
Поскольку ваш маршрутизатор Cisco находится за брандмауэром Fortigate, вам необходимо настроить брандмауэр так, чтобы разрешить NAT-порты UDP 500 и 4500 для частного IP-адреса вашего маршрутизатора. Кроме того, обновите профиль IKEv2 на маршрутизаторе, чтобы отразить частный IP-адрес, назначенный за брандмауэром. NAT-T должен обрабатывать преобразование, но для работы туннеля ключевое значение имеют правильные статические или портовые правила NAT и брандмауэра на Fortigate.
Здравствуйте! Похоже, вам интересна эта беседа, но у вас пока нет учетной записи.
Вы устали просматривать одни и те же посты каждый раз, когда заходите на сайт? После регистрации, вам не придётся искать обсуждения в которых вы принимали участие, настройте уведомления о новых сообщениях так как вам это удобно (по электронной почте или уведомлением). У вас появится возможность сохранять закладки и ставить лайки постам, чтобы выразить свою благодарность другим участникам сообщества.
С вашими комментариями этот пост может стать ещё лучше 💗
Зарегистрироваться Войти