fortigate400a配置流程要点.docx

1、fortigate400a配置流程要点第1章 NAT模式下的基本配置1.1 设备先连接到电脑进行调试1.1.1 如何把设备连通到电脑1. fortigate-400a正面有6个网线连接口，其中出厂默认设置：port1为连接内网接口，port2为连接外网接口。2. 准备1条交叉线（即是电脑直连电脑，而不是平常电脑连交换机的线）。3. 把交叉线连在fortigate-400a的port1口上，另一头直接连在电脑的网口。4. 由于fortigate-400a在port1口的IP地址出厂默认设置为：192.168.1.99。5. 所以在开启设备前，先把连接设备的的电脑ip地址设置成固定ip地址：192

2、.168.1.2 网关为：192.168.1.1。6. 最后连接fortigate-400a的电源线，开启设备背后的电源开关。1.1.2 如何进入web模式1. 打开电脑的IE浏览器，在地址栏中输入：https:/192.168.1.99。（请注意是https:）2. 如果弹出证书错误的窗口，不用理会，单击继续访问。3. 在弹出的用户名和密码窗口中输入：admin 密码为空不用输入。4. 登录后即可进入fortigate-400a的web管理模式。1.1.3 设置最简单的NAT模式1. 如果是英文版本，先更正语言选项为简体中文。如下图片：2. 修改admin的登入密码。如下图片：3. 把por

3、t1的ip地址改为192.168.0.1，（因为公司现在用的网段是192.168.0.0，而不是fortigate-400a出厂的默认设置：192.168.1.0）。4. 在系统管理/网络中的接口窗口中，单击port1的编辑按钮。5. 在端口编辑的ip地址/网络掩码地址栏中输入：192.168.0.1/255.255.255.0，单击OK按钮完成修改。（ok之后，web页面会停留1分钟左右）6. 把IE窗口关闭，并且再次修改自己电脑的ip地址，设置为原来的固定地址，例如：192.168.0.53 网关为192.168.0.17. 重新打开IE浏览器，在地址栏中输入：https:/192.168

4、.0.1 。8. 在弹出的用户名和密码窗口中输入：admin / 刚才设置的密码。9. 进入web页面后，把port2的地址模式设置成为pppoe。输入电信提供给我们的用户名和密码，其他选项不用改，但注意把从服务器中得到网关勾选。单击OK按钮返回。10. 设置完pppoe后，要在系统管理/网络/选项中加入DNS。11. 最后要设置1项最基本的策略来保证数据能通过防火墙。12. 在防火墙/策略中单击create new。13. 在新建输出策略的窗口中只需要把NAT勾选，其他都不需要更改，单击OK按钮后设置成功。14. 如果需要开通DHCP服务，请单击系统管理/DHCP，在服务窗口单击port1/

5、服务器/增加（新增服务）或者编辑（修改服务）。15. 在编辑DHCP服务器的窗口中添加IP范围以及网关和DNS服务器的 IP地址，单击OK按钮完成。1.1.4 如何关闭设备1. 首先在设备web页面的系统管理/状态中找到 unit operation小窗口。2. 单击关闭按钮，在弹出的窗口中单击OK即可关闭设备。3. 等到设备关闭后，才能断开设备的电源，以免设备损坏。1.2 把设备连接到internet网络1.2.1 连接线的要求。1. 其中fortigate-400a的port1口连接公司内部网络的交换机是用直通线（即是我们日常使用的电脑连交换机的线）。2. 其中fortigate-400a

6、的port2口连接ADSL猫是用交叉线（电脑连电脑线）。3. 最后连接fortigate-400a的电源线，开启设备背后的电源开关。4. 等30-60秒，设备会自动连接到外网，现在基本的连接已经完成。如果需要访问设备，同样是在IE的地址栏中输入：https:/192.168.0.1即可登录。第2章 VPN的建立2.1 建立PPTP模式（需要先建立VPN用户和用户组才能建立PPTP模式的VPN）2.1.1 建立用户1. 在设置用户/本地中单击新建按钮，弹出的新建用户窗口中输入用户名称和密码，其他的都不用改动。单击OK按钮完成。2.1.2 建立用户组1. 如果建立了多个用户，而这些用户使用同一个P

7、PTP，就可以把这些用户划分到同一个组中。2. 在设置用户/用户组中单击新建按钮，弹出的新建用户组窗口中输入用户组名字，并且双击可用的成员中需要添加的用户，该用户就会进入到新组里面。最后单击OK按钮后完成。2.1.3 编辑PPTP范围1. 在虚拟专网/PPTP中输入PPTP分配地址的范围和用户组。2. 单击应用后完成。2.1.4 在防火墙中设置地址1. 在防火墙/地址中单击新建按钮，输入地址名称，在子网/IP范围中输入刚才PPTP的范围。例如：192.168.0.160-169,单击OK按钮后完成。在防火墙/地址中单击新建按钮，输入地址名称，在子网/IP范围中输入需要开放服务器的IP地址。例如

8、：192.168.0.48,单击OK按钮后完成。2.1.5 在防火墙中设置放行策略1. 在防火墙/策略中单击create new按钮。2. 在新建输出策略中输入：源接口为Port2，源地址为：PPTP分配的IP地址组。 目的口为port1，目的地址为：需要开放的服务器的IP地址名称，其他都不用改动，单击OK按钮后完成PPTP的建立。2.2 PPTP客户端的建立和连接2.2.1 该项有独立的文档支持。（附表1）第3章 策略的配置3.1 端口映射（需要先建虚拟IP组然后再开放策略）3.1.1 建立虚拟IP和IP组1. 在防火墙/虚拟IP中单击新建按钮，输入名称，外部接口选择port2，类型为静态N

9、AT，外部的IP是0.0.0.0（表示外部的任何地址都可以访问），影射的IP地址为是需要开放出去的服务器，端口转发也要勾选，下面就填入需要开放的端口。2. 在防火墙/虚拟IP中单击虚拟IP组，单击新建，输入组名，接口选择：port2，双击可用的虚拟IP中需要的IP，就可以编入虚拟IP组3.1.2 添加放行虚拟IP的策略1. 在防火墙/策略中单击create new按钮，在新建输出策略中设置：源接口为Port2，源地址为：all(即是所有的外部地址)。 目的口为port1，目的地址为：刚才新建的虚拟IP组，其他都不用改动，单击OK按钮后完成。3.2 流量控制（需要先建立服务和服务组才能开策略）3

10、.2.1 建立服务1. 由于8000UDP是QQ传文件的端口，所以在防火墙/服务/定制中单击新建，输入名称，选择协议和端口号。单击OK后完成。3.2.2 建立服务组1. 在防火墙/服务/组中单击新建，输入名称，在可用服务里双击刚才建立的服务名即可添加到新组中。单击OK后完成3.2.3 配置控制流量策略1. 在防火墙/策略中对着我们设置过的第1条策略单击插入策略按钮.（使用插入策略能够使新加策略的优先级高于下一条，即是优先执行新加的策略）2. 在新建输出策略中设置：源接口为Port1，源地址为：all(即是所有的内部地址)。 目的口为port2，目的地址为：all(即是所有的外部地址)。NAT选项勾起流量控制也勾起，并且设置流量的大小单击OK按钮后完成。3.3 后续添加策略3.3.1 待完善。