Access Gate mit Fortinet FortiGate bereitstellen

Auf einer FortiGate verbinden Sie Access Gate über zwei Schnittstellen und konfigurieren drei Dinge: eine Route für die Twin-Adressen, eine Firewall-Richtlinie, die diesen Datenverkehr durchlässt, und eine Regel, die ein gesamtes Maschinen-Subnetz durch das Gate leitet. An den Maschinen ändert sich nichts, und das Entfernen der Regel macht alles rückgängig.

Die folgenden Befehle gelten für die FortiGate CLI. Jeder Schritt hat ein Äquivalent in der GUI, unter Network (Schnittstellen, statische Routen, Policy-Routen) und Policy & Objects (Firewall-Richtlinie).

Was Sie aufbauen werden

Die Beispiele verwenden diese Adressen und Schnittstellennamen. Ersetzen Sie sie durch Ihre eigenen.

1. Zwei Ports verbinden

Erstellen Sie eine Schnittstelle für das Admin-VLAN und eine für das dedizierte Subnetz:

config system interface
    edit "admin"
        set ip 192.168.254.1 255.255.255.0
        set allowaccess ping https ssh
        set interface "port5"
        set vlanid 254
    next
    edit "ag-protect"
        set ip 100.65.0.1 255.255.255.248
        set allowaccess ping
        set interface "port1"
        set vlanid 65
    next
end

Verbinden Sie den Port mit admin mit dem Access Gate Admin-Port (5) und den Port mit ag-protect mit dem Protection-Port (1). Der Admin-Port bezieht eine Adresse aus Ihrem Admin-VLAN per DHCP oder verwendet nach etwa einer Minute 10.0.0.1, falls kein DHCP verfügbar ist. Sie können auch eine feste Adresse, z. B. 192.168.254.50, über die Access Gate Konsole festlegen.

2. Route für Twin-Adressen hinzufügen

Access Gate weist jeder Maschine eine Twin-Adresse in 100.64.0.0/16 zu. Teilen Sie der FortiGate mit, wo sich dieser Bereich befindet:

config router static
    edit 0
        set dst 100.64.0.0 255.255.0.0
        set gateway 100.65.0.6
        set device "ag-protect"
    next
end

Diese Adressen werden noch nicht verwendet, daher ändert sich dadurch allein nichts. Sie ermöglicht es, dass Antworten nach Schritt 3 durch das Gate zurückkommen.

Stellen Sie dann sicher, dass Ihre Firewall-Richtlinien den gesteuerten Datenverkehr durchlassen, damit die FortiGate ihn weiterleitet und nicht verwirft:

• von Ihrer Maschinenschnittstelle (ot in den Beispielen) zu ag-protect und zurück;
• von ag-protect zu jeder Schnittstelle, mit der Ihre Maschinen kommunizieren (IT, WAN), und zurück. Nach dem Gate tritt der Datenverkehr auf ag-protect wieder in die FortiGate ein, auf dem Weg zu seinem Ziel.

Erstellen Sie diese unter Policy & Objects → Firewall Policy mit denselben Adressen und Diensten, die Sie heute erlauben.

3. Mit einer Regel umschalten

Diese Regel leitet alles, was aus Ihrem Maschinen-Subnetz kommt, unabhängig vom Ziel zuerst durch das Gate:

config router policy
    edit 1
        set input-device "ot"
        set src "192.168.1.0/255.255.255.0"
        set gateway 100.65.0.6
        set output-device "ag-protect"
    next
end

Diese Policy-Route ist der Schalter. Ihre Maschinen behalten ihre Adresse, ihr Gateway und ihre Einstellungen.

Rückgängig machen: config router policy, dann delete 1, dann end.

4. Funktionsprüfung

Rufen Sie von einer Maschine aus etwas auf, mit dem sie normalerweise kommuniziert, genau wie zuvor:

ping 192.168.2.20

In der Access Gate Konsole erscheint der Datenfluss nun unter dem zugehörigen Enclave. Access Gate startet im Trockenlauf-Modus und zeigt an, was es blockieren würde, ohne tatsächlich etwas zu blockieren, bis Sie die Regeln genehmigen.

Sie können auch die andere Richtung prüfen: Erreichen Sie von einem Computer in Ihrem Büronetzwerk aus eine Maschine über ihre Twin-Adresse (ping 100.64.1.10). Die Route aus Schritt 2 leitet den Datenverkehr zum Gate, das ihn an die echte Maschine weitergibt.

Weitere Optionen

config router static
    edit 10
        set dst 100.64.1.10/255.255.255.255
        set gateway 100.65.0.6
        set device "ag-protect"
    next
end

config system dhcp server
    edit 1
        set interface "ot"
        set dns-service specify
        set dns-server1 100.65.0.6
        config ip-range
            edit 1
                set start-ip 192.168.1.100
                set end-ip 192.168.1.200
            next
        end
    next
end

Was auf der FortiGate verbleibt

Die FortiGate hält eine Route, eine Firewall-Richtlinie und eine Regel, einmalig konfiguriert. Wer welche Maschine erreichen darf, Anmeldung, Sitzungsaufzeichnung, Verschlüsselung und Protokolle liegen alle auf Access Gate. Wenn das Netzwerkteam fragt, was sich an der Firewall ändert, lautet die Antwort: eine Policy-Route, einmalig.

Verwandte Themen

• Schnellstart
• Ein ganzes Subnetz mit einer Router-Regel schützen
• Verbindungsart für Ihre Maschinen wählen
• NetFlow von einer FortiGate an Access Gate senden