Fortinet FortiBridge 1000, Configuration

Page: 212 / 286

198
美国飞塔有限公司
IPSec VPN 集 中 器 IPSec VPN
VPN 辐条 一 般 配置 步骤
一个 实 现 辐条功 能的 远 程 VPN 端 点 需 要 以 下 配置：
· 一个到 集线器 的 通道 （自动 IKE 第一 阶 段和第 二阶 段配置或手工 密钥 配置）。
· 本 地 VPN 辐条 的 源地址 。
· 每 个 远 程 VPN 辐条 的目的 地址 。
· 每 个 远 程 VPN 辐条 一个 独立 的 向 外 加密策略 。 这些 策略 允 许本 地 VPN 辐条 初 始 化 加密
连接。
· 一个 单独 的 向 内 加密策略 。 这 个 策略 允 许本 地 VPN 辐条 接 受 加密 连接。
按 以 下步骤创建 VPN 辐条 配置：
1 在 辐条 和 集线器 之 间 配置 通道 。
选 择 手工 密钥通道 或者自动 IKE 通道 。
·要添加 手工 密钥通道 ，请 见 第 180 页 “ 手工 密钥 IPSec VPN ” 。
·要添加 一个自动 IKE 通道 ，请 见 第 182 页 “ 自动 IKE IPSec VPN ” 。
2 添加源地址 。 需 要 一个本 地 VPN 辐条 的 源地址 。
请 见 第 193 页 “ 添加源地址 ” 。
3 为 每 个 远 程 VPN 辐条 输 入一个目的 地址 。目的 地址是辐条 （ 互联 网 上 的客户 端 或者网
关 后 边 的网络）的 地址 。
请 见 第 193 页 “ 添加 目的 地址 ” 。
4 为 每 个 远 程 VPN 辐条 设置一个 独立 的 向 外 加密策略 。 这 个 策略控制 这 本 地 VPN 辐条 初
始 化 的 加 连接。
加密策略 必 须 包 括 在 步骤 1 中 添加 的 适 当 的 源地址 和目的 地址 和 通道 。使用如 下 配置：
请 见 第 194 页 “ 添加 一个 加密策略 ” 。
5 添加 一个 向 内 加密策略 。 这 个 策略控制 这 由 远 程 VPN 辐条 初 始 化 的 加密 连接。
集线器 的 加密策略 必 须 包含在 步骤 1 中 添加 的 通道 的 源地址 和目的 地址 。使用如 下 配
置：
源 本 地 VPN 辐条 的 地址 。
目的 远 程 VPN 辐条 的 地址 。
动 作 加密
VPN 通道 在 步骤 1 中 添加 的 VPN 通道名 。 ( 对 所有 加密策略 使用 相 同 的 通道名 )
允 许 向 内 不启用。
允 许 向 外 选 择 允 许 向 外。
向 内 NAT 如果 需 要 选 择向 内 NAT 。
向 外 NAT 如果 需 要 选 择向 外的 NAT 。
源 本 地 VPN 辐条 的 地址 。
目的 外部 _ 全部
动 作 加密
VPN 通道 在 步骤 1 中 添加 的 VPN 通道名 。 ( 对 所有 加密策略 使用 相 同 的 通道名 )
允 许 向 内 选 择 允 许 向 内。
允 许 向 外 不启用。