3
Fortigate 60 Firewall Fragen
Hi,
wir benutzen hier im Netzwerk eine Fortigate 60 um unser Netzwerk zu sichern. Jetzt soll ein VPN aufgebaut werden. Zuerst dachte ich an die Routing & RAS Fukntion von WIndows Server 2003, aber nachdem ich gesehen habe, dass unsere Firewall soetwas auch kann, möchte ich das gerne über die Firewall realisieren.
Da die Firewall vor meiner Zeit angeschaftt wurde und das Handbuch leider komplett in Englisch ist, versteht man zwar viel, aber eben leider nicht alles.
Ich wollte euch mal fragen, vielleicht ist ja jemand hier, der diese Firewall im Einsatz hat!
Unsere Konstellation ist so:
SDSL Modem --> Router (LANCOM SN: 192.168.101.x; SNM: 255.255.255.0) --> Firewall (Fortigate 60 SN: 192.168.100.x; SNM: 255.255.255.0) --> Netzwerk (SN: 192.168.100.x)
Als erstes wollte ich euch mal fragen, ob man den Lancom Router überhaupt noch braucht, oder ob man so die Fortigate an das DSL Modem anschließen kann? (Wenn ja, wie muss man das in der Fortigate konfigurieren?) Dadurch würden wir uns schonmal eine Komponente sparen...
Zum VPN:
Die Auswahl des VPN Verfahres bin ich mir noch nicht ganz schlüssig. Da gibt es einmal L2TP mit manual Keys oder mit AutoIKE Preshared Keys. Dann gibt es noch die möglichkeit mit Zertifikaten.
Könnte da jemand vielleicht etwas Licht ins dunkle bringen?
Wir möchten unsere 6 Aussenstellen mit der Zentrale verbinden. Momentan geschiet das noch über Wähl- bzw Festleitungen, soll aber zukünftig über DSL & VPN geschehen. Die Aussenstellen sollen in den DSL ROutern die sie bekommen eingetragen bekommen, dass sie sich dauerhaft mit der Zentrale verbinden.
Ich bin mir zwar noch nicht 100% sicher, aber ich denke für uns ist die Variante L2TP IPSec AutoIKE mit Pre Shared Keys am geeingesten. Da Zertifikate doch eher für einzelde Benutzer bzw. Computer sein sollen, wobei wir ja versuchen das über die Router laufen zu lassen.
Mich würde nur nochmal interessieren, wofür diese Manual Keys sind. Sind das einfach Keys die man einmahlig definiert? Und nicht so wie bei den AutoIKE Keys, die aufgrund eins PSK einen Sitzungs PSK erzeugen?
Das wäre ganz klasse, wenn mir jemand der sich damit auskennt, mir etwas unter die arme greifen könnte
ciao, brc
wir benutzen hier im Netzwerk eine Fortigate 60 um unser Netzwerk zu sichern. Jetzt soll ein VPN aufgebaut werden. Zuerst dachte ich an die Routing & RAS Fukntion von WIndows Server 2003, aber nachdem ich gesehen habe, dass unsere Firewall soetwas auch kann, möchte ich das gerne über die Firewall realisieren.
Da die Firewall vor meiner Zeit angeschaftt wurde und das Handbuch leider komplett in Englisch ist, versteht man zwar viel, aber eben leider nicht alles.
Ich wollte euch mal fragen, vielleicht ist ja jemand hier, der diese Firewall im Einsatz hat!
Unsere Konstellation ist so:
SDSL Modem --> Router (LANCOM SN: 192.168.101.x; SNM: 255.255.255.0) --> Firewall (Fortigate 60 SN: 192.168.100.x; SNM: 255.255.255.0) --> Netzwerk (SN: 192.168.100.x)
Als erstes wollte ich euch mal fragen, ob man den Lancom Router überhaupt noch braucht, oder ob man so die Fortigate an das DSL Modem anschließen kann? (Wenn ja, wie muss man das in der Fortigate konfigurieren?) Dadurch würden wir uns schonmal eine Komponente sparen...
Zum VPN:
Die Auswahl des VPN Verfahres bin ich mir noch nicht ganz schlüssig. Da gibt es einmal L2TP mit manual Keys oder mit AutoIKE Preshared Keys. Dann gibt es noch die möglichkeit mit Zertifikaten.
Könnte da jemand vielleicht etwas Licht ins dunkle bringen?
Wir möchten unsere 6 Aussenstellen mit der Zentrale verbinden. Momentan geschiet das noch über Wähl- bzw Festleitungen, soll aber zukünftig über DSL & VPN geschehen. Die Aussenstellen sollen in den DSL ROutern die sie bekommen eingetragen bekommen, dass sie sich dauerhaft mit der Zentrale verbinden.
Ich bin mir zwar noch nicht 100% sicher, aber ich denke für uns ist die Variante L2TP IPSec AutoIKE mit Pre Shared Keys am geeingesten. Da Zertifikate doch eher für einzelde Benutzer bzw. Computer sein sollen, wobei wir ja versuchen das über die Router laufen zu lassen.
Mich würde nur nochmal interessieren, wofür diese Manual Keys sind. Sind das einfach Keys die man einmahlig definiert? Und nicht so wie bei den AutoIKE Keys, die aufgrund eins PSK einen Sitzungs PSK erzeugen?
