Инструкция по использованию Fortinet SSL VPN Client.
Fortinet SSL VPN Client обеспечивает безопасный удаленный доступ к серверам компании. Используя любой канал связи, технология позволяет подключаться клиентам с операционной системой Windows, MacOS, Linux, Ipad, Iphone и Android. Данную технологию не блокируют провайдеры и сетевые маршрутизаторы. Установка и настройка клиента или плагина займет 15 минут единожды, далее следует просто производить уже настроенное подключение.
Существует несколько альтернативных способов подключения:
- Через браузер, используя установленный плагин
- Через программу FortiClient
- Подключение вручную
Подключение к корпоративной сети VPN через браузер:
- Открыть браузер, в адресной строке ввести https://IP-адрес или доменное имя вашего VPN/
- При появлении сообщения нажать продолжить все равно:
- Ввести полученный логин и пароль:
- При появлении сообщения нажать Всегда запускать на этом сайте
- В окне Tunnel Mode нажать на ссылку Click here to download and install the plugin
- После того, как плагин скачается, его надо запустить:
- Если появится окно UAC, нажать Запустить
- Установка плагина началась. Необходимо нажать Run as administrator:
- Нажать Install
- Плагин начал устанавливаться:
- По завершении нажать Close
- Далее зайдя через браузер в соответствии с пунктом 1 справа появится возможность подключаться к корпоративной сети:
Необходимо нажать кнопку Connect
- Соединение будет держаться до тех пор, пока вы не закроете страницу или не нажмете кнопку Disconnect
Подключение к корпоративной сети VPN через приложение FortiClient
- Открыть браузер, в адресной строке ввести https:///
- При появлении сообщения нажать продолжить все равно:
- При появлении сообщения нажать Всегда запускать на этом сайте
- В окне FortiClient Download выбрать клиент в соответствии с вашей операционной системой (в большинстве случаев FortiClient Windows)
- Запустить скаченный клиент:
Если появится окно UAC, нажать Да
Скачивание образа начнется
- Нажать галочку Yes, I have read and accept и нажать Next
- Нажать Next, Next, Install, Finish
- После завершения установки найти FortiClient в пуске и запустить его:
- Клиент начнет обновляться
- На вкладке Remote Access нажать configure vpn, ввести адрес подключения, свой логин и пароль, выбрать save login и нажать ОК
- Создастся новое подключение, осталось ввести пароль и нажать Connect
- Если появится сообщение нажать Да
- Поздравляем, вы успешно соединились с корпоративной сетью.
Организация удаленного доступа средствами Fortinet
В нынешних условиях все больше компаний задумываются, как перевести сотрудников на удаленную работу. В свою очередь мы решили им помочь и написали подробные инструкции по настройке удаленного доступа на базе решения FortiGate:
- Удаленный доступ с помощью IPsec VPN
- Удаленный доступ с помощью SSL VPN
Начнем с гайдов для FortiOS 6.0
Гайды для версии FortiOS 6.2
Короткие видео с примерами конфигурации
Если текущая ситуация застала вас врасплох, и текущее оборудования не справляется с возросшей нагрузкой, можете обратиться к нам. Мы предоставим бесплатную лицензию на виртуальную машину FortiGate, на которую вы сможете перенести часть функционала, чтобы снизить нагрузку на текущее оборудование.
Следите за новыми материалами на наших следующих каналах:
- Блог компании TS Solution
- Информационная безопасность
- IT-инфраструктура
- Сетевые технологии
- Сетевое оборудование
Настроить удаленный доступ: VPN Client-to-Site
Использование VPN позволяет организовать безопасный удаленный доступ сотрудников через интернет к корпоративным сервисам и данным, размещаемым в инфраструктуре Selectel. Используя аппаратный межсетевой экран FortiGate в Selectel, можно настроить удалённый доступ к частным сетям организаций на основе технологий SSL, IPsec и L2TP over IPsec, с использованием различного ПО, устанавливаемого на компьютеры, ноутбуки и мобильные телефоны удалённых пользователей, такие как:
- клиент FortiClient от Fortinet;
- клиент от Cisco;
- средствами операционной системы.
