说明：如果要删除IPSEC VPN第一阶段、第二阶段时，需要先删除被调用的路由与防火墙安全策略。

四、配置步骤

1、配置FortiGate

1) 基本上网配置

2) 配置IPsec VPN

进入：虚拟专网--IPSEC隧道--"新建"

选择IPsec VPN自定义模板进行配置：

IPsec 第一阶段配置：

IPsec 第二阶段配置：

GUI配置所对应的命令行：

config vpn ipsec phase1-interface

edit "to-branch"

set interface "port2"

set peertype any

set net-device disable

set proposal aes128-sha256 aes256-sha256 aes128-sha1 aes256-sha1

set dpd on-idle

set remote-gw 101.100.1.21

set psksecret Fortinet123#

end

config vpn ipsec phase2-interface

edit "to-branch"

set phase1name "to-branch"

set proposal aes128-sha1 aes256-sha1 aes128-sha256 aes256-sha256

set auto-negotiate enable

set src-subnet 192.168.17.0 255.255.255.0

set dst-subnet 192.168.21.0 255.255.255.0

end

// 不像和Cisco/PA/Juniper/山石，感兴趣流是全0，国内防火墙的主流都是明细感兴趣流的。深信服也通常都是写明细的感兴趣流。

3) 配置VPN相关的策略

命令行：

配置防火墙策略：

config firewall policy
									
    edit 1
									
        set name "TO-Internet-Policy"  // 内网用户上互联网的策略
									
        set srcintf "port1"
									
        set dstintf "port2"
									
        set srcaddr "all"
									
        set dstaddr "all"
									
        set action accept
									
        set schedule "always"
									
        set service "ALL"
									
        set logtraffic all
									
        set logtraffic-start enable
									
        set nat enable
									
    next
									
    edit 2
										
        set name "vpn-to-branch-out"   // VPN out方向策略
										
        set srcintf "port1"
										
        set dstintf "to-branch"
										
        set srcaddr "all"
										
        set dstaddr "all"
										
        set action accept
										
        set schedule "always"
										
        set service "ALL"
										
        set logtraffic all
										
        set logtraffic-start enable
										
    next
										
    edit 3
										
        set name "vpn-to-branch-in"   // VPN in方向策略
										
        set srcintf "to-branch"
										
        set dstintf "port1"
										
        set srcaddr "all"
										
        set dstaddr "all"
										
        set action accept
										
        set schedule "always"
										
        set service "ALL"
										
        set logtraffic all
										
        set logtraffic-start enable
										
    next
										
end

4）配置VPN业务网段的静态路由

命令行：

config router static

edit 1

set gateway 202.100.1.192

set device "port2"

edit 2

set dst 192.168.21.0 255.255.255.0

set device "to-branch"

edit 3

set dst 192.168.21.0 255.255.255.0

set distance 254

set blackhole enable

end

说明：相关VPN的路由配置中“黑洞路由的意义”：

你可能会遇到以下的VPN业务问题：通过VPN的SIP电话，时不时中断，无法向服务器成功注册？通过VPN的Radius认证无法经常会无法认证成功？通过VPN的AP注册到总部时不时会中断？持续的PRGT监控ping总部的服务器，时不时会显示中断？

VPN有时候会因为各种原因重新连接，比如互联网不稳定，PPPOE重新连接更换公网IP地址等，VPN tunnel此时会出现短暂的DOWN，而去往对方的VPN业务网段的路由也会短暂消失，此时VPN的业务流量（SIP注册请求/Radius/Capwap/ICMP）会因为查询到了默认路由而走向了 WAN1（Internet），从而产生了错误的UDP-NAT-Seesion，此时即便VPN tunnel再次UP，VPN业务网段的路由再次恢复，SIP等VPN旧的业务流量依旧会走到错误的Session上去，从而引起该业务异常。

排查思路：通过diagnose sniffer SANGFOR “port 5060”4 以及查看session （diagnose sys session list）去判断问题。

解决此类问题的办法有三种：

办法一：配置去往VPN业务网段的“黑洞路由”，管理距离为254，VPN正常的情况下此黑洞路由不生效，而当VPN中断的时候，黑洞路由浮起来并且生效，将VPN中断时候的VPN流量丢弃，避免将流量转发到互联网而产生错误的session。// 配置VPN的备份黑洞路由的意义在此。

办法二：配置源接口：LAN，目的接口：WAN1，源IP：本地内网网段，目的IP：对端内网网段，动作：丢包的策略。将此去往Internet的私网（无用的）流量丢弃掉，避免FGT产生这种错误的session，从而避免了UDP业务时不时中断的问题。

