Rubriques Connexes

# Configurer un Réseau Privé VPN d'un Firebox à un Périphérique Fortinet FortiGate

Un tunnel de Branch Office Virtual Private Network (BOVPN) est un moyen sécurisé d'échanger des données via Internet entre des réseaux ou entre un hôte et un réseau. Cette rubrique décrit comment établir un tunnel BOVPN manuel entre un périphérique WatchGuard Firebox et un périphérique Fortinet FortiGate (système d'exploitation v4.0). Avant de créer un tunnel BOVPN, vous devez récupérer les adresses IP de chaque point de terminaison et décider des paramètres de tunnel communs que vous utiliserez.

Cette rubrique ne donne aucune information détaillée sur les différents paramètres du réseau BOVPN ni sur la manière dont ils affectent un tunnel existant. Si vous voulez en savoir plus sur un paramètre précis, voir :

- À propos des Tunnels Branch Office VPN Manuels
- Configurer des Passerelles BOVPN Manuelles
- Configurer des Tunnels BOVPN Manuels

Pour configurer un VPN à partir d'une instance de Firebox Cloud vers un périphérique Fortinet FortiGate, consultez Configurer un VPN entre Firebox Cloud et un périphérique FortiNet FortiGate dans la Base de Connaissances WatchGuard.

WatchGuard fournit des instructions d'interopérabilité pour aider nos clients à configurer produits WatchGuard afin qu'ils fonctionnent avec des produits créés par d'autres organisations. Si vous avez besoin de plus d'informations ou d'un soutien technique concernant la configuration d'un produit autre que WatchGuard, consultez la documentation et les ressources de support de ce produit.

## Résumé de la configuration VPN

À titre de référence, voici un résumé de la configuration VPN par défaut du périphérique Fortinet FortiGate. Les paramètres qui ne correspondent pas aux paramètres de configuration VPN par défaut dans Fireware v11.12.4 sont mis en avant.

Dans Fireware v12.0 et les versions ultérieures, les paramètres de sécurité BOVPN par défaut sont différents. Pour déterminer si ces paramètres sont compatibles avec votre périphérique Fortinet, consultez la documentation se rapportant à ce dernier.

Paramètres du réseau privé VPN (Virtual Private Network) | Périphérique WatchGuard par Défaut (v11.12.4) | Périphérique Fortinet par Défaut (SE v4.0) | Correspondant ?
--- | --- | --- | ---
Paramètres de Phase 1
Mode d'échange IKE | Principal | Principal | O
Authentification | SHA1 | SHA1 | O
Chiffrement | 3DES | 3DES* | O
Groupe Diffie-Hellman | 2 | 5 | N
Paramètres de Phase 2
Perfect Forward Secrecy (PFS) | Non | Oui (DH5) | N
Protocole | ESP | ESP | O
Authentification | SHA1 | SHA1 | O
Chiffrement | AES (256 bits) | AES (128 bits)* | N

Les périphériques WatchGuard et Fortinet ont des paramètres par défaut différents pour le chiffrement de Phase 1 et 2. Pour que le tunnel VPN s'établisse correctement, vous devez spécifier les mêmes paramètres de Phase 1 et 2 sur vos périphériques Firebox et Fortinet. Pour une sécurité optimale, nous vous recommandons de spécifier une variante AES pour le chiffrement.

## Collecter les paramètres d'adresse IP et de tunnel

Avant de pouvoir configurer un Branch Office VPN, vous devez collecter les adresses IP publiques de chaque périphérique et les adresses IP des réseaux privés auxquels vous souhaitez vous connecter. Vous devez également déterminer les paramètres des Phases 1 et 2 à utiliser pour le VPN. Cette procédure décrit comment configurer un Firebox de sorte que les paramètres de Phase 1 et de Phase 2 correspondent aux paramètres par défaut du périphérique Fortinet.