Для создания VPN туннеля на межсетевом экране требуется, чтобы уже были настроены:
- внешний интерфейс, через который будут подключаться устройства;
- внутренняя сеть;
- доступ к веб-интерфейсу FortiGate.
Режимы SSL-VPN
- Tunnel mode — режим, при котором клиент SSL VPN шифрует весь трафик с удаленного клиентского компьютера и отправляет его в FortiGate через туннель SSL VPN по каналу HTTPS между пользователем и FortiGate. Tunnel mode поддерживает множество протоколов и приложений. Для туннельного режима для подключения к FortiGate требуется автономный клиент SSL-VPN, FortiClient. FortiClient добавляет на компьютер пользователя виртуальный сетевой адаптер, обозначенный как fortissl. Этот виртуальный адаптер динамически получает IP-адрес от FortiGate каждый раз, когда FortiGate устанавливает новое VPN-соединение. Внутри туннеля весь трафик инкапсулирован в SSL / TLS. Основное преимущество туннельного режима перед веб-режимом заключается в том, что после установки VPN любое сетевое IP-приложение, работающее на клиенте, может отправлять трафик через туннель. Основным недостатком является то, что для туннельного режима требуется установка программного клиента VPN, для которого требуются права администратора;
- Web mode — режим, при котором обеспечивается доступ к сети с помощью веб-браузера со встроенным шифрованием SSL. Пользователи проходят аутентификацию в веб-панели SSL VPN от FortiGate, который обеспечивает доступ к сетевым службам и ресурсам, включая HTTP / HTTPS, Telnet, FTP, SMB / CIFS, VNC, RDP и SSH. Раздел Bookmarks на странице портала SSL-VPN содержит ссылки на все или некоторые ресурсы, доступные пользователю для доступа. Виджет Quick Connection позволяет пользователям вводить URL или IP-адрес сервера, к которому они хотят подключиться. Пользователь web-SSL-VPN использует эти два виджета для доступа к внутренней сети. Основное преимущество веб-режима заключается в том, что он обычно не требует установки дополнительного программного обеспечения. Данный режим имеет следующие ограничения:
- все взаимодействие с внутренней сетью должно осуществляться исключительно с использованием браузера (через веб-портал). Внешние сетевые приложения, работающие на компьютере пользователя, не могут отправлять данные через VPN;
- безопасный механизм шлюза HTTP / HTTPS, который работает не для доступа ко всему, а только к нескольким популярным протоколам, таким как HTTP, FTP и общие ресурсы Windows.
Настроить SSL VPN
Создать группы пользователей
Пользователям будет предоставлен удалённый доступ и они смогут воспользоваться технологией SSL VPN.
- Перейдите в поле User & Authentication → User Definition → Create New.
- Создайте локального пользователя, укажите имя пользователя и пароль, при необходимости контактную информацию.
- Объедините созданных пользователей в группу.
- Для создания группы пользователей перейдите в поле User & Authentication → User Groups → Create New.
- Укажите имя группы, тип Firewall и членов группы, созданных ранее.
Создать SSL VPN туннель
- Перейдите в поле VPN → SSL-VPN Portal → Create New.
- Укажите название, включите Tunnel Mode.
- В поле Source IP Pools укажите пул адресов (IP Range), которые будут присваиваться удалённым пользователям. Можно добавить пул, созданный по умолчанию SSLVPN_TUNNEL_ADDR1, или собственный, настроенный аналогичным образом.
В настройках портала также можно включить проверки клиентов, ограничить определенные версии ОС и задать другие параметры подключения клиентов.
Split mode
При создании split tunnel трафик направляется только в назначенную сеть.
- Активируйте Enable Split Tunneling.
- Выберите Routing Address, чтобы определить сеть назначения, которая будет маршрутизироваться через туннель, то есть к этим адресам будет доступ у удалённых клиентов.
- Нажмите + и выберите адрес из существующих.
- Для создания адреса во всплывающем окне нажмите кнопку Create или в поле Policy & Objects → Addresses → Create New.
Full mode
Если необходим full mode tunnel, при котором весь трафик удалённых клиентов будет проходить через FortiGate, параметр Enable Split Tunneling нужно отключить.
Web mode
Другой настройкой является параметр Enable Web Mode, позволяющий включить режим web. Здесь можно выбрать:
- название портала (поле Portal Message);
- оформление;
- другие настройки.
