1、Fortinet 飞塔产品的配置说明文档如何重发布特定的路由如下配置可以实现的功能是：只把静态路由里面是 192.168.0.0/16 重发布OSPF 里面，其它的所有静态路由不发布到 OSPF。以下所有命令只能在 CLI 下面配置，不能在 GUI 配置。步骤一：新建一个 access-list：config router access-listedit “static2ospf“config ruleedit 1set prefix 192.168.0.0 255.255.0.0set exact-match disablenextendnextend步骤二：新建一个 route-map：c
2、onfig router route-mapedit “static2ospf“config ruleedit 1set match-ip-address “static2ospf“nextendnextend步骤三：配置动态路由协议并在重发布相关路由选项里面只重发布静态路由并引用上面定义的 route-map：config router ospfset abr-type ciscoconfig areaedit 0.0.0.0nextendset default-metric 1config networkedit 1set prefix 172.16.0.0 255.255.0.0next
3、endconfig redistribute “connected“endconfig redistribute “static“set status enableset routemap “static2ospf“endconfig redistribute “rip“endconfig redistribute “bgp“endset restart-mode graceful-restartset router-id 172.16.1.1end设置 FortiGate 静态路由和策略路由本文档针对所有 FortiGate 设备的静态路由和策略路由配置进行说明。 环境介绍： 本文使用 Fo
4、rtiGate400A 做演示。本文支持的系统版本为 FortiOS v2.8 及更高。一，静态路由：不用动态路由协议，手工制定的路由条目 路由表：路由表根据目的网段掩码和管理距离决定路由优先级。 目的网段掩码越长越优先； 如果目的网段掩码相同则管理距离越小越优先。 步骤一：在路由-静态中可以看到当前静态路由，选择新建创建一条新路由。目的 IP/掩码：指要去往的 IP 地址段和掩码；如果全为零指所有网段。 设备：指去往下一跳的出口 网关：对段下一跳地址 管理距离：默认为 10，范围从 1 到 250，管理距离越低路由越优先。 (点击放大)(点击放大)步骤二：创建好后会增加一个相应的条目。本例中
5、指所有去往 172.22.6.0/24网络的数据包都从 port1 出去，下一跳为 192.168.1.1。 (点击放大)步骤三：在路由-当前路由中可以看到路由表中列出的所有路由。 (点击放大)二，策略路由：当转发的数据包符合策略路由所有条件时执行策略路由，策略路由优先于路由表中所有条目，当有多个策略路由时按顺序从上致下执行。 步骤一：在路由-策略路由中新建一条策略路由。 协议端口：指数据包的三层协议号，范围从 0 到 255，0 则禁用此选项，例如，1 指 ICMP。 进入接口：指数据包进入 FortiGate 的接口 源地址/掩码：指数据包的源地址，全为零则禁用此选项。 目的地址/掩码：指
6、数据包的目的地址，全为零则禁用此选项。 目的端口：指数据包的四层 TCP/UDP 端口，其他协议忽略此选项，全为零则禁用此选项。 Type of Service：指数据包 IP 包头中的服务类型，全为零则禁用此选项。 流出接口：强制数据包从 FortiGate 出去的接口 网关地址：强制数据包去往的下一跳地址，不允许全为零。 (点击放大)步骤二：创建好后会增加一个相应的条目。本例中指如果数据包的协议号为1，即 ICMP，从 port2 进入，源是 192.168.100.22/32，目的是172.22.6.202/32，则该数据包会从 port1 流出，并且下一跳改为192.168.1.20。
7、 (点击放大)设置 FortiGate 动态路由协议 RIP本文档针对所有 FortiGate 设备的动态路由协议 RIP 配置进行说明。 环境介绍： 本文使用 FortiGate400A 做演示。本文支持的系统版本为 FortiOS v2.8 及更高。RIP ：距离向量路由协议，为小型网络设计。使用跳数作为度量值，最大十五跳。在 FortiGate 中 RIP 的管理距离是 120，FortiGate 支持 RIP 版本一和版本二。 步骤一：发布网络 在路由-动态路由中选择 RIP； 在 RIP 版本中选择 1 或 2 点击应用； 在各个网络-IP/掩码中添加宣告网络点击 Add； (点击放
