Fortigate VPN Lab – IPSec، VTI، GRE، BGP – 51 Security

# خطاهای بازنشانی تشخیصی

# عیب‌یابی اشکال‌زدایی را غیرفعال می‌کند

# عیب‌یابی فیلتر جریان اشکال‌زدایی را پاک می‌کند

# تشخیص ردیابی جریان اشکال زدایی را متوقف می کند

# اشکال زدایی 179 تشخیص پورت فیلتر جریان

# عیب‌یابی جریان، نام تابع را فعال می‌کند

# تشخیص ردیابی جریان اشکال زدایی 454545 اجرا می شود

# عیب‌یابی جریان، iprope را فعال می‌کند

# عیب‌یابی، مهر زمانی کنسول اشکال‌زدایی را فعال می‌کند

# تشخیص اشکال زدایی را فعال کنید

برای توقف اشکال زدایی

# عیب‌یابی اشکال‌زدایی را غیرفعال می‌کند

# خطاهای بازنشانی تشخیصی

# عیب‌یابی فیلتر جریان اشکال‌زدایی را پاک می‌کند

# تشخیص ردیابی جریان اشکال زدایی را متوقف می کند

• پکیج اسنیفر تشخیصی آ
• می تواند یک نام رابط یا “هر” برای همه اینترفیس ها باشد.
• یک عملکرد فیلتر بسیار قدرتمند است که با جزئیات بیشتر توضیح داده خواهد شد.
• به معنای سطح پرحرفی همانطور که قبلاً توضیح داده شد.
• تعداد بسته هایی که sniffer قبل از توقف می خواند. اگر وجود ندارد مقدار (یا تعداد = 0)، Sniffer برای همیشه اجرا می شود تا زمانی که با آن متوقف شود .
• a – بسته ها را با زمان UTC مطلق علامت گذاری می کند.
• l – (حروف کوچک L) بسته ها را با زمان دستگاه LOCAL علامت گذاری می کند.
• (خالی / بدون حرف) – نسبت به شروع ضبط.

• diag sniffer packet port2 هیچ 1 3
• بسته sniffer diag هیچ کدام 5 1
• بسته sniffer تشخیصی wan1 ‘src 10.109.16.137 و net 172.26.48.0/20’ 1 3
• diag sniffer packet wan1 ‘host 10.109.16.137 and host 172.26.48.0/20’ 1 3
• بسته sniffer تشخیصی wan1 ‘src 10.109.16.137 and tcp’ 1 3
• diag sniffer packet wan1 ‘host 10.109.16.137 and host 172.26.48.21 and tcp port 80’ 1 3
• بسته sniffer تشخیصی تصادفی “host 10.10.10.10” 4 10
• 4 سطح 4 مفصل است
• 10 یعنی 10 بسته

VPN مبتنی بر قانون در مقابل VPN مبتنی بر مسیر

به طور پیش‌فرض اینها VPN‌های مبتنی بر مسیر در FGT هستند، باید در قابلیت مشاهده ویژگی‌ها متوجه شوید که VPN‌های مبتنی بر قانون به‌طور پیش‌فرض غیرفعال هستند. می‌توانید از همه 0ها در انتخابگرها استفاده کنید و به مسیریابی خود اجازه دهید آنچه را که به رابط تونل VPN مسیریابی شده و در نهایت رمزگذاری شده است (مقیاس‌پذیرترین گزینه) مدیریت کند.

دامنه های رمزگذاری (گاهی اوقات در vpn مبتنی بر مسیر می توان روی 0.0.0.0/0 تنظیم کرد) نام های مختلف، دامنه های رمزگذاری، انتخابگرهای IP، نقشه های رمزنگاری، شناسه های پروکسی و غیره دارند. کاری که آنها انجام می دهند این است که مشخص می کنند کدام آدرس های IP مجاز به عبور از تونل VPN هستند. تفاوت اصلی FortiGate بین VPN های مبتنی بر مسیر و VPN های مبتنی بر خط مشی این است که VPN های مبتنی بر خط مشی معمولاً از انتخابگرهای فاز 2 برای تعیین اینکه آیا ترافیک باید به داخل تونل VPN منتقل شود یا خیر استفاده می کنند. VPN های مبتنی بر مسیر از مسیریابی برای تعیین اینکه آیا ترافیک را به تونل VPN منتقل کنند یا خیر، استفاده می کنند. یک راه آسان برای فکر کردن به آنها هنگام کار با VPN های مبتنی بر مسیر این است که آنها یک ACL قطعی برای ترافیک هستند من میتوانم از VPN استفاده کنید بنابراین حتی اگر یک بسته را به VPN فوروارد کنید، اگر با انتخابگرها مطابقت نداشته باشد، فوروارد نخواهد شد.