Наибольший интерес представляет поле User Bookmarks — опция позволяет пользователям создавать свои закладки. В поле Predefined Bookmarks можно создавать закладки централизованно для всех пользователей. Например, можно создать закладку для подключения к удалённому рабочему столу по протоколу RDP. На этом настройка самого SSL Tunnel завершается.
Настроить общие параметры SSL VPN
- Перейдите в поле VPN → SSL-VPN Settings.
- Укажите “слушающий” интерфейс, то есть внешний интерфейс, на который будут приходить соединения от удаленных пользователей (в данном примере — wan1), и порт, по которому они будут подключаться. При определении порта, он может совпадать с другими, которые определены для административного доступа. Например, по умолчанию указывается 443, что может конфликтовать с HTTPS портом, при этом FortiGate выведет следующее сообщение:
- Укажите в параметре Restrict Access значение Allow access from any hosts или, при необходимости ограничить доступ, нажмите Limit access to specific hosts и предоставьте доступ конкретным хостам.
- Укажите период бездействия, после которого пользователь будет принудительно отключаться от VPN, включив параметр Idle Logout и определив значение в параметре Inactive For, по умолчанию это 300 секунд.
- Выберите сертификат для параметра Server Certificate. Этот сертификат используется для аутентификации и шифрования трафика SSL VPN. По умолчанию это встроенный Fortinet_Factory. Со встроенным сертификатом работа возможна, но пользователи увидят предупреждение, что сертификат некорректен, так как в хранилище сертификатов нет CA сертификата, который подписал текущий SSL сертификат. Рекомендуется приобрести сертификат для вашего сервера и загрузить его для аутентификации.
Добавить сертификат для аутентификации
- Перейдите в раздел System → Certificates.
- Убедитесь, что в System → Feature Visibility включено Certificates.
- Выберите Import → Local Certificate.
- В появившемся окне установите Type — Certificate.
- Загрузите Certificate file и Key file для вашего сертификата и введите пароль в поле Password.
- Сертификат сервера появится в списке Certificates.
- Установите CA сертификат — это сертификат, который подписывает как сертификат сервера, так и сертификат пользователя, например, для аутентификации пользователей SSL VPN. Для этого в разделе System → Certificates выберите Import → CA Certificate.
- В появившемся окне установите Type — File и загрузите файл сертификата.
- CA сертификат появится в списке External CA Certificates.
- Настройте пользователей PKI и группу пользователей, чтобы использовать аутентификацию по сертификату, для чего используйте CLI для создания пользователей PKI:
config user peer edit pki01 set ca CA_Cert_Name set subject User_Name next endТакже можно проверять сертификаты удаленных пользователей, включив параметр Require Client Certificate. В разделе Authentication/Portal Mapping необходимо сопоставить SSL портал с группой пользователей. По умолчанию все пользователи имеют доступ в одинаковые порталы. Данная таблица позволяет сопоставлять разные порталы разным группам пользователей. Создайте новую запись в таблице, нажав Create New и определив портал и группу пользователей. После настройки нажмите Apply и приступайте к созданию политики безопасности.
Настроить политику
Для того, чтобы пользователи успешно подключались к нашему VPN и имели необходимый доступ, нужно создать политику, разрешающую доступ из интерфейса ssl.root в интерфейс локальной сети.
- Перейдите в поле Policy & Objects → Firewall Policy → Create New.
- Укажите имя политики, в качестве входящего интерфейса должен быть SSL-VPN tunnel interface(ssl.root).
- Выберите исходящий интерфейс, в данном случае это внутренний интерфейс lan.
- В поле Source выберите созданную ранее группу пользователей, в данном случае это SSLVPNGROUP, и адресный объект all.
- В поле Destination выберите необходимую локальную сеть.
- Укажите необходимые сервисы и сохраните политику.
Настроить FortiClient
Клиент FortiNet FortiClient можно бесплатно скачать на официальном сайте. FortiClient совместим со множеством платформ, на каждой из которой доступно бесплатное использование SSL VPN. Для клиента также можно приобрести лицензию, которая предоставляет дополнительные возможности и техническую поддержку. С особенностями использования и совместимости можно ознакомиться также на официальном сайте в разделе Technical Specification.