8、大)步骤二：添加接口 在各个接口中点击新建创建 IP/掩码所对应的接口； 发送/接收版本：指该接口下发送/接收的 RIP 版本； 认证：可以不选，也可启用明文认证（Test）； 密码：如果选择了明文认证，需要填写认证密码； 被动接口：该接口只接收 RIP 更新，不会发出 RIP 更新； 步骤三：察看路由表 在另外一台 FortiGate 中可以看到该 RIP 路由，选择路由-当前路由； (点击放大)步骤四：高级选项 缺省跳数：指 FortiGate 收到 RIP 更新时使用的度量值，默认为 1； 启用产生缺省路由：选择会在 RIP 更新中产生一条缺省路由； RIP 定时器：可以设定 Forti
9、Gate 设备的 RIP 更新、超时和失效时间； 更新：FortiGate 发送 RIP 更新的时间间隔； 超时：指 RIP 路由在没有收到更新的情况下在路由表中的最大生存时间； 失效：指 RIP 路由在多长时间内没有收到更新则宣布该路由失效； 路由重发布：FortiGate 支持将直连、静态、OSPF 和 BGP 发布进 RIP； 跳数：指将路由发布进 RIP 时的度量值； (点击放大)设置 FortiGate 动态路由协议 OSPF本文档针对所有 FortiGate 设备的动态路由协议 OSPF 配置进行说明。 环境介绍： 本文使用 FortiGate400A 做演示。本文支持的系统版本为
10、 FortiOS v2.8 及更高。OSPF ：链路状态路由协议，采用多播更新，收敛快，适用于大中型网络。FortiGate 设备支持 OSPF 版本 2，参见 RFC2328。 步骤一：设置路由器 ID路由器 ID：唯一标识 FortiGate 设备的 IP 地址，可以任意设置。如果不填，默认选择最大接口 IP。 (点击放大)步骤二：创建区域，在各个区中点击新建 区：用 32 位 IP 地址唯一标识一个区，区 0.0.0.0 为主干区域 类型：FortiGate 设备支持普通（regular）区域，NSSA 区域，Stub 区域 认证：FortiGate 设备支持明文和 MD5 认证，认证对
11、该区域有效 (点击放大)步骤三：发布网络，在各个网络中点击新建 IP/掩码：宣告网路地址和掩码 区域：选择该网络所在区域 (点击放大)步骤四：发布接口，在各个接口中点击新建 名称：自定义接口名称 接口：选择要宣告的接口，路由更新会通过该接口发布出去 IP：该宣告接口 IP认证：FortiGate 设备支持明文和 MD5 认证，认证对该接口有效 Hello/Dead 时间：定义该接口 OSPF Hello/Dead 时间，如果接口间时间不一致则不能建立邻居，即收不到对方路由 (点击放大)步骤五：高级选项 缺省信息：让 FortiGate 设备产生一条 OSPF 缺省路由 经常：路由表中必须有静态
12、缺省路由才能在 OSPF 中产生缺省路由 总是：任何情况都可以在 OSPF 中产生缺省路由 重发布：FortiGate 设备支持将直连、静态、RIP 和 BGP 重发布进 OSPF距离：指重发布进 OSPF 路由的度量值 (点击放大)步骤六：验证 在另外一台 FortiGate 中可以看到该 OSPF 路由，选择路由-当前路由 (点击放大)Hub-and-spoke IPSec VPN 配置实例 1，IPSEC VPN 应用越来越广泛，下面配置实例是针对单总部多分支机构的实际应用 按照本文的配置，可以实现通过最少的 VPN 隧道数量达到最大的 VPN 连通性的要求，网络拓扑结构如下：如上图所示
13、，总部防火墙机 Hub 防火墙名称是 FortiGate_1，它的外网口 IP 地址是：172.16.10.1，总部的内网有 2 个不同的部门子网分别是财务子网（Finance Network），地址是：192.168.12.0/24；人力资源子网（HR Network），地址是：192.168.22.0/24；有 2 个分支机构，其中一个分支机构防火墙名称叫 Spoke_1，它的外网口 IP 地址是：172.16.20.1，内网地址是：192.168.33.0/24；另一个分支机构防火墙名称叫 Spoke_2，它的外网口 IP 地址是：172.16.30.1，内网地址是：192.168.44
14、.0/24。按照本文配置，最终我们可以通过 2 种不同的 VPN 方案使用总共 2 条 VPN 实现3 地 4 个保护子网的互相访问的需求。2，基于策略的 VPN (通道模式)通常 IPSEC VPN 网关所实现的的模式都是基于保护和被保护子网的也就是介于VPN 策略的模式，也叫做基于策略的 VPN 模式，具体配置说明如下详细描述。2 1 配置 FortiGate_1211 配置 IPSEC VPN 阶段一 登陆 FortiGate_1 的 Web 界面，进入虚拟专网-IPSEC-自动交换密钥（IKE），新建阶段一，名称：Spoke_1远程网关：静态 IP 地址IP 地址：172.16.20.
