Bài hướng dẫn này nhằm giúp người dùng cấu hình tính năng Web Filtering trên tường lửa FortiGate phiên bản 7.2.9 để quản lý và chặn truy cập vào các trang web không mong muốn. Mục tiêu chính là giúp người quản trị hệ thống:

• Kiểm soát việc truy cập internet của người dùng trong mạng nội bộ.
• Chặn các trang web có nội dung không phù hợp hoặc gây hại như: cờ bạc, nội dung người lớn, lừa đảo, hoặc những trang web không mong muốn khác.
• Tạo các chính sách chặn theo danh mục, URL cụ thể, hoặc từ khóa tùy chỉnh.
• Áp dụng và theo dõi hoạt động chặn trang web qua các log trên FortiGate.

Việc này sẽ giúp nâng cao bảo mật mạng và tối ưu hóa băng thông bằng cách ngăn ngừa người dùng truy cập vào các trang web gây lãng phí tài nguyên hoặc tiềm ẩn nguy cơ bảo mật.

2. Các bước cấu hình

Bài hướng dẫn này chỉ ra cách cấu hình Web Filtering trên FortiGate để chặn truy cập vào các trang web không mong muốn, đặc biệt là chặn trang facebook.com. Cụ thể, các bước bao gồm:

1. Bật tính năng Web Filtering trên FortiGate để kích hoạt khả năng quản lý và chặn các trang web.
2. Tạo Web Filter Profile mới và sử dụng Static URL Filter để chặn truy cập vào các trang web dựa trên URL cụ thể.
3. Cấu hình URL Filter bằng cách thêm facebook.com với tùy chọn Wildcard để đảm bảo chặn tất cả các phiên bản của trang web.
4. Áp dụng profile Web Filter vào chính sách tường lửa (Firewall Policy) để quản lý truy cập internet cho người dùng trong mạng nội bộ.
5. Lưu cấu hình và theo dõi hoạt động qua các log trên FortiGate.
6. Hướng dẫn cấu hình
7. Bật FortiGate Web Filter.

 Trước tiên, bạn cần kích hoạt tính năng Web Filtering trên FortiGate.

• Vào System > Feature Visibility.
• Bật tùy chọn Web Filter và nhấn Apply để lưu lại cấu hình.

2. Tạo Web Filter Profile.

Sau khi kích hoạt, tạo một profile cho Web Filtering để quản lý các chính sách chặn web.

Truy cập vào Security Profiles > Web Filter.

Nhấn Create New để tạo profile mới.

3. Cấu hình URL Filter.

Kích hoạt Static URL Filter:

• Kéo xuống phía dưới, bạn sẽ thấy phần Static URL Filter.
• Nhấn vào nút gạt để bật URL Filter.

Thêm URL vào Static URL Filter:

• Sau khi kích hoạt, một bảng sẽ xuất hiện.
• Nhấn Create New để thêm quy tắc mới.

Cấu hình thông số chặn Facebook:

• URL: Nhập đường dẫn *facebook.com.
• Type: Chọn Wildcard (để chặn tất cả các phiên bản của URL, bao gồm các subdomain như www.facebook.com hoặc m.facebook.com).
• Action: Chọn Block (để ngăn chặn truy cập).
• Status: Chọn Enable (để kích hoạt quy tắc).

 Lưu cấu hình:

• Nhấn OK để lưu lại quy tắc chặn URL này.

Sau khi đã hoàn thành tất cả các bước cấu hình trong Web Filter profile theo yêu cầu, bạn cần nhấn nút OK để lưu lại cấu hình.

4. Gán Web Filter profile vào policy.

Truy cập vào Policy & Objects:

• Điều hướng đến Policy & Objects > Firewall Policy.

Chỉnh sửa Policy truy cập internet:

• Tìm policy hiện đang cho phép người dùng trong mạng nội bộ truy cập internet.
• Nhấn đúp chuột trái vào policy đó để mở cửa sổ chỉnh sửa.

Kích hoạt Web Filter trong Security Profiles:

• Kéo xuống phần Security Profiles.
• Tại mục Web Filter, bật nút gạt để kích hoạt tính năng Web Filter cho policy này.
• Ở mục lựa chọn Web Filter profiles, chọn profile Vacif_Block_Facebook (hoặc tên profile bạn đã tạo trước đó).

Lưu cấu hình:

• Nhấn OK để lưu lại cấu hình.

5. Kiểm tra kết quả.

Sau khi thực hiện các bước trên, FortiGate sẽ chặn truy cập vào các trang web không mong muốn theo cấu hình của bạn. 

1. Mục đích bài viết.

Cấu hình DDNS giúp duy trì kết nối từ xa khi địa chỉ IP công cộng thay đổi, tiết kiệm chi phí so với IP tĩnh, và đảm bảo quản lý truy cập từ xa hiệu quả. Nó hữu ích cho các dịch vụ như VPN và hosting, đồng thời tối ưu hóa bảo mật và xử lý sự cố liên quan đến thay đổi IP.

Bài viết này sẽ hướng dẫn các bạn cấu hình DDNS trên Firewall Fortinet

2. Hướng dẫn cấu hình
3. Cấu hình DDNS trên giao diện web của Fortigate:

Trong mục Network, chọn DNS để truy cập vào cài đặt DNS của Fortigate.

Cấu hình DDNS

• Trong phần DNS Settings, bật tính năng FortiGuard DDNS bằng cách chuyển nút sang trạng thái On.
• Trong mục Interface, chọn giao diện mạng mà bạn muốn giám sát, ví dụ: wan.
• Use public IP address: Bật tùy chọn này để sử dụng địa chỉ IP công cộng.
• Trong mục Server, chọn dịch vụ DDNS mà bạn muốn sử dụng, ví dụ: fortiddns.com.
• Unique location: Nhập tên miền duy nhất mà bạn muốn sử dụng, ví dụ: vacif.
• Kiểm tra trạng thái của tên miền trong phần Domain. Nếu hiện Available!, điều đó có nghĩa là cấu hình đã thành công.

Sau khi hoàn thành các bước trên ấn Apply để lưu cấu hình.

2. Cấu hình DDNS qua CLI trên Fortigate.

Sử dụng terminal hoặc CLI console trên giao diện quản trị web của Fortigate để nhập lệnh.

• config system ddns để bắt đầu cấu hình DDNS.
• edit 1 để bắt đầu chỉnh sửa cấu hình đầu tiên trong danh sách.
• set ddns-server FortiGuardDDNS để chọn máy chủ DDNS là FortiGuard.
• set server-type ipv4 để đặt kiểu server là IPv4.
• set ddns-domain “vacif.fortiddns.com” để chỉ định tên miền DDNS bạn muốn sử dụng.
• set addr-type ipv4 để chọn loại địa chỉ là IPv4.
• set use-public-ip enable để cho phép sử dụng địa chỉ IP công cộng.
• set monitor-interface “wan” để giám sát giao diện WAN.
• next để lưu cấu hình và chuyển sang mục tiếp theo.
• end để kết thúc cấu hình DDNS.

3. Truy cập cổng quản trị thông qua DDNS

Trong mục Network, chọn Interfaces và chọn cổng WAN để truy cập vào cài đặt..