Для настройки подключения на клиенте:
- Перейдите в раздел REMOTE ACCESS и выберите SSL-VPN.
- Укажите имя подключения, IP адрес FortiGate, порт, по которому подключается клиент (его настраивали в пункте Настройки общих параметров SSL VPN).
- При необходимости выберите сертификаты и параметры аутентификации (либо запрашивать логин и пароль при каждом подключении, либо сохранить логин).
- Сохраните данное подключение.
- Попробуйте подключиться, указав имя подключения, имя пользователя и пароль.
Если ранее у SSL-портала был разрешён web mode, то подключиться можно как с помощью браузера, так и использовать созданную закладку без использования FortiClient:
- Введите в адресной строке адрес вашего FortiGate и порт, по которому доступно подключение (см. в пункте Настройки общих параметров SSL VPN).
- Авторизуйтесь, введя имя пользователя и пароль.
Настроить IPSec VPN
Создать группы пользователей
Для создания VPN туннеля через IPsec необходимо создать пользователей, которым будет предоставлен удаленный доступ, и объединить их в группу.
- Перейдите в поле User & Authentication → User Definition → Create New.
- Создайте локального пользователя, укажите имя пользователя и пароль, при необходимости контактную информацию.
- Объедините созданных пользователей в группу.
- Для создания группы пользователей перейдите в поле User & Authentication → User Groups → Create New.
- Укажите имя группы, тип Firewall и членов группы, созданных ранее.
IPSec Wizard
Для создания самого туннеля можно воспользоваться специальным помощником IPsec Wizard, предоставляющий необходимые шаблоны настройки:
- Перейдите в раздел VPN → IPsec Wizard.
- На этапе VPN Setup введите название туннеля.
- Выберите тип туннеля Remote Access и тип удаленного устройства Client-based и FortiClient, что говорит о том, что для подключения используется клиент FortiClient.
- Нажмите кнопку Next.
- На этапе Authentication укажите входящий интерфейс, на который будут приходить подключения (в данном случае это wan1).
- Выберите тип аутентификации: Pre-shared key или сертификат. В данном случае выбран секретный ключ и введено его значение в параметре Pre-shared key.
- Укажите созданную ранее группу пользователей, которым будет предоставлен доступ для подключений.
- На этапе Policy & Routing укажите локальный интерфейс в выпадающем меню, к которому будут подключаться удаленные клиенты.
- В параметре Local Address укажите подсеть, к которой будут иметь доступ пользователи. В данном случае выбран адресный объект all.
- Чтобы выбрать определенную подсеть, нажмите + и выберите адрес из существующих.
- Для создания адреса во всплывающем окне нажмите кнопку Create или в поле Policy & Objects → Addresses → Create New.
- В поле Client Address Range укажите пул адресов, который будет присваиваться удалённым клиентам при подключении.
- Проследите, чтобы эти адреса не совпадали с внутренней адресацией. Оставьте в Subnet Mask значение по умолчанию.
- Поле DNS Server позволяет выбрать DNS-сервер, которым будут пользоваться удаленные пользователи при подключении к туннелю. В данном случае выбран системный.
- Параметр Enable Split Tunnel позволяет предоставлять доступ пользователям только к определенным подсетям, а не пускать весь их трафик через FortiGate.
- Опция Allow Endpoint Registration позволяет получать различную информацию об удаленных точках, и на основании этой информации принимать решения (например, разрешать подключаться удаленной точке или нет).
- На этапе Client Options можно настроить клиентские опции: сохранение пароля, автоподключение и непрерывное подключение.
- После проведённых действий создается туннель, и на экране появляется сводная информация о созданных помощником объектах.
Подключить FortiClient
Клиент FortiNet FortiClient можно бесплатно скачать на официальном сайте. FortiClient совместим со множеством платформ, на каждой из которой доступно бесплатное использование SSL VPN. Для клиента также можно приобрести лицензию, которая предоставляет дополнительные возможности и техническую поддержку. С особенностями использования и совместимости можно ознакомиться также на официальном сайте в разделе Technical Specification.
Для настройки подключения на клиенте:
- Перейдите в раздел REMOTE ACCESS и выберите IPsec VPN.