15、1本地接口：wan1模式：主模式认证方式：预共享密钥预共享密钥：123456点开高级选项，去掉“启动 IPSEC 接口模式”前面的勾，其他配置使用默认设置就可以了，具体配置如下图所示：(点击放大)用同样的方法配置另一条 VPN 到 Spoke_2，如下：(点击放大)212 配置 IPSEC VPN 阶段二 登陆 FortiGate_1 的 Web 界面，进入虚拟专网-IPSEC-自动交换密钥（IKE），新建阶段二，名称：FG1toSP1_Tunnel阶段 1：Spoke_1其余配置使用默认设置就可以了 (点击放大)用同样的方法配置另一条 VPN 到 Spoke_2，如下：(点击放大)213 配
16、置防火墙加密规则 2131 定义防火墙地址 进入到防火墙-地址，分别定义本地保护子网地址和远程保护子网地址，具体如下：选择新建，四个地址，名称：Finance_Network；类型：类型：子网/IP 地址范围；子网/IP 地址范围：192.168.12.0/24名称：HR_Network；类型：类型：子网/IP 地址范围；子网/IP 地址范围：192.168.22.0/24名称：Site_1；类型：类型：子网/IP 地址范围；子网/IP 地址范围：192.168.33.0/24名称：Site_2；类型：类型：子网/IP 地址范围；子网/IP 地址范围：192.168.44.0/242132 定
17、义 2 条分别到 2 个分支机构的防火墙策略 规则一：源接口：选则财务所连接的防火墙接口名称，如 Internal源地址：Finance_Network，HR_Network目的接口：选择防火墙的外网口，如 wan1目的地址：Site_1时间表和服务请按照需求选择模式：IPSECVPN 通道：Spoke_1(点击放大)规则二：源接口：选则财务所连接的防火墙接口名称，如 Internal源地址：Finance_Network，HR_Network目的接口：选择防火墙的外网口，如 wan1目的地址：Site_2时间表和服务请按照需求选择模式：IPSECVPN 通道：Spoke_2(点击放大)214
18、 配置 VPN 集中器 进入到虚拟专网-IPSEC-集中器，新建一个集中器：名称：Hub_1可用通道：从左侧可用通道中选择 Spoke_1，Spoke_2(点击放大)2 2 配置 Spoke_1221 配置 IPSEC VPN 阶段一 登陆 Spoke_1 的 Web 界面，进入虚拟专网-IPSEC-自动交换密钥（IKE），新建阶段一，名称：FortiGate_1远程网关：静态 IP 地址IP 地址：172.16.10.1本地接口：wan1模式：主模式认证方式：预共享密钥预共享密钥：123456点开高级选项，去掉“启动 IPSEC 接口模式”前面的勾，其他配置使用默认设置就可以了。222 配置
19、 IPSEC VPN 阶段二 登陆 Spoke_1 的 Web 界面，进入虚拟专网-IPSEC-自动交换密钥（IKE），新建阶段二，名称：SP1toFG1_Tunnel阶段 1：FortiGate_1其余配置使用默认设置就可以了 223 配置防火墙加密规则 2231 定义防火墙地址 进入到防火墙-地址，分别定义本地保护子网地址和远程保护子网地址，具体如下：选择新建，四个地址，名称：Finance_Network；类型：类型：子网/IP 地址范围；子网/IP 地址范围：192.168.12.0/24名称：HR_Network；类型：类型：子网/IP 地址范围；子网/IP 地址范围：192.168
20、.22.0/24名称：Site_1；类型：类型：子网/IP 地址范围；子网/IP 地址范围：192.168.33.0/24名称：Site_2；类型：类型：子网/IP 地址范围；子网/IP 地址范围：192.168.44.0/242232 定义 2 条防火墙策略，一条到总部，一条到另一个分支机构 规则一：源接口：选则财务所连接的防火墙接口名称，如 Internal源地址：Site_1目的接口：选择防火墙的外网口，如 wan1目的地址：Finance_Network，HR_Network时间表和服务请按照需求选择模式：IPSECVPN 通道：FortiGate_1规则二：源接口：选则财务所连接的防