办法三：在全局下开启“set snat-route-change enable”，一旦路由发生变化，将相关的会话flag置位为“Dirty”，清除路由缓存并重新查找目的IP的下一跳地址，这样VPN隧道恢复的时候，流量也会相应的切换到VPN隧道里面来。

FGT # config system global
FGT (global) # set snat-route-change enable

FGT (global) # end

三种方式任意选择一种即可。推荐使用黑洞路由方式。

----FortiGate的配置全部完成----

2、配置深信服防火墙

1) 基本上网配置

策略：

NAT：

以上配置可以实现内网PC上网正常。

2) 深信服防火墙IPsec VPN的配置

第二阶段算法自定义（安全选项）：to-fgt-p2： SHA256 + AES256 （适配FortiGate的第二阶段默认算法）

配置IPsec VPN第一阶段配置：

注意深信服的主模式不支持NAT-T（NAT穿越），如果存在NAT的场景需要切换为野蛮模式（我们举例不需要使用野蛮），以下截图仅仅是补充说明一下野蛮模式的配置截图：

野蛮模式没有什么特别的，双方的local和peer id匹配即可：

配置IPsec VPN第二阶段配置：

入站策略（第二阶段感兴趣流的源IP网段）

出站策略（第二阶段感兴趣流的目的IP网段）

#

 IPsec VPN的策略配置：
							

  VPN的路由不需要的，深信服并不产生VPN隧道接口，以及相应的VPN路由，因此不需要配置VPN的路由。
							

  上述配置完毕其实可以看到IPsec VPN已经可以协商成功了：
							

  NAT也不需要排除，隧道起来之后，业务直接就可以通信了。
							

----SANGFOR防火墙的配置全部完成----

五、检查配置结果

VPN状态查看：

FGT的VPN状态查看：

查看VPN监视器，观察状态：进入"监视器"--"IPsec监测"

路由状态查看：

命令行查看FGT状态：

FGVM04TM19005798 # get vpn ike gateway to-branch
									

vd: root/0
													
name: to-branch
													
version: 1
													
interface: port2 6
													
addr: 202.100.1.17:500 -> 101.100.1.21:500
													
created: 19117s ago
													
IKE SA  created: 1/10  established: 1/10  time: 150/1065/9240 ms
													
IPsec SA  created: 2/9  established: 2/7  time: 80/80/80 ms
													
  id/spi: 22055 212850d8f4c077fb/ca678bf4cbd3fc1d
													
  direction: responder
													
  status: established 403-403s ago = 150ms
													
  proposal: aes-256-sha256
													
  key: edf2e0f867041268-97287f5732ad0ac3-c83a6ca1da1a4bb5-ebe758cd0218f95f
													
  lifetime/rekey: 86400/85726
													
  DPD sent/recv: 00000000/0000004b

FGVM04TM19005798 # get vpn ipsec tunnel name to-branch
										
gateway
															
  name: 'to-branch'
															
  type: route-based
															
  local-gateway: 202.100.1.17:0 (static)
															
  remote-gateway: 101.100.1.21:0 (static)
															
  mode: ike-v1
															
  interface: 'port2' (6)
															
  rx  packets: 29683  bytes: 3681268  errors: 0
															
  tx  packets: 31926  bytes: 1916352  errors: 108
															
  dpd: on-idle/negotiated  idle: 20000ms  retry: 3  count: 0
															
  selectors
															
    name: 'to-branch'
															
