[請益] FortGate VPN Site-Side outgoing

[freeunixer (離自相空她相)]

請問一下,

FortiOS 5.6 建 client to site IPSec

Client 端使用 FortiVPN 可以連得上也可以 ping 到 FortiGate 的 LAN,
VPN tunnel 在建時已經勾選了 split-tunnel
但是連上 VPN 後就無法上網...

https://imgur.com/a/jtzfqY3

想問一下如果要經由 FortiGate 及不經由 FortiGate 上網,我還需要設定什麼?
(有時是要連上 FortiGate 的 LAN 就好,
 但有時要連到只允許 FortiGate IP in 的地方)

謝謝.

--
讀者審校網試行版(2018/1/1 更新網址)
http://readerreviewnet.processoroverload.net/
(哲、史、法、政、經、社，人文翻譯書籍錯譯提報網)
◎洪蘭"毀人不倦"舉報專區
http://tinyurl.com/ybfmzwne
讀者需自救，有錯自己改...

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 60.250.37.178
※ 文章網址: https://www.ptt.cc/bbs/MIS/M.1557743463.A.445.html
推 qwert88: Policy有開嗎？
推 pigya0214: VPN Policy內除了來源地址還要加入使用者帳號或群組
→ freeunixer: 是說這裡嗎? https://imgur.com/a/2SQIAe1
推 trust0214: 經FORTI上網 VPN TO WAN的POLICY要開
→ trust0214: 不經FORTI，CLIENT有個遠端匣道器勾勾要拿掉
→ trust0214: 不知對不對 您再試試看一下了
→ freeunixer: 可以看我上傳的圖,沒有那個選項呢...
推 phoenixcx: 你policy看看vpn的zone能不能對外
→ freeunixer: 後來我發現...是我的 Wan 端沒設 gateway 出不去...
→ freeunixer: 現在我可以透過 VPN 連外了,但是不知道,
→ freeunixer: 若一般連線要走 client 自己,要怎麼設 split channel
→ deadwood: つfortigate cookbook  XD
→ freeunixer: 解決了.在位址物件那要建一個 lan ip range,
→ freeunixer: 到已建立的 VPN 隧道的網路裡在可訪問網路選擇 LAN,
→ freeunixer: 確認可訪問網路上的 split channel 有勾選,這樣就行了
→ freeunixer: 簡單說就是要讓 tunnel 知道這個連線可以去哪些地方,
→ freeunixer: 以外的流量它就會丟還給你自己.
→ freeunixer: 所以你應該可以定義允許轉發的位址,綁成一個 GROUP
→ freeunixer: 將它設到可訪問網段裡,這樣就能做到指定位址/網段轉發
→ freeunixer: 不過好像不能同時建兩個 tunnel,直接切有 sp 跟無 sp
→ deadwood: 理論上 把你要的透過forti的公有IP加進要SP的物件群組
→ deadwood: 應該就可以做到了
→ freeunixer: 是,但因為 target 零散,我想建兩條獨立的 tunnel 省事
→ freeunixer: 但試了之後發現好像建了第二條,就會造成一條失效...
→ freeunixer: 後來我搞了一個 pptp channel 出來,我先來試試看,
→ freeunixer: 如果同間兩個以上連線沒問題,就 PPTP、IPSec 分著用吧
→ deadwood: 我記得可以用不同使用者群組對應到不同tunnel，可以試試
→ freeunixer: 我前兩天試了,沒辦法,設了第二條,就會錯亂...
→ freeunixer: 我問別人,回答是一個介面只能有一個 ipsec channel.
→ freeunixer: 現在要改試 tp mode,全得手動設,苦幹 Phase 2 中...
→ freeunixer: tp mode 的 client to side 該怎麼設...