边缘云广域网互通解决方案

2.1 导入license

1. 创建后的默认初始化账号密码为：账号 admin，密码请在配置完毕后尽快修改默认密码，避免风险。

通过 SSH 登录 FortiGate VM，执行 diagnose debug vm-print-license 命令查看当前许可证状态，确认当前为 EVAL 评估许可。

tianhong@U-Y7T49NCJ-2218 ~ % ssh admin@112.13.209.140
admin@1xxx40's password:
FortiGate-VM64-KVM # diagnose debug vm-print-license
SerialNumber: FGVMEVO84K13L75D
CreateDate: Tue Jul  2 02:39:59 2024
Model: EVAL (1)
CPU: 1
MEM: 2048
VDOM license:
    permanent: 2
    subscription: 0
FortiGate-VM64-KVM #

2. 需要绑定FortiGate License，本文使用BYOL的方式绑定。

在弹出的 FortiGate VM License 对话框中，选择 Full license，在 Upload License File 区域单击 Select file 选择已获取的许可证文件，然后单击 OK。

3. 需要特别注意的是，导入license后会自动重启，重启后需要重新登录，并开始配置IPSEC。

2.2 系统初始化

1. 重启后，在网页输入IP地址进入控制台，通过HTTPS访问fortigate。

   此时显示 FortiGate 管理登录页面，输入 Username（用户名）和 Password（密码），单击 Login 登录。

2. 正常初始化配置。

   FortiGate Setup 向导页面列出四个初始化步骤：Register with FortiCare、Automatic Patch Upgrades、Dashboard Setup 和 Change Your Password，单击 Begin 按钮开始配置。

3. 第一次部署时，建议升级到最新版本7.4.X或咨询厂商（最新版本比如配置IPsec时候可以减少后期手动配置），登录进入控制台。

   登录后进入 Dashboard > Status 页面，可查看以下面板：System Information（主机名、序列号、固件版本、运行模式、系统时间、WAN IP 等）、Licenses（FortiCare Support、IPS、AntiVirus、Web Filtering 等许可证激活状态）、Virtual Machine（vCPU 分配比例与 RAM 大小）、FortiGate Cloud（激活状态）、Security Fabric（连接状态）以及 CPU 实时使用率。确认当前固件版本（例如 v7.2.8）后，根据需要升级至推荐的 7.4.X 版本。

4. 系统需要进行初始化后才能继续使用，在左侧选择settings，进行如hostname、时区等配置。

   将 Host name 设置为 FortiGWENSTest，Time zone 选择 (GMT+8:00) Beijing, ChongQing, HongKong。

2.3 验证网络配置生效

1. 测试本机 ping 10.0.100.2。

   FortiGWENSTest # exec ping 10.0.100.2
   PING 10.0.100.2 (10.0.100.2): 56 data bytes
   64 bytes from 10.0.100.2: icmp_seq=0 ttl=255 time=0.0 ms
   64 bytes from 10.0.100.2: icmp_seq=1 ttl=255 time=0.0 ms
   64 bytes from 10.0.100.2: icmp_seq=2 ttl=255 time=0.0 ms
   64 bytes from 10.0.100.2: icmp_seq=3 ttl=255 time=0.0 ms
   64 bytes from 10.0.100.2: icmp_seq=4 ttl=255 time=0.0 ms
   --- 10.0.100.2 ping statistics ---
   5 packets transmitted, 5 packets received, 0% packet loss
   round-trip min/avg/max = 0.0/0.0/0.0 ms

2. 测试同VPC内VM ping 10.0.100.3。

   FortiGWENSTest # exec ping 10.0.100.3
   PING 10.0.100.3 (10.0.100.3): 56 data bytes
   64 bytes from 10.0.100.3: icmp_seq=0 ttl=64 time=1.6 ms
   64 bytes from 10.0.100.3: icmp_seq=1 ttl=64 time=0.1 ms
   64 bytes from 10.0.100.3: icmp_seq=2 ttl=64 time=0.1 ms
   64 bytes from 10.0.100.3: icmp_seq=3 ttl=64 time=0.1 ms
   64 bytes from 10.0.100.3: icmp_seq=4 ttl=64 time=0.1 ms
   --- 10.0.100.3 ping statistics ---
   5 packets transmitted, 5 packets received, 0% packet loss
   round-trip min/avg/max = 0.1/0.4/1.6 ms

3. ping www.aliyun.com判断互联网连接是否正常。

   FortiGWENSTest #
   FortiGWENSTest # exec ping www.ba
   PING www.a.shifen.com (153.x.x.x): 56 data bytes
   64 bytes from 153.x.x.x: icmp_seq=0 ttl=46 time=13.6 ms
   64 bytes from 153.x.x.x: icmp_seq=1 ttl=46 time=10.0 ms
   64 bytes from 153.x.x.x: icmp_seq=2 ttl=46 time=10.4 ms
   64 bytes from 153.x.x.x: icmp_seq=3 ttl=46 time=10.0 ms
   64 bytes from 153.x.x.x: icmp_seq=4 ttl=46 time=10.0 ms
   --- www.xxx.com ping statistics ---
   5 packets transmitted, 5 packets received, 0% packet loss
   round-trip min/avg/max = 10.0/10.8/13.6 ms