Bật HTTPS lên, chỉ nên bật HTTPS chứ không nên bật HTTP.

Sau đó Apply lưu cấu hình.

Trong mục System, chọn Settings và chọn mục Administrator Settings.

Đổi HTTPS Port thành một Port bất kì, ở đây mình đổi thành Port 8443.

Ở đây mình đã mở Port 8843 để truy cập từ xa.

3. Tổng kết.

Trên đây là bài viết hướng dẫn cấu hình DDNS trên Firewall Fortigate do Vacif biên soạn. Hy vọng với những chia sẻ trên bạn có thể dễ dàng cấu hình và đừng quên theo dõi Vacif để nhận được những thông tin, hướng dẫn mới nhất về các thiết bị mạng. Xin cảm ơn!

Cách cấu hình HA các bạn có thể tham khảo tại đây :

Sơ đồ mạng :

Mục lục :

1. Tách biệt cổng MGMT trong cấu hình HA

2. Tính năng dự phòng dây dẫn khi HA

Nội dung bài lab

1. Tách biệt cổng MGMT trong cấu hình HA

1.1 Tại FortiGate-2

Như các bạn đã biết, sau khi HA thành công thì ta mặc định chỉ có thể truy cập vào 1 thiết bị Fortigate đang ở mode Primary mà thôi. Nếu quá trình HA khi vận hành bị lỗi và quá trình quản lý sẽ rất khó khăn trong việt fix để tìm cách khắc phục

Để dễ hình dung, ở đây mình sẽ gắn thêm 1 thiết bị Switch với vài trò MGMT quản lý 2 thiết bị Fortigate

Bài trước vì Priority của FortiGate-2 lớn hơn ,nên là Primary. Vậy chúng ta chỉ có thể truy cập giao diện cấu hình FortiGate-2 trước

Tại FotiGate-2

Vào Network >> interfaces >> edit port 4 (sơ đồ)

Alias : MGMT

Role : DMZ

IP/Netmask : 10.10.10.2/24

Cho phép Service HTTPS, Ping

Nhấn OK để thiết lập

Tiếp theo các bạn vào System >> HA

Enable tính năng Management Interface Reservation lên

Interface : cổng kết nối đến thiết bị dùng quản lý thiết bị

Gateway : điền IP của thiết bị MGMT

Destination subnet : chọn lọc subnet

Kết quả :

Dùng VPC-2 ping đến IP MGMT của FortiGate-2

1.2 Tại FortiGate-1

Vì đang cấu hình HA nên Fortigate-1 Port4 cũng được đồng bộ như Fortigate-2 có IP MGMT 10.10.10.2

Chúng ta đang muốn tách ra để quản lý nên cần phải đổi IP này thành IP khác

Các bạn tiến hành cấu hình trên giao diện CMD như sau

Kết quả :

Dùng VPC-2 ping thử Port MGMT của FortiGate-1

2. Tính năng dự phòng dây dẫn khi HA

Vì hiện giờ chúng ta đang cấu hình Active-Active, nên lở đâu port2 bị đứt thì FortiGate-2 vẫn là Primary, các thiết bị mà muốn qua nó đễ đi internet thì không được nữa

Để khắc phục điều này ta cần cấu hình thêm tính dự phòng như sau

Tại Monitor interface : thêm Port2

Trong môi trường mạng doanh nghiệp, tính sẵn sàng là một yếu tố quan trọng hàng đầu. Khi mạng không hoạt động, doanh nghiệp sẽ bị gián đoạn hoạt động, gây ảnh hưởng đến sản xuất, kinh doanh và uy tín của doanh nghiệp.

Tính năng HA (High Availability) của Fortigate giúp đảm bảo tính sẵn sàng của mạng bằng cách kết hợp hai hoặc nhiều thiết bị Fortigate lại thành một cụm. Khi một thiết bị Fortigate bị lỗi hoặc ngừng hoạt động, thiết bị còn lại sẽ đảm nhận toàn bộ lưu lượng mạng, giúp mạng vẫn hoạt động bình thường.

Sơ đồ bài lab :

Mục lục :

I. Cấu hình HA Fortigate

1. Điều chỉnh thông tin thiết bị

2. Cấu hình HA

3. Test kết quả sau khi HA

Nội dung cấu hình :

I. Cấu hình HA Fortigate

1. Điều chỉnh thông tin thiết bị

Các bạn nên có bước đổi tên thiết bị để dễ quản lý hơn trước và sau cấu hình HA

Các bạn vào System >> Settings

Host name : đặt tên thiết bị

Time zone : chỉnh múi giờ tương thích

Thiết bị thứ 2 các bạn làm tương tự

2. Cấu hình HA

2.1 Thiết bị Fortigate-1

Các bạn vào System >> HA

Mode : Chọn Active-Active

Device priority : điền số ,số lớn hơn sẽ làm Primary

Group name và Password : hãy đặt tên và password theo sở thích,thông tin này sẽ được điền y hệt vào thiết bị Fortigate-2 còn lại

Heartbeat interfaces : đây là Port dùng để cấu hình HA với thiết bị thứ 2

Nhấn Ok để hoàn thành

Sau khi nhấn OK ở trên thì thiết bị đang ở mode chờ

2.2 Thiết bị Fortigate-2

Tương tự như thiết lập cấu hình HA ở Fortigate-1

Group name và Password : các bạn hãy nhập thông tin đã điền mục tương tự ở Fortigate-1 vào

Sau khi nhấn OK để hoàn thành

Giao diện khi HA thành công

3. Test kết quả sau khi HA

Tại Fortigate-2 mình tiến hành edit Port3

Tại Alias : mình gỏ vào chữ HA

Kết quả : Fortigate-1 Alias Port 3 cũng có tên HA

Fortigate-2 đang làm Primary , mình tiến hành tắt thiết bị 2 này, thì Fortigate-1 đã lên làm Primary và vẫn cho các máy User đi internet bình thường

Trong bài viết này Thegioifirewall sẽ hướng dẫn các bạn cách cấu hình Application Control để ngăn chặn người dùng truy cập các ứng dụng không mong muốn.

2.Sơ đồ mạng

Chi tiết sơ đồ mạng:

Chúng ta có thiết bị tường lửa Fortinet được kết nối internet tại cổng wan1 với IP tĩnh là 115.78.x.x.

Lớp mạng LAN của thiết bị Fortinet được cấu hình tại cổng internal3 với IP là 10.10.12.1/24 và đã được cấu hình DHCP để cấp phát cho các thiết bị kết nối tới nó.

Cuối cùng là máy tính Computer 1 nhận DHCP từ Fortinet có IP 10.10.12.100/24.

Trên thiết bị Fortinet này đã được cấu hình các policy, NAT, routing, … để các máy tính trong mạng LAN như máy Computer 1 đã có thể truy cập internet.

3.Tình huống cấu hình

Thegioifirewall sẽ thực hiện cấu hình tính năng Application Control để chặn truy cập ứng dụng facebook và chặn các ứng dụng liên quan đến game.

4.Các bước cấu hình

• Kiểm tra lại license Application Control.
• Tạo Application Control profile.
• Gán Application Control profile vào policy.

5.Hướng dẫn cấu hình

5.1.Kiểm tra lại license Application Control.