Les paramètres d'adresse IP que vous collectez peuvent ressembler à ceci, par exemple :

WatchGuard Firebox :

Adresse IP de l'interface externe : 203.0.113.2

Adresse IP du réseau approuvé : 10.0.1.0/24

Périphérique Fortinet :

Adresse IP de l'interface externe : 198.51.100.2

Adresse IP du réseau privé : 10.50.1.0/24

## Configurer le Firebox

Sur le Firebox, vous devez ajouter une passerelle VPN et ajouter un tunnel VPN qui utilise cette passerelle. Les paramètres de Phase 1 du Firebox doivent correspondre aux paramètres de Phase 1 du périphérique Fortinet.

### Ajouter la passerelle VPN

Vous devez d'abord ajouter une passerelle et configurer les paramètres de Phase 1.

Pour ajouter la passerelle VPN à partir de Fireware Web UI :

1. Sélectionnez VPN > Branch Office VPN.
2. Sous la liste Passerelles, cliquez sur Ajouter.
   La page de paramètres Passerelle s'ouvre.
3. Dans la zone de texte Nom de la passerelle, entrez un nom permettant d'identifier la passerelle en question.
4. Sélectionnez Utiliser la clé pré-partagée. Entrez la clé partagée.
   Cette clé partagée doit uniquement contenir des caractères ASCII standards. Ce doit être le même que la clé utilisée sur le périphérique FortiGate.
5. Dans la section Points de terminaison de passerelle, cliquez sur Ajouter.
   La boîte de dialogue Paramètres des points de terminaison de la passerelle apparaît.

1. Dans la liste déroulante Interface Externe, sélectionnez l'interface externe ayant l'adresse IP publique.
2. Sélectionnez Par Adresse IP. Saisissez l'adresse IP externe (publique) du Firebox.
3. Sélectionnez l'onglet Passerelle distante.
4. Dans la section Spécifier l'adresse IP de la passerelle distante pour un tunnel, sélectionnez Adresse IP statique. Entrez l'adresse IP externe (publique) du périphérique FortiGate.
5. Dans la section Spécifier l'ID de passerelle pour l'authentification du tunnel, sélectionnez Par Adresse IP. Saisissez l'adresse IP publique du périphérique FortiGate.
6. Cliquez sur OK pour fermer la boîte de dialogue Paramètres des extrémités de passerelle.
   La paire de passerelles que vous avez définie apparaît dans la liste Points de terminaison de passerelle.
7. Sélectionnez l'onglet Paramètres de phase 1.
8. Dans la liste Paramètres de transformation, sélectionnez la transformation de phase 1 par défaut. Cliquez sur Modifier.
   La boîte de dialogue Paramètres de transformation s'affiche.

1. Dans la liste déroulante Chiffrement, sélectionnez AES (128 bits).
2. Dans la liste déroulante Groupe de clés, sélectionnez Groupe Diffie-Hellman 5.
   Cela correspond au groupe de clés par défaut du périphérique FortiGate.
3. Cliquez sur OK pour fermer la boîte de dialogue Paramètres de transformation.
4. Cliquez sur Sauvegarder.

Pour ajouter la passerelle VPN à partir de Policy Manager :

1. Sélectionnez VPN > Passerelles Branch Office. Cliquez sur Ajouter.
   La boîte de dialogue Nouvelle passerelle s'affiche.
2. Dans la zone de texte Nom de la passerelle, entrez un nom permettant d'identifier la passerelle dans Policy Manager.
3. Sélectionnez Utiliser la clé pré-partagée. Entrez la clé partagée.
   Cette clé partagée doit uniquement contenir des caractères ASCII standards. Ce doit être le même que la clé utilisée sur le périphérique FortiGate.
4. Dans la section Points de terminaison de passerelle, cliquez sur Ajouter.
   La boîte de dialogue Paramètres des extrémités de la nouvelle passerelle apparaît.

