第三方SD-WAN設備配置示例

1. 請確保第三方SD-WAN設備的UDP 500以及5000端口允許本地網關設備1和本地網關設備2的公網地址訪問。具體操作，請參見添加安全組規則。

2. 登錄第三方SD-WAN設備的命令行配置界面。

3. 執行以下命令，添加IPsec-VPN連接一階段配置。

   config vpn ipsec phase1-interface
       edit "HUB"                                              #第三方SD-WAN設備作為Hub節點
           set type dynamic
           set interface "port1"                               #使用“port1”與本地IDC建立IPsec-VPN連接
           set ike-version 2                                   #使用IKE v2版本
           set peertype any
           set net-device disable                              #關閉本功能
           set proposal des-sha1                               #配置一階段加密算法和認證算法
           set add-route disable                               #關閉自動添加路由的功能
           set dpd on-idle
           set wizard-type hub-fortigate-auto-discovery         
           set auto-discovery-sender enable                    #在Hub節點開啟本功能，以便接收與發送Spoke之間的直連隧道互聯信息。
           set network-overlay enable
           set network-id 1
           set psksecret fddsFF456****                         #配置預共享密鑰
           set dpd-retryinterval 60
       next
   end
                                   

4. 執行以下命令，添加IPsec-VPN連接二階段配置。

   config vpn ipsec phase2-interface
       edit "HUB"
           set phase1name "HUB"
           set proposal des-sha1                          #配置二階段加密算法和認證算法
       next
   end
                                   

5. 執行以下命令，配置IPsec-VPN隧道IP地址。

   
   config system interface                            
       edit "HUB"
           set vdom "root"
           set ip 169.254.10.1 255.255.255.255            #配置隧道IP地址
           set allowaccess ping
           set type tunnel                                #指定隧道接口類型
           set remote-ip 169.254.10.254 255.255.255.0     #配置隧道對端IP地址
           set interface "port1"                          #指定隧道關聯的物理接口為"port1" 
       next
   end

   重要

   169.254.10.254是不被Spoke節點所使用的預留IP地址，IPsec-VPN隧道是一個點對點的隧道，但是ADVPN中這條隧道需要同時對應多個Spoke節點，因此不能將remote-ip寫成一個存在的Spoke節點的IP地址。

6. 執行以下命令，在第三方SD-WAN設備上配置安全策略，允許本地IDC之間、本地IDC與阿里云互相訪問。

   config firewall policy
       edit 7
           set name "HUB_to_SPOKE"               
           set srcintf "port1" "HUB" "to_aliyun_test1"     #源接口為"port1" 、"HUB"、"to_aliyun_test1"
           set dstintf "HUB" "port1" "to_aliyun_test1"     #目的接口為"port1" 、"HUB"、"to_aliyun_test1"
           set action accept                               #允許流量通行
           set srcaddr "all"                               #匹配所有源網段的流量
           set dstaddr "all"                               #匹配所有目的網段的流量
           set schedule "always"
           set service "ALL"
       next
   end                              

7. 執行以下命令，添加BGP配置。

   config router bgp
       set as 65534                                           #指定第三方SD-WAN設備的BGP AS號為65534                                
       config neighbor-group                                  #啟用neighbor-group屬性
           edit "HUB_group"
               set next-hop-self enable
               set remote-as 65534                            #指定對端的BGP AS號
               set additional-path send
               set route-reflector-client enable              #開啟路由反射功能，指定第三方SD-WAN設備為路由反射器
           next
       end
       config neighbor-range                                           
           edit 1
               set prefix 169.254.10.0 255.255.255.0          #只要匹配前綴列表169.254.10.0/24的BGP鄰居均可以和Hub節點建立iBGP鄰居關系。
               set neighbor-group "HUB_group"
           next
       end
   end                              

