FortigateVM 7.0.5 でIPSec-VPN機能を試用する

FortigateVM 7.0.5 でIPSec-VPNの機能試用をしてみます。

■バージョン
FortiGate for VMware FortiOS v7.0.5 build0304 (GA)
FortiClient 7.0.5.0238

左側DMZ-ClientからFortigateにIPSec-VPNを張り、右側LAN-Clientに通信します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/668aa5a0-7418-0dc5-282c-b822b545e6ce.png)

以下のフローで設定および疎通確認を行います。

■Fortigate
・VPNユーザグループ/ユーザの作成
・VPNトンネルの作成

■Client
・VPNクライアント(FortiClient)のインストール
・IPSec-VPN接続
・IPSec-VPN経由の通信確認



# 1.Forigate VPNユーザグループ/ユーザの作成
まずはVPN接続に使用するグループ/ユーザから作成します。

## 1-1.ユーザグループの作成
左ペインの [ユーザ&認証] - [ユーザグループ] を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/f13492c1-7adc-f695-414e-e53010de12a0.png)

上部の [新規作成] を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/3cc22e7b-8e27-41da-7be8-6f3c515c1c5c.png)

以下設定を入力し、 [OK] を押下しユーザグループを作成します。
ユーザグループ名 `vpn-group` 
タイプ `ファイアウォール`
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/c24268b1-6550-ae46-41c1-1baa14257371.png)



## 1-2.ユーザの作成
左ペインの [ユーザ&認証] - [ユーザ定義] を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/aa83bede-ca7d-4445-6dab-1abb73e517d3.png)

上部の [新規作成] を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/e6b8635d-5f51-48d7-5176-5979cd0cd3b8.png)

ユーザタイプは `ローカルユーザ` を選択し、 [次へ] を押下します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/3cf2e765-0132-752e-d0fb-464accaf4446.png)

ログインクレデンシャルでは以下を入力し、 [次へ] を押下します。
ユーザ名 `vpn-user`
パスワード `任意のパスワード`
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/dc0854f4-d06e-6d58-540b-c21bc4e299be.png)

コンタクト情報では特に設定せず、 [次へ] を押下します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/95dcb47c-7559-1150-e53c-fbc439e58b1f.png)

エキストラ情報で以下を入力し、[サブミット] でユーザ作成完了となります。
ユーザアカウントステータス `有効化済み`
ユーザグループ `vpn-group` ※事前に作成したユーザグループ
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/5fc4cd98-fcc1-c7c7-181b-01bad4f53828.png)


# 2.ForigateVPNトンネルの作成
IPsec-VPNトンネルを作成します。

[VPN] - [IPsecウィザード] を開きます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/5317c996-caed-fea9-05e3-445432e30a7e.png)

VPNセットアップにて、以下の設定を投入し [次へ] を押下します。
名前 `vpn-test-tunnel`
テンプレートタイプ `リモートアクセス`　※今回はFortiClientを利用するため
リモートデバイスタイプ `クライアントベース` `FortiClient`
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/7cfbb187-5f8d-a46e-925b-e92bd2788dbf.png)

認証にて、以下の設定を投入し [次へ] を押下します。
着信インターフェース `port2` ※VPNクライアント側のインターフェース
認証方式 `事前共有鍵` ※事前共有鍵はパスフレーズ、シグネチャは公開鍵暗号方式(証明書利用)
事前共有鍵 `任意のパスフレーズ`
ユーザグループ `vpn-group` ※上記で作成したユーザグループ
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/c4cf1559-03bc-50c3-8963-edbb71a23f58.png)

ポリシー&ルーティングにて、以下の設定を投入し [次へ] を押下します。
ローカルインターフェース `port3` ※接続先のインターフェース
ローカルアドレス `LAN` ※接続先インターフェースのIPアドレス範囲、アドレスブックから作成しておく
クライアントアドレス範囲 `10.0.2.10-10.0.2.20` ※接続先で利用するアドレスプール
サブネットマスク `255.255.255.0` ※接続先のサブネットマスク
DNSサーバ `システムDNSを使う` ※デフォルト
IPv4スプリットトンネリングを有効化 `On` ※デフォルト
エンドポイント登録を許可 `On` ※デフォルト
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/01cc1371-db9b-ac11-6b9c-d4e7f6f736be.png)

クライアントオプションにて、以下の設定を投入し [次へ] を押下します。
パスワード `On` ※デフォルト
オートコネクト `Off` ※デフォルト
常にアップ `Off` ※デフォルト
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/99aba996-3cc2-38ca-675b-487d29f6ad18.png)

設定の確認にて内容を確認し、[作成] を押下します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/93f17eaf-affb-acce-9ea6-644400579ce8.png)

VPNトンネルが作成されました。
なお、フェーズ1インターフェースがダウンしていますが、こちらはVPNクライアントからの接続があった際にアップします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/7bc93b02-d3d5-879b-4a91-9e550e8b7ec1.png)



