Fortinet FortiBridge 1000, Конфигурация

Страница: 197 / 286

IPSec VPN 自动 IKE IPSec VPN
FortiGate-1000 安装和配置指南
183
为 自动 IKE VPN 添加 第一 阶 段配置
当 您 添加 第一 阶 段配置的时 候 ，您 需 要 定 义 FortiGate 设备和 VPN 远端 （网关或
客户）用于 彼 此 认证以 建立 IPSec VPN 通道 的有关 条 件。
第一 阶 段配置和第 二阶 段配置 彼 此相 关。在第一 阶 段中 VPN 的 两 端是 经过认证的，
在第 二阶 段 则 建立 起 了通道 。您可以选 择 使用 相 同 的第一 阶 段参 数建立 多个 通道 。换
句 话 说， 同 一个 远 程 VPN 端 点 （网关或客户）可以有多个连接到本 地 VPN 端 点
（ FortiGate 设备）的多个 通道 。
当 FortiGate 设备 收 到一个 IPSec VPN 连接请 求 时，它 首 先 根据第一 阶 段参 数 认证
VPN 端 点。 然 后 ，它根据请 求 的 源地址 和目的 地址 发 起 一个 IPSec VPN 通道 和 应 用 加密
策略 。
按 以 下步骤添加 第一 阶 段配置：
1 进 入 VPN > IPSEC > 第一 阶 段。
2 单击 新 建 以 添加 新的第一 阶 段配置。
3 输 入 远 程 VPN 端 点的网关 名 称 。
远端 VPN 端 点可以 是 另 一个网络的网关或者 互联 网 上 的一个 独立 的客户。
这 个 名 称 可以含有 数 字 （ 0-9 ）， 大 写 和 小 写 字 母 （ A-Z ， a-z ），以及特 殊 字 符 - 和
_ 。不能使用其它特 殊 字 符 或者 空 格符 。
4 选 择远 程网关 地址 类 型。
· 如果 远 程 VPN 端 点有 静态 IP 地址 ，选 择静态 IP 地址 。
· 如果 远 程 VPN 端 点使用动 态 IP 地址 （ DHCP 或 PPPoE ），或者 远 程 VPN 端 点有一个 无
须 端 点 识别 处理的 静态地址 ，选 择拨 号用户。
根据您所选 择 的 远 程网关 地址 类 型，可能 还 要 填 写 其他 栏 目。
5 选 择进 取模式或 主 模式 （ ID 保护）。
当 使用 进 取模式时， VPN 双 方 使用明文 交 换 识别 信息。 当 使用 主 模式时， 识别 信息 是 隐
藏 的。
VPN 双 方 必 须 使用 同 一模式。
6 配置 P1 提 议 。
最 多可以 为 第一 阶 段的提 议 选 择 三 个 加密 算法 和认证 算法 。
VPN 通道 的 两 端 必 须 使用 相 同 的 P1 阶 段提 议 设置。
7 选 择 DH 组 。
选 择 一个或多个 Diffie-Hellman 组 用于 IPSec VPN 连接的第一 阶 段中的提 议 。
一 般 来 说， VPN 双 方 应当 使用 相 同 的 DH 组 设置。
远 程网关： 静态 IP 地址
IP 地址 如果您选 择了静态 IP 地址 ，将出现 地址 栏 。 输 入连接到 FortiGate 设备的
远 程 IPSec VPN 网关或者客户的 IP 地址 。 这 个内容 是 必 须输 入的。
远 程网关： 拨 号用户
端 点选项 如果您选 择了拨 号用户，在高 级 选项中将出现 端 点选项。可以使用 端 点选项
在第一 阶 段 协 商中认证 远 程 VPN 的 ID 。 详 细 信息请 见 步骤 2 。