4. 以上步骤没问题表示ENS上FortiGW完成基本配置。

3.1 Site1配置

配置如下，按照配置向导逐步执行即可：

1. 点击左侧“VPN- IPsec Tunnels -Create New”，点击IPsec Tunnel。

2. 输入名称、方式（Site to Site）。

   在 Name 中输入 toVPC2fortigate，NAT Configuration 选择 No NAT between sites，Remote Device Type 选择 FortiGate。

3. 配置接口，和共享密钥。

   将Remote device设置为IP Address，填写远端IP地址，Outgoing Interface选择port2，Authentication method选择Pre-shared Key并输入预共享密钥。

4. 配置感兴趣流（VPN互通网络：本端业务网段、对端业务网络）。

   在 Policy & Routing 步骤中，将 Local Interface 设置为 port4，Local Subnets 设置为 10.0.100.0/24，Remote Subnets 设置为 172.16.100.0/24，Internet Access 选择 None。

5. 点击create核对信息，确认信息正确后点击Create。

   Review Settings 页面的 Object Summary 区域显示配置摘要：Phase 1 interface 为 toVPC2fortigate，Local address group 为 toVPC2fortigate_local，Remote address group 为 toVPC2fortigate_remote，Phase 2 interface 为 toVPC2fortigate，Static route 和 Blackhole route 均为 static，Local to remote policies 为 vpn_toVPC2fortigate_local，Remote to local policies 为 vpn_toVPC2fortigate_remote。

6. 配置Firewall Policy策略。在右侧Policy&Objects下Firewall Policy 策略允许内网到IPsec VPN隧道和IPsec VPN隧道到内网的策略（不同版本此处会有不同，较高版本通过VPN配置模板自动下发，参考FortiGate官方手册）。

   示例中创建了两条 VPN 策略：从 port4 到 toVPC2 方向的策略 vpn_toVPC2_local_0（源 toVPC2_local，目标 toVPC2_remote）和从 toVPC2 到 port4 方向的策略 vpn_toVPC2_remote（源 toVPC2_remote，目标 toVPC2_local），均设置 Service 为 ALL、Action 为 ACCEPT、Schedule 为 always、NAT 为 Disabled。

7. 配置业务静态路由。然后在左侧Network -> Static Routes手动配置路由，目的访问对端业务路由通过IPEC VPN隧道进行引流。（高版本通过VPN配置模板自动下发）。

   在 New Static Route 表单中，Destination 选择 Subnet，值设置为 172.16.100.0/24；Interface 选择 toVPC2fortigate；Administrative Distance 设置为 10；Status 选择 Enabled。

   静态路由列表中包含手动添加的业务路由（如 172.16.30.0/24 经由 port4、192.168.5.0/24 经由 AliENSToCustom），以及 VPN 向导自动创建的隧道路由（Destination 为 toVPC2fortigate_remote，Interface 为 toVPC2fortigate，备注 VPN: toVPC2fortigate (Created by VPN wizard)）和对应的 Blackhole 路由。

8. 接口开Ping用于测试。进行ping测试需要接口地址开Ping，默认是不开Ping，需要双击端口那一列进入，手工打开。

   编辑接口 port4，Addressing mode 选择 Manual，IP/Netmask 填入 10.0.100.2/255.255.255.0，在 Administrative Access 区域仅勾选 PING。

   配置完成后，port4 接口 IP 地址为 10.0.100.2/255.255.255.0，Administrative Access 中 PING 已启用。

3.2 Site2配置

• 在 VPN > IPsec Tunnels 页面，Site to Site - FortiGate 分组下已建立隧道 toVPC1，Interface Binding 为 port1，Status 为 Up（绿色），Ref. 值为 4。

  在 FortiGate 管理控制台中，导航至 Network > Static Routes 页面，VPN 向导自动创建了两条静态路由：第一条目的地为 toVPC1_remote，接口为 toVPC1（VPN 隧道），状态为 Enabled；第二条目的地为 toVPC1_remote，接口为 Blackhole，状态为 Enabled。两条路由的 Comments 均为 VPN: toVPC1 (Created by VPN wizard)。

  在 Policy & Objects > Firewall Policy 页面中，VPN 向导已自动创建两条双向防火墙策略。策略 vpn_toVPC1_local_0（port2 → toVPC1）：Source 为 toVPC1_local，Destination 为 toVPC1_remote，Schedule 为 always，Service 为 ALL，Action 为 ACCEPT，NAT 为 Disabled，Security Profiles 为 SSL no-inspection，Log 为 All。策略 vpn_toVPC1_remote_0（toVPC1 → port2）：Source 为 toVPC1_remote，Destination 为 toVPC1_local，其余配置与前一条策略相同。