شرح Site-to-Site IPsec VPN بين جهازي فورتي جيت “دروس شرح فورتي جيت 16”

نكمل سلسلة شرح كورس فورتي جيت فايروول بالعربي، شرح عملي خطوة بخطوة على FortiOS 7.4 و 7.6.

فيما سبق تم شرح

1. مقدمة عن فورتي جيت FortiGate
2. طريقة تنزيل وضبط اعدادات ال VM FortiGate
3. ضبط اعدادات كرت الشبكة على جهاز الكلاينت (Client)
4. طريقة عمل reset لعدد الأيام (14) للـ VM FortiGate
5. مشكلة انتهاء الـ License للفورتي جيت
6. باك اب لإعدادات الـ FortiGate واستعادتها
7. شرح مكونات وواجهات الفورتي جيت
8. طريقة تغيير باسورد الأدمن في FortiGate
9. طريقة توصيل الانترنت لجهاز الفورتي جيت
10. ترقية الـ Firmware لجهاز الفورتي جيت
11. إنشاء يوزر جديد و Administration profiles
12. ما هو الفورتي جارد FortiGuard
13. شرح SD-WAN في الفورتي جيت لخطّي إنترنت مع Performance SLA “
14. شرح Firewall Policies في الفورتي جيت خطوة بخطوة “
15. شرح NAT في الفورتي جيت: Source NAT و IP Pools و Virtual IPs “

في هذا الدرس نربط فرعين ببعضهما عبر الإنترنت باستخدام IPsec VPN من نوع Site-to-Site بين جهازي فورتي جيت. سنبني النفق أولًا باستخدام الـ VPN Wizard ثم نبنيه يدويًا من الـ CLI باستخدام IKEv2 ومفتاح مشترك (Pre-shared Key)، ونضيف الـ Static Routes والـ Blackhole Route والـ Policies في الاتجاهين، ثم نتعلم أوامر التحقق والـ IKE Debug. الشرح مبني على FortiOS 7.4 و 7.6.

أولًا: المفاهيم والطوبولوجيا

بناء نفق IPsec يتم على مرحلتين:

• Phase 1 (IKE SA): الجهازان يتعرفان على بعضهما (Authentication بالـ PSK أو بالشهادات) ويتفقان على التشفير لقناة تفاوض آمنة. على الفورتي جيت تُعرّف تحت config vpn ipsec phase1-interface، ويُنشئ ذلك واجهة افتراضية (Tunnel Interface) بنفس اسم الـ Phase 1.
• Phase 2 (IPsec SA): الاتفاق على تشفير بيانات المستخدمين الفعلية وعلى الشبكات المسموح لها بالمرور (Selectors). تُعرّف تحت config vpn ipsec phase2-interface.

لأن الفورتي جيت يستخدم Route-based VPN، فالنفق لا يعمل إلا بثلاثة عناصر إضافية: Route يوجه شبكة الفرع الآخر إلى واجهة النفق، و Policy تسمح بالحركة في كل اتجاه، و Blackhole Route احتياطي. الطوبولوجيا:

	Site A (المركز)	Site B (الفرع)
WAN (port1)	198.51.100.1	203.0.113.1
LAN (port2)	192.168.10.0/24	192.168.20.0/24
اسم النفق	to-SiteB	to-SiteA

ثانيًا: الإعداد باستخدام الـ VPN Wizard

في FortiOS 7.4 تجد المعالج في VPN > IPsec Wizard، وفي FortiOS 7.6 تمت إعادة تسميته إلى VPN > VPN Wizard وأصبح يسمح باختيار إصدار IKE وطريقة النقل مباشرة. الخطوات على Site A (أسماء الحقول قد تختلف قليلًا بين الإصدارات):

1. اكتب اسم النفق to-SiteB واختر القالب Site to Site ثم اضغط Begin (أو Next في 7.4).
2. اختر نوع الجهاز البعيد FortiGate، واختر Pre-shared key واكتب مفتاحًا قويًا طويلًا، وفي 7.6 اختر IKE Version 2.
3. حدد أن الجهاز البعيد بعنوان ثابت (Remote site device = Accessible and static في 7.6، أو Remote device = IP Address في 7.4) واكتب عنوانه 203.0.113.1، واكتب الشبكة البعيدة 192.168.20.0/24.
4. في إعدادات الموقع المحلي اختر واجهة الخروج port1، والواجهة المحلية port2، وتأكد أن الشبكة المحلية 192.168.10.0/24.
5. راجع الملخص واضغط Submit (أو Create في 7.4).
6. كرر نفس الخطوات على Site B بالقيم المعكوسة وبنفس المفتاح ونفس إصدار IKE.

