ENS实例之间，可以通过ENA完成互通，也可以通过部署第三方FortiGate程序来完成互通，本文介绍通过FortiGate的方式完成互通。而ENS与IDC之间，ENS与ECS之间互通也可使用类似方案完成。
概述
本文介绍FortiGate在ENS上安装部署的方式，以实现不同ENS节点的VPC内网通过VPN互通。一共分为以下四个步骤进行描述：
场景介绍
安装FortiGate
配置FortiGate
测试互通性
场景介绍
当客户使用多个边缘节点服务时，而多个边缘节点服务之间可以通过专有线路进行广域网互联，也可以通过VPN的方式进行互联，本文主要介绍通过VPN的方式互联。
在进行网络互联之前，需要提前规划IP地址，并确定测试方式为VM1与VM4之间互相ping来验证连通性。
1. IP地址规划
ENS VPC | 网段 | 实例 | 内网IP | 公网IP |
ENS VPC1 | 10.0.100.0/24 | VM2（部署 FortiGate） | 10.0.100.2 | 创建实例时候申请或者使用eip |
VM1 | 10.0.100.3 | |||
ENS VPC2 | 172.16.100.0/24 | VM3（部署FortiGate） | 172.16.100.2 | 创建实例时候申请或者使用eip |
VM4 | 172.16.100.3 |
2. 网络拓扑
网络拓扑如下，客户在ENS节点1和节点2分别拥有VPC，并在VPC内部都有独立的VM，在本次互通测试中，需要使得下图中的"ENSVM1"和"ENS VM4"实现内网互通。
安装FortiGate
本部分将对如何从ENS控制台依次创建VPC、交换机、安全组、实例等进行FortiGate创建进行介绍，共分为四个步骤：
在ENS上创建VPC和交换机
配置安全组
部署FortiGate实例
下发引流配
1. 在ENS上创建VPC和交换机
登录ENS控制台依次选择网络管理 -> 网络 -> 创建网络，选择已使用的节点，输入名称、IPv4网段，同时配置交换机，输入子网段。
点击创建后，在网络和交换机页面可查看刚才新增的VPC和交换机，以确定已经创建成功。
除了上述的创建方式外，也可以在网络管理 -> 交换机页面下，点击创建交换机来实现相同的功能。
2. 配置安全组
因为安全组默认会过滤流量，所以需要针对安全组做特别配置，需要放开部分流量端口，测试中为了方便，默认允许入方向所有流量，也可以最严格配置，允许ssh、icmp，https、udp。
选择网络管理 -> 安全组管理 -> 创建安全组。
出方向配置。默认全部允许。
3. 部署FortiGate实例
本步骤将展示如何按要求在ENS控制台上按流程创建出FortiGate实例，这个实例将承载VPN的流量，对应图表中的VM2。
选择算力与镜像 -> 实例，点击创建实例。
在实例创建的类型选择X86计算类型，镜像选择自定义镜像，其中ENS如何创建自定义镜像，可以参考此处：创建自定义镜像。
规格推荐说明文档。https://www.fortinet.com/content/dam/fortinet/assets/data-sheets/FortiGate_VM_KVM.pdf
配置网络和安全组。网络选择自建网络，区域选择刚刚配置专有网络vpc所在节点，然后依次选择网络，交换机和安全组，同时创建公网网卡，并设置限速。
系统设置。设置密钥和实例名称，默认密码请参考FortiGate官方描述。
确认订单。核对基本配置、网络和存储、系统配置，选择购买时长，最后点击确认订单。
创建完毕之后，可通过在实例列表查看来验证是否创建成功。
上述步骤是创建VM2的方式，可以在同VPC上创建另外一个VM，但是不选择FortiGate的镜像，以用于验证。
4. 下发引流配置
以左侧ENS节点为例，当VM1创建完毕，VM2已经是FortiGate镜像之后，VM1去往VM4的流量，需要引到VM2对应的FortiGate上，这样才能实现通过VPN连接VM1和VM4。具体步骤如下：
将鼠标放在网络管理然后选择路由表，点击对应的路由表ID（之前的VPC）。
选择自定义路由表条目 -> 添加路由条目，配置对端IPv4网段，并把下一条指定为之前配置好的fortiGate实例。
配置好后界面会显示如下，则说明流量会引入到FortiGate上。
5. 配置Site2 VPC及FortiGate
