Cómo configurar VPN punto a punto entre fortigates (usando el asistente de configuración de VPN)

Objetivo

Alcance
Para las versiones 5.6 a 6.4.

Configuración
La siguiente es la información de la dirección IP de ambos FortiGates.

 

Seleccione ‘Siguiente’ para pasar a la parte de Autenticación.
En el paso de autenticación, configure la dirección IP en la dirección IP WAN del FortiGate remoto (en el ejemplo, 172.25.177.46).

 

Después de ingresar la dirección IP de WAN, el asistente asigna automáticamente una interfaz como la interfaz de salida.

Si se debe utilizar una interfaz diferente, debe seleccionarse en el menú desplegable.

Establezca una clave precompartida (PSK) segura. El par remoto también se puede autenticar a través de un certificado, como se explica aquí .

 

 

En el paso Política y enrutamiento, establezca Interfaz local en LAN.

El asistente agrega la subred local automáticamente.

Establezca Subredes remotas en la subred de la red de la sucursal (en el ejemplo, 192.168.13.0/24).
Establezca Acceso a Internet en Ninguno.

 

Una página de resumen muestra la configuración creada por el asistente, incluidas las interfaces, las direcciones de firewall, las rutas y las políticas.

El asistente configura automáticamente los selectores de fase 2, los grupos de direcciones de cortafuegos, las direcciones de cortafuegos, las rutas estáticas, las rutas de agujero negro y las políticas de cortafuegos.

 

 

Para ver la interfaz VPN creada por el asistente, vaya a Red -> Interfaces .

Para ver las direcciones de firewall creadas por el asistente, vaya a Política y objetos -> Direcciones .

 

 

 

Para ver las rutas creadas por el asistente, vaya a Red -> Rutas estáticas .

 

 

Para ver las políticas creadas por el asistente, vaya a Política y objetos -> Política IPv4 .

 

 

 

 

FortiGate – Configuración II.

Artículos relacionados  FSSO - Habilitación de la comunicación segura entre el Agente Colector y el Agente DC

Para crear un nuevo túnel IPsec VPN, conéctese a FGT-II, vaya a VPN > Asistente IPsec y cree un nuevo túnel.
En el paso Configuración de VPN, configure el Tipo de plantilla en Sitio a sitio, configure el Tipo de dispositivo remoto en FortiGate y configure la Configuración de NAT en Sin NAT entre sitios.

 

 

En el paso de autenticación, configure la dirección IP en la dirección IP WAN de FGT-I (en el ejemplo, 172.25.176.62).
Después de ingresar la dirección IP, el asistente asigna automáticamente una interfaz como Interfaz de salida.

Si es necesario utilizar una interfaz diferente, selecciónela en el menú desplegable.

 

Configure la misma clave precompartida (PSK) segura que se usó para la VPN en FortiGate-I.

En el paso Política y enrutamiento, establezca Interfaz local en LAN.

El asistente agrega la subred local automáticamente.

Establezca Subredes remotas en la subred de la red HQ (en el ejemplo, 192.168.65.0/24).

 

Establezca Acceso a Internet en ‘Ninguno’.

 

 

Una página de resumen muestra la configuración creada por el asistente, incluidas las interfaces, las direcciones de firewall, las rutas y las políticas.

 

Para abrir el túnel VPN, vaya a Monitor -> Monitor IPsec . Seleccione ‘Estado’ y seleccione Mostrar.

 

 

Hay una opción para habilitar la negociación automática para que los selectores de fase 2 siempre permanezcan activos, lo que se explica en el artículo adjunto.

Verificación
Para verificar si las subredes LAN pueden conectarse entre sí a través del túnel VPN, inicie un eco ICMP desde cualquier lado.

Solución de problemas
Si el túnel ARRIBA no está visible, genere un ticket de soporte. Será útil recopilar la siguiente salida de

depuración: Comandos de depuración:

# diag vpn tunnel list
# diag vpn ike filter clear
# diag vpn ike log-filter dst-addr4 x.x.x.x    <—– Donde x.x.x.x es la IP WAN del sitio remoto .
# diag debug application ike -1
# diag debug consola timestamp enable
# diag debug enable

Una vez que se ejecutan los comandos, intente abrir el túnel desde la GUI ( VPN -> Monitor IPsec -> Abrir o con el comando):

# diagnose vpn tunnel up “vpn_tunnel_name”        <—– Donde ‘vpn_tunnel_name’ es el nombre de la fase 1 del respectivo túnel VPN.

Una vez que se recopilan las depuraciones, detenga la depuración con el comando:

# diag debug disable
# diag debug reset

Adjunte el resultado completo al ticket junto con los archivos de configuración de ambos FortiGates.

Mila y César

Hola, somos Mila Jiménez y César Sánchez. Dos apasionados de la ciberseguridad con muchos años de experiencia. Hemos trabajado en muchas empresas del mundo TI y ahora nos apetece compartir nuestro conocimiento con cualquiera que lo necesite.

¡Si te gusta nuestro contenido puedes invitarnos a un café AQUÍ!