本地網關設備1配置示例

1. 登錄本地網關設備1的命令行配置界面。

2. 添加默認路由，確保本地網關設備1可以訪問第三方SD-WAN設備公網IP地址。

   #本文場景中port1接口映射公網IP地址121.XX.XX.211，因此配置默認路由指向port1網關。
   config router static
       edit 1
           set device "port1"
           set distance 5
           set gateway 192.168.100.253
       next
   end
   
   #您可以通過以下命令查看路由信息。
   FortiGate-VM64-KVM # get router info routing-table all
   S*      0.0.0.0/0 [5/0] via 192.168.100.253, port1

3. 執行以下命令，添加IPsec-VPN連接一階段配置。

   config vpn ipsec phase1-interface
       edit "hz_sp"
           set interface "port1"                           #使用"port1"接口與第三方SD-WAN設備建立IPsec-VPN連接
           set ike-version 2                               #使用IKE v2版本
           set peertype any
           set net-device disable                          #關閉該功能
           set proposal des-sha1                           #配置一階段加密算法和認證算法
           set localid "hzoffice1"
           set dpd on-idle
           set wizard-type spoke-fortigate-auto-discovery
           set auto-discovery-receiver enable               #在Spoke節點開啟本功能，以便接收Hub節點發送的直連隧道信息。
           set network-overlay enable
           set network-id 1
           set remote-gw 42.XX.XX.129                       #指定Hub節點的公網IP地址 
           set psksecret fddsFF456****                      #配置預共享密鑰，需和Hub節點保持一致
           set add-route disable                            #關閉自動添加路由的功能
       next
   end                            

4. 執行以下命令，添加IPsec-VPN連接二階段配置。

   config vpn ipsec phase2-interface
       edit "hz_sp"
           set phase1name "hz_sp"
           set proposal des-sha1                         #配置二階段加密算法和認證算法
           set auto-negotiate enable                     #開啟自動協商    
       next
   end
                                   

5. 執行以下命令，配置IPsec-VPN隧道IP地址。

   
   config system interface
       edit "hz_sp"
           set vdom "root"
           set ip 169.254.10.10 255.255.255.255           #配置隧道IP地址
           set allowaccess ping
           set type tunnel                                #指定隧道接口類型
           set remote-ip 169.254.10.254 255.255.255.0     #配置隧道對端IP地址
           set interface "port1"                          #指定隧道關聯的物理接口為"port1" 
       next
   end
    
   config system interface                                #新建loopback接口，用于模擬本地IDC1中的客戶端。
       edit "loopback"
          set vdom "root"
          set ip 192.168.254.100 255.255.255.0            
          set allowaccess ping
          set type loopback
     next
   end

6. 執行以下命令，在本地網關設備1上配置安全策略，允許本地IDC之間、本地IDC與阿里云互相訪問。

   config firewall policy
       edit 3
           set name "hz_sp_remote"                    #配置去往本地IDC1方向的安全策略     
           set srcintf "hz_sp"  "loopback" "port1"    #源接口為"port1" 、"hz_sp"、"loopback"
           set dstintf "loopback" "hz_sp" "port1"     #目的接口為"port1" 、"hz_sp"、"loopback"
           set action accept                #允許流量通行
           set srcaddr "all"                #匹配所有源網段的流量
           set dstaddr "all"                #匹配所有目的網段的流量
           set schedule "always"
           set service "ALL"
       next
   end  

7. 執行以下命令，添加BGP配置。

   config router bgp
       set as 65534                                         #指定本地網關設備1的BGP AS號
       set network-import-check disable                     #關閉發布路由的檢查
       config neighbor
           edit "169.254.10.1"                              #與第三方SD-WAN設備建立iBGP鄰居關系
               set remote-as 65534                          #指定第三方SD-WAN設備的BGP AS號
               set additional-path receive
           next
       end
       config network
           edit 1
               set prefix 192.168.254.100 255.255.255.255   #宣告本地IDC1中客戶端的地址，用于與VPC、本地IDC2互通
           next
       end
   end                              

