شرح Remote Access VPN باستخدام FortiClient و IPsec IKEv2 في الفورتي جيت “دروس شرح فورتي جيت 17”

نكمل سلسلة شرح كورس فورتي جيت فايروول بالعربي، شرح عملي خطوة بخطوة على FortiOS 7.4 و 7.6.

فيما سبق تم شرح

1. مقدمة عن فورتي جيت FortiGate
2. طريقة تنزيل وضبط اعدادات ال VM FortiGate
3. ضبط اعدادات كرت الشبكة على جهاز الكلاينت (Client)
4. طريقة عمل reset لعدد الأيام (14) للـ VM FortiGate
5. مشكلة انتهاء الـ License للفورتي جيت
6. باك اب لإعدادات الـ FortiGate واستعادتها
7. شرح مكونات وواجهات الفورتي جيت
8. طريقة تغيير باسورد الأدمن في FortiGate
9. طريقة توصيل الانترنت لجهاز الفورتي جيت
10. ترقية الـ Firmware لجهاز الفورتي جيت
11. إنشاء يوزر جديد و Administration profiles
12. ما هو الفورتي جارد FortiGuard
13. شرح SD-WAN في الفورتي جيت لخطّي إنترنت مع Performance SLA “
14. شرح Firewall Policies في الفورتي جيت خطوة بخطوة “
15. شرح NAT في الفورتي جيت: Source NAT و IP Pools و Virtual IPs “
16. شرح Site-to-Site IPsec VPN بين جهازي فورتي جيت “

في هذا الدرس نجهز اتصال VPN للموظفين من خارج الشركة (Remote Access VPN) باستخدام برنامج FortiClient، بحيث يتصل المستخدم من البيت أو من أي مكان ويصل إلى الشبكة الداخلية بأمان. سنستخدم IPsec Dial-up مع IKEv2، وهو الحل الذي تنصح به Fortinet الآن بدلاً من SSL VPN Tunnel Mode.

ماذا حدث لـ SSL VPN في FortiOS؟

لسنوات طويلة كان SSL VPN هو الطريقة الأشهر لربط المستخدمين بالفورتي جيت. لكن Fortinet بدأت تتخلى عنه تدريجياً، وهذه هي الحقائق كما وردت في Release Notes الرسمية:

• FortiOS 7.6.0: تم حذف SSL VPN بالكامل (Web Mode و Tunnel Mode) من الأجهزة التي تملك 2GB RAM أو أقل، مثل FortiGate/FortiWiFi 40F و 60F و 61F وبعض موديلات FortiGate Rugged 60F. الإعدادات القديمة لا تنتقل مع الترقية. لمعرفة حجم الذاكرة استخدم الأمر diagnose hardware sysinfo conserve.
• FortiOS 7.6.3: تم استبدال SSL VPN Tunnel Mode بـ IPsec VPN على جميع موديلات FortiGate، واختفى من الـ GUI والـ CLI، ولا يتم ترحيل إعداداته ولا الـ Firewall Policies المرتبطة به عند الترقية.
• في نفس الإصدار 7.6.3 تغيّر اسم SSL VPN Web Mode إلى Agentless VPN، وهو غير مدعوم على موديلات 40F و 60F و 61F و 90G و 91G ونسخ 2GB من Rugged 60F.

لذلك إذا كان لديك مستخدمون على SSL VPN Tunnel Mode فيجب تجهيز IPsec وتجربته قبل الترقية إلى 7.6.3 حتى لا ينقطع الاتصال. وإذا كان القلق من حجب بورتات UDP 500/4500 في بعض الشبكات، فإن IPsec يدعم العمل فوق TCP على البورت 443 (يتطلب IKEv2 و FortiClient 7.4.1 أو أحدث، وحسب مقالات Fortinet Community فإن الـ Dial-up فوق TCP مدعوم من FortiOS 7.4.6 فما بعد، ويُفضل استخدام أحدث إصدار 7.4.x أو 7.6.x).

ملاحظة مهمة أخرى: ابتداءً من FortiClient 7.4.4 لم يعد IKEv1 مدعوماً في البرنامج، لذلك نعتمد في هذا الدرس على IKEv2.