به عنوان یک نکته، می توانید از VPN مبتنی بر مسیر در یک طرف و VPN مبتنی بر قانون در سمت دیگر استفاده کنید. این اغلب با ASA های Cisco (مبتنی بر قانون) به FortiGates (معمولاً به عنوان مبتنی بر مسیر مستقر می شوند) اتفاق می افتد. بخش مهم این است که تا زمانی که انتخابگرهای IP مطابقت دارند، همه چیز باید خوب کار کند. نقشه‌های رمزنگاری ASA معمولاً باریک هستند، بنابراین FortiGate معمولاً دارای نوعی انتخابگر IP است.

توجه: https://customer.cradlepoint.com/s/article/What-is-the-difference-between-VTI-and-policy-based-IPSec

مبتنی بر قانون یا VTI (بر اساس مسیر): کدام را استفاده کنیم؟
برای اتصال چندین سایت با زیرشبکه های منحصر به فرد در یک توپولوژی VPN ساده Hub-and-Spoke، IPSec مبتنی بر قانون باید کافی باشد. چنین توپولوژی در زیر نشان داده شده است (توجه داشته باشید که هیچ همپوشانی زیرشبکه ای در توپولوژی مبتنی بر قانون وجود ندارد):

VTI راه حل پیشنهادی برای ایجاد یک شبکه VPN (جزئی یا کامل) یا هنگام استفاده از زیرشبکه های همپوشانی است. چنین توپولوژی در زیر نشان داده شده است:

تونل VTI در مقابل تونل GRE

مراحل پیکربندی FortiGate برای GRE

show vpn ipsec phase1-interface 
config vpn ipsec phase1-interface
    edit "PRI_REMOTESITE"
        set interface "port1"
        set peertype any
        set net-device disable
        set proposal aes256-sha256
        set dhgrp 2
        set remote-gw 6.17.184.247
        set psksecret ENC ROcEi7SM0.....Zg==
    next

مرحله 2: فاز 2

FGT # show vpn ipsec phase2-interface
config vpn ipsec phase2-interface
    edit "PRI_REMOTESITE"
        set phase1name "PRI_REMOTESITE"
        set proposal aes256-sha256
        set pfs disable
        set encapsulation transport-mode
    next

NETSEC-FGT # show system gre-tunnel 
config system gre-tunnel
    edit "PRI_GRE"
        set interface "PRI_REMOTESITE"
        set remote-gw 6.17.184.247
        set local-gw 10.254.3.5
    next

رابط پیکربندی

رابط نمایش

   edit "PRI_REMOTESITE"
        set vdom "root"
        set ip 10.254.3.5 255.255.255.255
        set type tunnel
        set remote-ip 6.17.184.247 255.255.255.255
        set snmp-index 7
        set interface "port1"

    edit "PRI_GRE"
        set vdom "root"
        set ip 172.31.255.254 255.255.255.255
        set type tunnel
        set remote-ip 172.31.255.253 255.255.255.255
        set snmp-index 9
        set interface "PRI_REMOTESITE"

NETSEC-FGT # show router bgp
config router bgp
    set as 65515
    set holdtime-timer 30
    config neighbor
        edit "172.31.255.253"
            set capability-graceful-restart enable
            set ebgp-enforce-multihop enable
            set soft-reconfiguration enable
            set remote-as 22222
        next
        edit "172.31.255.249"
            set capability-graceful-restart enable
            set ebgp-enforce-multihop enable
            set soft-reconfiguration enable
            set remote-as 22222
            set route-map-out "OUT-TO-MPN"
        next
    end
    config network
        edit 1
            set prefix 10.254.0.0 255.255.0.0
        next
        edit 2
            set prefix 10.111.1.0 255.255.255.0
        next
    end

NETSEC-FGT # show router route-map 
config router route-map
    edit "OUT-TO-MPN"
        config rule
            edit 1
                set match-ip-address "OUT-TO-MPN"
                set set-aspath "65515"
                unset set-ip-prefsrc
            next
        end
    next
end

NETSEC-FGT # show router prefix-list 
config router prefix-list
    edit "OUT-TO-MPN"
        set comments "PRE-PEND"
        config rule
            edit 1
                set prefix 10.254.0.0 255.255.0.0
                unset ge
                unset le
            next
            edit 2
                set prefix 10.111.1.0 255.255.255.0
                unset ge
                unset le
            next
        end
    next
end

منابع

• VPN مبتنی بر مسیر Point را بررسی کنید
• https://yurisk.info/2010/03/26/fortigate-bgp-configure-and-debug/
• https://docs.fortinet.com/document/fortigate/6.2.16/cookbook/426761/site-to-site-vpn-with-overlapping-subnets