21、火墙接口名称，如 Internal源地址：Site_1目的接口：选择防火墙的外网口，如 wan1目的地址：Site_2时间表和服务请按照需求选择模式：IPSECVPN 通道：FortiGate_12 3 配置 Spoke_2231 配置 IPSEC VPN 阶段一 登陆 Spoke_2 的 Web 界面，进入虚拟专网-IPSEC-自动交换密钥（IKE），新建阶段一，名称：FortiGate_1远程网关：静态 IP 地址IP 地址：172.16.10.1本地接口：wan1模式：主模式认证方式：预共享密钥预共享密钥：123456点开高级选项，去掉“启动 IPSEC 接口模式”前面的勾，其他配置使用
22、默认设置就可以了。232 配置 IPSEC VPN 阶段二 登陆 Spoke_2 的 Web 界面，进入虚拟专网-IPSEC-自动交换密钥（IKE），新建阶段二，名称：SP2toFG1_Tunnel阶段 1：FortiGate_1其余配置使用默认设置就可以了 233 配置防火墙加密规则 2331 定义防火墙地址 进入到防火墙-地址，分别定义本地保护子网地址和远程保护子网地址，具体如下：选择新建，四个地址，名称：Finance_Network；类型：类型：子网/IP 地址范围；子网/IP 地址范围：192.168.12.0/24名称：HR_Network；类型：类型：子网/IP 地址范围；子网/
23、IP 地址范围：192.168.22.0/24名称：Site_1；类型：类型：子网/IP 地址范围；子网/IP 地址范围：192.168.33.0/24名称：Site_2；类型：类型：子网/IP 地址范围；子网/IP 地址范围：192.168.44.0/242332 定义 2 条防火墙策略，一条到总部，一条到另一个分支机构 规则一：源接口：选则财务所连接的防火墙接口名称，如 Internal源地址：Site_2目的接口：选择防火墙的外网口，如 wan1目的地址：Finance_Network，HR_Network时间表和服务请按照需求选择模式：IPSECVPN 通道：FortiGate_1规则
24、二：源接口：选则财务所连接的防火墙接口名称，如 Internal源地址：Site_2目的接口：选择防火墙的外网口，如 wan1目的地址：Site_1时间表和服务请按照需求选择模式：IPSECVPN 通道：FortiGate_13，基于路由的 VPN (接口模式)相同的网络结构相同的需求，FortiGate 可以用一种更加简洁明了的方法来实现，就是使用特有的基于路由的 VPN 模式，又叫做接口模式的 IPSEC VPN，具体配置如下详细说明。3 1 配置 FortiGate_1311 配置 IPSEC VPN 阶段一 登陆 FortiGate_1 的 Web 界面，进入虚拟专网-IPSEC-自动
25、交换密钥（IKE），新建阶段一，名称：Spoke_1远程网关：静态 IP 地址IP 地址：172.16.20.1本地接口：wan1模式：主模式认证方式：预共享密钥预共享密钥：123456点开高级选项，勾上“启动 IPSEC 接口模式”前面的勾，其他配置使用默认设置就可以了，具体配置如下图所示：(点击放大)用同样的方法配置另一条 VPN 到 Spoke_2，如下：(点击放大)312 配置 IPSEC VPN 阶段二 登陆 FortiGate_1 的 Web 界面，进入虚拟专网-IPSEC-自动交换密钥（IKE），新建阶段二，名称：FG1toSP1_Tunnel阶段 1：Spoke_1其余配置使用
26、默认设置就可以了 (点击放大)用同样的方法配置另一条 VPN 到 Spoke_2，如下：(点击放大)这时候进入到：防火墙系统管理-网络-接口 wan1 下面发现防火墙虚拟了 2 个名字分别为 Spoke_1、Spoke_2 的 VPN 接口出来，这时候实际上对于接口Spoke_1、Spoke_2 所具有的功能和操作方式在我们的防火墙里面基本上是完全一致的，只不过防火墙会自动加，解密进出 VPN 虚拟接口的数据，如下图所示：(点击放大)313 配置防火墙区 可以进入防火墙 Web 管理页面，系统管理-网络-区，新建一个区：名称：VPN屏蔽本区域内的流量：不要勾（因为我们的目的是要让总部防火墙可以