    auto-negotiate: enable
															
    mode: tunnel
															
    src: 0:192.168.17.0/255.255.255.0:0
															
    dst: 0:192.168.21.0/255.255.255.0:0
															
    SA
															
      lifetime/rekey: 43200/42928   
															
      mtu: 1438
															
      tx-esp-seq: 3
															
      replay: enabled
															
      qat: 0
															
      inbound
															
        spi: 1e5e4df1
															
        enc:  aes-cb  8d58ae2bd1ddf96abf269ad8defcbea001d319b2f600a9b977e278bd886d4041
															
        auth: sha256  92f90bd02699dfd1db486a299512ee8402d3d128b1b32974e04ede9c4855cbad
															
      outbound
															
        spi: 4fec3b4a
															
        enc:  aes-cb  2ef8d4302ac512c267a31eb7663b6217978f07c1d18dd4ff7710b8e1ab7ce289
															
        auth: sha256  28887a237cb94e47921c7418f2cdd0fca1e8cc7df510d235c72aa0238ad187a3
															
FGVM04TM19005798 # diagnose vpn ike gateway  list 
												
vd: root/0
																	
name: to-branch
																	
version: 1
																	
interface: port2 6
																	
addr: 202.100.1.17:500 -> 101.100.1.21:500
																	
created: 2264s ago
																	
IKE SA: created 1/1  established 1/1  time 240/240/240 ms
																	
IPsec SA: created 1/2  established 2/2  time 80/40/80 ms
																	
  id/spi: 0 fd71f4ff01bfddff/b3123f085ddf70db
																	
  direction: initiator
																	
  status: established 2264-2264s ago = 240ms
																	
  proposal: aes256-sha256
																	
  key: b3635a3bc1cab488-fb0d4deeeab4706e-12bfdd0ed368a69f-a7a16439d1410046
																	
  lifetime/rekey: 86400/83835
																	
  DPD sent/recv: 00000000/000001a6
																	
FGVM04TM19005798 # diagnose vpn tunnel list 
												
list all ipsec tunnel in vd 0
																
------------------------------------------------------
																
name=to-branch ver=1 serial=5 202.100.1.17:0->101.100.1.21:0 dst_mtu=1500
																
bound_if=6 lgwy=static/1 tun=intf/0 mode=auto/1 encap=none/512 options[0200]=frag-rfc  run_state=0 accept_traffic=1
																
proxyid_num=1 child_num=0 refcnt=14 ilast=0 olast=0 ad=/0
																
stat: rxp=34182 txp=36425 rxb=4239144 txb=2186292
																
dpd: mode=on-idle on=1 idle=20000ms retry=3 count=0 seqno=168
																
natt: mode=none draft=0 interval=0 remote_port=0
																
proxyid=to-branch proto=0 sa=1 ref=4 serial=1 auto-negotiate
																
  src: 0:192.168.17.0/255.255.255.0:0
																
  dst: 0:192.168.21.0/255.255.255.0:0
																
  SA:  ref=3 options=18227 type=00 soft=0 mtu=1438 expire=40655/0B replaywin=2048
																
       seqno=1196 esn=0 replaywin_lastseq=00001195 itn=0 qat=0
																
  life: type=01 bytes=0/0 timeout=42930/43200
																
  dec: spi=1e5e4df1 esp=aes key=32 8d58ae2bd1ddf96abf269ad8defcbea001d319b2f600a9b977e278bd886d4041
																
       ah=sha256 key=32 92f90bd02699dfd1db486a299512ee8402d3d128b1b32974e04ede9c4855cbad
																
  enc: spi=4fec3b4a esp=aes key=32 2ef8d4302ac512c267a31eb7663b6217978f07c1d18dd4ff7710b8e1ab7ce289
																
       ah=sha256 key=32 28887a237cb94e47921c7418f2cdd0fca1e8cc7df510d235c72aa0238ad187a3
																
  dec:pkts/bytes=4501/270060, enc:pkts/bytes=4501/558124
																
run_tally=1

FGVM04TM19005798 # get router info routing-table  all 
										
Routing table for VRF=0
													
Codes: K - kernel, C - connected, S - static, R - RIP, B - BGP
													
       O - OSPF, IA - OSPF inter area
													
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
													
       E1 - OSPF external type 1, E2 - OSPF external type 2
													
       i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
													
       * - candidate default
													
S*      0.0.0.0/0 [10/0] via 202.100.1.192, port2
													
C       192.168.17.0/24 is directly connected, port1
													
S       192.168.21.0/24 [10/0] is directly connected, to-branch
													
C       192.168.91.0/24 is directly connected, port4
													
C       202.100.1.0/24 is directly connected, port2

FGT IKE debug 命令：
										
首先，sniffer抓包确认UDP 500/4500 双方通信是否正常        
										
diagnose sniffer packet any "host 101.100.1.21 and  ( port 500 or port 4500)" 4  //IP换成对方公网IP                                                               
										
UDP 500 或 UDP 4500 这两个端口是IPsec VPN协商协议IKE会使用的端口，一定要互通要通畅，否则VPN无法正常建立，确认互通正常在进行下一步定位
										
