Draytek Vigor an Fortigate via IPSec

Da mich bereits viele User um die Lösung gebeten haben wie man ein Vigor Router via IPSec an die Fortigate bringt, habe ich mich dazu entschlossen, diese kleine Anleitung zu schreiben. Ich gehe hierbei auch nicht auf nebensächliches ein sondern beschreibe nur die Punkte die eingerichtet werden müssen bzw. sollten.

1. Einstellungen Draytek (in meinem Fall gerade ein Vigor 2700)

Zuerst einmal in den Draytek einloggen:
- Im Menü VPN und externe Einwahl das Untermenü LAN zu LAN auswählen und ein neues Profil anlegen
1. Allgemeine Einstellungen

• Profilname: Hier geben wir den Profilnamen ein, Bespiel TESTVPN und setzen diese aktiv
• Anrufrichtung: RAUS
• Immer in Betrieb: JA
• Dauerping zum halten der Verbindung: Hier geben wir die lokale IP der Gegenstelle ein, Beispiel 192.168.0.1

2.Einstellungen zum Rauswählen:

• Verbindung zum VPN-Server über: Hier verwenden wir IPSec Tunnel
• Server-IP/Host-Name für VPN: Hier geben wir die öffentliche IP der Gegenstelle ein, Beispiel 80.217.2.5
• IKE Authentifizierungsmethode: Hier geben wir den zu verwendeten Key ein, Beispiel IchWillEinVPN
• IPSec Sicherheitsmethode: Hier wählen wir HOCH - DES mit Authentifizierung

Nun klicjen wir auf ERWEITERTE EINSTELLUNGEN

• IKE Phase 1 Modus: Hier Aggressive mode wählen
• IKE Phase 1 Proposal: Hier wählen wir: DES_MD5_G1/DES_SHA1_G1/3DES_MD5_G1/3DES_SHA1_G1
• IKE Phase 2 Proposal: Hier wählen wir: DES_MD5
• IKE Phase 1 Key Lifetime: Hier geben wir 28800 ein
• IKE Phase 2 Key Lifetime: Hier geben wir 3600 ein
• Perfect Forward Secret: Hier wählen wir aktiv
• lokaleID: Hier geben wir DRAYTEK ein

3. TCP/IP Netzwerk-Einstellungen:

• Meine WAN-IP: Hier geben wir 0.0.0.0 ein
• Remote Gateway-IP: Hier geben wir ebenfalls 0.0.0.0 ein
• Remote Netzwerk-IP: Hier geben wir das lokale Netzwerk der Gegenstelle ein, Beispiel 192.168.0.0
• Remote Netzwerk-Maske Hier geben wir die lokale Netzwerk-Maske der Gegenstelle ein, Beispiel 255.255.255.0
• RIP-Richtung: Hier wählen wir beide (TX/RX)
• Im NAT-Betrieb, betrachte entfernte Subnetze als: Hier wählen wir Private IP

Nun ist der Draytek bereit IPSec Verbindungen mit der Gegenstelle aufzubauen. Bevor dies aber auch klappt, sollten wir dei Gegenstelle, nämlich die Fortigate so konfigurieren, dass sich der Vigor auch einwählen darf.

2. Einstellungen FortiGate (in meinem Fall Fortigate60B)

1. Anlegen der Adress-Bereiche:
Unter Firewall / Adresses klicken wir auf den Schalter Create New

• Address Name: Hier geben wir den Namen der Gegenstelle ein, Beispiel: Draytek_NET
• Type: Hier wählen wir Subnet / IPRange
• Subnet / IPRange: Hier geben wir das lokale Netzwerk der Gegenstelle ein, Beispiel: 192.168.2.0/255.255.255.0
• Interface: Hier wählen wir WAN1

Nun haben wir den Adressberech der Gegenstelle angelegt, schlussendlich muss die Fortigate auch den Adressbereich wissen, den Sie intern zu handeln hat.

