ZyWALL1000与FortiGate建立VPN连接.doc

ZyWALL1000与FortiGate建立VPN （两端都有固定的IP地址） 下面为您介绍如何在ZyWALL1000和FortiGate 200A之间建立VPN的连接。 网络拓扑： 设置步骤： ZyWALL 1000的接口和VPN参数的设置请参考ZyWALL1000与ZyWALL70建立VPN或ZyWALL 1000用户手册等文档。 以下为主要的VPN参数，包括phase 1和phase 2两部分内容。 请按照上表所列参数配置ZyWALL 1000的VPN网关和VPN连接。同样请记的为该VPN数据路由配置相应的策略路由。 登录到FortiGate的配置界面中，并依次切换到System Network Interface，设置wan1接口为167.35.4.3，internal接口为192.168.2.1/255.255.255.0。 注意：如果想详细了解各接口参数，请参考FortiGate的用户手册。 依次切换到System VPN IPSEC，然后选择Auto Key（IKE）标签，点击Create Phase 1按钮。随后会出现一个新的VPN phase 1的配置界面。 根据前面表格中的提示来完成VPN phase 1的参数设置。我们不需要设置ID type和content区域，因为FortiGate接受任何对端的ID。请确与ZyWALL 1000的pre-shares key和proposal完全一致。 回到VPN配置主界面，然后点击Create Phase 2按钮来添加一个新的Phase 2策略。 在Phase 1的下拉菜单中选择“ZyWALL”（在第4步中配置的，然后点击Advanced…按钮来编辑phase 2 proposal以及源和目标地址。请确保phase 2 proposal和ZyWALL 1000的phase 2参数一致。 这样VPN隧道的配置就结束了。在VPN IPSec界面中的Auto Key（IKE）标签中会显示VPN的phase 1和phase 2规则。 我们还需要配置防火墙规则来允许从ZyWALL到FortiGate以及从FortiGate到ZyWALL的IPSec VPN数据流。依次切换到Firewall VPN Address菜单，然后添加两个新的地址目标来代表ZyWALL LAN子网和FortiGate LAN子网。您可以使用“Create New”按钮来创建一个新的地址目标。 依次切换到Firewall Ｐolicy，然后点击“Insert Policy Before”图标来为从FortiGate到ZyWALL的数据流添加一条新的策略。 我们在出现的新界面中设置FortiGate到ZyWALL的策略。Source interface是internal，Address name是Fortinet（192.168.2.0/255.255.255.0的地址目标）。Destination interface是wan1，Address name是Zynet（192.168.1.0/255.255.255.0的地址目标）。Schedule和service type分别是“always”和“ANY”，可以确保所有类型的数据流可以随时通过该VPN隧道。由于从内网发送到WAN上的数据流会被IPSec VPN隧道加密，所以用户可以选取设置三种有效的“Action”。这样我们可以选择“IPSec”作为action，然后选择ZyWALL隧道中的inbound和outbound数据流。 依次切换到Firewall Policy界面，然后点击“Create New”按钮来为从ZyWALL到FortiGate的VPN数据流添加新的策略。 我们在新的界面中设置ZyWALL到FortiGate的策略。Source interface是wan1，Address name是Zynet（192.168.1.0/255.255.255.0的地址目标）。Destination interface是internal，Address name是Fortinet（192.168.2.0/255.255.255.0的地址目标）。Schedule和service type分别是“always”和“ANY”，可以确保所有类型的数据流可以随时通过该VPN隧道。由于从WAN发送到内网上的数据流会先被解密，然后被转发。这样我们可以选择“ACCEPT”作为action。在该VPN数据流的方向上不要选择IPSec作为Action选项。 全部的防火墙规则会出现在以下的界面当中。ZyWALL和FortiGate之间的VPN隧道就这样设置成功了。 应用提示： 确保本地和远程网关的Pre-Shared Key一样。 确保本地和远程网关的IKE和