Como pasar un fortigate a modo interface.

Cuando tenemos un fortigate sea el modelo que sea, normalmente se tiene un WAN1 y WAN2, sin embargo hay modelos que no cuentan con DMZ o bien, si cuentan con este puerto se requieren mas interfaces para WIFI, Anteneas o enlaces que queremos supervisar mediante el mismo equipo.

Para eso podemos convertir nuestro equipo de modo switch a modo interface, como se hace eso??

Aqui las pantallas.

Se cuenta con un equipo Fortiwifi 80C.

Lo primero es entrar al admin web, deshabilitar el DHCP y borrar la politica default que tiene el equipo, claro que si no esta de fabrica como el que muestro pues habra que borrar todas las politicas que tengas.

 

Fortinet VPN IPSEC entre FortiWifi60B y Fortigate50B

En Artículos anteriores hemos hablado de como hacer una VPN LAN-to-LAN entre un fortinet y un draytek, ahora haremos un LAN-TO-LAN pero entre 2 fortinet, es muy parecido pero algunas cosas cambian.

No habrá mucha explicación ya que podrán guiarse por las pantallas para ver como esta la configuración.

Bueno, primero nos vamos a crear la red local y red remota en:

FirewallObject-Address-Address-CreateNew

En FortiWifi60B nos queda asi:

Y ahora la red remota:

En Fortigate50B (ya como resumen)

Después nos vamos a crear las phases de VPN.

Vamos a: VPN-IpSec-AutoKey-CreatePhase1

En FortiWifi60B

Después Phase2

Ahora en Fortigate50B

Phase1:

Phase2:

Ahora vamos a las Policy's que sin estas no nos funcionaria nada.

En FortiWifi60B

Y en Fortigate50B

Ahora nos vamos a ver el monitor de VPN para corroborar que este arriba el enlace.

Notese que en este caso tengo 2 VPN's una con direcciones internas y otra sin, esto es para hacer match inmediato con las subredes y el que esta en 0.0.0.0 es para dejarlos meterse hasta la cocina haciendo rutas.

Con esto queda la configuración, como siempre recuerda hacer un debug por si no te funciona.

Entras por consola a tu router y escribes:

diag debug app ike -1

despues:

diag debug enable

Para deshabilitar y leer lo que nos marca damos enter y ponemos:

diag debug disable

Bueno siguiendo con los Fortinet en el FortiWifi 60B no se puede asignar una IP por mac address dentro del DHCP.

Estos son los pasos para asignar siempre la misma direccion via DHCP por la MAC Address.

Entramos a la consola de Fortinet:




config system dhcp reserved-address
edit MiCompu
set ip 192.168.99.33
 (Ip que quiero)
set mac 00:04:f1:d4:56:99 (mac)
next
end





Cabe aclarar que la ip que quieras asignarle debe estar dentro del rango del DHCP, en otros equipos y routers esto es fuera del rango sin embargo aqui es asi.

Antes de ir a refrescar la ip de nuestra computadora hay que dar un:

>  exe dhcp lease-clear

Esto para limpiar el cache del dhcp.

Despues para ver nuestras direcciones que tenemos como fijas en el dhcp ponemos:

>  show system dhcp reserved-address

Como hacer una VPN  Lan-to-Lan entre FortiWifi 60C y Draytek 2820

Empezamos con el fortinet:

VPN--IPsec--AutoKey(IKE)--Create Phase 1

Una vez creada la Phase 1 damos click en "Create Phase 2"

Ahora hay que crear una politica para darle permiso de comunicacion entre ambas redes.

Primero se crea un "Address" para decirle que la red local puede acceder a la red remota atra vez de IPSEC.

Firewall--Address--Address--Create New

AddressName              REDLOCAL

Type                            Subnet/IP Range

Subnet/IP Range          192.168.99.0/255.255.255.0           <--En mi caso esta es mi red.

Interface                       INTERNAL

Ahora la Politica en el Firewall

Firewall--Policy--Policy--CreateNew

Ahora vamos con el Draytek, en mi caso es un 2820.

VPN and RemoteAccess--LAN-toLAN--Damos click al numero 1

La primera parte es habilitar el perfil , poner el nombre, decirle por que WAN sale y decirle que es DialOut, aparte se ve la configuracion de dial-Out IPSec Tunnel.

Cuando le dimos click a "Advanced" tenemos que dejar esta ventana de la siguiente manera:

La ultima parte es esta:

Por ultimo veamos si la conexion esta correcta:

Y en Fortinet:

Es todo!!

NOTA: Para hacer un debug y tener mas info por si marca error hacer en consola:

diag debug app ike -1

diag debug en