[4G] 建立與 FortiGate 的 IPSec 連線

先前文章

[RouterOS] 建立與 FortiGate 的 IPSec 連線

是使用 RouterOS 的硬體來處理。

公司一直有使用國內廠商永洋科技的工業級 4G Router，剛好這台有 IPSec 功能，就用來測測看，測試的主機是太陽能案場建築物改建拆回，待改建完成後裝回去的設備，目前該型號已經過舊停產，要買只有新型號，就不把這台型號放上來，因為已經買不到了，永洋的設備網頁畫面幾乎一樣，應該其他型號這部分功能雷同。

這台預設會擋 ICMP 封包，設定前不知道，測試不過才知道，所以設定上要放行，但即使放行，ICMP 封包不會轉到 LAN ，所以只能對 Router 做測試。

關閉阻擋 ICMP 封包

這台支援雙 WAN ，WAN1 我讓他走光纖上網，WAN2 可以兩張 SIM 卡互相備援，一邊不通可以用另一邊，這台預設 WAN1 優先。

所以在建立 IPSec 連線時，須分別對 WAN1 跟 WAN 2 建立通道，分別取名為 toIDC 跟 toIDC4G ，連線時，因為有優先權問題，所以當 WAN1 通的時候，只有 WAN1 會建立連線，WAN2 會處於連接中的持續偵測。

最多可建立 16 條 IPSec 連線

WAN1 跟 WAN2 設定一樣，所以只列一個，FortiGate 的 IPSec 參數請參考前篇這邊只列設備參數，因為設備網頁設計為彈跳式視窗，使用 Div 標籤來做一個小畫面，不利於截圖，所以我是利用瀏覽器列印選擇範圍印出來，跟 FortiGate 呼應的變數用紅框圈起來。

設備呼應 FortiGate IPSec 的參數

連線成功就可以從狀態看到連線的情況，還滿好設定的，一次就上手。

設備狀態展示網頁

透過系統 log 可以看到我插拔 WAN1 網路線時，WAN2 會自動建立 IPSec 連線。

[日期馬賽克] 16:01:32 syslog: 04[IKE] sending DPD request 
[日期馬賽克] 16:01:32 syslog: 04[ENC] generating INFORMATIONAL_V1 request 388906204 [ HASH N(DPD) ] 
[日期馬賽克] 16:01:32 syslog: 04[NET] sending packet: from 172.16.60.239[4500] to [遠端IP馬賽克][4500] (92 bytes) 
[日期馬賽克] 16:01:32 syslog: 15[NET] received packet: from [遠端IP馬賽克][4500] to 172.16.60.239[4500] (92 bytes) 
[日期馬賽克] 16:01:32 syslog: 15[ENC] parsed INFORMATIONAL_V1 request 2283433188 [ HASH N(DPD_ACK) ] 
[日期馬賽克] 16:01:32 syslog: 03[IKE] sending retransmit 3 of request message ID 0, seq 1 
[日期馬賽克] 16:01:32 syslog: 03[NET] sending packet: from 100.120.69.136[500] to [遠端IP馬賽克][500] (409 bytes) 
[日期馬賽克] 16:01:51 syslog: 15[IKE] sending keep alive to [遠端IP馬賽克][4500] 
[日期馬賽克] 16:01:55 syslog: 05[IKE] sending retransmit 4 of request message ID 0, seq 1 
[日期馬賽克] 16:01:55 syslog: 05[NET] sending packet: from 100.120.69.136[500] to [遠端IP馬賽克][500] (409 bytes) 

我約每分鐘快速插拔 WAN1 網路線中，大部分情況都可以完成自動切換，但有發生超過 5 分鐘卡在 4G 建立 IPSec 連線沒有中斷，導致 WAN1 無法建立連線，造成雖然可以上到網際網路，但無法連接到 IPSec VPN 網段內。設備能手動中斷 IPSec 連線，讓設備自動重新建立連線，但找不到有 watch dog 或排程可以處理這塊。

