Setup SSL VPN

29 Jun

網路基本架構圖

就算你的老闆出差到中國，也能透過SSL VPN 連回公司存取內部資料，甚至避開偉哉網路長城的封鎖，藉由香港的線路正常瀏覽新聞及相關網站。或許，有人會說為什麼不用PPTP VPN，我個人認為PPTP 其實沒有想像中方便，尤其對於一般使用來說，光找出連線設定恐怕就有一定的複雜度，更何況無法預期身處的網路環境是否允許PPTP 封包通過。

至於，啟用的設定方式也很簡單，記得三大原則：
● VPN 使用者及群組的設定
● 防火牆Policy 的設定
● 路由設定

當然，這次還是拿FG60B（FortiOS 3.0 MR7）當範例：

1) 到VPN -> SSL，啟用SSL VPN。參考上方的網路架構圖，設定Tunnel IP 範圍為「192.168.254.1 至 192.168.254.50」。

由於我假設的內部網路為網域環境，所以在進階設定的DNS及WINS Server，都指定AD主機的IP。實務上，如果公司同樣有網域環境，強烈建議設定成跟內部網路環境一樣，在網芳連線上也比較不會有問題。
啟用SSL VPN

2) 到User -> Local 新增使用者。

本範例為建立一個使用者「sslvpn」於本機上。記得..密碼要設定啊！
新增sslvpn的使用者

3) 到User Groups -> 新增群組。

範例所建立的群組名稱為「SSLVPN_GP」，設定SSL VPN 的Tunnel IP 範圍與先前設定一樣，為「192.168.254.1 至 192.168.254.50」。注意！類型需選擇「SSL_VPN」，並且將已經建立好的帳號「sslvpn」選取至Members 裡。

至於其他選項的功能，有興趣的人可以翻原廠文件：SSL VPN User Guide 3.0 MR7。
建立SSVPN_GP的群組及加入使用者

4) 到Firewall -> Policy ，新增相關Policy。依據最上方的網路架構及設想可能的用途，VPN 進來的用戶端及內部網路必須能互相溝通，而且VPN用戶端可透過該設備上網。所以必須增加下列Policy：

● Wan1 -> Internal。注意！「Action」的類型請務必選擇「SSL-VPN」，並且允許「SSLVPN_GP」群組可使用SSL VPN。

其實，這條Policy 就是攸關使用者能否透過https存取及登入的設定，沒有建立這條就啥都別談了。
建立Wan 1 到Internal 的SSL VPN 登入

● Internal -> ssl.root。「ssl.root」指的就是SSL VPN 的網路環境位置，故要讓內部網路能存取到VPN 用戶端的資源，則必須建立相關Policy。
建立內部到VPN 端的Policy

● ssl.root -> Internal。這…不用特別解釋了吧…
建立VPN 端到內部的Policy
建立VPN 端對外的Policy

● ssl.root -> Wan 1。這點要注意的是，因為SSL VPN 用戶端在撥入後，需要透過Fortigate上網，所以務必勾選「NAT」，不然你就在內部網路玩小圈圈就好了。

完成後，除了原本就有的「Internal -> wan 1」，一共增加了四條Policy。 Policy 總覽

5) 到Router -> Static，新增一筆Static Route。由於SSL VPN 的Tunnel IP Range 範例設定為192.168.254.[1-50]，所以我就直接設定「192.168.254.0/255.255.255.0」。注意！Device 類別請記得選「ssl.root」。

你高興的話也可以不要新增啦，只是連上去會發現不能互通而已。
新增路由