Trước tiên để cấu hình và sử dụng tính năng Application Control trên Fortinet chúng ta cần phải đảm rằng thiết bị tường lửa Fortinet đã kích hoạt license Application Control.

Để kiểm tra chúng ta vào System > FeatureVisibility.

Tại Security Feature chúng ta cần phải đảm bảo rằng tính năng Application Control đã được kích hoạt.

5.2.Tạo Application Control profile

Sau khi đảm bảo rằng license Application Control đã được kích hoạt, để sử dụng tính năng chúng ta cần phải tạo Application Control profile.

Application Control profile là nơi để chúng ta có thể tùy chọn thêm bớt các danh mục, ứng dụng tùy chỉnh vào danh sách các ứng dụng mà chúng ta muốn chặn.

Để tạo Application Control profile chúng ta vào Security Profile > Application Control > nhấn Create New.

Đầu tiên chúng ta cần đặt tên nó, ở đây mình sẽ đặt tên là block-app.

Ở phần Categories chúng ta sẽ có một bảng danh sách các danh mục ứng dụng mà Fortinet đã phân loại.

Như tình huống cấu hình đã đề cập phía trên chúng ta sẽ chặn truy cập các ứng dụng liên quan đến game.

Tại danh mục Game, chúng ta nhấn vào biểu tượng mũi tên hướng xuống và chọn Block để ngăn chặn truy cập các ứng dụng liên quan đến game có trong danh mục này.

Ngoài ra bạn cũng có thể xem chi tiết trong danh mục Game này gồm các ứng dụng gì bằng cách nhấn vào mũi tên hướng xuống và chọn View Signatures.

Đến với yêu cầu số 2 là ngăn chặn truy cập ứng dụng facebook, cũng tại Application Control profile block-app các bạn kéo xuống phần Application and Filter Overrides.

Sau đó nhấn Create New và điền các thông số sau:

• Type: chọn Application
• Action: chọn Block
• Search: nhập vào facebook.
• Application Signature: chọn ứng dụng facebook sau đó nhấn Add Selected.
• Nhấn OK.

Sau đó chúng ta sẽ thấy được ứng dụng Facebook đã được thêm vào bảng tại Application and Filter Overrides.

Sau khi đã hoàn thành các yêu cầu theo tình huống cấu hình, chúng ta nhấn OK để lưu Application Control profile.

5.3. Gán Application Control profile vào policy

Sau khi đã tạo xong Application Control profile, chúng ta cần add chúng ta policy cho phép người dùng trong mạng nội bộ truy cập internet.

Để add chúng ta vào Policy & Object > Firewall Policy >  nhấn đúp chuột trái vào policy cho phép truy cập internet để chỉnh sửa.

Chúng ta kéo xuống và chú ý tại mục Security Profiles, chúng ta cần tích chọn vào nút gạt tại Application Control để bật tính năng này cho policy và sau đó là chọn Application Control profiles block-app mà chúng ta đã tạo trước đó.

Sau đó nhấn OK để lưu.

Trong bài viết này Thegioifirewall sẽ hướng dẫn các bạn cách cấu hình Web Filtering để ngăn chặn người dùng truy cập các trang web không mong muốn.

2.Sơ đồ mạng

Chi tiết sơ đồ mạng:

Chúng ta có thiết bị tường lửa Fortinet được kết nối internet tại cổng wan1 với IP tĩnh là 115.78.x.x.

Lớp mạng LAN của thiết bị Fortinet được cấu hình tại cổng internal3 với IP là 10.10.12.1/24 và đã được cấu hình DHCP để cấp phát cho các thiết bị kết nối tới nó.

Cuối cùng là máy tính Computer 1 nhận DHCP từ Fortinet có IP 10.10.12.100/24.

Trên thiết bị Fortinet này đã được cấu hình các policy, NAT, routing,… để các máy tính trong mạng LAN như máy Computer 1 đã có thể truy cập internet.

3.Tình huống cấu hình

Thegioifirewall sẽ thực hiện cấu hình tính năng Web Filter để chặn truy cập trang facebook và chặn các trang web liên quan đến nội dung người lớn.

4.Các bước cấu hình

• Kiểm tra lại license Web Filter.
• Tạo Web Filter profile.
• Gán Web Filter profile vào policy.

5.Hướng dẫn cấu hình

5.1.Kiểm tra lại license Web Filter.

Trước tiên để cấu hình và sử dụng tính năng Web Filter trên Fortinet chúng ta cần phải đảm rằng thiết bị tường lửa Fortinet đã kích hoạt license Web Filter.

Để kiểm tra chúng ta vào System > FeatureVisibility.

Tại Security Feature chúng ta cần phải đảm bảo rằng tính năng Web Filter đã được kích hoạt.

5.2.Tạo Web Filter profile

Sau khi đảm bảo rằng license Web Filter đã được kích hoạt, để sử dụng tính năng chúng ta cần phải tạo Web Filter profile.

Web Filter profile là nơi để chúng ta có thể tùy chọn thêm bớt các danh mục, URL tùy chỉnh vào danh sách các trang web mà chúng ta muốn chặn.

Để tạo Web Filter profile chúng ta vào Security Profile > Web Filter > nhấn Create New.

Đầu tiên chúng ta cần đặt tên nó, ở đây mình sẽ đặt tên là block-web.

Tại Feature set chúng ta chọn Flow-based và bật tính năng FortiGuard category based filter.

Phía dưới chúng ta sẽ có một bảng danh sách các danh mục web mà Fortinet đã phân loại.

Như tình huống cấu hình đã đề cập phía trên chúng ta sẽ chặn truy cập các trang web người lớn.

Các bạn kéo chuột xuống phía dưới sẽ thấy có các danh mục được đánh dấu là Adult/Mature Content đây là nơi chứa các danh mục web người lớn.

Ví dụ ở đây mình sẽ block truy cập 2 danh mục là Pornography và Nudity and Risque.

Để block 2 danh lục mục này chúng ta chỉ cần nhấn vào danh mục đó và chọn action Block ở phía đầu bảng.

Tiếp theo để block trang facebook.com thì chúng ta cần sử dụng tính năng Static URL Filter.

Để cấu hình tính năng này chúng ta kéo xuống phía dưới sẽ thấy phần Static URL Filter, chúng ta nhấn vào nút gạt tại URL Filter.

Sau đó một bảng sẽ xuất hiện để chúng ta add thông số.

Để cấu hình thông số chúng ta nhấn Create New.

• URL: nhập đường dẫn faecbook.com.
• Type: chọn Wildcard.
• Action: chọn Block.
• Status: chọn Enable.
• Nhấn OK.

Sau khi cấu hình xong URL Filter mà chúng ta vừa sẽ hiển thị như sau.

Sau khi đã hoàn thành các yêu cầu theo tình huống cấu hình, chúng ta nhấn OK để lưu Web Filter profile.

5.3. Gán Web Filter profile vào policy

Sau khi đã tạo xong Web Filter profile, chúng ta cần add chúng ta policy cho phép người dùng trong mạng nội bộ truy cập internet.

Để add chúng ta vào Policy & Object > Firewall Policy >  nhấn đúp chuột trái vào policy cho phép truy cập internet để chỉnh sửa.