السيناريو المستخدم في الدرس

WAN	port1 بعنوان 203.0.113.10
LAN	port2 بشبكة 192.168.10.0/24
عناوين المستخدمين (Address Pool)	10.10.50.1 إلى 10.10.50.100
المستخدم والمجموعة	vpnuser1 داخل مجموعة VPN_Users
Split Tunnel	فقط شبكة 192.168.10.0/24 تمر عبر النفق

المفاهيم الأساسية

• Dial-up (Type Dynamic): الفورتي جيت لا يعرف عنوان المستخدم مسبقاً، فينتظر الاتصال من أي عنوان.
• EAP: في IKEv2 يتم التحقق من اسم المستخدم وكلمة المرور عبر EAP بدلاً من XAuth المستخدم في IKEv1.
• Mode Config: هو الذي يعطي المستخدم عنوان IP من الـ Pool، ويرسل له الـ DNS والشبكات التي ستمر عبر النفق.
• Split Tunnelling: يمر عبر النفق فقط الترافيك المتجه إلى الشبكات الداخلية، وباقي الإنترنت يخرج من اتصال المستخدم مباشرة. البديل هو Full Tunnel حيث يمر كل شيء عبر الفورتي جيت.

الخطوة 1: إنشاء المستخدم والمجموعة

1. من User & Authentication > User Definition اضغط Create New واختر Local User، ثم أدخل اسم المستخدم vpnuser1 وكلمة مرور قوية.
2. من User & Authentication > User Groups أنشئ مجموعة باسم VPN_Users من نوع Firewall وأضف إليها المستخدم.

في البيئات الحقيقية يُفضل ربط المجموعة بـ LDAP أو RADIUS مع تفعيل Two-factor Authentication بدلاً من المستخدمين المحليين.

الخطوة 2: تشغيل الـ VPN Wizard

في FortiOS 7.6 المسار هو VPN > VPN Wizard، أما في FortiOS 7.4 فالمسار هو VPN > IPsec Wizard وبعض الحقول تختلف قليلاً في الشكل.

1. اكتب اسم النفق مثل RA_VPN واختر القالب Remote Access.
2. VPN client type: اختر FortiClient.
3. Authentication method: اختر Pre-shared key وأدخل مفتاحاً طويلاً وعشوائياً.
4. IKE: اختر Version 2، وفعّل NAT traversal مع Keepalive frequency بقيمة 10.
5. EAP peer identification: اختر EAP identity request.
6. User authentication method: اختر Phase 1 interface ثم حدد المجموعة VPN_Users.
7. DNS Server: اختر Use System DNS أو حدد DNS الداخلي إن وُجد Active Directory.
8. فعّل Enable IPv4 Split Tunnel.
9. في صفحة Remote Endpoint أدخل العناوين 10.10.50.1-10.10.50.100 في حقل Addresses to assign to connected endpoints، واترك الـ Subnet بقيمة 255.255.255.255، وقرر هل تسمح بـ Save password و Auto Connect و Always up.
10. في صفحة Local FortiGate اختر Incoming interface = port1، و Local interface = port2، و Local address = شبكة LAN.
11. راجع الملخص واضغط Submit. سيقوم الـ Wizard بإنشاء Phase 1 و Phase 2 والعناوين ومجموعة الـ Split والـ Firewall Policy.

الإعداد المكافئ عبر CLI

هذا هو الإعداد اليدوي الكامل، وهو مفيد لفهم ما يقوم به الـ Wizard أو لتطبيقه على أكثر من جهاز:

config user local
    edit "vpnuser1"
        set type password
        set passwd "StrongPassword"
    next
end
config user group
    edit "VPN_Users"
        set member "vpnuser1"
    next
end
config firewall address
    edit "LAN_192.168.10.0"
        set subnet 192.168.10.0 255.255.255.0
    next
    edit "RA_VPN_range"
        set type iprange
        set start-ip 10.10.50.1
        set end-ip 10.10.50.100
    next
end
config firewall addrgrp
    edit "RA_VPN_split"
        set member "LAN_192.168.10.0"
    next
end
config vpn ipsec phase1-interface
    edit "RA_VPN"
        set type dynamic
        set interface "port1"
        set ike-version 2
        set peertype any
        set net-device disable
        set mode-cfg enable
        set proposal aes256-sha256 aes256gcm-prfsha384
        set dhgrp 20 21
        set eap enable
        set eap-identity send-request
        set authusrgrp "VPN_Users"
        set assign-ip-from name
        set ipv4-name "RA_VPN_range"
        set dns-mode auto
        set ipv4-split-include "RA_VPN_split"
        set save-password enable
        set psksecret "LongRandomPreSharedKey"
    next
end
config vpn ipsec phase2-interface
    edit "RA_VPN"
        set phase1name "RA_VPN"
        set proposal aes256-sha256 aes256gcm
        set dhgrp 20 21
    next
end
config firewall policy
    edit 0
        set name "RA_VPN_to_LAN"
        set srcintf "RA_VPN"
        set dstintf "port2"
        set action accept
        set srcaddr "RA_VPN_range"
        set dstaddr "LAN_192.168.10.0"
        set schedule "always"
        set service "ALL"
        set logtraffic all
    next
end

لاحظ أن الـ Policy تستخدم عنوان الـ Pool كمصدر، ويمكن تقييد الخدمات بدلاً من ALL حسب ما يحتاجه المستخدمون فعلاً. إذا أردت Full Tunnel فاحذف ipv4-split-include وأضف Policy من النفق إلى port1 مع تفعيل NAT.

