回錯, 請刪文

根據訊息 negotiate IPsec phase 1 = success 後出現 delete_phase_1_sa，推斷異常成因：

• XAuth 設定異常
• Mode Config 設定異常

建議：

• 參照Apple 裝置的 IPsec 裝置管理設定檢查 IPsec 設定是否正確。
• 參考 https://community.fortinet.com/t5/FortiGate/Technical-Tip-iPhone-and-iPad-Dialup-User-IPsec-VPN-sample/ta-p/272630 進行設定。

使用wizard的缺點
就是出現狀況時，不容易找問題出在哪

已經蠻多先進提供設定方法
在下建議樓主查找兩個方向
1.路由設定：特別是Phase 2網段
2.防火牆政策：相關介面是否有通過的政策
需仔細檢查是否能通過

如果一直都搞不通
會建議用SSLVPN比較簡單
較少路由與政策的狀況

以下是我的測試環境:

• FGT-60E v7.4.8, WAN: wan1. LAN: internal, subnet: 192.168.1.0/24
• iPhone iOS 18.7, 使用 IKEv2 PSK 方式撥 VPN.

預先需要有的 iOS VPN client 知識:
(1)要先知道 iOS 18.7 IKE 會送甚麼 proposal

• Phase1(第一組)會是 aesgcm-16-256, prf-hmac-sha256, dhgroup 19(ECP256).
• Phase2(第一組)會是 aesgcm-16-256, pfs:disable
  (2)IKEv2 會用 config payload 跟 VPN server 要 IP 和 DNS server 或其他設定.

因為 Forigate 內建的 IPSec tunnel template, 沒有可以直接用來接 iOS IKEv2 PSK 的.
(個人的推測)這部份 Fortinet 似乎沒有想要演進改善, 更新可以適用於新版 iOS 的 template.
所以不要想用Web管理介面設這條IPSec規則了, 只能先用 CLI 長出來.
後續才有辦法在Web管理見面作變更.

下列為 CLI 設定的 IPsec 規則, 供大家參考.
情境: iOS VPN client 撥上 Fortigate, 可以存取 LAN (192.168.1.0/24).

config vpn ipsec phase1-interface
    edit "IKEv2_PSK"
        set type dynamic
        set interface "wan1"
        set ike-version 2
        set peertype any
        set net-device disable
        set mode-cfg enable
        set ipv4-dns-server1 192.168.1.10
        set proposal aes256gcm-prfsha256
        set localid "fgt60e"
        set dpd on-idle
        set dhgrp 19
        set ipv4-start-ip 172.16.1.1
        set ipv4-end-ip 172.16.1.10
        set psksecret heremypsk
        set dpd-retryinterval 60
    next
end
config vpn ipsec phase2-interface
    edit "IKEv2_PSK_P2"
        set phase1name "IKEv2_PSK"
        set proposal aes256gcm
        set pfs disable
        set src-subnet 192.168.1.0 255.255.255.0
    next
end

最後要加一條防火牆規則, 讓 VPN client 可以存取 LAN.

iOS 設定:

• 遠端識別碼, 輸入值要和 phase1-interface 裡的 localid 設定一樣.
• 本機識別碼, 每台 iOS 用戶設備要設定不一樣.
• 認證使用者認證設為:無, 使用憑證:關, 輸入PSK密鑰.
  

Fortigate IKE negotiation debug 方式:
開 CLI console, 輸入
diagnose debug application ike -1
diagnose debug enable

記得結束前把 debug 關掉.
diagnose debug disable

我是用 FortiClientVPN 這個APP

環境:
FortiGate-91G V7.2.11
iOS 26.1 + FortiClient 7.4.10.0196

特別為 iOS 設定一個IPSec

config vpn ipsec phase1-interface
    edit "IPSec_iOS"
        set type dynamic
        set interface "wan1"
        set mode aggressive
        set peertype one
        set net-device enable
        set mode-cfg enable
        set proposal aes128-sha256 aes256-sha256 aes128-sha1 aes256-sha1
        set dhgrp 14 5 2
        set xauthtype auto
        set peerid "ios"
        set ipv4-start-ip 192.168.99.171
        set ipv4-end-ip 192.168.99.180
        set ipv4-netmask 255.255.255.0
        set dns-mode auto
        set ipv4-split-include "IPSec_VPN_split"
        set unity-support disable
        set psksecret yourpsk
        set dpd-retryinterval 60
    next
end

config vpn ipsec phase2-interface
    edit "IPSec_iOS"
        set phase1name "IPSec_iOS"
        set proposal aes128-sha1 aes256-sha1 aes128-sha256 aes256-sha256 aes128gcm aes256gcm chacha20poly1305
        set pfs disable
        set keepalive enable
    next
end

IPSec_VPN_split 這個是位址群組,就把允許VPN存取的網段加進來
然後防火牆規則也加上存取各網段的規則

iOS 設定：

local identifier 要跟 phase1裡面peerid的一樣

不過有遇到一個問題
VPN User 沒辦法開2FA
完全不會跳詢問 Token 的視窗
但用SSLVPN就可以
這樣安全性就降低了