1. Dans la liste déroulante Interface externe, sélectionnez l'interface externe du Firebox comportant l'adresse IP publique.
2. Sélectionnez Par Adresse IP.
3. Dans la liste déroulante Adresse IP, sélectionnez l'adresse IP externe (publique) du Firebox.
4. Dans la section Spécifier l'adresse IP de la passerelle distante pour un tunnel, sélectionnez Adresse IP statique. Entrez l'adresse IP externe (publique) du périphérique FortiGate.
5. Dans la section Spécifier l'ID de passerelle pour l'authentification du tunnel, sélectionnez Par Adresse IP. Saisissez l'adresse IP publique du périphérique FortiGate.
6. Cliquez sur OK pour fermer la boîte de dialogue Paramètres de points de terminaison de la nouvelle passerelle.

1. Sélectionnez l'onglet Paramètres de phase 1.
2. Dans la liste Paramètres de transformation, sélectionnez la transformation de phase 1 par défaut. Cliquez sur Modifier.
   La boîte de dialogue Transformation de Phase 1 s'affiche.
3. Dans la liste déroulante Chiffrement, sélectionnez AES (128 bits).
4. Dans la liste déroulante Groupe de Clés, sélectionnez Groupe Diffie-Hellman 5.
   Cela correspond au groupe de clés par défaut du périphérique FortiGate.

1. Cliquez sur OK pour confirmer la modification apportée à la transformation de Phase 1.
2. Cliquez sur OKpour ajouter la nouvelle passerelle.
3. Cliquez sur OK pour fermer la boîte de dialogue Passerelles.

### Ajouter un tunnel VPN

Après avoir défini la passerelle, vous pouvez ajouter un tunnel et configurer les paramètres de Phase 2.

Pour ajouter le tunnel à partir de Fireware Web UI :

Créez une proposition de Phase 2 avec les paramètres correspondant aux paramètres de Phase 2 par défaut sur le périphérique Fortinet :

1. Sélectionnez VPN > Propositions de Phase 2.
2. Cliquez sur Ajouter.
   La boîte de dialogue Ajouter une proposition de Phase 2 apparaît.

1. Dans le champ Nom, saisissez un nom de nouvelle proposition significatif.
2. Dans la liste déroulante Chiffrement, sélectionnez AES (128 bits).
3. Cliquez sur OK pour enregistrer la nouvelle proposition.

Créez un tunnel VPN qui utilise la nouvelle proposition de Phase 2 et la passerelle que vous avez ajoutée.

1. Sélectionnez VPN > Branch Office VPN.
2. Sous la liste Tunnels, cliquez sur Ajouter.
   La page Tunnel apparaît.
3. Dans la zone de texte Nom, saisissez un nom de tunnel significatif.
4. Dans la liste déroulante Passerelle, sélectionnez la passerelle que vous avez configurée vers le périphérique Fortinet.
5. Dans l'onglet Adresses, cliquez sur Ajouter pour ajouter une route de tunnel.
   La boîte de dialogue Paramètres de route de tunnel s'affiche.

1. Dans les paramètres IP locale, sélectionnez IPv4 réseau dans la liste déroulante Choisir le type. Dans la zone de texte IP réseau, saisissez l'adresse IP du réseau local que vous utiliserez pour le tunnel VPN.
2. Dans les paramètres IP distante, sélectionnez IPv4 réseau. Dans la zone de texte IP réseau, saisissez l'adresse IP de sous-réseau correspondant au réseau distant du périphérique FortiGate que vous utiliserez pour le tunnel VPN.
3. Cliquez surOKpour ajouter la route de tunnel.
   La route de tunnel est ajoutée à l'onglet Adresses de la page Tunnel.
4. Sélectionnez l'onglet Paramètres de phase 2.

1. Cochez la case Activer la confidentialité PFS (Perfect Forward Secrecy).
2. Dans la liste déroulante Activer Perfect Forward Secrecy, sélectionnez Groupe Diffie-Hellman 5.
   Cela correspond au groupe Diffie-Hellman de confidentialité PFS par défaut du périphérique FortiGate.
3. Dans la liste Propositions IPSec, sélectionnez la proposition par défaut ESP-AES-SHA1. Cliquez sur Supprimer.
4. Dans la liste déroulante Propositions IPSec, sélectionnez la proposition de Phase 2 créée précédemment. Cliquez sur Ajouter.
5. Cliquez sur Sauvegarder.