تشغيل IPsec فوق TCP 443 (اختياري)

إذا كانت شبكات المستخدمين تحجب UDP 500 و 4500، يمكن نقل IKE و ESP إلى TCP. البورت يُحدد على مستوى الجهاز، والـ Transport على مستوى الـ Phase 1:

config system settings
    set ike-tcp-port 443
end
config vpn ipsec phase1-interface
    edit "RA_VPN"
        set transport tcp
    next
end

انتبه إلى أن البورت 443 قد يكون مستخدماً لواجهة الإدارة HTTPS أو لـ SSL VPN على نفس الـ Interface، فغيّر بورت الإدارة أولاً أو أغلق الإدارة من WAN، ويجب ضبط FortiClient أيضاً على TCP.

الخطوة 3: إعداد FortiClient

1. افتح FortiClient (يكفي إصدار FortiClient VPN المجاني) واذهب إلى Remote Access ثم Add a new connection.
2. اختر VPN = IPsec VPN واكتب اسماً للاتصال.
3. Remote Gateway: عنوان الـ WAN أو اسم الـ DNS الخاص به، مثل 203.0.113.10.
4. Authentication Method: Pre-shared key وأدخل نفس المفتاح.
5. من Advanced Settings اختر IKE Version 2، وتأكد أن إعدادات Phase 1 و Phase 2 مطابقة للفورتي جيت (التشفير و DH Group).
6. احفظ، ثم أدخل اسم المستخدم وكلمة المرور واضغط Connect.

في الشركات التي تستخدم FortiClient EMS يُفضل توزيع الإعداد على الأجهزة من EMS بدلاً من الإدخال اليدوي.

التحقق واستكشاف الأخطاء

من الـ GUI في FortiOS 7.6 اذهب إلى Dashboard > Network ووسّع ويدجت IPsec، ستجد النفق باسم مثل RA_VPN_0 لكل مستخدم متصل. ومن الـ CLI:

diagnose vpn ike gateway list name RA_VPN_0
diagnose vpn tunnel list name RA_VPN_0
diagnose sniffer packet any 'host 192.168.10.20' 4 0 l

الأمر الأول يوضح إصدار IKE واسم المستخدم الذي دخل عبر EAP والعنوان الذي حصل عليه، والثاني يوضح حالة الـ SA والـ Selectors وعدادات الترافيك. إذا لم يتكون النفق أصلاً فشغّل الـ Debug مع فلتر على عنوان المستخدم العام:

diagnose vpn ike log filter rem-addr4 198.51.100.2
diagnose debug application ike -1
diagnose debug enable
...
diagnose debug disable
diagnose debug reset

وإذا تكوّن النفق لكن الترافيك لا يصل للسيرفر فاستخدم diagnose debug flow لمعرفة هل يتم رفضه من الـ Policy أو بسبب الـ Routing.

أخطاء شائعة

• اختيار IKEv1 مع FortiClient 7.4.4 أو أحدث، وهو غير مدعوم في البرنامج.
• عدم تطابق الـ Proposals أو الـ DH Groups بين FortiClient والفورتي جيت، فتظهر رسالة فشل في Phase 1 أو Phase 2.
• اختيار Pool يتداخل مع شبكة LAN أو مع شبكة البيت الخاصة بالمستخدم (مثل 192.168.1.0/24)، فيحدث تعارض في الـ Routing عند المستخدم.
• نسيان الـ Firewall Policy من النفق إلى LAN، أو استخدام عنوان مصدر لا يطابق الـ Pool.
• ترقية الجهاز إلى 7.6.3 قبل نقل مستخدمي SSL VPN Tunnel Mode إلى IPsec، فينقطع الاتصال لأن الإعدادات القديمة لا يتم ترحيلها.
• تفعيل TCP 443 على الفورتي جيت دون تغيير الإعداد في FortiClient، أو مع تعارض البورت مع واجهة الإدارة.

الخلاصة

تتجه Fortinet إلى IPsec كحل أساسي للـ Remote Access، فقد اختفى SSL VPN من الأجهزة الصغيرة في 7.6.0 ثم اختفى Tunnel Mode من كل الموديلات في 7.6.3. الإعداد الموصى به هو IPsec Dial-up مع IKEv2 و EAP، و Mode Config لتوزيع العناوين، و Split Tunnel للشبكات الداخلية فقط، مع Policy محددة من النفق إلى LAN. وعند الحاجة يمكن تشغيله فوق TCP 443 لتجاوز حجب UDP. في الدرس القادم نتعرف على High Availability وكيفية بناء Cluster من جهازي فورتي جيت.