FortiClient Version 5.0

FortiClient Ver5.x で、FortiOS Ver4.x の機器へVPN接続してもつながらない。。

toolを使うと接続できるなんて話があるので、試してみようと思ってます。

FortigateのスイッチポートをVLAN分け

Fortigate 110cなど、８ポートスイッチのLAN側を、VLAN分けする場合は以下のコマンドでおこないます。

コンフィグで、以下の２つのどちらのモードになっているかで動作が決まります。

①

set internal-switch-mode interface

②
set internal-switch-mode switch


①のinterface だと、各スイッチポートがルーテッドポートになっているモード
⇒　これだと、８ポートそれぞれにIPアドレスを割り振ることができて、VLAN分け可能ということ

②switch だと、８ポートスイッチや６ポートとしてスイッチとして機能しているモード
⇒　これだと、８ポートは同じセグメント。スイッチとして使用していること

ちなみに、このどちらかしか選択できないので、特定ポートだけルーテッドポ―トにする、みたいなことはできないです。（１～４番はスイッチ、５番だけIPセグメント別みたいなことね）

Fortigate でCRCエラー確認

FortigateのNICでCRCエラーが発生していないかを確かめるには、以下のコマンド。

以下では、internal のnic を調べています。　ここの名前を　external　などに変えて確認します。


 diagnose hardware deviceinfo nic internal

FortigateのIPアドレスを確認するには

Fortigate でインターフェースに割り振っているIPアドレスを確認するには、

show system interface を実行します。

LANインターフェースの初期デフォルトのアドレスは 192.168.1.99　になっています。

アドレスを変更してわからなくなった場合はシリアル接続してから、コマンドで確認します。

デフォルト初期ログインユーザは admin のパスワードなし。

FGT110C# show system interface

config system interface
edit "wan1"
set vdom "root"
set ip 192.168.100.99 255.255.255.0
set allowaccess ping
set type physical
next
edit "modem"
set vdom "root"
next
edit "ssl.root"
set vdom "root"
set type tunnel
next
edit "wan2"
set vdom "root"
set allowaccess ping
set type physical
next
edit "switch"
set vdom "root"
set ip 192.168.1.99 255.255.255.0
set allowaccess ping https
set dns-query recursive
set type physical
next
end

FGT110C#

Fortigateのセッション保持時間を変更

FortigateでTCPセッションのタイムアウト値、セッション保持時間を調整します。

DMZにいるWebサーバと、LANにいるデータベースサーバ間のセッションが切れてしまう、

なんてトラブルがあるときに、まずチェックする箇所になります。

以下の例では、２５番ポートのセッションタイムアウト値を 3600 秒にしています。


config sys session-ttl

config port

edit 25

set timeout 3600

end

FortigateのDNSキャッシュ保持時間を変更

Fortigateで名前解決したDNSレコードのキャッシュ時間を調整します。

値はの箇所へ、秒単位で入力します。

例えば、本社と拠点間でIPSEC-VPNをはっていて、本社のFGTへ名前でアクセスをしている場合なんかに調整したりします。


config system dns

set dns-cache-ttl

end

Forticlient へDHCPでアドレス割り当て

FortiClientでのアクセス時にクライアントへDHCPでアドレスを割り振る方法です。

この方法でアクセスすると、Fortigateへの管理者アクセスを、このDHCPアドレスのみに制限することもできるので便利です。

そうすることで管理者がリモートからのアクセスも可能になるので。

DHCPの設定画面を表示し、インターフェースに WAN1 External を指定し、DHCPサーバとして動作させます。
そして、IPSec か レギュラーかの選択で IPSEC を選択します。

ポリシーの設定では、Inbound NAT はかけないで、VPNトンネルを指定します。

VPNトンネルの定義では、phase2 で　DHCP-IPsec にチェックをつけて有効にしておきます。

管理者のアクセス許可IPにDHCPのアドレス範囲が入れます。

VPNClient 側の設定では、詳細設定のところで、仮想IPアドレスを取得にチェックを入れます。
その先の設定では、DHCP Over IPSEC にチェックを入れます。

以上です。

こうすると、外部からのアクセスでは、VPNで接続したものだけがFortigateへアクセス可能になります。





Tweet