Logo CNTTShop.vn

Hotline: 0966 658 525

Hà Nội: NTT03, Line 1, Thống Nhất Complex, 82 Nguyễn Tuân, Thanh Xuân, Hà Nội. ● HCM: Số 31B, Đường 1, Phường An Phú, Quận 2 (Thủ Đức), TP HCM. ===> Đơn Vị Hàng Đầu Trong Lĩnh Vực Cung Cấp Thiết Bị Security - Network - Wifi - CCTV - Conference - Máy chủ Server - Lưu trữ Storge.
Thiết bị mạng: 0862 158 859 - 0966 658 525 Máy chủ Server: 0866 176 188 - 0968 498 887 Purchase: 096 350 6565
Danh mục sản phẩm

Hướng dẫn cấu hình ADVPN Hub-and-Spoke trên Firewall Fortigate

 

Trong bài viết này, mình sẽ hướng dẫn các bạn cấu hình ADVPN Hub-and-Spoke trên Firewall Fortigate.

VPN Hub-and-Spoke là gì?

Hub-and-Spoke là 1 dạng VPN trong đó chúng ta sẽ có 1 thiết bị trung tâm đóng vai trò là Hub. Hub sẽ kết nối VPN tới nhiều remote peer từ xa đóng vai trò là Spoke. Trong mô hình này thì chúng ta sẽ có nhiều Spoke, các Spoke sẽ chỉ kết nối VPN tới Hub, và traffic giữa các Spoke đều được chuyển qua Hub.

so sánh giữa mô hình Point-to-point và hub-and-spoke

Trên Fortigate hiện tại với phiên bản mới, nếu các bạn cấu hình VPN Hub-and Spoke thì nó sẽ là Auto Discovery VPN (ADVPN). Loại VPN này sẽ cho phép Hub thông báo cho các Spoke về tuyến đường tốt hơn cho lưu lượng giữa 2 Spoke, nên traffic giữa các Spoke sẽ không cần phải đi qua Hub nữa.

Mô hình kết nối

Mình đang dựng 1 mô hình Lab đơn giản gồm 3 Firewall Fortigate sử dụng phiên bản OS 7.0, IP WAN thì mình sử dụng 1 switch Layer 2 để giả lập, do vậy thì cả 3 Firewall đều có IP cùng dải. Trong các mô hình khác thì các bạn cũng chỉ cần cấu hình routing sao cho các Firewall có thể ping được đến các IP WAN là được. Bên dưới mỗi firewall mình cấu hình 1 mạng LAN sẽ là LAN local cho VPN và để test kết nối.

mô hình lab vpn hub-and-spoke

Cấu hình VPN Hub-and-Spoke trên Fortigate

Các phần cấu hình IP, routing, policy mình đều đã làm xong, hiện tại các máy tính nội bộ đều đã có thể ping được ra các IP wan. Giờ mình sẽ cấu hình VPN Hub-and-Spoke để kết nối các site này.

Cấu hình trên Hub

Trước tiên các bạn nên cấu hình Firewall đóng vai trò là Hub trước. Truy cập vào Menu VPN > IPSec Wizard.

  • Đặt tên cho VPN tunnel ở mục Name
  • Template type chọn Hub-and-Spoke
  • Sau đó chọn RoleHub

đặt tên cho VPN và chọn loại VPN là Hub-and-Spoke

Incoming Interface chọn cổng WAN trong mô hình của các bạn và nhập Pre-shared key cho VPN tunnel.

chọn cổng WAN và nhập Pre-shared key

Mục Tunnel IPRemote IP này là IP 2 đầu VPN Tunnel, các bạn có thể đổi sang dải khác nếu đang trùng với dải IP nội bộ nhé, mình sẽ để IP là dải 10.10.1.0

cấu hình IP cho VPN tunnel

VPN Hub-and-Spoke sẽ sử dụng các phiên iBGP để trao đổi bảng định tuyến giữa các site, các bạn thiết lập các thông số cho iBGP này

  • Local interface chọn cổng LAN
  • Spoke type chọn Individual
  • Sau đó nhập IP của VPN Tunnel cho các Spoke ở bên dưới, mình đang có 2 Spoke nên mình sẽ tạo 2 IP ở đây.

cấu hình BGP và các IP của Spoke

Chọn Create để tạo VPN.

xem lại các thông số VPN và chọn Create để tạo VPN

Sau khi nhấn Create thì Fortigate sẽ tạo cho chúng ta 2 Spoke Easy Configuration Key bên dưới, các bạn copy lại để add vào Spoke nhé. Config Key này sẽ bao gồm 1 số cấu hình VPN mà chúng ta đã thiết lập trên Hub để chúng ta có thể dễ dàng thiết lập trên Spoke.