27、中转Spoke_1，Spoke_2 之间的 VPN 流量）接口成员：Spoke_1，Spoke_2 具体如下图所示：(点击放大)314 配置防火墙加密规则 3141 定义防火墙地址 进入到防火墙-地址，分别定义本地保护子网地址和远程保护子网地址，具体如下：选择新建，四个地址，名称：Finance_Network；类型：类型：子网/IP 地址范围；子网/IP 地址范围：192.168.12.0/24名称：HR_Network；类型：类型：子网/IP 地址范围；子网/IP 地址范围：192.168.22.0/24名称：Site_1；类型：类型：子网/IP 地址范围；子网/IP 地址范围：192.1
28、68.33.0/24名称：Site_2；类型：类型：子网/IP 地址范围；子网/IP 地址范围：192.168.44.0/243142 定义 4 条分别到 2 个分支机构的防火墙策略 由于虚拟了 VPN 接口，所以定义相关的 VPN 规则和定义普通的防火墙规则变成是一样的。由于防火墙规则定义都是单向的，所以如果我们需要象通道模式那样允许双向的 VPN 流量的话我们需要定义 2 条进出到 VPN 虚拟接口的策略，具体 2 条策略如下：(点击放大)3 2 配置 Spoke_1321 配置 IPSEC VPN 阶段一 登陆 Spoke_1 的 Web 界面，进入虚拟专网-IPSEC-自动交换密钥（I
29、KE），新建阶段一，名称：FortiGate_1远程网关：静态 IP 地址IP 地址：172.16.10.1本地接口：wan1模式：主模式认证方式：预共享密钥预共享密钥：123456点开高级选项，勾上“启动 IPSEC 接口模式”前面的勾，其他配置使用默认设置就可以了。322 配置 IPSEC VPN 阶段二 登陆 Spoke_1 的 Web 界面，进入虚拟专网-IPSEC-自动交换密钥（IKE），新建阶段二，名称：SP1toFG1_Tunnel阶段 1：FortiGate_1其余配置使用默认设置就可以了这时候进入到：防火墙系统管理-网络-接口 wan1 下面同样会发现防火墙虚拟了一个 VPN
30、 接口 FortiGate_1，捆绑在 wan1 下面。 323 配置防火墙加密规则 3231 定义防火墙地址 进入到防火墙-地址，分别定义本地保护子网地址和远程保护子网地址，具体如下：选择新建，四个地址，名称：Finance_Network；类型：类型：子网/IP 地址范围；子网/IP 地址范围：192.168.12.0/24名称：HR_Network；类型：类型：子网/IP 地址范围；子网/IP 地址范围：192.168.22.0/24名称：Site_1；类型：类型：子网/IP 地址范围；子网/IP 地址范围：192.168.33.0/24名称：Site_2；类型：类型：子网/IP 地址范
31、围；子网/IP 地址范围：192.168.44.0/243232 定义 2 条防火墙策略，一条进，一条出 规则一：源接口：选则财务所连接的防火墙接口名称，如 Internal源地址：Site_1目的接口：选择防火墙的虚拟 VPN 接口，是：FortiGate_1目的地址：Finance_Network，HR_Network，Site_2时间表和服务请按照需求选择模式：ACCEPT规则二：源接口：选择防火墙的虚拟 VPN 接口，是：FortiGate_1源地址：Finance_Network，HR_Network，Site_2目的接口：选则财务所连接的防火墙接口名称，如 internal目的地址