Unter Firewall / Adresses klicken wir auf den Schalter Create New

• Address Name: Hier geben wir den Namen der FortiGate ein, Beispiel: Fortigate_NET
• Type: Hier wählen wir Subnet / IPRange
• Subnet / IPRange: Hier geben wir das lokale Netzwerk der Gegenstelle ein, Beispiel: 192.168.0.0/255.255.255.0
• Interface: Hier wählen wir internal

3. Einrichten von IPSec:
Unter VPN / IPSec klicken wir auf den Schalter Create PHASE1

• Name: Hier geben wir z.B. VPN_DRAYTEK ein
• Remote Gateway: ist 'ausgegraut' mit DIALUP-USER
• Local Interface: ist hierbei wan1
• Mode: ist ebenfalls wie bei Draytek aggressive
• Authentication Method: Hier wählen wir Preshared Key
• Pre-shared Key: Hier geben wir den gleichen Key wie bei dem Vigor ein - also IchWillEinVPN
• Peer Options: Hier wählen wir Accept this peer ID und geben DRAYTEK ein

Nun müssen wir noch auf Advanced klicken, um die Einstellungen zur Verschlüselung festzulegen:
Also richten wir PHASE1 ein
P1 Proposal:

• 1 - Encryption: Hier wählen wir DES und als Authentication wählen wir MD5
• DH Group: Hier setzen wir den Haken bei 1
• Keylife setzen wir auf 28800
• Local ID brauchen wir nicht, da sich der Draytek bei der Fortigate einwählt und nicht umgekehrt.
• XAUTH: setzen wir auf DISABLE
• NAT Traversal: setzen wir auf ENABLE
• Keepalive Frequency: setzen wir auf 10 seconds
• Dead Peer Detection: setzen wir auf ENABLE

Nun richten wir noch PHASE2 ein:

• Name: Beispiel: VPN_DRAYTEKPH2
• Phase 1: ist in unserem Fall VPN_DRAYTEK

anschließend auf ADVANCED klicken..

P2 Proposal:

• 1 - Encryption: Hier wählen wir DES und als Authentication wählen wir MD5
• Enable perfect forward secrecy(PFS). Hier setzen wir einen Haken
• DH Group: Hier markieren wir die 1
• Keylife setzen wir auf 1800 sec.

Die restlichen Werte brauchen hier nicht eingetragen oder editiert zu werden.

Anschliessend kommen wir zu den Policies, damit die FortiGate weiss, wie sie mit den IP-Paketen umgehen soll...

3. Anlegen der Firewall Policies:
Unter Firewall / Policy klicken wir auf den Schalter Create New und editieren von innen nach aussen also internal -> wan1

• Source Interface/Zone: Hier wählen wir internal
• Source Address: Hier geben wir Fortigate_NET an
• Destination Interface/Zone: Hier geben wir wan1 an
• Destination Address: Hier geben wir Draytek_NET an
• Schedule: Hier geben wir always an
• Service: Hier geben wir ANY an
• Action: Hier geben wir IPSec an
• VPN Tunnel: Hier wählen wir VPN_DRAYTEKFORTI
• Allow Inbound: Hier setzen wir ein Haken
• Allow Outbound: Hier setzen wir ein Haken

Unter Firewall / Policy klicken wir auf den Schalter Create New und editieren von aussen nach innen also wan1 -> internal

• Source Interface/Zone: Hier wählen wir wan1
• Source Address: Hier geben wir Draytek_NET an
• Destination Interface/Zone: Hier geben wir internal an
• Destination Address: Hier geben wir Fortigate_NET an
• Schedule: Hier geben wir always an
• Service: Hier geben wir ANY an
• Action: Hier geben wir ACCEPT an

Nachdem wir diese Regel mit OK gespeichert haben können wir beide Router einmal neu booten und anschliessend bei der Fortigate unter VPN / IPSEC / Monitor schauen ob der Status von VPN_DRAYTEKFORTI UP ist und ob Pakete übertragen werden. Zusätzlich lässt sich das ganze natürlich noch mit einem Ping testen.

Fertig!