边缘云广域网互通解决方案

2.1 导入license

1. 创建后的默认初始化账号密码为：账号 admin，密码请在配置完毕后尽快修改默认密码，避免风险。

通过 SSH 登录 FortiGate VM 并执行许可证诊断命令，确认当前为评估许可证：

tianhong@U-Y7T49NCJ-2218 ~ % ssh admin@112.13.209.140
admin@1xxx40's password:
FortiGate-VM64-KVM # diagnose debug vm-print-license
SerialNumber: FGVMEVO84K13L75D
CreateDate: Tue Jul  2 02:39:59 2024
Model: EVAL (1)
CPU: 1
MEM: 2048
VDOM license:
    permanent: 2
    subscription: 0
FortiGate-VM64-KVM #

2. 需要绑定FortiGate License，本文使用BYOL的方式绑定。

在弹出的许可证上传对话框中，选择 Full license，单击 Select file 上传 .lic 格式的许可证文件，然后单击 OK 完成导入。

许可证导入完成后，控制台显示 License 验证成功提示，系统随即自动重启以应用新许可证。

3. 需要特别注意的是，导入license后会自动重启，重启后需要重新登录，并开始配置IPSEC。

2.2 系统初始化

1. 重启后，在网页输入IP地址进入控制台，通过HTTPS访问fortigate。

   此时显示 FortiGate 登录界面，输入 Username 和 Password，单击 Login 登录系统。

2. 正常初始化配置。

   通过 HTTPS 访问 FortiGate 管理地址，进入 FortiGate Setup 初始配置向导。页面列出四个配置步骤：Register with FortiCare（已完成）、Automatic Patch Upgrades（未完成）、Dashboard Setup（未完成）、Change Your Password（已完成）。单击 Begin 按钮继续完成剩余步骤。

3. 第一次部署时，建议升级到最新版本7.4.X或咨询厂商（最新版本比如配置IPsec时候可以减少后期手动配置），登录进入控制台。

   登录后进入 Dashboard 页面，System Information 区域显示当前固件版本为 v7.2.8 build1639 (Mature)，运行模式为 NAT。Licenses 区域显示 FortiCare Support、IPS、AntiVirus、Web Filtering 等许可证均为正常激活状态。Virtual Machine 区域显示已分配 vCPU 4/8、RAM 8 GiB。Security Fabric 连接处于禁用状态。

4. 系统需要进行初始化后才能继续使用，在左侧选择settings，进行如hostname、时区等配置。

   在 Host name 字段输入主机名（如 FortiGWENSTest），在 System Time 区域的 Time zone 下拉框中选择对应时区（如 (GMT+8:00) Beijing, ChongQing, HongKong）。

2.3 验证网络配置生效

1. 测试本机 ping 10.0.100.2。

   FortiGWENSTest # exec ping 10.0.100.2
   PING 10.0.100.2 (10.0.100.2): 56 data bytes
   64 bytes from 10.0.100.2: icmp_seq=0 ttl=255 time=0.0 ms
   64 bytes from 10.0.100.2: icmp_seq=1 ttl=255 time=0.0 ms
   64 bytes from 10.0.100.2: icmp_seq=2 ttl=255 time=0.0 ms
   64 bytes from 10.0.100.2: icmp_seq=3 ttl=255 time=0.0 ms
   64 bytes from 10.0.100.2: icmp_seq=4 ttl=255 time=0.0 ms
   --- 10.0.100.2 ping statistics ---
   5 packets transmitted, 5 packets received, 0% packet loss
   round-trip min/avg/max = 0.0/0.0/0.0 ms
   FortiGWENSTest # exec ping 10.0.100.3
   PING 10.0.100.3 (10.0.100.3): 56 data bytes
   64 bytes from 10.0.100.3: icmp_seq=0 ttl=64 time=1.6 ms
   64 bytes from 10.0.100.3: icmp_seq=1 ttl=64 time=0.1 ms
   64 bytes from 10.0.100.3: icmp_seq=2 ttl=64 time=0.1 ms
   64 bytes from 10.0.100.3: icmp_seq=3 ttl=64 time=0.1 ms
   64 bytes from 10.0.100.3: icmp_seq=4 ttl=64 time=0.1 ms
   --- 10.0.100.3 ping statistics ---
   5 packets transmitted, 5 packets received, 0% packet loss
   round-trip min/avg/max = 0.1/0.4/1.6 ms

2. 测试同VPC内VM ping 10.0.100.3。

   FortiGWENSTest # exec ping 10.0.100.3
   PING 10.0.100.3 (10.0.100.3): 56 data bytes
   64 bytes from 10.0.100.3: icmp_seq=0 ttl=64 time=1.6 ms
   64 bytes from 10.0.100.3: icmp_seq=1 ttl=64 time=0.1 ms
   64 bytes from 10.0.100.3: icmp_seq=2 ttl=64 time=0.1 ms
   64 bytes from 10.0.100.3: icmp_seq=3 ttl=64 time=0.1 ms
   64 bytes from 10.0.100.3: icmp_seq=4 ttl=64 time=0.1 ms
   --- 10.0.100.3 ping statistics ---
   5 packets transmitted, 5 packets received, 0% packet loss
   round-trip min/avg/max = 0.1/0.4/1.6 ms