- Укажите имя подключения, IP адрес FortiGate, выберите метод аутентификации. В данном случае выбран Pre-shared key и введено значение секретного ключа, как было настроено ранее.
- В поле Authentication выберите:
- опцию Prompt on login, чтобы при каждом подключении FortiClient запрашивал имя пользователя и пароль;
- опцию Save login, чтобы при каждом подключении запрашивался только пароль. В этом случае в поле Username необходимо вводить логин.
- Сохраните данное подключение.
После этого выберите название сохранённого подключения, введите имя пользователя, созданного в пункте 1, и его пароль, нажмите кнопку Connect.
Настроить L2TP over IPsec
Создать группы пользователей
Для создания VPN туннеля через IPsec необходимо создать пользователей, которым будет предоставлен удаленный доступ, и объединить их в группу.
- Перейдите в поле User & Authentication → User Definition → Create New.
- Создайте локального пользователя, укажите имя пользователя и пароль, при необходимости контактную информацию.
- Объедините созданных пользователей в группу.
- Для создания группы пользователей перейдите в поле User & Authentication → User Groups → Create New.
- Укажите имя группы, тип Firewall и членов группы, созданных ранее.
IPSec Wizard
Чтобы настроить туннель L2TP над IPsec:
- Перейдите в VPN → IPsec Wizard, чтобы воспользоваться специальным помощником.
- Выберите тип шаблона Remote Access.
- В параметре Remote Device Type — Native и Windows Native.
- В поле Name введите имя туннеля.
- Выберите в качестве Incoming Interface внешний интерфейс, через который будут подключаться удаленные пользователи. В данном случае — wan1.
- Для Authentication Method выберите Pre-shared Key и в поле ниже введите значение секретного ключа. Данный ключ в дальнейшем нужно будет ввести на клиенте при настройке VPN подключения.
- В параметре User Group введите созданную группу пользователей.
- На этапе Policy & Routing укажите локальный интерфейс в выпадающем меню, к которому будут подключаться удаленные клиенты.
- В параметре Local Address укажите подсеть, к которой будут иметь доступ пользователи. В данном случае выбран адресный объект all.
- Чтобы выбрать определенную подсеть, нажмите + и выберите адрес из существующих.
- Для создания адреса во всплывающем окне нажмите кнопку Create или в поле Policy & Objects → Addresses → Create New.
- В поле Client Address Range укажите пул адресов, который будет присваиваться удалённым клиентам при подключении.
- Проследите, чтобы эти адреса не совпадали с внутренней адресацией.
- Оставьте в Subnet Mask значение по умолчанию.
- Нажмите кнопку Create.
После этого будет создан туннель и на экране появится сводная информация о созданных объектах.
Настроить подключение в Windows
- Перейдите в Network and Sharing Center → Set up a new connection or network.
- В появившемся окне выберите опцию Connect to a workplace, затем → Use my Internet connection (VPN).
- В поле Internet address введите IP-адрес FortiGate.
- В поле Destination name введите название создаваемого подключения.
- После этого созданное подключение появится среди доступных сетей.
- В окне Network and Sharing Center перейдите на вкладку Change adapter settings.
- Среди появившихся сетей выберите созданное VPN-подключение.
- Правой кнопкой мыши выберите Properties.
- В появившемся окне Properties перейдите на вкладку Security.
- В параметре Type of VPN выберите Layer 2 Tunneling Protocol with IPsec (L2TP/IPsec).
- Перейдите в Advanced settings.
- Выберите параметр Use preshared for authentication.
- В поле Key введите значение секретного ключа, который указали при настройке туннеля на FortiGate.
- Нажмите кнопку OK для подключения.
- Введите имя пользователя, созданное ранее, и пароль для него.
- Режимы SSL-VPN
- Настроить SSL VPN
- Настроить IPSec VPN
- Настроить L2TP over IPsec
Knowledgebase
In order to activate Microsoft Office please open CMD in ADMINISTRATIVE mode and type following.
If Outlook requests your password each time after starting, you can try the following: All.
fn+control+(alt/option)+right arrow replaces Ctrl+Alt+End in an active RDP session and allows you.
In order to activate Microsoft Windows please open CMD and type following commands:slmgr /ipk.
In order to connect to a remote desktop (SafeOffice) on a Mac, you need: Create to VPN.