Chúng ta kéo xuống và chú ý tại mục Security Profiles, chúng ta cần tích chọn vào nút gạt tại Web Filter để bật tính năng này cho policy và sau đó là chọn Web Filter profiles block-web mà chúng ta đã tạo trước đó.

Sau đó nhấn OK để lưu.

Trong bài viết này thegioifirewall sẽ hướng dẫn các bạn cách cấu hình IPSec VPN Site to site giữa thiết bị Firewall Fortinet với AWS.

2. Sơ đồ mạng

Chi tiết sơ đồ mạng:

Fortinet Firewall:

• Đường truyền internet được kết nối tại wan1 của thiết bị Fortinet Firewall với IP 115.78.x.x.
• Mạng LAN của thiết bị Fortinet Firewall được cấu hình tại Port 2 với IP 10.10.8.0/23 và đã cấu hình DHCP để cấp phát cho các thiết bị kết nối tới nó.

AWS:

• AWS có IP WAN là 3.137.101.133.
• Trong mạng LAN có Linux server với IP 172.31.42.255/20.

3. Tình huống cấu hình

Dựa theo sơ đồ trên chúng ta sẽ cấu hình IPSec VPN Site to site giữa Fortinet Firewall và AWS để cả 2 mạng LAN của 2 bên có thể giao tiếp với nhau.

4. Các bước cấu hình

AWS:

• Tạo AWS Customer Gateway.
• Tạo Virtual Private Gateway.
• Tạo Site-to-site VPN connection.
• Tạo route.
• Tải xuống file cấu hình VPN và tổng hợp các thông tin cần thiết.

Fortinet Firewall:

• Tạo profile cho Local và Remote subnet.
• Tạo VPN tunnels.
• Tạo Static Routes.
• Tạo Policy.

Kiểm tra kết quả.

5. Hướng dẫn cấu hình.

5.1. AWS.

5.1.1. Tạo AWS Customer Gateway

Đăng nhập vào trang AWS Portal với tài khoản quản trị.

Nhấn vào Services và chọn VPC.

Chọn VPC của bạn tại Filter by VPC, đây là VPC bạn sẽ dùng để cấu hình IPSec VPN.

Đi đến VIRTUAL PRIVATE NETWORK (VPN) > Customer Gateways > Nhấn Create Customer Gateway.

Tạo Customer Gateways theo các thông số sau:

• Name: Fortinet Firewall.
• Routing: Static.
• IP Address: nhập vào IP WAN của Fortinet là 115.78.x.x.
• Nhấn Create Customer Gateway để tạo.

5.1.2. Tạo Virtual Private Gateway

Đến VIRTUAL PRIVATE NETWORK > Virtual Private Gateways > Nhấn Create Virtual Private Gateway.

Tạo Virtual Private Gateway với các thông số sau:

• Name tag: VPG-FortinetComunity.
• ASN: Amazon default ASN.
• Nhấn Create Virtual Private Gateway để tạo.

Tiếp theo chúng ta sẽ Add Virtual Private Gateways vừa tạo vào VPC.

Để Add chọn Virtual Private Gateways vừa tạo > nhấn Action > Attach to VPC.

Chọn VPC mà chúng ta đã filter tại bước tạo Customer Gateways và nhấn Yes, Attach để hoàn thành.

Virtual Private Network đã được thêm vào VPC thành công.

5.1.3. Tạo Site-to-site VPN Connection.

Để tạo vào VIRTUAL PRIVATE NETWORK (VPN) > Site-to-Site VPN Connection > nhấn Create VPN Connection.

Tạo với các thông tin sau:

• Name tag: S2S-AWS-to-Fortinet.
• Target Gateway Type: chọn Virtual Private Gateway.
• Virtual Private Gateway *: chọn Virtual Private Gateways vừa tạo ở bước trên.
• Customer Gateway: chọn Existing.
• Customer Gateway ID *: chọn Customer Gateway vừa tạo ở bước trên.
• Routing Option: Static.
• Static IP Prefixes: nhập lớp mạng LAN của Fortinet là 10.10.8.0/23.
• Local IPv4 Network Cidr: nhập 10.10.8.0/23.
• Remote IPv4 Network Cidr: nhập lớp mạng local của AWS là 172.31.32.0/20.
• Nhấn Create VPN Connection.

5.1.4. Tạo route

Chúng ta cần tạo static route để route lớp mạng của AWS thông qua Virtual Gateway.

Để tạo vào VIRTUAL PRIVATE CLOUD > Route Tables > tích chọn route tables đang có > vào Route tab > nhấn Edit Route > nhấn Add route.

Add với các thông số sau:

• Destination: 10.10.8.0/23.
• Target: chọn Virtual Gateway vừa tạo.
• Nhấn Save changes.

5.1.5. Tải xuống file cấu hình VPN và tổng hợp các thông tin cần thiết.

Sau khi tạo VPN Connection chúng ta sẽ tích chọn VPN Connection vừa tạo và nhấn Download Configuration.

Chọn các thông tin như sau để download file cấu hình:

• Vendor: Generic.
• Platform: Generic.
• Software: Vendor Agnostic.
• Ike Version: ikev2.

Chúng ta bật file cấu hình vừa download về chúng ta sẽ có các thông tin như sau.

Phase 1 và Phase 2 của kết nối IPSec.

Phase 1:

Phase 2:

Thông tin về IP WAN của AWS và Fortinet.

• IP WAN AWS: 3.137.101.133.
• IP WAN Fortinet: 115.78.x.x.

5.2.Fortinet Firewall

5.2.1.Tạo profile cho Local và Remote subnet

Chúng ta sẽ thực hiện tạo profile cho Local và Remote subnet.

Để tạo vào Policy & Objects > Addresses > nhấn Create New > Address.

Tạo profile cho Remote subnet với các thông số sau:

• Name: LAN_Fortinet.
• Type: Subnet.
• IP/Netmask: 10.10.8.0/23.
• Interface: any.
• Nhấn OK để lưu.

Tương tự các bước trên chúng ta sẽ tạo profile cho Local subnet theo các thông số sau:

• Name: LAN_AWS.
• Type: Subnet.
• IP/Netmask: 172.31.32.0/20.
• Interface: any.

Nhấn OK để lưu.

5.3.2.Tạo VPN Tunnels

Để tạo VPN Tunnels vào VPN > IPSec Tunnels > nhấn Create New.

Bảng VPN Create Wizard hiện ra điền các thông tin cấu hình như sau:

• Name: VPN_FG_to_AWS
• Template type: chọn Custom
• Nhấn Next để tiếp tục.

Chúng ta sẽ cấu hình bảng Network với các thông số sau:

• IP Version: IPv4
• Remote Gateway: Static IP Address
• IP Address: điền IP WAN của AWS là 3.137.101.133.
• Interface: chọn cổng WAN của thiết bị Fortinet dùng để thiết lập kết nối VPN. Theo sơ đồ chọn cổng wan1.
• Local Gateway: không bật
• Mode Config: bỏ check
• NAT Traversal: chọn Disable
• Dead Peer Detection: chọn Disable

Bảng Authentication:

• Method: chọn Pre-sahred Key
• Pre-shared Key: nhập mật khẩu để thiết lập kết nối VPN (thông tin preshared-key được lưu tại Phase 1 của file cấu hình VPN download về từ AWS).
• IKE Version: 2

Bảng Phrase 1 Proposal: nhập vào các thông tin phase1 trong file cấu hình tải từ AWS.

