FortiGate VPN permet des communications sécurisées entre différents points d'extrémité sur Internet. Ce document contient les meilleures pratiques requises dans FortiGate VPN et Netskope Client pour assurer une interopérabilité sans faille.
Environnements
- Version du serveur FortiGate : FortiOS v7.2.0-b1157
- Version client FortiGate : 7.4.7.1928
- Netskope Client version: 138.0.0
Interoperability Configuration Requirements
Specific configurations in FortiGate VPN and Netskope tenant web UI ensure processes or traffic from either of the applications are not blocked or directed to the Netskope Cloud. This interoperability configuration is comprised with the following steps:
Address Configuration in FortiGate
Set up network addresses before configuring VPN tunnel. These addresses are primarily used for the following purposes:
-
Split Tunnel: To allow specific addresses to go through the VPN.
-
Full Tunnel with Exclusion: To allow specific addresses to bypass the VPN.
Pour en savoir plus, consultez les objets Adresse.
La configuration des adresses comprend trois étapes de configuration suivantes :
-
Add Address in Policy Routes (Routing Override)
Add Address
To configure Address, f perform the following steps:
-
Log into the FortiGate web interface.
-
Allez à Policy & Objects > Addresses.
-
Cliquez sur + Create New ou New.
-
Create the following based on requirement:
Configure a Subnet
Un sous-réseau est un profil numérique dans FortiGate utilisé pour définir et regrouper toute une plage réseau ou une adresse IP hôte spécifique afin qu’il puisse être géré dans le cadre des politiques et règles de routage du pare-feu. Pour en savoir plus, consultez le sous-réseau.
To configure Subnet, perform the following steps:
-
In Name, enter a name (e.g., Internal-Network, DMZ-Subnet).
-
In Color, click Change to assign a color for visual identification (Optional).
-
In Type, select Subnet from the dropdown menu.
-
In IP/Netmask, enter the network address and netmask.
-
Format: 192.168.1.0/24 or 192.168.1.0 255.255.255.0
-
Example: 10.0.0.0/8, 172.16.0.0/16
-
-
Select l'interface ou laissez-la comme any dans Interface.
-
Toggle to enable Static route configuration (Optional).
-
In Comments, add a description for documentation (Optional).
-
Click OK to save.
Configure an FQDN
Un FQDN (Nom de Domaine Entièrement Qualifié) est un profil numérique dans FortiGate utilisé pour définir un nom de domaine spécifique (comme salesforce.com) au lieu d’une IP statique, permettant au pare-feu de suivre et d’appliquer des règles de sécurité aux adresses web changeantes dynamiquement. Pour en savoir plus, consultez les adresses FQDN.
To configure FQDN, perform the following steps:
-
In Name, enter a name (e.g., Google-DNS, Company-Website).
-
In Type, select FQDN from the dropdown menu.
-
In FQDN, enter the domain name.
Example: www.example.com, *.google.com
-
In Interface configure the interface (usually set to any for external domains).
-
Click OK to save.
Configure an IP Range
Une plage d'adresses IP est un profil numérique dans FortiGate utilisé pour définir un bloc continu d'adresses IP consécutives (comme 192.168.1.100). à 192.168.1.200) qui ne respectent pas les limites d'un masque de sous-réseau standard, ce qui le rend idéal pour gérer des groupes de ressources spécifiques comme des blocs de serveurs statiques. Pour en savoir plus, consultez la plage d'adresses IP.
To configure IP Range perform the following steps:
-
In Name, enter a name (e.g., DHCP-Pool-Range).
-
In Type, select IP Range from the dropdown menu.
-
In Start IP, enter the starting IP address.
-
In End IP, enter the ending IP address.
Example: Start: 192.168.1.100, End: 192.168.1.200
-
Configure other fields as needed and click OK to save.
Add Address in Firewall Policy
Cette configuration mappe les actifs réseau définis aux paramètres de sécurité actifs, permettant au pare-feu FortiGate d’identifier, autoriser ou bloquer le trafic. Cette configuration est spécifique au type de tunnel. Pour en savoir plus, consultez la politique de pare-feu en mode tunnel séparé : Activée selon la destination de confiance et tunnel divisé : Activée selon la destination de la politique.