المعالج يُنشئ لك تلقائيًا: كائنات عناوين ومجموعات بأسماء مثل to-SiteB_local و to-SiteB_remote، و Phase 1 و Phase 2، و Static Route عبر النفق، و Blackhole Route بمسافة إدارية 254، و Policy من port2 إلى النفق وأخرى من النفق إلى port2. يمكنك بعد ذلك تعديل أي إعداد، ويمكنك تحويل النفق إلى Custom لتعديل الـ Proposals.

ثالثًا: الإعداد اليدوي من الـ CLI (Site A)

الإعداد اليدوي يعطيك تحكمًا كاملًا في الـ Proposals ومجموعات Diffie-Hellman، ويفضله أغلب المهندسين في بيئات الإنتاج. يمكن عمل نفس الشيء من الواجهة عبر VPN > IPsec Tunnels > Create New > IPsec Tunnel واختيار Custom.

1. Phase 1 و Phase 2

config vpn ipsec phase1-interface
    edit "to-SiteB"
        set interface "port1"
        set ike-version 2
        set peertype any
        set net-device disable
        set proposal aes256-sha256 aes256gcm-prfsha384
        set dhgrp 20 14
        set remote-gw 203.0.113.1
        set psksecret <Strong-PSK-Here>
        set dpd on-idle
    next
end

config vpn ipsec phase2-interface
    edit "to-SiteB"
        set phase1name "to-SiteB"
        set proposal aes256-sha256 aes256gcm
        set dhgrp 20 14
        set src-subnet 192.168.10.0 255.255.255.0
        set dst-subnet 192.168.20.0 255.255.255.0
        set auto-negotiate enable
    next
end

• set ike-version 2: استخدام IKEv2 الأحدث والأكثر كفاءة من IKEv1.
• set proposal و set dhgrp: يجب أن يوجد تطابق واحد على الأقل مع الطرف الآخر، والأفضل أن تكون متطابقة تمامًا.
• src-subnet و dst-subnet: الـ Selectors، ويجب أن تكون معكوسة تمامًا على الطرف الآخر. يمكنك تركها 0.0.0.0/0 على الطرفين والاعتماد على الـ Routes والـ Policies للتحكم.
• set auto-negotiate enable: يجعل الـ Phase 2 تقوم تلقائيًا دون انتظار حركة.

2. الـ Routes والـ Blackhole Route

config router static
    edit 0
        set dst 192.168.20.0 255.255.255.0
        set device "to-SiteB"
    next
    edit 0
        set dst 192.168.20.0 255.255.255.0
        set blackhole enable
        set distance 254
    next
end

لماذا الـ Blackhole Route؟ عندما يسقط النفق يختفي الـ Route الأول، فتذهب حركة 192.168.20.0/24 عبر الـ Default Route إلى الإنترنت بدون تشفير، وتُنشأ لها جلسات عالقة قد تمنع النفق من العمل بشكل سليم عند عودته. الـ Blackhole بمسافة 254 لا يُستخدم إلا عند غياب Route النفق، فيُسقط الحركة بدلًا من تسريبها.

3. العناوين والـ Policies في الاتجاهين

config firewall address
    edit "SiteA_LAN"
        set subnet 192.168.10.0 255.255.255.0
    next
    edit "SiteB_LAN"
        set subnet 192.168.20.0 255.255.255.0
    next
end

config firewall policy
    edit 0
        set name "SiteA-to-SiteB"
        set srcintf "port2"
        set dstintf "to-SiteB"
        set action accept
        set srcaddr "SiteA_LAN"
        set dstaddr "SiteB_LAN"
        set schedule "always"
        set service "ALL"
    next
    edit 0
        set name "SiteB-to-SiteA"
        set srcintf "to-SiteB"
        set dstintf "port2"
        set action accept
        set srcaddr "SiteB_LAN"
        set dstaddr "SiteA_LAN"
        set schedule "always"
        set service "ALL"
    next
end

لاحظ أن الـ NAT غير مفعّل في الـ Policies السابقة (وهو الافتراضي عند الإنشاء من الـ CLI)، لأن الفرعين يجب أن يريا العناوين الحقيقية لبعضهما. على Site B نكرر نفس الإعدادات بالقيم المعكوسة: remote-gw 198.51.100.1، و src-subnet هي 192.168.20.0/24 و dst-subnet هي 192.168.10.0/24، والـ Route إلى 192.168.10.0/24 عبر to-SiteA.