3. ping www.aliyun.com判断互联网连接是否正常。

   FortiGWENSTest # exec ping www.baxxx
   PING www.a.shifen.com (153.xxx.xxx.xxx): 56 data bytes
   64 bytes from 153.xxx.xxx.xxx: icmp_seq=0 ttl=46 time=13.6 ms
   64 bytes from 153.xxx.xxx.xxx: icmp_seq=1 ttl=46 time=10.0 ms
   64 bytes from 153.xxx.xxx.xxx: icmp_seq=2 ttl=46 time=10.4 ms
   64 bytes from 153.xxx.xxx.xxx: icmp_seq=3 ttl=46 time=10.0 ms
   64 bytes from 153.xxx.xxx.xxx: icmp_seq=4 ttl=46 time=10.0 ms
   --- www.xxx.com ping statistics ---
   5 packets transmitted, 5 packets received, 0% packet loss
   round-trip min/avg/max = 10.0/10.8/13.6 ms

4. 以上步骤没问题表示ENS上FortiGW完成基本配置。

3.1 Site1配置

配置如下，按照配置向导逐步执行即可：

1. 点击左侧“VPN- IPsec Tunnels -Create New”，点击IPsec Tunnel。

2. 输入名称、方式（Site to Site）。

   在 Name 中填写 toVPC2fortigate，Template type 选择 Site to Site，NAT configuration 选择 No NAT between sites，Remote device type 选择 FortiGate，然后单击 Next。

3. 配置接口，和共享密钥。

   在 IPsec Wizard 的 Authentication 步骤中，Remote device 选择 IP Address，填写远端设备 IP 地址，Outgoing Interface 选择 port2，Authentication method 选择 Pre-shared Key 并输入密钥。

4. 配置感兴趣流（VPN互通网络：本端业务网段、对端业务网络）。

   在 IPsec Wizard 的 Policy & Routing 步骤中，将 Local Interface 设置为 port4，Local Subnets 设置为 10.0.100.0/24，Remote Subnets 设置为 172.16.100.0/24，Internet Access 选择 None。

5. 点击create核对信息，确认信息正确后点击Create。

   Review Settings 页面的 Object Summary 区域显示配置摘要：Phase 1 interface 为 toVPC2fortigate，Local address group 为 toVPC2fortigate_local，Remote address group 为 toVPC2fortigate_remote，Phase 2 interface 为 toVPC2fortigate，Static route 和 Blackhole route 均为 static，Local to remote policies 为 vpn_toVPC2fortigate_local，Remote to local policies 为 vpn_toVPC2fortigate_remote。

6. 配置Firewall Policy策略。在右侧Policy&Objects下Firewall Policy 策略允许内网到IPsec VPN隧道和IPsec VPN隧道到内网的策略（不同版本此处会有不同，较高版本通过VPN配置模板自动下发，参考FortiGate官方手册）。

   具体需创建两条策略：从 port4 到 toVPC2 方向的策略 vpn_toVPC2_local_0（源 toVPC2_local，目标 toVPC2_remote，计划 always，服务 ALL，动作 ACCEPT，NAT 关闭，安全配置文件 SSL no-inspection）；从 toVPC2 到 port4 方向的策略 vpn_toVPC2_remote（源 toVPC2_remote，目标 toVPC2_local，计划 always，服务 ALL，动作 ACCEPT，NAT 关闭，安全配置文件 SSL no-inspection）。

7. 配置业务静态路由。然后在左侧Network -> Static Routes手动配置路由，目的访问对端业务路由通过IPEC VPN隧道进行引流。（高版本通过VPN配置模板自动下发）。

   设置 Destination 为 Subnet，值为 172.16.100.0/24；Interface 选择 toVPC2fortigate；Administrative Distance 设为 10；Status 保持 Enabled。

   静态路由列表中包含业务路由（如 172.16.30.0/24 经接口 port4、192.168.5.0/24 经接口 AliENSToCustom）以及 VPN 隧道路由（目的 toVPC2fortigate_remote，接口 toVPC2fortigate，由 VPN 向导自动创建），其中 VPN 隧道路由即为通过 IPSEC VPN 引流的关键条目。

8. 接口开Ping用于测试。进行ping测试需要接口地址开Ping，默认是不开Ping，需要双击端口那一列进入，手工打开。

   在 port4 的 Edit Interface 页面，Addressing mode 选择 Manual，IP/Netmask 设置为 10.0.100.2/255.255.255.0，在 Administrative Access 区域勾选 PING。

3.2 Site2配置

• 在 FortiGate 管理界面中，选择 VPN > IPsec Tunnels，可确认隧道 toVPC1 已创建，隧道类型为 Site to Site - FortiGate，接口绑定为 port1，状态为 Up。

  在 Network > Static Routes 页面中，VPN 向导自动创建了两条静态路由：第一条目的地为 toVPC1_remote，接口为 toVPC1（VPN 隧道），状态为 Enabled；第二条目的地同为 toVPC1_remote，接口为 Blackhole，状态为 Enabled。两条路由的 Gateway IP 均为空，Comments 均为 VPN: toVPC1 (Created by VPN wizard)。

  VPN 向导在 Policy & Objects > Firewall Policy 下自动生成两条双向策略：策略 vpn_toVPC1_local_0（port2 → toVPC1 方向），Source 为 toVPC1_local，Destination 为 toVPC1_remote；策略 vpn_toVPC1_remote_0（toVPC1 → port2 方向），Source 为 toVPC1_remote，Destination 为 toVPC1_local。两条策略均设置 Schedule 为 always，Service 为 ALL，Action 为 ACCEPT，NAT 为 Disabled，Security Profiles 为 SSL no-inspection，Log 为 All。