FortigateVM 7.0.5 でIPSec-VPNの機能試用をしてみます。

■バージョン
FortiGate for VMware FortiOS v7.0.5 build0304 (GA)
FortiClient 7.0.5.0238

左側DMZ-ClientからFortigateにIPSec-VPNを張り、右側LAN-Clientに通信します。

以下のフローで設定および疎通確認を行います。

■Fortigate
・VPNユーザグループ/ユーザの作成
・VPNトンネルの作成

■Client
・VPNクライアント(FortiClient)のインストール
・IPSec-VPN接続
・IPSec-VPN経由の通信確認

1.Forigate VPNユーザグループ/ユーザの作成

まずはVPN接続に使用するグループ/ユーザから作成します。

1-1.ユーザグループの作成

左ペインの [ユーザ&認証] - [ユーザグループ] を選択します。

上部の [新規作成] を選択します。

以下設定を入力し、 [OK] を押下しユーザグループを作成します。
ユーザグループ名 vpn-group
タイプ ファイアウォール

1-2.ユーザの作成

左ペインの [ユーザ&認証] - [ユーザ定義] を選択します。

上部の [新規作成] を選択します。

ユーザタイプは ローカルユーザ を選択し、 [次へ] を押下します。

ログインクレデンシャルでは以下を入力し、 [次へ] を押下します。
ユーザ名 vpn-user
パスワード 任意のパスワード

コンタクト情報では特に設定せず、 [次へ] を押下します。

エキストラ情報で以下を入力し、[サブミット] でユーザ作成完了となります。
ユーザアカウントステータス 有効化済み
ユーザグループ vpn-group ※事前に作成したユーザグループ

2.ForigateVPNトンネルの作成

IPsec-VPNトンネルを作成します。

[VPN] - [IPsecウィザード] を開きます。

VPNセットアップにて、以下の設定を投入し [次へ] を押下します。
名前 vpn-test-tunnel
テンプレートタイプ リモートアクセス　※今回はFortiClientを利用するため
リモートデバイスタイプ クライアントベース FortiClient

認証にて、以下の設定を投入し [次へ] を押下します。
着信インターフェース port2 ※VPNクライアント側のインターフェース
認証方式 事前共有鍵 ※事前共有鍵はパスフレーズ、シグネチャは公開鍵暗号方式(証明書利用)
事前共有鍵 任意のパスフレーズ
ユーザグループ vpn-group ※上記で作成したユーザグループ

ポリシー&ルーティングにて、以下の設定を投入し [次へ] を押下します。
ローカルインターフェース port3 ※接続先のインターフェース
ローカルアドレス LAN ※接続先インターフェースのIPアドレス範囲、アドレスブックから作成しておく
クライアントアドレス範囲 10.0.2.10-10.0.2.20 ※接続先で利用するアドレスプール
サブネットマスク 255.255.255.0 ※接続先のサブネットマスク
DNSサーバ システムDNSを使う ※デフォルト
IPv4スプリットトンネリングを有効化 On ※デフォルト
エンドポイント登録を許可 On ※デフォルト

クライアントオプションにて、以下の設定を投入し [次へ] を押下します。
パスワード On ※デフォルト
オートコネクト Off ※デフォルト
常にアップ Off ※デフォルト

設定の確認にて内容を確認し、[作成] を押下します。

VPNトンネルが作成されました。
なお、フェーズ1インターフェースがダウンしていますが、こちらはVPNクライアントからの接続があった際にアップします。

3.Client VPNクライアント(FortiClient)のインストール

このステップからはクライアント側のWindowsにて作業を実施します。

3-1.FortiClientのダウンロード

以下サイトにアクセスし、適当なFortiClientをダウンロードします。
※今回はZTNA EditionのWindows 64-bitをダウンロードしています。

3-2.インストールの実施

インストーラーを実行します。

なお、インターネットから追加内容をダウンロードしているようです。

[Yes, I have read and accept the...]をチェックし、 [Next] を押下します。

[Secure Remote Access] は最低限チェックし、 [Next] を押下します。

次の画面は特にチェック不要で[Next] を押下します。

インストール場所を選択して[Next] を押下します。

[Install] を押下します。

インストールが完了しました。[Finish] を押下します。

4.IPSec-VPN接続

4-1.FortiClientの起動

FortiClientを起動します。

FortiClientが起動しました。

4-2. VPN接続設定

左ペインの [リモートアクセス] を表示し、 [VPN設定] を押下します。

新規VPN接続にて、 [IPsec VPN]タブを表示し、以下設定を投入します。投入したら [保存] を押下します。

■基本設定
接続名 FG-VPN ※適当に入力
リモートGW 10.0.1.101 ※VPNのゲートウェイIPアドレスを指定
認証方法 事前共有鍵 設定済みのパスフレーズ ※Foritage側で設定したパスフレーズ
※その他は変更なし

■詳細設定
フェーズ1

IKEプロポーザル暗号方式 DES ※デフォルトはAES128
フェーズ2
IKEプロポーザル暗号方式 DES ※デフォルトはAES128
※その他は変更なし

AESがダメな理由は以下に。

4-3. VPN接続

以下設定を投入し、 [接続] を押下します。
VPN名称 FG-VPN
ユーザ名 vpn-user ※Fortigateで設定したユーザ名
パスワード パスワード ※Fortigateで設定したユーザパスワード

VPN接続が確立できました。

VPNイベントログからも確立が確認できました。

5.IPSec-VPN経由の通信確認

ping/tracertにて、VPN経由で通信できることが確認できました。

リモートデスクトップで接続可能となりました。

6.IPsecトンネルの削除について

事後作業ですが、作成したIPsecトンネルはすぐには削除できません。

以下を削除したのち、削除可能となります。
[ポリシー&オブジェクト] - [ファイアウォールポリシー]
→vpn_[トンネル名]_remote_0 を削除

上記の削除後、IPsecトンネルが削除可能となります。

なお、以下についてはIPsecトンネルを消しても残るため、不要な場合は削除してください。

[ポリシー&オブジェクト] - [アドレス]
→[IP範囲/サブネット]に存在するrangeを削除
→[アドレスグループ]に存在するsplitを削除

参考