32、：Site_1时间表和服务请按照需求选择模式：ACCEPT3 3 配置 Spoke_2331 配置 IPSEC VPN 阶段一 登陆 Spoke_2 的 Web 界面，进入虚拟专网-IPSEC-自动交换密钥（IKE），新建阶段一，名称：FortiGate_1远程网关：静态 IP 地址IP 地址：172.16.10.1本地接口：wan1模式：主模式认证方式：预共享密钥预共享密钥：123456点开高级选项，勾上“启动 IPSEC 接口模式”前面的勾，其他配置使用默认设置就可以了。332 配置 IPSEC VPN 阶段二 登陆 Spoke_2 的 Web 界面，进入虚拟专网-IPSEC-自动交换密钥
33、（IKE），新建阶段二，名称：SP2toFG1_Tunnel阶段 1：FortiGate_1其余配置使用默认设置就可以了这时候进入到：防火墙系统管理-网络-接口 wan1 下面同样会发现防火墙虚拟了一个 VPN 接口 FortiGate_1，捆绑在 wan1 下面。 333 配置防火墙加密规则 3331 定义防火墙地址 进入到防火墙-地址，分别定义本地保护子网地址和远程保护子网地址，具体如下：选择新建，四个地址，名称：Finance_Network；类型：类型：子网/IP 地址范围；子网/IP 地址范围：192.168.12.0/24名称：HR_Network；类型：类型：子网/IP 地址范围
34、；子网/IP 地址范围：192.168.22.0/24名称：Site_1；类型：类型：子网/IP 地址范围；子网/IP 地址范围：192.168.33.0/24名称：Site_2；类型：类型：子网/IP 地址范围；子网/IP 地址范围：192.168.44.0/243332 定义 2 条防火墙策略，一条进，一条出 规则一：源接口：选则财务所连接的防火墙接口名称，如 Internal源地址：Site_2目的接口：选择防火墙的虚拟 VPN 接口，是：FortiGate_1目的地址：Finance_Network，HR_Network，Site_1时间表和服务请按照需求选择模式：ACCEPT规则二：
35、源接口：选择防火墙的虚拟 VPN 接口，是：FortiGate_1源地址：Finance_Network，HR_Network，Site_1目的接口：选则财务所连接的防火墙接口名称，如 internal目的地址：Site_2时间表和服务请按照需求选择模式：ACCEPT设置 FortiGate 管理员权限 本文档针对所有 FortiGate 设备的管理员权限配置进行说明。当 FortiGate 恢复出厂设置后，管理员为 admin，密码为空。 环境介绍： 本文使用 FortiGate400A 做演示。本文支持的系统版本为 FortiOS v3.0 及更高。步骤一：新建一个管理员 在系统管理-管理
36、员设置中可以看到现有管理员列表，点击新建创建一个新管理员。 普通管理员：填写管理员用户名，不能包括字符()#“. 类型： 规则：本地用户类型，即用户信息保存在 FortiGate 中，由 FortiGate 对用户认证 远端：使用 RADIUS、LDAP、TACACS+服务器对用户进行认证，该选项需要预先配置好远端服务器。在设置用户-Remote 中配置远端服务器并在用户组中调用。 PKI：使用数字证书进行认证，当使用 PKI 时同一个账户只能有一个管理员登陆。通配符：在选择远端时显示，勾选该项则账户会通过远端服务器进行认证，不选则账户通过本地 FortiGate 认证。 输入密码：建议密码至
37、少使用 6 位字符，密码最大长度不能超过 32 个字符 可信主机：允许访问 FortiGate 的 IP 地址或地址段，FortiGate 最多支持三个地址段，0.0.0.0/0.0.0.0 表示所有主机都可以访问。 访问表：选择定义好的授权表，也可以创建新的授权表 (点击放大)(点击放大)步骤二：配置授权表 在管理员设置-访问内容表中创建新的授权表；FortiGate 有两个内建的授权表 super_admin（可以完全管理设备）和 super_admin_readonly（可以查看设备所有配置，无法修改），这两个内容表无法编辑和删除。 无：用户不能查看配置，不能修改配置 读：用户可以查看配置，不能修改配置 写：用户可以查看配置，能修改配置 (点击放大)