Client 端對 Server 端通聯正常，ICMP 封包跟 http 封包都正常。

Client 連接 Server 的服務

Server 端對 Client 端通聯中，ICMP 封包到 Router 正常，到 Client 裝置會被擋，可能是裝置預設會擋 ICMP 封包 (這邊有確認過 Windows Client 會回應 ICMP 封包)，http 封包都正常，連接的網頁是我在 NB 備份的個人網頁。

Server 連接 Client 的服務

這台設備大體上可用，因為實況上不會碰到 WAN1 經常性斷線、恢復連線，所以不太有機會碰上卡住的情形，由於這台已經停產，官方網站也沒有韌體更新，所以不確定是不是可被修復的 bug 。

[RouterOS] 建立與 FortiGate 的 IPSec 連線

看這篇前，最好把這一篇看一下，重複的就不說了：

[RouterOS] 建立一主二從的 IPsec 通道

我在 IDC 機房有台 FortiGate 的防火牆，已經有現成的 IPSec 的 Server 端，我需要從 Client 端的 RouterOS 建立規則進行連線。

測試的版本是 winbox 是 v3.37 版，RouterOS 是 v7.7 版。

我直接把前篇文章的 p002 進行還原，省得重新設定，所以最好把前一篇看過。

1. 建立 Profile

在 FortiGate 的設定是：

FortiGate Phase 1 Proposal

所以在 RouterOS 設定這樣：

RouterOS Profile 的設定

其中，Diffie-Hellman Group 5 的意思，稍微 Google 就能查到，這邊只貼出 5 ，其他的自己上網找：

Group 5 to use a modular exponentiation group with a 1536-bit modulus.

所以在 RouterOS 選擇 modp1536 即可。

2. 建立 Proposal

在 FortiGate 的設定是：

FortiGate Authentication

FortiGate Phase 2

在 RouterOS 建立一個新的 Proposal ，因為我上面用 IKEv1 ，所以取名成這樣，相關參數參考上方圖「FortiGate Phase 1 Proposal」、「FortiGate Authentication」

RouterOS Proposal 的設定

3. 建立 Peer

在 RouterOS 建立一個新的 Peer ，Address 輸入 IDC 機房 IPSec 伺服器的 IP，相關參數參考上方圖「FortiGate Authentication」

RouterOS Peer 的設定

4. 建立 Identity

在 RouterOS 建立一個新的 Identity ，Secret 輸入上方圖「FortiGate Authentication」中的 Pre-shared Key，My ID 輸入上方圖「FortiGate Authentication」中的 Peer ID

RouterOS Identity 的設定

5. 建立 Policy

在 RouterOS 建立一個新的 Policy ，Src. Address 輸入 Client 端網段，Dst. Address 輸入 Server 端網段

RouterOS Policy 的設定

到此就完成相關設定。

檢視 Active Peers

如果沒有封包流動，只會看到 Uptime 開始計時，這時有可能還有防火牆或路由問題，所以可以用 ping 來扔封包測試。

檢視 RouterOS Active Peers

如果 Client 端無法正確扔資料到 Server 端，可以在路由表加上設定，如反白的那行，我把遠端的封包指到區域網路內：

RouterOS Route List 加上路徑

最後做雙向測試，從 Client TraceRoute 到 Server ，並連接 Server 的服務，反過來從 Server TraceRoute 到 Client ，並連接 Client 的服務，搞定收工。

[網路] FortiGate 200B 備份與還原的位置

今天在防火牆找半天找不到參數備份還原的地方，上網搜尋都是 v3.0 的說明書，對應到 v5.2 完全不一樣，結果在狀態的儀錶板內，真是…

把畫面備份下來自行參考。

備份，點選設定備份，會跳出一個對話盒：

備份

還原，點選設定恢復，會跳出一個對話盒：

還原

比較神奇的是，我的 NB 用 Chrome 登入防火牆，沒有系統管理，其他人都有，也是個怪問題。