iT邦幫忙

0

請問Fortigate與浮動IP Vigor 接IPSEC後 PING不通

不好意思想問一下
我用Fortigate 200D (FOS 5.4.1) 與 Vigor 2925 接IPSEC
Fortigate有固定IP,Vigor沒有固定IP
IPSEC接的上也顯示有通,但是PING無論如何都不通QQ

設定如下
Fortigate
http://ithelp.ithome.com.tw/upload/images/20161020/20074366JKWynP0LuK.jpg

Vigor設定如下

http://ithelp.ithome.com.tw/upload/images/20161020/20074366QeARFS1nhj.jpg

http://ithelp.ithome.com.tw/upload/images/20161020/20074366HQqPRot2Kj.jpg

Forti顯示上線
http://ithelp.ithome.com.tw/upload/images/20161020/20074366u3SCGiikPz.jpg

但完全PING不通QQ
http://ithelp.ithome.com.tw/upload/images/20161020/20074366VcWrkv6ooC.jpg

有大大可以救命嗎?
同樣方式對其他Vigor都可以通(雙方都固定IP)
這是第一次嘗試浮動IP去接

圖片
  直播研討會
圖片
{{ item.channelVendor }} {{ item.webinarstarted }} |
{{ formatDate(item.duration) }}
直播中

1 個回答

1
mytiny
iT邦超人 1 級 ‧ 2016-10-20 21:40:55
最佳解答

請參考以下這篇
"門神JanusLin"大大有提供詳細參考資料
http://ithelp.ithome.com.tw/questions/10168645

小弟借花獻佛一下,
希望對版大有所幫助

看更多先前的回應...收起先前的回應...
羊羊 iT邦新手 5 級 ‧ 2016-10-20 22:11:46 檢舉

大大
謝謝你的資訊
不過我目前遇到的不是不能建立IPSEC跟Vigor
我之前參考過Fortigate跟Vigor雙方資料,也依照自己實驗目前都可以順利接上Vigor的Ipsec site to site。
但都是僅限雙方都固定IP下,而文中資料也大多如此
我目前碰到的是單方固定IP,Vigor浮動IP撥到Fortigate上,綜合兩者資料加上Fortigate自帶模板得出的設定,Vigor可以成功浮動IP撥到Fortigate上,但見鬼的是同樣環境設定下怎樣Ping都不通。
照理來說Ipsec撥的上,防火牆與路由設定好後就可以通了呀~~
但是封包不過就是不過~"~

羊羊 iT邦新手 5 級 ‧ 2016-10-20 22:12:10 檢舉

嘿,阿排版怎麼跑掉了= ="

mytiny iT邦超人 1 級 ‧ 2016-10-21 11:01:23 檢舉

建議版大應仔細再查一下設定是否有誤
有時候網段設定或路由設定有打錯也有可能

另外如果版大設定VPN使用的是"設定精靈"
那麼很有可能設定選的是site to site
這可能是造成不通的原因
建議看一下IPsec隧道範本中的"撥接-FortiGate"
其對點連通偵測:on-demand,類型: dynamic都不一樣
另外再提供一段影片給版大Debug參考,希望有幫助
Yes

羊羊 iT邦新手 5 級 ‧ 2016-10-21 11:20:14 檢舉

不是精靈
可以看到我貼的圖,是撥接沒錯唷!!
因為選錯的話VPN根本不會連線顯示上線

現在碰到的問題是成功接入
但PING不通
同設定轉成固定IP就通了!!!!!!!!!!!
我也重新設定過 一部一部檢查QQQQ

mytiny iT邦超人 1 級 ‧ 2016-10-21 21:42:14 檢舉

版大誤會小弟意思了
小弟看版大所提供Fortigate設定截圖,並無顯示撥接
圖面該部分已被版大切掉(請看您圖面最上)
所謂撥接設定,小弟並不是指Vigor,而是指Fortigate
請在Fortigate設VPN Phase1時,
在Remote Gateway中,不要選Static IP Address
而是選擇Dialup User

以下這段影片用了不同的方式,但也供您參考
請特別留意5:10的操作
Yes

羊羊 iT邦新手 5 級 ‧ 2016-10-26 11:14:58 檢舉

大大您好
DDNS我測試了可用可用在一般浮動IP上。
但是現在還有個問題是對方ISP似乎提供的IP不是實體IP =.="
在大陸的二線城市
PPPOE獲取的IP跟實際接上我方的IP是不同的,兩組IP均無法PING到貨連線上,所以即時有DDNS依樣連不上
但妙的是Vigor的IPSEC撥接連的上

mytiny iT邦超人 1 級 ‧ 2016-10-27 11:18:59 檢舉

版大的另一點如果是在大陸且有上述情況
小弟建議版大改採SSLVPN或其他方式
據知,對岸會將任何加密封包解密掃描
常用通訊服務埠也有蠻多被封鎖
除非您與電信業者合作簽專線(可能固定IP都無用)
至少Fortigate的SSLVPN還可以隨意改變通訊埠
或許以上方法會有幫助,或尋求Vigor原廠協助

我要發表回答

立即登入回答