漂亮！FortiGate配置Hub-Spoke类型的IPsec VPN竟然是Full-Mesh架构

Danileaf_Guo

于 2025-01-01 19:03:35 发布

阅读量970

点赞数 6

文章标签：网络 linux 服务器运维前端

本文链接：https://blog.youkuaiyun.com/gtj0617/article/details/144875020

版权

我们前面配置了飞塔防火墙FortiGate【站到站】模式的IPsec VPN（卷土重来！这次终于把FortiGate的IPsec VPN配置成功了！）。按照我们之间的配置方式，如果有多个站点需要互联，我们一般会采用将多个分支站点连接到一个总部站点的模式，分支站点之间互访的流量需要通过总部站点进行绕转，这种模式下的总部站点就是HUB站点，而分支站点就是SPOKE站点，对应的模型就是HUB-SPOKE模型。我们之前用ADVPN介绍过类似模型（ADVPN：Hub-Spoke类型组网实验）。

我们上次在配置飞塔防火墙的IPsec VPN时发现，其支持的模板类型包括【Hub-and-Spoke】类型，那我们今天就简单测试一下这个HUB-SPOKE模型怎么配置。

测试组网如下图所示：

其中，FGT44作为HUB设备，FGT45和FGT46作为SPOKE设备，三台设备通过VSR互通，模拟公网环境；并分别下挂一台设备模拟内网终端。

我们首先配置FGT44这个HUB设备，还是进入“VPN”下的“IPsec向导”页面。这次，在“VPN建立”配置步骤，我们指定名称为HUB，模板类型选择【Hub-and-Spoke】，这里介绍到“在Hub-and-Spoke VPN场景下，将使用BGP作为路由协议进行自动发现”；角色选择【Hub】。下面还有一个场景示意图。

在“认证”配置步骤，指定流入接口为互联接口【port2】，认证方式选择【预共享密钥】，并设置秘钥为Forti@2025。

在“隧道接口”配置步骤，设备自动推荐本端的隧道接口IP地址为10.10.1.1，远端设备的隧道接口IP地址为10.10.1.2，这个网段倒是不冲突，但是为什么远端IP地址只有一个呢？

在“策略&路由”配置步骤，本地AS我们使用默认的65400，选择本地接口和本地子网；Spoke type默认是【个别】，这里需要配置Spoke1和Spoke2的隧道IP地址。

或者，我们也可以将Spoke type修改为【范围】，此时，我们需要指定Spoke prefix范围为远端隧道接口的IP地址段，还要添加一个用于Spoke的BGP邻居组。初次使用，我们的Spoke type还是使用默认的【个别】。

检查对象摘要，点击“完成”。

检查创建操作，所有步骤全部完成。下面还有Spoke 简易配置密钥，提示为“这些配置密钥是一次性使用的，可以自动在您的spoke FortiGates上配置一些VPN隧道设置”。这里的两个秘钥是完全一样的，我们复制一下备用，eyJodWJHYXRld2F5SXAiOiIxMC4xMi4xLjEiLCJodWJUdW5uZWwiOiIxMC4xMC4xLjEiLCJodWJJbmRlbnRpZmllciI6NjU0MDAsImluZGVudGlmaWVyIjo2NTQwMCwiaHViSWRlbnRpZmllciI6NjU0MDAsImlkZW50aWZpZXIiOjY1NDAwLCJ0dW5uZWxJcCI6IjEwLjEwLjEuMyJ9。

接下来，我们配置FGT45。同样的，也是在 “VPN”下的“IPsec向导”页面，在“VPN建立”配置步骤，我们指定名称为Spoke1，模板类型选择【Hub-and-Spoke】，角色选择【Spoke】，把配置Spoke得到的建议配置秘钥粘贴进来，点击“应用”。