Fortigate site to site IPsec VPN 설정방법
지난번 SSL-VPN에 이은 Fortigate IPsec VPN 설정하기
site to site 구성
Fortigate site to site IPsec VPN 간단한 구성도
A, B Fortigate 간 VPN 연결
A Fortigate Internal IP 대역의 Host에서 B Fortigate Interal IP로 통신 시도
A Fortigate에서 VPN Tunnel을 통해 트래픽이 전달되는지 sniffer
먼저 Fortigate GUI 접속 후 VPN > IPsec Tunnels
IPsec Tunnel 생성
여러가지 생성방법이 있는데 저는 Custom으로 진행했습니다.
site to site로 설정하면 wizard 방식으로 진행되서 주소, 라우팅, 정책, Phase1,2가 자동으로 생성됩니다.
편하기는 하지만 Custom으로 만들면서 설정 부분을 익히거나 추후 수정할 때도 더 도움 된다고 생각합니다.
VPN Name은 Test-VPN
먼저 Phase1부터
Phase1는 A,B Fortigate간 인증 암호화 방식 등 보안관련
Phase2는 Tunnel로 통신할 data 보안관련
Static IP Address 선택 후 상대방 Wan IP 입력 Interface는 자신의 Wan Interface를 선택해줍니다.
다음
NAT Traversal과 DPD 설정
DPD는 상대방이 살아 있는지 감지
위의 설정의 경우 DPD 트래픽을 20초마다 한번씩 세번 시도
응답이 없을시 터널 다운
NAT Traversal은 A,B Fortigate 사이에 NAT 장비가 있을 시 활성화
외 Pre-shared Key, Mode, 암호화 알고리즘 설정 등 상대방 설정과 맞춰줘야 합니다.
Fortigate site to site IPsec VPN 설정방법
Phase2
Local Address에는 A Fortigate Internal IP 대역
Remote Address에는 B Fortigate Internal IP대역을 입력해준다.
VPN 설정완료 확인 후 VPN 정책설정
Policy & Objects > Firewall Policy 정책 생성
정책 이름설정
Incoming Interface : VPN Interface(Test-VPN)
Outgoing Interface : Internal
Source 및 Destnation에는 각각 Internal IP 대역 설정
일반적으로 IPsec VPN 통신 시 NAT는 필요없으니 비활성화
Security Profiles은 필요시 설정
Logging Options의 경우 Security는 보안기능에 탐지된 트래픽만 log를 남김
All Sessions은 모든 트래픽을 log로 남김
정책 설정 완료 후 해당 정책을 우클릭하여 Clone Reverse를 해주고 다시 우클릭하여 Paste해줍니다.
복붙이기는 하지만 Interface와 Source, Destination도 바뀌기 때문에 역방향 정책도 쉽게 만들 수 있습니다.
그리고 비활성화 상태로 Paste 되기 때문에 활성화해줘야 하고요
IPsec VPN관련 정책 설정 후 라우팅 설정
Network > Static Routes
192.168.30.0/24(B Fortigate Internal 대역)은 Test-VPN Interface로 경로 설정
여기까지 완료하면 IPsec VPN 설정은 끝입니다.
이제 통신확인!
Dashboard에 IPsec Monitor를 추가해줍니다.
Test-VPN이라는 이름으로 만든 VPN이 빨간색 화살표로 다운표시되어 있고
Bring Up > All Phase 2 Selectors를 눌러 Tunnel Up을 시켜줍니다.
VPN 설정이 제대로 되었다면 Tunnel Up이 됩니다.
Tunnel Up이 되지 않는 경우는 VPN 설정 매치가 안되는 부분이 제일 많습니다.!
설정 시 두 Fortigate 간의 설정을 잘 맞춰줘야 합니다.
그래도 안되면.. Debug을 통해 해결해야 합니다. 추후 포스팅
Tunnel UP 되고나서
A Fortigate Host 192.168.1.110 > B Fortigate Internal IP 192.168.30.1로 ICMP 시도
Test-VPN을 통해 request, reply 확인
끝
Fortigate site to site IPsec VPN 설정방법
추후 Dial up 설정 방법도 포스팅하겠습니다.