• Encryption: AES128
• Authentication: SHA1
• Diffe-Hellman Group: chọn 2
• Key Liftime (second): 28800

Bảng Phrase 2 Selectors:

• Local Address: Chọn Subnet và điền lớp mạng LAN 10.10.8.0/23 của Fortinet vào.
• Remote Address: Chọn Subnet và điền lớp mạng LAN 172.31.32.0/20 của AWS vào.

Bảng New Phase 2:

• Encryption: AES128
• Authentication: SHA1
• Enable Perfect Forward Secrecy: tích chọn và chọn Group 2.
• Key Lifetime: chọn Seconds
• Second: 3600

Nhấn OK để tạo IPSec Tunnels.

5.3.3.Tạo Static Routes

Chúng ta cần tạo một static route để định tuyến đường đi đến lớp mạng LAN của AWS thông qua kết nối VPN vừa tạo cho thiết bị tường lửa Fortinet.

Để tạo vào Network > Static Routes và nhấn Create New.

Cấu hình theo các thông số sau:

• Destination: nhập lớp mạng LAN của AWS là 172.31.32.0/20.
• Interface: chọn IPSec tunnels VPN_FG_2_AWS vừa tạo.
• Status: chọn Enable.
• Nhấn OK để lưu.

5.3.4.Tạo Policy

Chúng ta cần tạo policy để cho kết nối VPN có thể truy cập vào mạng LAN của Fortinet và ngược lại.

Để tạo policy vào Policy & Objects > IPv4 Policy và nhấn Create New.

Cấu hình policy cho phép traffic từ lớp mạng LAN của Fortinet đi qua lớp mạng LAN của AWS theo các thông số như sau:

• Name: LAN_TO_AWS
• Incoming Interface: chọn VLAN 2(VLAN2).
• Outgoing Interface: Chọn VPN Tunnels VPN_FG_2_AWS vừa tạo
• Source: Chọn profile LAN_Fortinet
• Destination: Chọn profile LAN_AWS
• Service: Chọn ALL
• Action: Chọn ACCEPT
• Log Allowed Traffic: bật và chọn All Session
• Enable this policy: ON
• Nhấn OK để lưu

Cấu hình policy cho phép traffic từ lớp mạng LAN của AWS đi qua lớp mạng LAN của Fortinet theo các thông số như sau:

• Name: AWS_TO_LAN
• Incoming Interface: Chọn VPN Tunnels VPN_FG_2_AWS vừa tạo
• Outgoing Interface: Chọn VLAN 2(VLAN2)
• Source: Chọn profile LAN_AWS
• Destination: Chọn LAN_Fortinet
• Service: chọn ALL
• Action: Chọn ACCEPT
• Log Allowed Traffic: bật và chọn All Session
• Enable this policy: ON
• Nhấn OK để lưu

5.4.Kiểm tra kết quả.

Trên thiết bị Fortinet để kiểm tra xem tunnel đã chạy chưa vào VPN > IPsec Tunnels > nhấn vào tên của tunnels vừa tạo.

Như hình các bạn có thể thấy tunnel đã UP.

Trên AWS để kiểm tra trạng thái tunnel vào VPC > VIRTUAL PRIVATE NETWORK (VPN) > Site-to-Site VPN Connections > chọn tunnel vừa tạo > nhấn vào tab Tunnel Details.

Như các bạn thấy là tunnels với IP WAN là 3.137.101.133 đã UP.

Thegioifirewall sẽ dùng máy chủ Linux tại AWS để ping đến cổng LAN của Fortinet firewall để kiểm tra xem là kết nối VPN này hoạt động hay không.

Kết quả là ping thành công đến cổng LAN của Fortinet.

Trong bài viết này thegioifirewall sẽ hướng dẫn cách cấu hình IPSec VPN Site to site giữa hai thiết bị tường lửa Fortinet với nhau.

2.Sơ đồ mạng

Chi tiết sơ đồ mạng:

Fortinet FG 1:

• Đường truyền internet được kết nối tại port wan2 với IP tĩnh là 203.205.x.x.
• Mang LAN được cấu hình tại Port 5 với IP 192.168.2.1/24 và đã cấu hình DHCP.

Fortinet FG 2:

• Đường truyền internet được kết nối tại port wan2 với IP tĩnh là 14.161.x.x.
• Mạng LAN được cấu hình tại Port 5 với IP 10.10.10.1/24 và đã cấu hình DHCP.

3.Tình huống cấu hình

Theo các thông số như sơ đồ mạng trên, thegioifirewall sẽ cấu hình IPSec VPN Site to site giữa tường lửa Fortinet FG 1 và Fortinet FG 2 để 2 mạng LAN tại 2 thiết bị có thể giao tiếp với nhau.

4.Các bước cấu hình

Fortinet FG 1:

• Tạo IPSec tunnels

Fortinet FG 2:

• Tạo IPSec tunnels

Kiểm tra kết quả.

5.Hướng dẫn cấu hình

5.1. Fortinet FG 1

5.1.1. Tạo IPSec tunnels

Để tạo IPSec tunnels chúng ta cần đăng nhập vào trang quản trị của Fortinet FG 1 và đến VPN > IPsec tunnels.

Nhấn Create New > IPsec Tunnel và tạo theo các thông số sau.

Tab VPN Setup:

• Name: VPN_FG1_TO_FG2.
• Template type: Site to Site.
• NAT configuration: No NAT between sites.
• Remote device type: FortiGate.
• Nhấn Next.

Tab Authentication:

• Remote device: IP Address.
• Remote IP address: nhập IP WAN của Fortinet FG 2 là 14.161.x.x.
• Outgoing Interface: chọn cổng wan2.
• Authentication method: Pre-shared Key.
• Pre-shared Key: nhập mật khẩu kết nối VPN.
• Nhấn Next.

Tab Policy & Routing:

Local interface: Floor B (192.168.2.0) tức port 5.

Local subnets: 192.168.2.0/24 (Nó sẽ tự hiện ra subnet tương ứng với Local Interface đã chọn phía trên).

Remote subnets: nhập vào lớp mạng LAN của Fortinet FG 2 là 10.10.10.0/24.

Nhấn Create.

Bảng review lại các cấu hình mà chúng ta đã nhập sẽ hiện ra, nếu chúng ta muốn thay đổi có thể bấm vào biểu tượng bút chì.

Sau khi tạo xong IPsec vpn tunnel sẽ hiện ra như hình dưới đây.

Khi kết nối VPN được tạo thì Fortinet cũng sẽ tự động tạo static route ,policy ,group address,  … có liên quan.

Chúng ta vào Network > Interface và thấy được rằng kết nối Ipsec đã được tạo.

 Các group address của 2 lớp LAN của hai thiết bị cũng được tạo tại Policy & Objects > Address.

Static route cũng được tạo tại Network > Static Routes.

Policy cho phép các lưu lượng đi qua lại giữa 2 mạng LAN của hai thiết bị cũng được tạo tại Policy & Objects > IPv4 Policy.

