[Case] VPN連線問題

[chabaterii09 (小豆子)]

[硬體資訊]

中華電信1固 網路
fortinet 60E防火牆

[問題描述]

vpn設定完成
內部的兩個網段都可以使用forticlient連線成功
但是無法透過對外的固定IP從外部連線使用

[已嘗試過的方法]

1.使用中華電信的port forward指定到forti的ip
2.改由web vpn可以用對外ip看到頁面,但是http或是https指定port卻無法到forti vpn
3.嘗試使用php轉址到forti的ip


[其他線索]

網路的接線方式是
中華電信接到小烏龜上
小烏龜給一台主機對外ip
剩下都用小烏龜配發a網段
小烏龜留一個port接給forti
forti配發b網段

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 123.194.169.131
※ 文章網址: https://www.ptt.cc/bbs/MIS/M.1555679487.A.57A.html
→ fonzae: policy有設?
有
可以從內部成功使用vpn帳號登入

→ kugga: 內對內的網段為什麼要用vpn?
推 wantsleep: 內對內用VPN做什麼？
我是看過影片之後根據影片教學做的
不過policy是先開放all等測通再慢慢限縮
但是一直沒辦法從外網連進內網
所以才試試看全通的policy是否真的有vpn的連線功能
因此才有那句 內部使用是有成功的
我並無內部使用vpn的需求
希望版上大大們不要誤會

如果有辦法從內部的任一網段
透過forti的內部ip使用vpn功能的話
我其實推測是小烏龜port forward到forti ip這段沒有成功
只是我不太熟悉這段我該怎麼驗證他是否真的能夠做到
當我透過web輸入https://外部IP:port 可以轉到 我內部的https://forti IP:port的功
能

推 yamaraja: 一般我們都會把443 port 留給透過https 連入fortigate用
→ yamaraja: 也就是您透過https搭配外部ip 進入管理介面用的
→ yamaraja: sslvpn 我們會改用10443 port來區隔
→ yamaraja: 但通常系統的預設sslvpn port 也是443, 所以要改
→ Wishmaster: 看起來沒上線阿,直接拿筆電對接外線port測
→ Wishmaster: 可通就是router問題啊,或是直接拿空port測不就行了?
→ fonzae: forti是內網ip?
→ king1412: 要先看Fortigate Wan有沒有能抓到固定IP
→ slash66: 整個架構都怪阿，你真的懂？為啥小烏龜要做那些功能在跟
→ slash66: 後，再跟Forti串在一起？要這樣搞，就要對網路熟一點，
→ slash66: 用Forti做所有功能就好，故障排除也清楚方便
→ slash66: 先確認Forti的webvpn外部頁面可以連到能登入就沒問題了
→ konkonchou: 若只單一網站對外，設定好NAT, 外部轉內部，再設好相
→ konkonchou: 關policies ，VPN連入後，連該網站也不該再繞出去一圈
→ slash66: 代表WAN這段vpn tunnel有建立起來，連不到內網某設備
→ slash66: 就是policy，路由設定的問題了
→ slash66: 也沒人在用內部測vpn的，你卻內網走的不是路由而是vpn
→ slash66: tunnel嗎？你拿到的是vpn配發的ip嗎？你要從forti內測
→ slash66: 要改成interface mode，才會是獨立的

配合要求刪除推文
※ 編輯: chabaterii09 (111.71.48.58), 04/25/2019 14:09:24