Établissement d'un tunnel VPN IKEv2 entre FortiGate et DrayTek

Ce document explique comment établir un tunnel IPsec VPN entre une passerelle FortiGate et un routeur Vigor DrayTek.

L'exemple ci-dessous est basé sur FortiOS 7.0.

Configuration de FortiGate

1. Créer un tunnel IPsec VPN

Accédez à VPN > Tunnels IPsec, puis cliquez sur + Create New pour créer un nouveau profil VPN.

Entrez un nom pour le tunnel, sélectionnez Custom comme Type de modèle et cliquez sur Suivant.

2. Configurer les paramètres réseau

Sous Paramètres Réseau :

Sélectionnez la version IP appropriée.
Définissez Remote Gateway sur Dialup User (lorsque le routeur Vigor a une adresse IP publique dynamique).
Sélectionnez l'interface WAN sur laquelle le tunnel VPN sera établi.

3. Configurer les paramètres Phase 1 (IKE)

Sous Paramètres d'authentification :

Sélectionnez la version IKE souhaitée.
Choisissez Pre-shared Key comme méthode d'authentification.
Configurez les Types Acceptés de Peer ID et entrez l'ID du peer configuré sur le routeur Vigor.
Définissez la durée de vie de la clé. La durée de vie par défaut Phase 1 sur le routeur Vigor est de 28800 secondes.

4. Configurer les paramètres Phase 2

Sous Paramètres Phase 2 :

Entrez le sous-réseau LAN FortiGate comme Adresse Locale.
Entrez le sous-réseau LAN du routeur Vigor comme Adresse Distante.

Cliquez sur Avancé pour configurer la proposition Phase 2 et définir la durée de vie de la clé.

La durée de vie par défaut Phase 2 sur le routeur Vigor est de 3600 secondes.

5. Créer un objet d'adresse

Accédez à Policy & Objects > Addresses, puis cliquez

sur Create New >> Address.

Configurez les éléments suivants :

Nom : Un nom descriptif pour le sous-réseau LAN Vigor.
IP/Netmask : Entrez le sous-réseau LAN du routeur Vigor.
Interface : Sélectionnez le tunnel IPsec créé précédemment.

Cliquez sur OK pour enregistrer la configuration.

6. Créer des politiques de pare-feu

Accédez à Policy & Objects > Politique IPv4, puis cliquez

sur Create New.

Créez deux politiques de pare-feu :

Autoriser le trafic du LAN FortiGate vers le LAN Vigor.
Autoriser le trafic du LAN Vigor vers le LAN FortiGate.
Désactivez NAT pour les deux politiques.

Note : Assurez-vous que les politiques IPsec ont une priorité plus élevée que les règles de pare-feu générales.

Si nécessaire, ajustez manuellement l'ordre des politiques afin que le trafic VPN soit matché avant d'autres politiques

(excepté pour les règles liées à la gestion).

7. Créer une route statique

Accédez à Network > Routes statiques, puis cliquez

sur Create New.

Destination : Entrez le sous-réseau LAN du routeur Vigor.

Dispositif : Sélectionnez le tunnel IPsec créé précédemment.

Cliquez sur OK pour appliquer la configuration.

Configuration du routeur Vigor

1. Activer le service IPsec

Accédez à VPN and Remote Access > Général > IPsec.

Activez le Service IPsec.

Cliquez sur Apply pour enregistrer les paramètres.

2. Créer un profil IPsec VPN

Accédez à VPN / Site-to-Site VPN.

Cliquez sur +Add pour créer un nouveau profil VPN.

Entrez un nom de profil et activez-le.

Général :

Direction : Dial-Out
Type de connexion : Tunnel IPsec
Protocole IPsec Dial-Out : IKEv2
Adresse IP/Host Name du serveur pour la connexion VPN : Entrez l'adresse IP publique ou le domaine du FortiGate.
Mode Dial-Out : Always On

Authentification IKE :

Méthode d'authentification : Clé partagée préalablement définie
Entrez la clé partagée préalablement définie sur le FortiGate.
Entrez l'IKEv2 Local ID. Cette valeur doit correspondre à l'ID du peer configuré sur le FortiGate.

Cliquez sur More Settings pour activer Force Reauthentication et Perfect Forward Secrecy (PFS), si nécessaire. Configurez les algorithmes de chiffrement et d'authentification IKE Phase 1 et Phase 2 s'ils diffèrent des paramètres par défaut.

Paramètres réseau TCP/IP :