5.2.Fortinet FG 2

5.2.2. Tạo IPSec tunnels

Chúng ta cũng sẽ tạo IPSec tunnels trên Fortinet FG 2 tương tự như chúng ta đã làm trên Fortinet FG 1.

Để tạo IPSec tunnels chúng ta cần đăng nhập vào trang quản trị của Fortinet FG 2 và đến VPN > IPsec tunnels.

Nhấn Create New > IPsec Tunnel và tạo theo các thông số sau.

Tab VPN Setup:

• Name: VPN_FG2_TO_FG1.
• Template type: Site to Site.
• NAT configuration: No NAT between sites.
• Remote device type: FortiGate.
• Nhấn Next.

Tab Authentication:

• Remote device: IP Address.
• Remote IP address: nhập IP WAN của Fortinet FG 2 là 203.205.x.x.
• Outgoing Interface: chọn cổng wan2.
• Authentication method: Pre-shared Key.
• Pre-shared Key: nhập mật khẩu kết nối VPN (lưu ý nhập giống mật khẩu đã đặt ở Fortinet FG 1).
• Nhấn Next.

Tab Policy & Routing:

Local interface: dmz tức port 5.

Local subnets: 10.10.10.0/24 (Nó sẽ tự hiện ra subnet tương ứng với Local Interface đã chọn phía trên).

Remote subnets: nhập vào lớp mạng LAN của Fortinet FG 1 là 192.168.2.0/24.

Nhấn Create.

Bảng review lại các cấu hình mà chúng ta đã nhập sẽ hiện ra, nếu chúng ta muốn thay đổi có thể bấm vào biểu tượng bút chì.

Sau khi tạo xong IPsec vpn tunnel sẽ hiện ra như hình dưới đây.

Khi kết nối VPN được tạo thì Fortinet cũng sẽ tự động tạo static route ,policy ,group address,  … có liên quan.

Chúng ta vào Network > Interface và thấy được rằng kết nối Ipsec đã được tạo.

 Các group address của 2 lớp LAN của hai thiết bị cũng được tạo tại Policy & Objects > Address.

Static route cũng được tạo tại Network > Static Routes.

Policy cho phép các lưu lượng đi qua lại giữa 2 mạng LAN của hai thiết bị cũng được tạo tại Policy & Objects > IPv4 Policy.

5.3.Kiểm tra kết quả

Để thiết lập kết nối IPSec VPN chúng ta vào Monitor > IPsec Monitor trên Fortinet FG 1.

Chúng ta chọn kết nối VPN vừa tạo và nhấn Bring Up > Phase 2 Selector: VPN_FG1_TO_FG2.

Sau khi nhấn Bring Up thì chúng ta thấy rằng kết nối IPsec VPN đã được thiết lập với trạng thái màu xanh lá.

Trên thiết bị Fortinet FG 2 cũng có trạng thái màu xanh lá tương tự.

Bài viết sẽ hướng dẫn cách cấu hình IPSec VPN Site-to-Site giữa hai thiết bị tường lửa Fortinet và Draytek Vigor2925.

2.Sơ đồ mạng

Giải thích sơ đồ mạng:

Site A:

• Chúng ta có đường internet được kết nối ở WAN 1 của thiết bị Fortigate FG-81E với IP WAN tĩnh là 203.205.x.x bằng media converter.
• Tiếp theo là lớp mạng LAN 192.168.2.0/24 được cấu hình ở port 2 của thiết bị Fortinet FG-81E.

       Site B:

• Chúng ta có đường internet được kết nối ở port WAN 1 của thiết bị router Draytek Vigor2925 với IP WAN tĩnh là 113.190.x.x bằng media converter.
• Tiếp theo là lớp mạng LAN 192.168.4.0/24 được cấu hình ở port 1 của thiết bị Draytek.

3.Tình huống cấu hình

Chúng ta sẽ thực cấu hình IPSec VPN Site-to-Site giữa hai thiết bị Fortinet FG-81E và Draytek Vigor2925 để lớp mạng LAN của cả hai site là 192.168.2.0/24 và 192.168.4.0/24 có thể kết nối được với nhau.

4.Các bước cấu hình

Trên thiết bị Draytek Vigor2925:

• Cấu hình Common Settings
• Cấu hình Dial-In Settings
• Cấu hình TCP/IP Network Settings

Trên thiết bị Fortinet FG-81E:

• Tạo VPN Tunnels
• Tạo Static Route
• Tạo Policy

Kiểm tra Kết quả

5.Hướng dẫn cấu hình

5.1.Trên thiết bị Draytek Vigor2925

Để tạo kết nối VPN trên Draytek chúng ta cần đăng nhập vào trang quản trị, sau đó vào VPN and Remote Access > LAN to LAN.

Nhấn vào bất kì Index nào bạn muốn để tạo, ở đây thegioifirewall nhấn vào Index 2.

Bảng Profile Index hiện ra chúng ta sẽ cấu hình các phần Common Settings, Dial-In Settings, TCP/IP Network Settings.

5.1.1.Cấu hình Common Settings

Trong phần này chúng ta sẽ cấu hình các thông số như sau:

• Profile Name: VPN_DR_FG
• Tích chọn Enable this profile
• Call Direction : chọn Dial-Out ( thiết bị Draytek sẽ chờ thiết bị khác tạo kết nối VPN đến )
• Tunnel Mode: chọn Always on
• VPN Dial-Out Through: Chọn WAN1 First và chọn địa chỉ IP của cổng WAN1 là 113.190.x.x
• Netbios Naming Packet: chọn Pass
• Multicast via VPN: Block

5.1.2.Cấu hình Dial-Out Settings

Trong phần này chúng ta sẽ cấu hình các thông số như sau:

• Type of  Server I am calling: chọn IPSec Tunnel IKEv1
• Server IP/Host Name for VPN: điền địa chỉ IP WAN của Fortinet FG-81E là 203.205.x.x vào.
• IKE Authetication Method: tích chọn Pre-Shared Key và nhập password vào ô trống bên cạnh. (Lưu ý ghi nhớ mật khẩu này để nhập tương tự cho bên Fortinet)
• IPSec Security Method: tích chọn High(ESP) và chọn 3DES with authentication.
• Sau đó nhấn Advanced, bảng IKE Advanced settings hiện ra chúng ta sẽ cấu hình với các thông số sau.
• IKE phrase 1 mode (IKEv1): chọn Main mode
• IKE phrase 1 proposal: chọn 3DES_MD5_G2
• IKE phrase 2 proposal: chọn 3DES_MD5
• IKE phrase 1 key lifetime: 28800
• IKE phrase 2 key lifetime: 3600
• Perfect Forward Secret: chọn Disable.
• Nhấn OK để lưu.

5.1.3.Cấu hình TCP/IP Network Settings

Trong phần này chúng ta sẽ cấu hình các thông số sau:

• Remote Network IP: nhập vào IP LAN của Fortinet FG-81E là 192.168.2.1
• Remote Network Mask: chọn 255.255.240.0/20
• Local Network IP: nhập vào IP LAN của Draytek là 192.168.4.1
• Local Network Mask: chọn 255.255.255.0/24
• Nhấn OK để lưu.