رابعًا: التحقق

من الواجهة: VPN > IPsec Tunnels يعرض حالة كل نفق ويمكنك الضغط بزر الفأرة الأيمن على النفق لاختيار Bring Up أو Bring Down، كما يوجد IPsec Widget في Dashboard > Network. ومن الـ CLI:

get vpn ipsec tunnel summary
diagnose vpn ike gateway list name to-SiteB
diagnose vpn tunnel list name to-SiteB
get router info routing-table all
diagnose sniffer packet any "host 192.168.20.10 and icmp" 4 0 l

• get vpn ipsec tunnel summary: ملخص سريع لكل نفق مع عداد selectors(total,up) وعدد الحزم المرسلة والمستقبلة.
• diagnose vpn ike gateway list: حالة الـ Phase 1، وابحث عن status: established والـ Proposal المتفق عليه.
• diagnose vpn tunnel list: تفاصيل الـ Phase 2 SAs، والعدادات enc و dec. إذا زاد enc فقط فالمشكلة غالبًا عند الطرف الآخر (Policy أو Route للعودة).
• get router info routing-table all: تأكد أن الشبكة البعيدة تظهر عبر واجهة النفق وليس عبر الـ Blackhole.

الـ IKE Debug عندما لا يقوم النفق

diagnose debug reset
diagnose vpn ike log filter clear
diagnose vpn ike log filter rem-addr4 203.0.113.1
diagnose debug console timestamp enable
diagnose debug application ike -1
diagnose debug enable
(انتظر محاولة التفاوض أو أعد تشغيل النفق)
diagnose debug disable
diagnose debug reset

ملاحظة إصدار: في FortiOS 7.4.1 وما بعده يُكتب الفلتر diagnose vpn ike log filter rem-addr4، أما في الإصدارات الأقدم فكان diagnose vpn ike log-filter dst-addr4. في المخرجات ابحث عن رسائل مثل no proposal chosen (عدم تطابق الـ Proposals أو DH Groups)، أو فشل الـ Authentication الذي يدل على اختلاف الـ PSK، أو مشاكل الـ Traffic Selectors في Phase 2. ولإعادة التفاوض من البداية يمكن استخدام diagnose vpn ike gateway clear name to-SiteB.

أخطاء شائعة

• اختلاف الـ PSK أو إصدار IKE: النفق لا يقوم إطلاقًا. انسخ المفتاح بعناية وتأكد أن الطرفين IKEv2.
• Proposals أو DH Groups غير متطابقة: تظهر في الـ Debug كـ no proposal chosen.
• Selectors غير معكوسة: الـ Phase 1 تقوم لكن الـ Phase 2 لا تقوم.
• Policy في اتجاه واحد فقط: الحركة تعمل من طرف ولا تعمل من الآخر.
• نسيان الـ Route: النفق Up لكن لا يمر شيء، لأن الحركة تذهب للإنترنت عبر الـ Default Route.
• تفعيل NAT في Policies النفق: تصل الحزم للطرف الآخر بعنوان واجهة النفق فلا تطابق الـ Policies أو لا تجد طريق العودة.
• حجب UDP 500 و 4500: إذا كان هناك جهاز قبل الفورتي جيت يحجب هذه المنافذ أو يجري NAT دون دعم NAT-T فلن يكتمل التفاوض.
• تداخل الشبكات: لا يمكن ربط فرعين يستخدمان نفس الشبكة الداخلية دون حلول NAT إضافية، فخطط للعناوين قبل البدء.

الخلاصة

نفق IPsec Site-to-Site على الفورتي جيت يتكون من Phase 1 و Phase 2، ومعهما Route عبر واجهة النفق و Blackhole Route بمسافة 254 و Policies في الاتجاهين بدون NAT. الـ VPN Wizard يُنشئ كل ذلك بسرعة، والإعداد اليدوي بـ IKEv2 يمنحك تحكمًا كاملًا في التشفير. وعند أي مشكلة ابدأ بـ get vpn ipsec tunnel summary و diagnose vpn ike gateway list، ثم انتقل إلى diagnose debug application ike -1 مع فلتر عنوان الطرف الآخر لمعرفة سبب الفشل بدقة.