然后，通过日志，debug app ike 确认问题是出在第一阶段还是第二阶段                                                                        
										
diagnose vpn ike log-filter dst-addr4 101.100.1.21  //IP换成对方公网IP                                                                 
										
diagnose debug  application ike -1                                                                
										
diagnose debug  enable                                                                         
										
debug具体可参考IPsec VPN排错部分内容。

FortiGate侧业务测试：

FGVM04TM19005798 # execute ping-options source 192.168.17.1  // 在FGT测试IPsec-VPN的业务流量是否可通，需要携带源IP，由于VPN tunnel没有配置IP，必须携带源IP进行业务测试。
				

FGVM04TM19005798 # execute ping 192.168.21.1
				

PING 192.168.21.1 (192.168.21.1): 56 data bytes
							
64 bytes from 192.168.21.1: icmp_seq=0 ttl=255 time=78.4 ms
							
64 bytes from 192.168.21.1: icmp_seq=1 ttl=255 time=77.9 ms
							
64 bytes from 192.168.21.1: icmp_seq=2 ttl=255 time=78.2 ms
							
64 bytes from 192.168.21.1: icmp_seq=3 ttl=255 time=78.0 ms
							
64 bytes from 192.168.21.1: icmp_seq=4 ttl=255 time=78.3 ms
							
--- 192.168.21.1 ping statistics ---
							
5 packets transmitted, 5 packets received, 0% packet loss
							
round-trip min/avg/max = 77.9/78.1/78.4 ms
							
--- 192.168.116.1 ping statistics ---
						
5 packets transmitted, 5 packets received, 0% packet loss
						
round-trip min/avg/max = 76.9/77.0/77.1 ms

FGVM04TM19005798 # execute ping 192.168.21.100
				

PING 192.168.21.100 (192.168.21.100): 56 data bytes
							
64 bytes from 192.168.21.100: icmp_seq=0 ttl=127 time=79.6 ms
							
64 bytes from 192.168.21.100: icmp_seq=1 ttl=127 time=79.5 ms
							
64 bytes from 192.168.21.100: icmp_seq=2 ttl=127 time=87.2 ms
							
64 bytes from 192.168.21.100: icmp_seq=3 ttl=127 time=78.9 ms
							
64 bytes from 192.168.21.100: icmp_seq=4 ttl=127 time=79.1 ms
							
--- 192.168.21.100 ping statistics ---
							
5 packets transmitted, 5 packets received, 0% packet loss
							
round-trip min/avg/max = 78.9/80.8/87.2 ms
							
FGVM04TM19005798 #

SANGFOR防火墙VPN业务状态：

FGT侧的192.168.17.100去访问SANGFOR侧的192.168.21.100过程：

抓包：

FGVM04TM19005798 # dia sni pa any "host 192.168.21.100 or host 101.100.1.21" 4 0 l

interfaces=[any]

2020-05-22 17:28:56.619473 port1 in 192.168.17.100 -> 192.168.21.100: icmp: echo request

2020-05-22 17:28:56.619563 to-branch out 192.168.17.100 -> 192.168.21.100: icmp: echo request

2020-05-22 17:28:56.619594 port2 out 202.100.1.17 -> 101.100.1.21: ESP(spi=0x08f17977,seq=0x4cc)

2020-05-22 17:28:56.698465 port2 in 101.100.1.21 -> 202.100.1.17: ESP(spi=0x32cd6111,seq=0x4bd)

2020-05-22 17:28:56.698491 to-branch in 192.168.21.100 -> 192.168.17.100: icmp: echo reply

2020-05-22 17:28:56.698515 port1 out 192.168.21.100 -> 192.168.17.100: icmp: echo reply

一次ping的sniffer完整过程。

说明：关于sniffer抓VPN业务和ESP的包
抓取IPsec VPN的IKE协商包：
diagnose sniffer packet any "host 101.100.1.21 and (port 500 or port 4500)" 4

抓取IPsec VPN的ESP加密数据包：
diagnose sniffer packet any "host 101.100.1.21 and esp" 4

抓取IPsec VPN的明文业务数据包：
diagnose sniffer packet any "host 192.168.21.100 and icmp" 4

注意：由于存在IPsec VPN芯片加速，因此可能数据包会抓不完全，主要指“ESP数据和明文业务数据”抓不全，因此有时候需要将VPN隧道的NP加速关闭：
FortiGate1_BeiJing # config vpn ipsec phase1-interface
FortiGate1_BeiJing (phase1-interface) # edit VPN
FortiGate1_BeiJing (BJ-OSPF-TO-SH) # set npu-offload disable

FortiGate1_BeiJing (BJ-OSPF-TO-SH) # end

这个部分具体可以查看IPsec VPN排错的内容。

												
FGT/SANGFOR设备上会话状态查询：