Das wäre ganz klasse, wenn mir jemand der sich damit auskennt, mir etwas unter die arme greifen könnte
ciao, brc
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 25917
Url: https://administrator.de/contentid/25917
Printed on: April 18, 2024 at 03:04 o'clock
3 Comments
Latest comment
Hi!
Also grundsätzlich:
Der Lancom Router "muss" sogar raus. Ein IPSec-Server muss immer vor dem NAT stehen (braucht eine offizielle IP), sonst gibts nur unnötig Probleme.
Dann definierst Du auf der Fortigate 6 IPSEC-Verbindungen, die jeweils einen eigenen PreSharedKey haben. Den trägst Du dann jeweils auf der entpsrechenden Gegenstelle ein. Sonst dürftest Du mit der Fortigate recht glücklich werden... Sind IMHO echt gute Geräte.
Phil
Also grundsätzlich:
Der Lancom Router "muss" sogar raus. Ein IPSec-Server muss immer vor dem NAT stehen (braucht eine offizielle IP), sonst gibts nur unnötig Probleme.
Dann definierst Du auf der Fortigate 6 IPSEC-Verbindungen, die jeweils einen eigenen PreSharedKey haben. Den trägst Du dann jeweils auf der entpsrechenden Gegenstelle ein. Sonst dürftest Du mit der Fortigate recht glücklich werden... Sind IMHO echt gute Geräte.
Phil
Hi,
vielen dank für die Antwort!
das ist ja schon mal gut zu wissen. Meinst du mit 6 IPSec Verbindungen: 6 Phase 1, sowie 6 Phase 2 Verbindungen oder 6 Manual Keys Verbindungen?
Desweiteren wollte ich die Aussenstellen mit DSL Routern von Draytek ausstatten. Ist das eine gute Wahl, oder muss man da unbedingt auch eine Fortigate Firewall / Router einsetzen?
Ist es denn möglich mit einer Fortigate eine SDSL Leitung zu betreiben, sprich: funktioniert SDSL auch wie ADSL über PPPoE?
mfg, brc
vielen dank für die Antwort!
das ist ja schon mal gut zu wissen. Meinst du mit 6 IPSec Verbindungen: 6 Phase 1, sowie 6 Phase 2 Verbindungen oder 6 Manual Keys Verbindungen?
Desweiteren wollte ich die Aussenstellen mit DSL Routern von Draytek ausstatten. Ist das eine gute Wahl, oder muss man da unbedingt auch eine Fortigate Firewall / Router einsetzen?
Ist es denn möglich mit einer Fortigate eine SDSL Leitung zu betreiben, sprich: funktioniert SDSL auch wie ADSL über PPPoE?
mfg, brc
Hi!
Ich denke jedoch immernoch, dass bei IPSec eine Teststellung unumgänglich ist. Keiner kann Dir im Normalfall eine Garantie geben, dass zwei Geräte wirklich miteinander harmonieren (außer, es gibt definitive InterOperability HowTos vom Hersteller oder Tests).
Kannst Du vielleicht einen als Teststellung bekommen?
Ist es denn möglich mit einer Fortigate
eine SDSL Leitung zu betreiben, sprich:
funktioniert SDSL auch wie ADSL über
PPPoE?
Meine Fortigate 60 läuft zwar als Transparente Firewall, aber IMHO sollte sie auch PPPoE können... Bin ich ziemlich sicher...
Zu SDSL: Kommt auf den Provider an. Die Telekom verwendet PPPoE. Das ist dann wie bei ADSL. Andere Anbieter nehmen Router...
Phil
das ist ja schon mal gut zu wissen. Meinst
du mit 6 IPSec Verbindungen: 6 Phase 1,
sowie 6 Phase 2 Verbindungen oder 6 Manual
Keys Verbindungen?
Also ich würde gefühlsmäßig 6 Phase1/2 machen...du mit 6 IPSec Verbindungen: 6 Phase 1,
sowie 6 Phase 2 Verbindungen oder 6 Manual
Keys Verbindungen?
Desweiteren wollte ich die Aussenstellen mit
DSL Routern von Draytek ausstatten. Ist das
eine gute Wahl, oder muss man da unbedingt
auch eine Fortigate Firewall / Router
einsetzen?
Mit den Draytek-Geräten hatte ich jetzt noch nicht wirklich viel zu tun.DSL Routern von Draytek ausstatten. Ist das
eine gute Wahl, oder muss man da unbedingt
auch eine Fortigate Firewall / Router
einsetzen?
Ich denke jedoch immernoch, dass bei IPSec eine Teststellung unumgänglich ist. Keiner kann Dir im Normalfall eine Garantie geben, dass zwei Geräte wirklich miteinander harmonieren (außer, es gibt definitive InterOperability HowTos vom Hersteller oder Tests).
Kannst Du vielleicht einen als Teststellung bekommen?
Ist es denn möglich mit einer Fortigate
eine SDSL Leitung zu betreiben, sprich:
funktioniert SDSL auch wie ADSL über
PPPoE?
Zu SDSL: Kommt auf den Provider an. Die Telekom verwendet PPPoE. Das ist dann wie bei ADSL. Andere Anbieter nehmen Router...
Phil
