fortigate400a配置流程要点.docx

fortigate400a配置流程要点.docx

《fortigate400a配置流程要点.docx》由会员分享，可在线阅读，更多相关《fortigate400a配置流程要点.docx（19页珍藏版）》请在冰豆网上搜索。

fortigate400a配置流程要点

第1章NAT模式下的基本配置

1.1设备先连接到电脑进行调试

1.1.1如何把设备连通到电脑

1.fortigate-400a正面有6个网线连接口，其中出厂默认设置：

port1为连接内网接口，port2为连接外网接口。

2.准备1条交叉线（即是电脑直连电脑，而不是平常电脑连交换机的线）。

3.把交叉线连在fortigate-400a的port1口上，另一头直接连在电脑的网口。

4.由于fortigate-400a在port1口的IP地址出厂默认设置为：

192.168.1.99。

5.所以在开启设备前，先把连接设备的的电脑ip地址设置成固定ip地址：

192.168.1.2网关为：

192.168.1.1。

6.最后连接fortigate-400a的电源线，开启设备背后的电源开关。

1.1.2如何进入web模式

1.打开电脑的IE浏览器，在地址栏中输入：

https:

//192.168.1.99。

（请注意是https:

）

2.如果弹出[证书错误]的窗口，不用理会，单击继续访问。

3.在弹出的用户名和密码窗口中输入：

admin密码为空不用输入。

4.登录后即可进入fortigate-400a的web管理模式。

1.1.3设置最简单的NAT模式

1.如果是英文版本，先更正语言选项为简体中文。

如下图片：

2.修改admin的登入密码。

如下图片：

3.把port1的ip地址改为192.168.0.1，（因为公司现在用的网段是192.168.0.0，而不是fortigate-400a出厂的默认设置：

192.168.1.0）。

4.在[系统管理]/[网络]中的[接口]窗口中，单击port1的[编辑]按钮。

5.在[端口编辑]的ip地址/网络掩码地址栏中输入：

192.168.0.1/255.255.255.0，单击[OK]按钮完成修改。

（ok之后，web页面会停留1分钟左右）

6.把IE窗口关闭，并且再次修改自己电脑的ip地址，设置为原来的固定地址，例如：

192.168.0.53网关为192.168.0.1

7.重新打开IE浏览器，在地址栏中输入：

https:

//192.168.0.1。

8.在弹出的用户名和密码窗口中输入：

admin/刚才设置的密码。

9.进入web页面后，把port2的地址模式设置成为pppoe。

输入电信提供给我们的用户名和密码，其他选项不用改，但注意把[从服务器中得到网关]勾选。

单击[OK]按钮返回。

10.设置完pppoe后，要在[系统管理]/[网络]/[选项]中加入DNS。

11.最后要设置1项最基本的策略来保证数据能通过防火墙。

12.在[防火墙]/[策略]中单击[createnew]。

13.在[新建输出策略]的窗口中只需要把[NAT]勾选，其他都不需要更改，单击[OK]按钮后设置成功。

14.如果需要开通DHCP服务，请单击[系统管理]/[DHCP]，在[服务]窗口单击port1/服务器/增加（新增服务）或者编辑（修改服务）。

15.在[编辑DHCP服务器]的窗口中添加IP范围以及网关和DNS服务器的IP地址，单击[OK]按钮完成。

1.1.4如何关闭设备

1.首先在设备web页面的[系统管理]/[状态]中找到[unitoperation]小窗口。

2.单击[关闭]按钮，在弹出的窗口中单击[OK]即可关闭设备。

3.等到设备关闭后，才能断开设备的电源，以免设备损坏。

1.2把设备连接到internet网络

1.2.1连接线的要求。

1.其中fortigate-400a的port1口连接公司内部网络的交换机是用直通线（即是我们日常使用的电脑连交换机的线）。

2.其中fortigate-400a的port2口连接ADSL猫是用交叉线（电脑连电脑线）。

3.最后连接fortigate-400a的电源线，开启设备背后的电源开关。

4.等30-60秒，设备会自动连接到外网，现在基本的连接已经完成。

如果需要访问设备，同样是在IE的地址栏中输入：

https:

//192.168.0.1即可登录。

第2章VPN的建立

2.1建立PPTP模式（需要先建立VPN用户和用户组才能建立PPTP模式的VPN）

2.1.1建立用户

1.在[设置用户]/[本地]中单击[新建]按钮，弹出的[新建用户]窗口中输入用户名称和密码，其他的都不用改动。

单击[OK]按钮完成。

2.1.2建立用户组

1.如果建立了多个用户，而这些用户使用同一个PPTP，就可以把这些用户划分到同一个组中。

2.在[设置用户]/[用户组]中单击[新建]按钮，弹出的[新建用户组]窗口中输入用户组名字，并且双击[可用的成员]中需要添加的用户，该用户就会进入到新组里面。

最后单击[OK]按钮后完成。

2.1.3编辑PPTP范围

1.在[虚拟专网]/[PPTP]中输入PPTP分配地址的范围和用户组。

2.单击[应用]后完成。

2.1.4在防火墙中设置地址

1.在[防火墙]/[地址]中单击[新建]按钮，输入地址名称，在子网/IP范围中输入刚才PPTP的范围。

例如：

192.168.0.[160-169],单击[OK]按钮后完成。

在[防火墙]/[地址]中单击[新建]按钮，输入地址名称，在子网/IP范围中输入需要开放服务器的IP地址。

例如：

192.168.0.48,单击[OK]按钮后完成。

2.1.5在防火墙中设置放行策略

1.在[防火墙]/[策略]中单击[createnew]按钮。

2.在[新建输出策略]中输入：

源接口为Port2，源地址为：

PPTP分配的IP地址组。

目的口为port1，目的地址为：

需要开放的服务器的IP地址名称，

其他都不用改动，单击[OK]按钮后完成PPTP的建立。

2.2PPTP客户端的建立和连接

2.2.1该项有独立的文档支持。

（附表1）

第3章策略的配置

3.1端口映射（需要先建虚拟IP组然后再开放策略）

3.1.1建立虚拟IP和IP组

1.在[防火墙]/[虚拟IP]中单击[新建]按钮，输入名称，外部接口选择port2，类型为静态NAT，外部的IP是0.0.0.0（表示外部的任何地址都可以访问），影射的IP地址为是需要开放出去的服务器，端口转发也要勾选，下面就填入需要开放的端口。

2.在[防火墙]/[虚拟IP]中单击[虚拟IP组]，单击[新建]，输入组名，接口选择：

port2，双击[可用的虚拟IP]中需要的IP，就可以编入虚拟IP组

3.1.2添加放行虚拟IP的策略

1.在[防火墙]/[策略]中单击[createnew]按钮，在[新建输出策略]中设置：

源接口为Port2，源地址为：

all（即是所有的外部地址）。

目的口为port1，目的地址为：

刚才新建的虚拟IP组，

其他都不用改动，单击[OK]按钮后完成。

3.2流量控制（需要先建立服务和服务组才能开策略）

3.2.1建立服务

1.由于8000UDP是QQ传文件的端口，所以在[防火墙]/[服务]/[定制]中单击[新建]，输入名称，选择协议和端口号。

单击[OK]后完成。

3.2.2建立服务组

1.在[防火墙]/[服务]/[组]中单击[新建]，输入名称，在[可用服务]里双击刚才建立的服务名即可添加到新组中。

单击[OK]后完成

3.2.3配置控制流量策略

1.在[防火墙]/[策略]中对着我们设置过的第1条策略单击[插入策略]按钮.（使用插入策略能够使新加策略的优先级高于下一条，即是优先执行新加的策略）

2.在[新建输出策略]中设置：

源接口为Port1，源地址为：

all（即是所有的内部地址）。

目的口为port2，目的地址为：

all（即是所有的外部地址）。

NAT选项勾起

流量控制也勾起，并且设置流量的大小

单击[OK]按钮后完成。

3.3后续添加策略

3.3.1待完善。