Add Address in Policy Routes (Routing Override)
This configuration is to bypass the firewall’s standard destination-based routing table by forcing specific networks, users, or protocols to take a customized path through a designated gateway and network interface.
Note: Policies are processed top-to-bottom. More specific rules should be placed above generic rules. Use drag and drop to reorder policies.To add address in Policy Routes (Routing Override), perform the following steps:
-
Naviguez vers Network > Policy Routes.
-
Cliquez sur + Create New.
-
Configure the following Policy Route details:
-
Incoming Interface: Select interface (e.g., port1).
-
Source: Click the field and select address (e.g., Internal-LAN or Web-Server-01).
-
Destination: Cliquez sur le champ et sélectionnez l’adresse de destination (par exemple, Réseau de bureau distant = 10.20.0.0/24), ou utilisez tous pour le routage par défaut.
-
Protocol: Select protocol (e.g., TCP, UDP, ALL).
-
Destination Port: Specify if needed (e.g., 443 for HTTPS).
-
Gateway Address: Voici l’IP de la passerelle (par exemple, 192.168.1.1).
-
Outgoing Interface: Select outgoing interface (e.g., port2).
-
Comments: Add a description.
-
-
Cliquez sur OK.
Common Routing Override Scenario: Route Guest Network Through Specific ISP
This configuration redirects all guest internet traffic out through a secondary ISP line to protect primary internal bandwidth and isolate visitor activity.
-
Source: Réseau invité (192.168.100.0/24).
-
Destination: all
-
Gateway: 203.0.113.1 (Passerelle FAI2)
-
Outgoing Interface: port3
-
Configurations dans le FortiGate VPN
- Tunnel Divisé : Activé selon la Destination de Confiance– Cela se comporte comme un tunnel complet avec des exclusions. Il envoie tout le trafic via le VPN sauf si la destination est explicitement indiquée comme de confiance. Pour en savoir plus, consultez la fonction Activation du tunnel divisé pour le VPN SSL utilisant des destinations de confiance.
- Tunnel Divisé : Activé en fonction de la Destination de la Politique– C’est le tunnel divisé standard. Seul le trafic destiné à des réseaux internes spécifiques définis dans la configuration des sous-réseaux protégés du VPN passe par le VPN. Tout le reste utilise l’internet local de l’utilisateur. Pour en savoir plus, consultez la fonction Activation du tunnel divisé pour le VPN SSL en utilisant la destination de politique.
Create SSL VPN Split Tunnel Mode: Enabled based on Trusted Destination
Before you begin, go to Network > Interfaces to:
- Verify whether the IP address on WAN (External port) and internal port is assigned with the IP address.
- Sinon, éditez l'interface WAN et l'interface interne et définissez l'IP et le masque de sous-réseau en fonction des sous-réseaux.
Configure user and user group
-
Allez sur User > Authentication > User Definition pour créer un utilisateur local.
-
Go to User > Authentication > User Groups to create a group along with the local user.
Configurer le portail Web VPN SSL
-
Go to VPN > SSL-VPN Portals > Edit SSL-VPN Portal and select Enabled Based on Trusted Destination.
-
Add the IP ranges under the Routing Address Override field to exclude that traffic from entering the VPN tunnel.
Note: FQDN jokers (par exemple, '*.google.com') ne sont pas pris en charge par FortiOS dans le champ Routing Address Override VPN SSL. N’utilisez que le FQDN statique exact (par exemple, « salesforce.com ») pour l’exploitation des exclusions de Destination de Confiance.
Configurer les paramètres du VPN SSL
-
Go to VPN > SSL-VPN Settings and enter the following:
-
In Listen on Interface(s) select wan1 (or Port1).
-
In Listen on Port enter 10443.
-
In Server Certificate choose a certificate for Server Certificate. The default is Fortinet_Factory.
