实验篇(7.2) 09. 通过安全隧道走对方宽带上网 (FortiClient-IPsec) ❀ 远程访问

　　【简介】要想所有的流量都走安全隧道，就需要禁用隧道分割。这样上网流量也会通过隧道到达远端防火墙，再通过远端防火墙的宽带接口去到互联网。我们来看看FortiClient客户端用IPsec VPN是如何实现的。

实验要求与环境

　　OldMei集团深圳总部防火墙有两条宽带，一条普通宽带用来上网，另一条MPLS专线用来访问指定网站。并且网站绑定了专线IP，只有这个IP才能访问。

　　新冠疫情前，大家在公司办公，可以很方便的访问指定网站。新冠疫情后，全员居家办公，要求除了能安全的远程访问公司内部服务器外，也要能通过公司MPLS专线，访问指定网站。

删除向导创建的IPsec VPN

　　前面我们用向导非常快速的就建好了访问内网的IPsec VPN。现有我们要创建访问宽带的IPsec VPN，那么最快速的办法，就是删除前面已建好的IPsec VPN，用向导重新创建一个。

　　① 远程登录深圳总部防火墙，选择菜单【VPN】-【IPsec隧道】，可以看到前面试验创建的IPsec隧道，【删除】按钮是灰色的，这是因为有关联，要删除IPsec隧道，必须先删除关联。点击最右边的关联项数字。

　　② 这里有两个关联项，一个是策略，一个是阶段2，选择策略，点击【删除】。

　　③ 关联的策略被删除，注意，并不是删除它们之间的联系，而是把策略真正的删除。同样也选择阶段2，点击【删除】。

　　④ 只有将IPsec隧道的关联项数字变为0，才可以删除这条IPsec隧道。

　　⑤ 对于自动创建的地址组和地址对象，我们也要进行删除，一是避免太多的地址对象引起误解。二是如果再次创建相同名称的IPsec隧道，自动创建地址同名对象会引起冲突。

　　⑥ 删除地址对象后，我们就把向导创建的内容删除干净了。下面可以再次使用向导创建IPsec隧道了。

IPsec VPN向导

　　下面我们开始用向导创建访问远程防火墙宽带的IPsec VPN。

　　① 选择菜单【VPN】-【IPsec隧道】，点击【新建】-【IPsec隧道】，会自动启动IPsec向导。

　　② 输入自定义名称，模板类型选择【远程拨号】，默认选择FortiClient客户端。点击【下一步】。

　　③ 流入接口选择宽带接口，该接口需要有可以远程访问的公网IP。共享密钥可以自己编写，只要防火墙和FortiClient客户端两边都一样就行。用户组是用来验证登录用户的。前面已经讲解过了创建用户组和用户。点击【下一步】。

　　④ 由于我们是要将上网流量通过IPsec隧道到达总部防火墙，再从总部防火墙的宽带出去，所以本地接口选择了wan2，也就是深圳总部的另一条MPLS专线。地址地址选择【all】，自定义客户端地址范围，这里参考SSL VPN的默认地址对象内容，稍作修改。由于不同宽带DNS也不同，这里可以手动指定新的DNS。注意，要禁用隧道分离，这样所有流量才会走隧道。点击【下一步】。