Fortinet FortiBridge 1000, Configuration

Page: 208 / 286

194
美国飞塔有限公司
配置 加密策略 IPSec VPN
4 输 入 互联 网 上 的一个 VPN 客户 端 或 是远 程 VPN 网关 后 边 的一个网络的 地址名 ， IP 地址
和网络 掩 码 。
5 单击 确 定以保 存 目的 地址 。
添加 一个 加密策略
1 进 入 防火墙 > 策略 。
2 使用 策略 网 格 选 择要添加策略 的 策略 列表。
例如，内部 -> 端 口 2 或 端 口 3-> 端 口 2 。
3 单击 新 建 以 添加 新的 策略 。
4 把 源地址 设 为源地址 。
5 把 目的 地址 设置 为 目的 地址 。
6 设置服务以 控制 允 许 VPN 连接的服务。
您可以选 择 任意 以 允 许所有支持的 类 型的服务 通 过 VPN 连接，或者选 择 一个特定的
服务或服务 组 ，以限 制 允 许 通 过 这 个 VPN 连接的服务。
7 将动 作 设置 为 接 受 。
8 配置 加密 的参 数 。
关于配置 策略 有关设置的 详 细 信息请 见
FortiGate 安装和配置指南。
9 单击 确 定以保 存加密策略 。
排 列 加密策略 在 策略 列表中的 位 置，使它在其他具有 同样源 和目的 地址 以及服务的
策略 之 上 ，以 确 保 加密策略 能 匹 配 VPN 连接。
VPN 通道 为 这 个 加密策略 选 择 一个自动 密钥通道 。
允 许 向 内 选 择 允 许 向 内 可以 允 许 向 内连接的用户连接到 源地址上 。
允 许 向 外 选 择 允 许 向 外 可以 允 许 向 外连接的用户连接到目的 地址上 。
向 内 NAT FortiGate 可以 把 接 收 到的 向 内的 数 据包的 源地址转 换 为 连接到 源地址 网络
上 的 FortiGate 内部网络接口的 IP 地址 。 通 常这 是 FORTIGate 设备的一个
内部接口。
向 内 NAT 使得本 地主 机 无法 看 到 远 程 主 机 ( 在 远 程 VPN 网关 后面 的网络中的
主 机 ) 的 IP 地址 。
向 外 NAT FortiGate 可以 把向 外发送的 数 据包的 源地址转 换 为 连接到目的 地址 网络 上
的 FortiGate 的网络接口的 IP 地址 。 通 常情况 下 这 是 FortiGate 设备的一
个外部接口。
向 外 NAT 使得 远 程 主 机 无法 看 到本 地主 机 （ 位 于本 地 VPN 网关 后 边 的网络中
的 主 机）的 IP 地址 。
如果 实 现 了向 外 NAT ，它 受 到以 下 限 制 ：
只 能在 通道 的一 端 配置 向 外 NAT 。
没 有 实 现 向 外 NAT 的 那 一 端 需 要 有一个内部 -> 外部的 策略 以将 另 一 端 的外
部接口指定 为 目的 地 （ 这 将 是 一个公 共 IP 地址 ）。
通道 和 通道 中的 通讯 只 能由配置 了向 外 NAT 的 那 一 端 初 始 化 。