作者lovespre (Sprewell)
看板MIS
標題Re: [請益] Forti 的 client 跨 site VPN
時間Tue Aug 17 04:16:51 2021
反覆看了幾遍你的需求應該是這樣
基於某些理由不想讓end user 直接SSLVPN/L2TP/IPsec連B點的firewall
所以在A點做了IPsec/L2TP 跟B點互通後讓end user 走A的防火牆再到B
這問題在一年多前我跟原廠tech support問過類似的他們也是用NAT的方式解決
但當時我是走SSLVPN要到B點的firewall
題外話這問題在台灣挺常見到
我跟老外在做troubleshooting時對方大概都會簡單的講一下理由和需求再講發生的問題
在台灣就像這篇我的問題是這樣要怎麼解 另外L2TP該用capital 不要吝嗇按個shift
想說12tp?? tp stands for???
大部分的人都是樂於分享，但前提是你提供的資訊要夠大家明白你的需求才能幫到
※ 引述《freeunixer (離自相空她相)》之銘言：
: 想請問,
: 兩端已經用 forti 建好一個 siteA <-> siteB 的通道,兩端 lan 可通沒有問題
: 但 fgA 有 l2tp(/ipsec) client 需要經通道進到 fgB 的 lan.
: 已經設定了
: fgA fw rule 允許 l2tp/ipsec 介面(來源)經 sitevpn 介面出去(目的),
: fgB fw rule 允許 fgA 的 VPN client 網段經過 sitevpn 介面進到指定 lan 網段
: 不知還需要設定哪些其它地方?
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 72.137.206.138 (加拿大)
※ 文章網址: https://webptt.com/m.aspx?n=bbs/MIS/M.1629145014.A.04E.html
1F：推 ddoll288: 你認真了XDD 08/17 09:25
2F：→ ddoll288: 不會感謝別人的好意,一昧認為自己對,就讓他自己開心好了 08/17 09:26
3F：→ ddoll288: 也許他已經設定好解答,等著看玩笑罷了? 08/17 09:27
4F：→ ddoll288: 一般用s2s通常會認為兩邊要通,如果不需要通nat也可以啊 08/17 09:29
5F：→ deadwood: 這種需求最近WFH開始成為常態以後就變多了 08/17 09:30
6F：→ ddoll288: 需求講一半,誰知道他要幹嘛?再來幹剿別人都是錯的? 08/17 09:31
7F：→ ddoll288: 我是覺得nat當有問題就很難到來源,log只會看到nat的ip 08/17 09:33
8F：推 giogibyeie: 你真熱心，這種架構都不知做幾個客戶去了，看他回話的 08/17 09:38
9F：→ giogibyeie: 語意，我還是把時間花在其它值得的地方 08/17 09:38
10F：→ infosec: 我翻了翻之前的設定 client - sslvpn - siteA - ipsec - 08/17 10:07
11F：→ infosec: Site B 就只有routing & policy 不用NAT 08/17 10:08
當時我的設定是不能動到B點的設定因為那是廠商的firewall ，那台也是fortigate
SSLVPN預設的IP pool都10開頭，當時實在懶得改自己的firewall設定加上遠端
靠龜速forticloud 去改實在懶惰
問了原廠就說不改SSLVPN IP pool就要靠NAT
反正只是要測一些基本功能而已後來也沒上線XD
※ 編輯: lovespre (99.245.225.176 加拿大), 08/17/2021 10:20:50
12F：→ freeunixer: 是因為有同時要連兩個 fw 內 lan 的需要 08/17 14:22
13F：→ deadwood: 如同前面板友所說，這架構其實早就不知道做幾個客戶去了 08/17 21:11
14F：→ deadwood: 除了多站點，還有地端到雲端或是反過來都有 08/17 21:11
15F：→ deadwood: 只有做作過AWS因為VPC的限制，一定要用NAT轉pool IP 08/17 21:13
16F：→ deadwood: 其他多站點的client VPN 加site to site VPN，要嘛是 08/17 21:16
17F：→ deadwood: policy base 用policy把要進VPN的流量設好，不然就是 08/17 21:17
18F：→ deadwood: route based 用route(大多是static route)設定就好 08/17 21:18