FortiGate在AWS上配置SD-WAN方法

1. 项目背景

1. 需求描述

架构图

如架构图所示，客户有北京和香港两个AWS环境，已经通过专线打通。现在需求是在北京和香港各部署一台Fortigate作为分流使用，北京客户的访问流量如果是要到海外则通过专线到香港的Fortigate出去。

1. 测试步骤

• 北京区和宁夏区部署Fortigate节点
• 打通北京和宁夏两个Fortigate节点的IPSec VPN
• 配置SSLVPN、PPTP、L2TP、安卓或IOS客户端到北京区Fortigate
• 配置SD-WAN用于分流去往海外的流量

2. 测试环境=====北京区=====
   54.223.163.85
   10.0.1.202
   instance-id: i-0852bc90ebdfb348a
   
   =====香港区=====
   18.166.81.208
   10.1.0.62
   instance-id:i-0bb69c9c7ae9afefc
   
   安全组
   ipsec vpn隧道建立，需要开放udp 500和4500
   
   两台Fortigate关闭源和目标检查
   
   
3. 修改Fortigate时区和语言选择左侧System-Settings，在右侧修改时区为北京
   

如果想要修改语言可以往下拉修改

1. 创建用户和组

1. 创建用户选择左侧User&Device- User Definition- Create New
   

选择Local User

输入用户名密码

后面都默认即可

1. 创建组创建用户组
   

起个名字，添加刚才创建的用户即可

1. 配置FortigateDNS配置显示DNSDatabase，选择左侧特性可见，选择DNSDatabase
   

创建一个DNS服务

选择接口为Port1

创建一个DNS Database

配置一个google的测试环境

指定DNS地址

登陆命令行指定一个forwarder

1. 配置SD-WAN建议可以提前加上一条静态路由指向默认网关
   

之后左侧选择网络，SD-WAN，状态Enable，创建一个新的SD-WAN接口

选择Port1，网关选择自动获取，如果之前没有手动添加静态路由指定默认网关的话，这样确定之后由于Port1加到了SD-WAN，可能会导致Fortigate无法找到默认路由造成无法连接Fortigate。

添加后可以改掉刚才的默认路由，选择SD-WAN接口，因为已经把Port1加到了SD-WAN了

添加VPN接口到SD-WAN

指定VPN接口和网关

配置SD-WAN规则

创建一个新的地址段

创建8.8.8.8地址段

指定源地址为所有，目标地址为刚才创建的googledns，下面手动指定接口为VPN接口

配置完成

添加一条规则，所有salesforce的流量走VPN接口

可以直接拖顺序，顺序从上到下匹配

添加另一条规则，所有google的流量手动指定走VPN接口

配置完成

添加一条默认的流量走Port1

可以修改SSL-VPN的策略目标到SD-WAN

添加SSL-VPN接口监听

选择SSL-VPN接口

1. 备份和恢复配置方式

1. 项目测试

右上角选择备份或者恢复

指定位置保存即可