Quay trở lại bảng LAN-to-LAN Profiles các bạn tích chọn Enable cho profile index vừa tạo và nhấn OK để enable profile này.

5.2.Trên thiết bị Fortinet FG 81E

5.2.1.Tạo VPN Tunnels

Để tạo VPN Tunnels vào VPN > IPSec Tunnels > nhấn Create New.

Bảng VPN Create Wizard hiện ra điền các thông tin cấu hình như sau:

• Name: VPN_FG_TO_DR
• Template type: chọn Custom
• Nhấn Next để tiếp tục.

Chúng ta sẽ cấu hình bảng Network với các thông số sau:

• IP Version: IPv4
• Remote Gateway: Static IP Address
• IP Address: điền IP WAN của thiết bị Draytek Vigor 2925 là 113.190.x.x
• Interface: chọn cổng WAN của thiết bị Fortinet dùng để thiết lập kết nối VPN. Theo sơ đồ chọn cổng WAN2
• Local Gateway: không bật
• Mode Config: bỏ check
• NAT Traversal: chọn Disable
• Dead Peer Detection: chọn Disable

Bảng Authentication:

• Method: chọn Pre-sahred Key
• Pre-shared Key: nhập mật khẩu để thiết lập kết nối VPN (lưu ý là mật khẩu này phải được đặt giống nhau trên cả 2 thiết bị Draytek và Fortinet).
• IKE Version: 1
• Mode: Main (ID protection)

Bảng Phrase 1 Proposal:

• Encryption: 3DES
• Authentication: MD5
• Diffe-Hellman Group: chọn 2
• Key Liftime (second): 28800

Bảng XAUTH:

• Type: chọn Disable

Bảng Phrase Selectors:

• Local Address: Chọn Subnet và điền lớp mạng LAN 192.168.2.0/24 của Fortinet vào.
• Remote Address: Chọn Subnet và điền lớp mạng LAN 192.168.4.0/24 của Draytek vào.
• Nhấn Advanced… để bảng Phrase 2 Proposal hiện ra.

Bảng Phrase 2 Proposal:

• Encryption: 3DES
• Authentication: MD5
• Enable Perfect Forward Secrecy: bỏ chọn
• Key Lifetime: chọn Seconds
• Second: 3600

Nhấn OK để tạo IPSec Tunnels.

5.2.2.Tạo Static Routes

Chúng ta cần tạo một static route để định tuyến đường đi đến lớp mạng LAN của Draytek thông qua kết nối VPN vừa tạo cho thiết bị tường lửa Fortinet.

Để tạo vào Network > Static Routes và nhấn Create New.

Cấu hình theo các thông số sau:

• Destination: nhập lớp mạng LAN của thiết bị Draytek Vigor 2925 là 192.168.4.0/24.
• Interface: chọn IPSec tunnels VPN_FG_TO_DR vừa tạo.
• Status: chọn Enable.
• Nhấn OK để lưu.

5.2.3.Tạo Policy

Chúng ta cần tạo policy để cho kết nối VPN có thể truy cập vào mạng LAN của Fortinet và ngược lại.

Để tạo policy vào Policy & Objects > IPv4 Policy và nhấn Create New.

Cấu hình policy cho phép traffic từ lớp mạng LAN của Fortinet đi qua lớp mạng LAN của Sophos theo các thông số như sau:

• Name: VPN_FG_TO_DRAYTEK
• Incoming Interface: Floor B (đây là interface LAN 2)
• Outgoing Interface: Chọn VPN Tunnels VPN_FG_TO_DR vừa tạo
• Source: Chọn 192.168.2.0 address
• Destination: Chọn LAN_Draytek
• Service: Chọn ALL
• Action: Chọn ACCEPT
• Log Allowed Traffic: bật và chọn All Session
• Enable this policy: ON
• Nhấn OK để lưu

Cấu hình policy cho phép traffic từ lớp mạng LAN của Draytek đi qua lớp mạng LAN của Fortinet theo các thông số như sau:

• Name: VPN_DRAYTEK_TO_FG
• Incoming Interface: Chọn VPN Tunnels VPN_FG_TO_DR vừa tạo
• Outgoing Interface: Floor B (đây là interface LAN 2)
• Source: Chọn LAN_Draytek
• Destination: Chọn 192.168.2.0 address
• Service: chọn ALL
• Action: Chọn ACCEPT
• Log Allowed Traffic: bật và chọn All Session
• Enable this policy: ON
• Nhấn OK để lưu

5.3.Kiểm tra kết quả

Trên thiết bị Fortinet các bạn có thể check kết VPN thành công hay chưa bằng cách vào Monitor > IPSec Monitor.

Các bạn sẽ thấy kết nối VPN đã được thiết lập và đã có lưu lượng Incoming Data và Outgoing Data.

Chuyển sang thiết bị Draytek các bạn có thể check kết VPN thành công hay chưa bằng cách vào VPN and Remote Access > Connection Management.

Các bạn sẽ thấy kết nối VPN đã được thiết lập nó cung cấp trạng thái của kết nối, thời gian đã kết nối,….

Bài viết sẽ hướng dẫn cách cấu hình IPSec VPN Site-to-Site giữa hai thiết bị tường lửa Sophos XG và Fortinet FG.

2. Sơ đồ mạng

Giải thích sơ đồ mạng:

Site A:

• Chúng ta có đường internet được kết nối ở port 5 của thiết bị Sophos XG 85 với IP WAN tĩnh là 203.205.26.x bằng media converter.
• Tiếp theo là lớp mạng LAN 172.16.0.0/20 được cấu hình ở port 1 của thiết bị Sophos XG 85.

Site B:

• Chúng ta có đường internet được kết nối ở port WAN 1 của thiết bị tường lửa Fortinet FG 81E với IP WAN tĩnh là 203.205.26.x bằng media converter.
• Tiếp theo là lớp mạng LAN 192.168.1.0/24 được cấu hình ở port 1 của thiết bị Fortinet FG 81E.

3. Tình huống cấu hình

Chúng ta sẽ thực cấu hình IPSec VPN Site-to-Site giữa hai thiết bị Sophos XG 85 và Fortinet FG 81E để lớp mạng LAN của cả hai site là 172.16.0.0/20 và 192.168.1.0/24 có thể kết nối được với nhau.

4. Các bước cấu hình

Trên thiết bị Fortinet FG 81E:

• Tạo VPN Tunnels
• Tạo Static Route
• Tạo Policy

Trên thiết bị Sophos XG 85:

• Tạo subnet
• Tạo IPSec Policies
• Tạo IPSec Connection

Kiểm tra Kết quả

5. Hướng dẫn cấu hình

5.1. Trên thiết bị Fortinet FG 81E

5.1.1. Tạo VPN Tunnels

Để tạo VPN Tunnels vào VPN > IPSec Tunnels > nhấn Create New.

Bảng VPN Create Wizard hiện ra điền các thông tin cấu hình như sau:

• Name: VPN_FG_2SOPHOS
• Template type: chọn Custom
• Nhấn Next để tiếp tục.