Pour ajouter le tunnel à partir de Policy Manager :

1. Sélectionnez VPN > Tunnels Branch Office.
   La boîte de dialogue Tunnels IPSec Branch Office s'affiche.
2. Cliquez sur Ajouter.
   La boîte de dialogue Nouveau tunnel s'affiche.
3. Dans la zone de texte Nom de tunnel, entrez un nom de tunnel pertinent.
4. Dans la liste déroulante Passerelle, sélectionnez la passerelle que vous avez configurée vers le périphérique Fortinet.
5. Cliquez sur Ajouter pour ajouter une route de tunnel.
   La boîte de dialogue Paramètres de route de tunnel s'affiche.

1. Dans la zone de texte Local, saisissez l'adresse IP de sous-réseau correspondant au réseau local du Firebox que vous utiliserez pour le tunnel VPN.
2. Dans la zone de texte Distant, saisissez l'adresse IP de sous-réseau correspondant au réseau distant du périphérique FortiGate que vous utiliserez pour le tunnel VPN.
3. Cliquez surOKpour ajouter la route de tunnel.
   La route de tunnel est ajoutée à l'onglet Adresses de la boîte de dialogue Nouveau tunnel.
4. Sélectionnez l'onglet Paramètres de phase 2.
5. Cochez la case PFS. Sélectionnez Groupe Diffie-Hellman 5.
   Il correspond au groupe Diffie-Hellman par défaut du périphérique FortiGate.

1. Dans la section Propositions IPSec, sélectionnez l'entrée par défaut ESP-AES-SHA1.
2. Cliquez sur Supprimer, puis sur OK pour confirmer que vous souhaitez supprimer la proposition.
3. Cliquez sur Ajouter pour ajouter une proposition IPSec.
4. Sélectionnez Créer une nouvelle proposition de Phase 2.
5. Dans la zone de texte Nom, saisissez un nom de proposition significatif.
6. Dans la liste déroulante Chiffrement, sélectionnez AES (128 bits).

Laissez les autres paramètres à leur valeur par défaut.

1. Pour ajouter la nouvelle proposition de Phase 2 à la liste, cliquez sur OK.
2. Cliquez sur OK pour ajouter le nouveau tunnel à la configuration.
3. Cliquez sur Fermer pour fermer la boîte de dialogue Tunnels IPSec Branch Office.
4. Enregistrez la configuration sur le Firebox.

## Configurer le Périphérique FortiGate

Cette procédure décrit comment configurer manuellement les paramètres VPN pour le périphérique Fortinet.

### Créer des objets d'adresse pour les sous-réseaux Fortinet et WatchGuard.

Le périphérique Fortinet utilise des objets d'adresse pour la configuration des stratégies et du VPN. Ces objets d'adresse sont très similaires aux alias d'un Firebox.

1. Dans l'interface Web de gestion Fortinet, sélectionnez Objets de pare-feu > Adresse > Adresse.
2. Cliquez sur Create New (Nouveau).
   La page Nouvelle adresse apparaît.

1. Dans la zone de texte Nom d'adresse, saisissez un nom de réseau local significatif.
2. Dans la zone de texte Plage IP / Sous-réseau, saisissez l'adresse IP et le masque de sous-réseau du réseau local.
3. Cliquez sur OK.
4. Cliquez sur Create New (Nouveau).
   La page Nouvelle adresse apparaît.

1. Dans la zone de texte Nom d'adresse, saisissez un nom de réseau distant significatif.
2. Dans la zone de texte Plage IP / Sous-réseau, saisissez l'adresse IP et le masque de sous-réseau du réseau distant.
3. Cliquez sur OK.