# 3.Client VPNクライアント(FortiClient)のインストール
このステップからはクライアント側のWindowsにて作業を実施します。

## 3-1.FortiClientのダウンロード
以下サイトにアクセスし、適当なFortiClientをダウンロードします。
※今回はZTNA EditionのWindows 64-bitをダウンロードしています。

https://www.fortinet.com/support/product-downloads

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/d6048559-145f-b0e0-05b0-ac23337fd345.png)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/e7958faf-040c-c2bd-3161-1f21cbdb384a.png)

## 3-2.インストールの実施
インストーラーを実行します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/1bf54081-0cd9-42e3-003b-7b6dc7967917.png)

なお、インターネットから追加内容をダウンロードしているようです。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/a9fa27ce-d13a-414e-6870-ed11b9f6eb2b.png)

[Yes, I have read and accept the...]をチェックし、 [Next] を押下します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/1fe4fc39-b81d-36f4-5373-93913f133fae.png)

[Secure Remote Access] は最低限チェックし、 [Next] を押下します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/c9d559b3-992d-5190-fbc8-0a120035a807.png)

次の画面は特にチェック不要で[Next] を押下します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/da727bc3-cbe4-2428-3416-4ee16918012f.png)

インストール場所を選択して[Next] を押下します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/da52691f-dd82-37b5-91c0-50b9b0930670.png)

[Install] を押下します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/8c6ab511-37e3-fc20-4dc9-ec1b6a247afc.png)

インストールが完了しました。[Finish] を押下します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/068814dd-e33d-d992-a4c2-baf35d1bb286.png)



# 4.IPSec-VPN接続
## 4-1.FortiClientの起動
FortiClientを起動します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/6de79106-1f35-a36d-4728-ec6dacdd24b3.png)

FortiClientが起動しました。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/4833b963-4ee7-9645-96f1-aa4297abf513.png)


## 4-2. VPN接続設定
左ペインの [リモートアクセス] を表示し、 [VPN設定] を押下します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/78e3e4c0-9999-f192-9d29-b492af527676.png)

新規VPN接続にて、 [IPsec VPN]タブを表示し、以下設定を投入します。投入したら [保存] を押下します。

■基本設定
接続名 `FG-VPN` ※適当に入力
リモートGW `10.0.1.101` ※VPNのゲートウェイIPアドレスを指定
認証方法 `事前共有鍵` `設定済みのパスフレーズ` ※Foritage側で設定したパスフレーズ
※その他は変更なし
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/e82ff248-3f06-9fa7-a6b2-b811ea748a57.png)

■詳細設定
フェーズ1
 - IKEプロポーザル 暗号方式  `DES` ※デフォルトはAES128
フェーズ2
 - IKEプロポーザル 暗号方式 `DES` ※デフォルトはAES128
 - ※その他は変更なし
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/bc28f837-8c6b-2f18-4837-550a08d63022.png)

>AESがダメな理由は以下に。

https://qiita.com/Higemal/items/a0c04455aa11289f7e51


## 4-3. VPN接続
以下設定を投入し、 [接続] を押下します。
VPN名称 `FG-VPN`
ユーザ名 `vpn-user` ※Fortigateで設定したユーザ名
パスワード `パスワード` ※Fortigateで設定したユーザパスワード
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/d15b99ab-fdad-f3f3-5c53-4a43f31686b9.png)

VPN接続が確立できました。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/1af5d93f-44d4-df1c-0055-c936df57877a.png)


VPNイベントログからも確立が確認できました。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/980c6a41-da77-2f36-555d-109b32c9b73d.png)



# 5.IPSec-VPN経由の通信確認
ping/tracertにて、VPN経由で通信できることが確認できました。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/d1f7030a-439a-6b2a-3ff7-6286422eb698.png)

リモートデスクトップで接続可能となりました。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/68c300ae-f5d8-fbc1-5375-da6de10d5dea.png)




# 6.IPsecトンネルの削除について
事後作業ですが、作成したIPsecトンネルはすぐには削除できません。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/54a6d7b2-b206-8bbb-a74c-fb594e376776.png)

以下を削除したのち、削除可能となります。
[ポリシー&オブジェクト] - [ファイアウォールポリシー] 
→vpn_[トンネル名]_remote_0 を削除
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/3c9a2fa2-ef85-02ce-f58f-2ad527ceaeaf.png)

上記の削除後、IPsecトンネルが削除可能となります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/d1dbb53b-02c8-720a-fced-e90887d00582.png)

なお、以下についてはIPsecトンネルを消しても残るため、不要な場合は削除してください。

[ポリシー&オブジェクト] - [アドレス] 
→[IP範囲/サブネット]に存在するrangeを削除
→[アドレスグループ]に存在するsplitを削除
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/201787/a632fee6-b783-9d1e-4cf7-09c83b756f94.png)




# 参考

https://docs.fortinet.com/document/fortigate/7.0.5/administration-guide/520377/ipsec-vpns

https://www.fortinet.com/content/dam/fortinet/assets/deployment-guides/ja_jp/fg-7-0-ipsecvpn.pdf

https://www.youtube.com/watch?v=7I28wWmW9fE