创建第二个专有网络VPC并分配子网段。
配置fortigate实例。
增加引流配置。
配置FortiGate
FortiGate的配置需要参考官方文档，不同版本会有少量差异，文档具体位置在：https://handbook.fortinet.com.cn/
配置一共分为以下步骤：
注意事项
导入license
网络初始化
系统初始化
网络检查
配置IPSEC
1. 注意事项
在中国境内会对互联网访问的http和https进行备案管理，否则不予开放80和443端口，请关注。
可以通过SSH登录FortiGate设备，修改HTTPS端口号，然后再进行备案。
下面是修改为8443端口的配置命令：
config system global
set admin-sport 8443
end
2. 导入license并初始化
对设备进行license导入后进行基础的初始化，验证网络配置生效后才可以做IPSEC的配置。
2.1 导入license
创建后的默认初始化账号密码为：账号 admin，密码请在配置完毕后尽快修改默认密码，避免风险。
需要绑定FortiGate License，本文使用BYOL的方式绑定。
需要特别注意的是，导入license后会自动重启，重启后需要重新登录，并开始配置IPSEC。
2.2 系统初始化
重启后网页输入IP地址进入控制台，通过HTTPS访问fortigate。
正常初始化配置。
第一次部署时，建议升级到最新版本7.4.X或咨询厂商（最新版本比如配置IPsec时候可以减少后期手动配置），登录进入控制台。
系统需要进行初始化后才能继续使用，在左侧选择settings，进行如hostname、时区等配置。
2.3 验证网络配置生效
ping 10.0.100.2本机。
ping 同VPC内VM 10.0.100.3。
ping www.baidu.com判断互联网连接正常。
以上步骤没问题表示ENS上FortiGW完成基本配置。
3. 配置IPSEC
IPSec会有多种配置方式，在当前拓扑中，使用Site2Site的方式来部署，可以使VM1和VM4实现VPN互通，将两端分别定义为Site1和Site2。
3.1 Site1配置
配置如下，按照配置向导逐步执行即可：
点击左侧“VPN- IPsec Tunnels -Create New”，点击IPsec Tunnel。
输入名称、方式（Site to Site）。
配置接口，和共享密钥。
配置感兴趣流（VPN互通网络：本端业务网段、对端业务网络）。
点击create核对信息，确认信息正确后点击Create。
配置Firewall Policy策略。在右侧Policy&Objects下Firewall Policy 策略允许内网到IPsec VPN隧道和IPsec VPN隧道到内网的策略（不同版本此处会有不同，较高版本通过VPN配置模板自动下发，参考FortiGate官方手册）。
配置业务静态路由。然后在左侧Network -> Static Routes手动配置路由，目的访问对端业务路由通过IPEC VPN隧道进行引流。（高版本通过VPN配置模板自动下发）。
接口开Ping用于测试。进行ping测试需要接口地址开Ping，默认是不开Ping，需要双击端口那一列进入，手工打开。
3.2 Site2配置
site2的配置如下：
测试互通性
配置完毕后即可进行测试，测试时，确认图中的VM1和VM4能够ping通，即证明VPN建立，以下是测试环境数据：
VM4 ping VM1
VM1 ping VM4
其他使用场景
在上述介绍中，主要描述了ENS与ENS之间使用FortiGate实现VPN互通的方式，ENS作为FortiGate的基础设施，提供了算力+互联网的基础能力，FortiGate可以在此基础上实现其他的广域网VPN互联方式，比如以下方式：
在这些实现方式中，ENS上安装FortiGate的镜像与前面的介绍一致，只要保证镜像正确，网络正常，那么主要配置就参考FortiGate的官方手册即可。
ENS使用FortiGate，Site2Site方式连接阿里云Region VPC，FortiGate与VPN Gateway直接建立。
ENS使用FortiGate，Site2CPE方式连接客户的Office。
ENS使用FortiGate，Site2Site方式连接客户的IDC：