Chúng ta sẽ cấu hình bảng Network với các thông số sau:

• IP Version: IPv4
• Remote Gateway: Static IP Address
• IP Address: điền IP WAN của thiết bị Sophos XG 85 là 203.205.26.x
• Interface: chọn cổng WAN của thiết bị Fortinet dùng để thiết lập kết nối VPN. Theo sơ đồ chọn cổng WAN1
• Local Gateway: không bật
• Mode Config: bỏ check
• NAT Traversal: chọn Disable
• Dead Peer Detection: chọn Disable

Bảng Authentication:

• Method: chọn Pre-shared Key
• Pre-shared Key: nhập mật khẩu để thiết lập kết nối VPN (lưu ý là mật khẩu này phải được đặt giống nhau trên cả 2 thiết bị Sophos và Fortinet).
• IKE Version: 1
• IKE Mode: Main(ID protection)

Bảng Phrase 1 Proposal:

• Encryption: AES256
• Authentication: SHA256
• Diffe-Hellman Group: chọn 14
• Key Liftime (second): 5400

Bảng XAUTH:

• Type: chọn Disable

Bảng Phrase 2 Selectors:

• Local Address: Chọn Subnet và điền lớp mạng LAN 192.168.1.0/24 của Fortinet vào.
• Remote Address: Chọn Subnet và điền lớp mạng LAN 172.16.0.0/20 của Sophos vào.
• Nhấn Advanced… để bảng Phrase 2 Proposal hiện ra.

Bảng Phrase 2 Proposal:

• Encryption: AES128
• Authentication: SHA256
• Enable Perfect Forward Secrecy: bỏ chọn
• Key Lifetime: chọn Seconds
• Second: 3600

Nhấn OK để tạo IPSec Tunnels.

5.1.2. Tạo Static Routes

Chúng ta cần tạo một static route để định tuyến đường đi đến lớp mạng LAN của Sophos thông qua kết nối VPN vừa tạo cho thiết bị tường lửa Fortinet.

Để tạo vào Network > Static Routes và nhấn Create New.

Cấu hình theo các thông số sau:

• Destination: nhập lớp mạng LAN của thiết bị Sophos XG 85 là 172.16.0.0/24.
• Interface: chọn IPSec tunnels VPN_FG_2_SOPHOS vừa tạo.
• Status: chọn Enable.
• Nhấn OK để lưu.

5.1.3. Tạo Policy

Chúng ta cần tạo policy để cho kết nối VPN có thể truy cập vào mạng LAN của Fortinet và ngược lại.

Để tạo policy vào Policy & Objects > IPv4 Policy và nhấn Create New.

Cấu hình policy cho phép traffic từ lớp mạng LAN của Fortinet đi qua lớp mạng LAN của Sophos theo các thông số như sau:

• Name: VPN_FG_2_SOPHOS
• Incoming Interface: VLAN-KH(đây là interface LAN 1)
• Outgoing Interface: Chọn VPN Tunnels VPN_FG_2_SOPHOS vừa tạo
• Source: Chọn VLAN-KH address
• Destination: Chọn VLAN_Sophos
• Service: Chọn ALL
• Action: Chọn ACCEPT
• Log Allowed Traffic: bật và chọn All Session
• Enable this policy: ON
• Nhấn OK để lưu

Cấu hình policy cho phép traffic từ lớp mạng LAN của Sophos đi qua lớp mạng LAN của Fortinet theo các thông số như sau:

• Name: VPN_SOPHOS_2_FG
• Incoming Interface: Chọn VPN Tunnels VPN_FG_2_SOPHOS vừa tạo
• Outgoing Interface: VLAN-KH(đây là interface LAN 1)
• Source: Chọn VLAN_Sophos
• Destination: Chọn VLAN-KH address
• Service: chọn ALL
• Action: Chọn ACCEPT
• Log Allowed Traffic: bật và chọn All Session
• Enable this policy: ON
• Nhấn OK để lưu

5.2 Trên thiết bị Sophos XG 85

5.2.1. Tạo subnet

Chúng ta sẽ tạo subnet cho 2 lớp mạng 172.16.0.0/24 của Sophos và 192.168.1.0/24 của Fortinet.

Để tạo vào Hosts and services nhấn Add và tạo theo các thông tin sau.

Subnet Sophos:

• Name: LAN_Q9DQH_HEAD
• IP Version: IPv4
• Type: Network
• IP address: 172.16.0.0 – Subnet: 255.255.240.0
• Nhấn Save để lưu

Subnet Fortinet:

• Name: LAN_KH_FG
• IP Version: IPv4
• Type: Network
• IP address: 192.168.1.0 – Subnet: 255.255.255.0
• Nhấn Save để lưu

5.2.2. Tạo IPSec Policies

Để tạo IPSec Policies vào VPN > IPSec policies và nhấn Add.

Cấu hình theo các thông số sau.

Bảng General Settings:

• Name: VPN_SOPHOS_2_FG
• Key exchange: IKEv1
• Authentication mode: Main mode

Bảng Phrase 1:

• Key life: 5400
• Re-key margin: 360
• Randomize re-keying margin by: 50
• DH group (key group): 14 (DH2048)
• Enccryption: AES256
• Authentication: SHA2 256

Bảng Phrase 2:

• PFS group (DH group): None
• Key life: 3600
• Encryption: AES128
• Authentication: SHA2 256

Bảng Dead Peer Detection:

• Dead Peer Detection: tích chọn
• Check peer after every: 30
• Wait for response up to: 120
• When peer unreachable: Re-initiate

Nhấn Save để lưu.

5.2.3. Tạo IPSec Connection

Để tao vào VPN > IPSec Connection và nhấn Add.

Cấu hình theo các thông số sau.

Bảng General settings:

• Name: VPN_SOPHOS_2_FG
• IP version: IPv4
• Connection type: Site-to-site
• Gateway type: Initiate the connection
• Tích chọn Create firewall rule

Bảng Encryption:

• Policy: chọn VPN_SOPHOS_2_FG
• Authentication type: chọn Preshared key
• Preshared key: nhập mật khẩu kết nối VPN (lưu ý phải đặt giống với bên thiết bị Fortinet)
• Repeat preshared key: nhập lại mật khẩu kết nối

Bảng Gateway settings:

• Listening interface: chọn Port5-203.205.26.x
• Local Subnet: chọn subnet LAN_Q9DQH_Head vừa tạo.
• Gateway address: nhập IP WAN của Fortinet 203.205.35.x
• Remote subnet: chọn subnet LAN_KH_FG

Nhấn Save để lưu.

5.3 Kiểm tra kết quả

Quay trở lại với IPSec Connection chúng ta sẽ thấy VPN Connection mà chúng ta vừa tạo vẫn chưa được bật.

Nhấn vào chấm tròn ở cột Active và nhấn OK để bật VPN connection, lúc này mày của chấm tròn sẽ chuyển sang màu xanh lá.

Các bạn chờ khoản 2 đến 3 giây thì chấm tròn ở cột Connection sẽ chuyển sang màu xanh lá tức là kết nối VPN giữa Sophos và Fortinet đã được thiết bị thành công.

Chuyển sang thiết bị Fortinet các bạn có thể check kết VPN thành công hay chưa bằng cách vào Monitor > IPSec Monitor.

Các bạn sẽ thấy kết nối VPN đã được thiết lập và đã có lưu lượng Incoming Data và Outgoing Data.