本地網關設備2配置示例

1. 登錄本地網關設備2的命令行配置界面。

2. 添加默認路由，確保本地網關設備1可以訪問第三方SD-WAN設備公網IP地址。

   #本文場景中port1接口映射公網IP地址121.XX.XX.78，因此配置默認路由指向port1網關。
   config router static
       edit 1
           set device "port1"
           set distance 5
           set gateway 192.168.99.253
       next
   end
   
   #您可以通過以下命令查看路由信息。
   FortiGate-VM64-KVM # get router info routing-table all
   S*      0.0.0.0/0 [5/0] via 192.168.99.253, port1

3. 執行以下命令，配置IPsec-VPN一階段參數：

   
   config vpn ipsec phase1-interface                        
       edit "hz_sp1"
           set interface "port1"                           #使用"port1"接口與第三方SD-WAN設備建立IPsec-VPN連接
           set ike-version 2                               #使用IKE v2版本
           set peertype any
           set net-device disable                          #關閉該功能
           set proposal des-sha1                           #配置一階段加密算法和認證算法
           set localid "hzoffice2"
           set dpd on-idle
           set wizard-type spoke-fortigate-auto-discovery  
           set auto-discovery-receiver enable               #在Spoke節點開啟本功能，以便接收Hub節點發送的直連隧道信息。
           set network-overlay enable
           set network-id 1
           set remote-gw 42.XX.XX.129                       #指定Hub節點的公網IP地址
           set psksecret fddsFF456****                      #配置預共享密鑰，需和Hub節點保持一致
           set add-route disable                            #關閉自動添加路由的功能 
       next
   end
                                   

4. 執行以下命令，配置IPsec-VPN二階段參數。

   config vpn ipsec phase2-interface
       edit "hz_sp1"
           set phase1name "hz_sp1"
           set proposal des-sha1                         #配置二階段加密算法和認證算法
           set auto-negotiate enable                     #開啟自動協商    
       next
   end
                                   

5. 執行以下命令，配置IPsec-VPN隧道IP地址。

   config system interface
       edit "hz_sp1"
           set vdom "root"
           set ip 169.254.10.11 255.255.255.255           #配置隧道IP地址
           set allowaccess ping
           set type tunnel                                #指定隧道接口類型
           set remote-ip 169.254.10.254 255.255.255.0     #配置隧道對端IP地址
           set interface "port1"                          #指定隧道關聯的物理接口為"port1" 
       next
   end
   
   config system interface                                #新建loopback接口，用于模擬本地IDC2中的客戶端。
       edit "loopback"
            set vdom "root"
            set ip 192.168.100.104 255.255.255.0
            set allowaccess ping
            set type loopback
   end

6. 執行以下命令，在本地網關設備2上配置安全策略，允許本地IDC之間、本地IDC與阿里云互相訪問。

   config firewall policy
       edit 3
           set name "hz_sp1_remote"                  #配置去往本地IDC2方向的安全策略     
           set srcintf "hz_sp1" "loopback" "port1"   #源接口為"port1" 、"hz_sp1"、"loopback"
           set dstintf "loopback" "hz_sp1" "port1"   #目的接口"port1" 、"hz_sp1"、"loopback"
           set action accept                         #允許流量通行
           set srcaddr "all"                         #匹配所有源網段的流量
           set dstaddr "all"                         #匹配所有目的網段的流量
           set schedule "always"
           set service "ALL"
       next
   end                              

7. 執行以下命令，添加BGP配置。

   config router bgp
       set as 65534                                          #指定本地網關設備2的BGP AS號
       set network-import-check disable                      #關閉發布路由的檢查
       config neighbor
           edit "169.254.10.1"                               #與第三方SD-WAN設備建立iBGP鄰居關系
               set remote-as 65534                           #指定第三方SD-WAN設備的BGP AS號
               set additional-path receive                                
           next
       end
       config network
           edit 1
               set prefix 192.168.254.104 255.255.255.255    #宣告本地IDC2中的客戶端，用于與VPC、本地IDC1互通
           next
       end
   end