有關Fortigate SSL VPN一問

firewall

Anson 2024-09-16 10:53:27 ‧ 317 瀏覽

分享至

各位大大

小弟公司有一個Web-bsae的系統，限制只能由辦公室的IP才能前往，因為想同事在緊急時候，在辦公室外也能前往該系統，故我嘗試架設Fortigate的SSLVPN，讓同事可以由遠端接駁到辦公室，再使用這個系統。(FortiClent + Tunnel Mode + FortiToken)

架設SSLVPN後測試，我可以連接到辦公室，但是我不能連接到那Web-bsae的系統，我檢查我的上網IP，仍然是Local的IP，不是辦公室的IP。

請問我是不是要在Firewall內再加Routing，還是SSLVPN設定問題或不支援這模式，要轉為IPSec+L2TP呢？

謝謝

rb1102 iT邦研究生 3 級 ‧ 2024-09-16 23:25:53 檢舉

policy有設定嗎
另外，如果你的ssl-vpn有開split tunnel，你要把你的Web-bsae的ip加進去路由位址覆蓋，不然他往Web-bsae的流量不會從vpn進入

登入發表討論

直播研討會

{{ item.channelVendor }} {{ item.webinarstarted }} |

直播中

3 個回答

ming9900

iT邦新手 5 級 ‧ 2024-09-16 11:11:37

你SSLVPN 應該有發放另一個 SSLVPN 用的 IP 網段，Fortigate 預設是 10.90.90.X 這段。
所以，如果你是在 Web 服務有鎖定來源，那 SSLVPN 這一個IP，當然就連不到 Web.你要把SSLVPN的網段，加到可以連線到 Web 上。
你可以試一下連到 Web 同一段的其他 IP，可否正常連線（比如Ping、RDP等服務)

另一種變型的解法，是你可以把 SSLVPN -＞LAN ，勾選NAT，讓 SSLVPN 連回公司，IP被改為 Fortigate 的LAN IP.
這樣是用"騙"的方式，讓SSLVPN 連到Web（因為SSLVPN來源IP被換成FW LAN IP)

以上說明，是基於SSLVPN＆Policy 的設定都正確的狀況下，如果 Policy 或Routing 上，有其他設定，就要視你環境來修改。