Copy configuration key

Như vậy là trên Hub đã xong, giờ mình sẽ cấu hình trên Spoke.

Cấu hình trên Spoke

Trên Spoke thì các bạn cấu hình tương tự như trên Hub. Truy cập vào Menu VPN > IPSec Wizard. Mục Role các bạn chọn là Spoke, sau đó dán config key mà các bạn vừa copy ở Hub và nhấn Apply.

chọn type là Hub-and-Spoke và role là Spoke

Khi đó thì 1 số cấu hình VPN Tunnel sẽ tự động áp dụng vào. Các bạn có thể tự thiết lập cũng được, nhưng phải đảm bảo cấu hình các thông số chính xác theo mô hình. Chúng ta nên sử dụng config key để giảm sai sót trong quá trình cấu hình.

Nhập Pre-shared key vào.

chọn cổng WAN và nhậ Pre-shared key trên spoke

Khi sử dụng Config key thì IP trên tunnel sẽ tự động add vào theo các thông số mà các bạn thiết lập trên Hub.

tunnel interface

Chọn cổng LAN và Local Subnets cho VPN tunnel.

cấu hình policy và routing trên spoke

Xem lại các cấu hình VPN và chọn Create.

review settings

Kiểm tra VPN Status

Sau khi cấu hình xong, các bạn quay lại Hub để kiểm tra. Truy cập vào menu VPN > IPsec Tunnels. VPN tunnel của mình đã UP với 2 dialup connection là 2 Spoke.

kiểm tra trạng thái của VPN

Fortigate cũng đã tạo sẵn cho chúng ta 2 Policy, các bạn có thể sửa các policy này theo nhu cầu của mình nhé.

Add thêm Spoke mới vào VPN

Cấu hình VPN Hub-and-Spoke chỉ đơn giản vậy thôi, nếu các bạn cần add thêm Spoke thì chỉ cần edit VPN trên Hub rồi add thêm Spoke vào là được. Trên Hub, các bạn chọn VPN Tunnel vừa tạo, chọn Edit. Kéo xuống phần Hub & Spoke Topology, chọn nút Add để thêm Spoke mới.

chọn nút Add để thêm Spoke mới

Spoke 3 Mình sẽ để IP là 10.10.1.5.

Nhập IP address cho spoke mới

Sau đó nhấn View ở trên Spoke mới add vào.

nhấn view ở spoke vừa thêm vào

Copy lại Spoke Easy Configuration Key của Spoke mới.

copy configuration key của spoke mới

Sau đó các bạn cấu hình VPN Tunnel trên Spoke mới với Configuration Key vừa copy là xong. Cách cấu hình tương tự như hướng dẫn ở phần cấu hình Spoke.

Ok Như vậy là mình đã hướng dẫn các bạn cấu hình VPN Hub-and-Spoke trên Firewall Fortigate. Nếu các bạn gặp khó khăn gì có thể comment bên dưới bài viết để mọi người cùng khắc phục nhé.

Chúc các bạn thành công!

Lê Văn Tuấn

Là chuyên gia trong lĩnh vực Network System, Security, Server.. Có kinh nghiệm nhiều năm tư vấn giải pháp mạng, triển khai các giải pháp CNTT và phân phối thiết bị mạng Switch, Wifi, Router, Máy chủ Server, Lưu trữ Storage, Tường lửa Firewall, Video Conferencing, Module quang, Load Balancing. Hiện tại tôi là Founder và Managing Director công ty TNHH Công Nghệ Việt Thái Dương (CNTTShop.vn).

Bình luận bài viết!

Có 0 bình luận:
Chuyên mục chính
Bài viết cùng danh mục
Sản phẩm liên quan