-
Entrez un nom pour définir le type de portail dans Authentication/Portal Mapping All Other Users/Groups.
-
Create new Authentication/Portal Mapping for configured user group and map it to the configured portal.
-
Configure SSL VPN Firewall Policy
To configure Internal Access Policy, follow the steps:
-
Allez à Policy & Objects > Firewall Policy.
-
Enter the firewall policy name.
-
Set Incoming Interface to SSL-VPN tunnel interface(ssl.root).
-
Set Outgoing Interface to port2.
-
Set the Source Address to all and User to configured user group.
-
Définir Destination sur ALL.
-
Définir Schedule sur always.
-
Définir Service sur ALL.
-
Select Accept dans Action.
-
Click OK.
To configure Internet Access Policy follow the steps:
-
Allez à Policy & Objects > Firewall Policy.
-
Enter the firewall policy name.
-
Set Incoming Interface to SSL-VPN tunnel interface(ssl.root).
-
Set Outgoing Interface to wan1.
-
Set the Source Address to all and User to configured user group.
-
Définir Destination sur ALL.
-
Définir Schedule sur always.
-
Définir Service sur ALL.
-
Select Accept dans Action.
-
Click OK.
Create SSL VPN Split Tunnel Mode: Enabled based on Policy Destination
Refer to the following sections to define the split tunnel settings.
Configurer le portail Web VPN SSL
-
Go to VPN > SSL-VPN Portals to create a tunnel mode only portal my-split-tunnel-portal.
-
Enable Split Tunneling.
Configure SSL VPN settings
-
Allez à VPN > SSL-VPN Settings.
-
In Listen on Interface(s), select wan1 (or Port1 as per the AWS Deployment).
-
Set Listen on Port to 10443.
-
Choisissez un certificat pour Server Certificate. La valeur par défaut est Fortinet_Factory.
-
In the Authentication/Portal Mapping table, click Create New to map the configured user group to configured portal.
-
In the All Other Users/Groups, set the default Portal to configured portal.
Configurer la politique de pare-feu du VPN SSL
-
Allez à Policy & Objects > Firewall Policy.
-
Saisissez le nom de la politique du pare-feu. Par exemple, sslvpn Split Tunnel Access.
-
Incoming interface doit être SSL-VPN tunnel interface (ssl.root).
-
Choose Outgoing Interface. Example, port1.
-
Set the Source to all and group to configured user group.
-
Ajoutez les ressources FQDN (par exemple, salesforce.com) qui doivent être tunnelées via VPN sous Destination.
-
Définir Schedule sur always.
-
Définir Service sur ALL.
-
Select Accept dans Action.
-
Cliquez sur OK.
Configurations In Netskope Client
When installing Netskope Client along with a VPN client, configure exceptions in steering configurations to bypass traffic from the VPN client. To learn more about adding exceptions for third-party VPN apps, view Exceptions.
Créer un emplacement réseau
Pour ajouter l'URL du serveur de la passerelle VPN dans la politique Netskope :
-
Go to Policies > Profiles > Network Location > New Network Location and select either Single Object or Multiple Objects.
-
To add a Single Object, provide an IP address, IP address range, or a CIDR netmask, When finished, click the adjacent + button, and then click Next. Enter a name for the network location, and then click Save Network Location.
-
To add Multiple Objects, upload a CSV file with multiple IP addresses or ranges. Enter a name for the network locations, and then click Save Network Location.
-
Lorsque vous avez terminé, cliquez sur Apply Changes.
Créer une exception pour l'emplacement de destination
-
To add a Destination Location exception, go to the Steering Configuration page and select a configuration.
-
In the EXCEPTIONS tab, click NEW EXCEPTION drop down list and select Destination Location.
-
n the New Exception pop-up window, enter select the Network Location profile from the list.
-
Click ADD to complete the process.
Verifying Interoperability
FortiGate VPN Validation
Assurez-vous que le trafic passe par le VPN.
Netskope Client Functions
Consultez la liste des cas d'utilisation validés que vous pouvez utiliser pour vérifier les opérations du client.