### Créer la configuration de Phase 1

1. Dans l'interface Web de gestion Fortinet, sélectionnez VPN > IPsec > Clé automatique (IKE).
2. Cliquez sur Create Phase 1 (Créer Phase 1).
   La page New Phase 1 (Nouvelle Phase 1) s'affiche.

1. Dans la zone de texte Nom saisissez un nom de connexion VPN significatif.
2. Dans la zone de texte Adresse IP, saisissez l'adresse IP publique du Firebox.
3. Dans la liste déroulante Interface locale, sélectionnez l'interface externe que le VPN devra utiliser. Par défaut, l'ID local est l'adresse IP principale de cette interface.
4. Dans la zone de texte Clé pré-partagée, saisissez la même clé pré-partagée que vous avez choisie pour la configuration VPN du Firebox.
5. Cliquez sur OK pour confirmer la configuration de Phase 1.

### Créer la configuration de Phase 2

1. Dans l'interface Web de gestion Fortinet, sélectionnez VPN > IPsec > Clé automatique (IKE).
2. Cliquez sur Create Phase 2 (Créer Phase 2).
   La page New Phase 2 (Nouvelle Phase 2) s'affiche.

1. Dans la zone de texte Nom, saisissez un nom de configuration VPN de Phase 2 significatif.
2. Dans la liste déroulante Phase 1, sélectionnez la configuration VPN de Phase 1 que vous venez de créer.
3. Cliquez sur Avancé.
   Tout le contenu de la page visible sous le bouton Avancé apparaît.
4. À côté d'Adresse source dans la section Sélecteur de mode rapide, cochez la case d'option Sélectionner.
5. Dans la liste déroulante Sélectionner, choisissez le groupe d'adresses que vous avez créé pour le réseau local.
6. À côté d'Adresse de destination dans la section Sélecteur de mode rapide, cochez la case d'option Sélectionner.
7. Dans la liste déroulante Sélectionner, choisissez le groupe d'adresses que vous avez créé pour le réseau distant.
8. Cliquez sur OK pour terminer la configuration de Phase 2.

### Créer une stratégie pour autoriser le trafic VPN

Vous devez créer une stratégie sur le périphérique Fortinet pour autoriser le trafic VPN à passer.

1. Dans l'interface Web de gestion Fortinet, sélectionnez Stratégie > Stratégie > Stratégie.
2. Cliquez sur Create New (Nouveau).
   La page New Policy (Nouvelle stratégie) s'affiche.

1. Cliquez sur la zone de texte Interface/Zone source et sélectionnez l'interface locale utilisée pour le réseau local.
2. Cliquez sur la zone de texte Adresse source et sélectionnez l'objet d'adresse que vous avez créé pour le réseau local.
3. Cliquez sur la zone de texte Interface/Zone de destination et sélectionnez l'interface externe que vous avez choisie pour le point de terminaison VPN.
4. Cliquez sur la zone de texte Adresse de destination et sélectionnez l'objet d'adresse que vous avez créé pour le réseau distant.
5. Cliquez sur la zone de texte Service et sélectionnez TOUT pour permettre à l'ensemble des ports et protocoles de passer par le tunnel VPN.
6. Cliquez sur la zone de texte Action et sélectionnez IPSEC.
   La zone de texte Tunnel VPN et les options associées apparaissent.
7. Cliquez sur la zone de texte Tunnel VPN et sélectionnez la configuration de Phase 1 que vous avez créée pour ce VPN.
8. Vérifiez que les options Autoriser le trafic entrant et Autoriser le trafic sortant sont sélectionnées.

Après avoir terminé la configuration VPN sur les périphériques WatchGuard et Fortinet, le périphérique de l'un des réseaux doit envoyer du trafic vers le réseau distant pour initier le tunnel VPN.

#### Voir aussi

Dépanner les Tunnels Branch Office VPN

Configurer un VPN entre Firebox Cloud et un périphérique FortiNet FortiGate dans la Base de Connaissances WatchGuard

Envoyer Vos Commentaires • Obtenir de l'Aide • Documentation Complète des Produits • Recherche Technique