FortiGate
Cette rubrique propose une configuration pour un routeur FortiGate exécutant la version 6.0.4 du logiciel.
La maîtrise de FortiGate est recommandée. Pour plus de détails sur l'utilisation des produits FortiGate, rendez-vous sur le site officiel. Pour obtenir la documentation FortiGate relative à la haute disponibilité ou au déploiement manuel, reportez-vous à la bibliothèque de documents Fortinet.
Oracle fournit des instructions de configuration pour un ensemble testé de vendeurs et de dispositifs. Utilisez la configuration qui convient à votre fournisseur et à votre version du logiciel.
Si la version du dispositif ou du logiciel qu'Oracle utilise pour vérifier la configuration ne correspond pas exactement à votre dispositif ou logiciel, vous pouvez néanmoins créer la configuration nécessaire sur votre dispositif. Consultez la documentation de votre fournisseur et effectuez tous les ajustements nécessaires.
Si votre dispositif correspond à un fournisseur ne figurant pas dans la liste des fournisseurs et des dispositifs vérifiés, ou si vous savez déjà configurer votre dispositif pour IPSec, consultez la liste des paramètres IPSec pris en charge et la documentation de votre fournisseur afin d'obtenir de l'aide.
Oracle Cloud Infrastructure offre un VPN site à site, connexion IPSec sécurisée entre votre réseau sur site et un réseau cloud virtuel.
Le diagramme suivant présente une connexion IPSec de base à Oracle Cloud Infrastructure avec des tunnels redondants. Les adresses IP utilisées dans ce diagramme sont fournies à titre d'exemple uniquement.
Meilleures pratiques
Cette section présente les remarques et les meilleures pratiques générales relatives à l'utilisation d'un VPN site à site.
Configuration de tous les tunnels pour chaque connexion IPSec
Oracle déploie deux têtes de réseau IPSec pour chacune de vos connexions afin d'offrir une haute disponibilité à vos charges globales stratégiques. Côté Oracle, ces deux têtes de réseau se trouvent sur des routeurs différents à des fins de redondance. Pour une redondance maximale, Oracle recommande de configurer tous les tunnels disponibles. Il s'agit d'une notion clé de la philosophie "Design for Failure".
Présence de CPE redondants dans les emplacements réseau sur site
Chacun de vos sites se connectant à Oracle Cloud Infrastructure via IPSec doit disposer de dispositifs en périphérie redondants (également appelés CPE, pour Customer-Premises Equipment). Vous ajoutez chaque CPE à la console Oracle et créez une connexion IPSec distincte entre la passerelle de routage dynamique et chaque CPE. Pour chaque connexion IPSec, Oracle fournit deux tunnels sur des têtes de réseau IPSec géographiquement redondantes. Pour plus d'informations, reportez-vous au guide pour la redondance de la connectivité (PDF).
Remarques concernant le protocole de routage
Lorsque vous créez une connexion IPSec de VPN site à site, cette dernière possède deux tunnels IPSec redondants. Oracle vous recommande de configurer le CPE de manière à ce qu'il utilise les deux tunnels (s'il prend en charge cette configuration). Par le passé, Oracle a créé des connexions IPSec comportant jusqu'à quatre tunnels IPSec.
Les trois types de routage suivants sont disponibles. Vous choisissez le type de routage de chaque tunnel du VPN site à site séparément :
- Routage dynamique BGP : les routages disponibles sont appris dynamiquement via BGP. La passerelle de routage dynamique apprend dynamiquement les routages à partir du réseau sur site. Côté Oracle, la passerelle de routage dynamique publie les sous-réseaux du réseau cloud virtuel.
- Routage statique : lorsque vous configurez la connexion IPSec à la passerelle de routage dynamique, vous indiquez les routages spécifiques vers le réseau sur site que le réseau cloud virtuel doit connaître. Vous devez également configurer votre dispositif CPE avec des routages statiques vers les sous-réseaux du réseau cloud virtuel. Ces routages ne sont pas appris dynamiquement.
- Routage basé sur une stratégie : lorsque vous configurez la connexion IPSec à la passerelle de routage dynamique, vous indiquez les routages spécifiques vers le réseau sur site que le réseau cloud virtuel doit connaître. Vous devez également configurer votre dispositif CPE avec des routages statiques vers les sous-réseaux du réseau cloud virtuel. Ces routages ne sont pas appris dynamiquement.
Pour obtenir plus d'informations sur le routage avec un VPN site à site, notamment des recommandations Oracle sur la façon d'utiliser l'algorithme de sélection du meilleur chemin BGP, reportez-vous à Routage du VPN site à site.
Autres configurations de CPE importantes
Assurez-vous que les listes d'accès sur le CPE sont configurées correctement afin de ne pas bloquer le trafic nécessaire depuis et vers Oracle Cloud Infrastructure.
Si plusieurs tunnels fonctionnent simultanément, le routage peut être asymétrique. Afin d'autoriser le routage asymétrique, assurez-vous que le CPE est configuré pour gérer le trafic provenant de votre réseau cloud virtuel sur l'un des tunnels. Par exemple, vous devez désactiver l'inspection ICMP, configurer le contournement de l'état TCP. Pour plus d'informations sur la configuration appropriée, contactez le support technique du fournisseur du CPE. Pour configurer le routage de sorte qu'il soit symétrique, reportez-vous à Routage du VPN site à site.
Avertissements et limites
Cette section présente les caractéristiques et les limites générales importantes du VPN site à site. Reportez-vous à Limites de service pour obtenir la liste des limites applicables et consulter les instructions permettant de demander une augmentation de limite.
Routage asymétrique
Oracle utilise un routage asymétrique sur les différents tunnels qui constituent la connexion IPSec. Configurez les pare-feu en conséquence. Sinon, les tests ping ou le trafic d'application sur la connexion ne fonctionnent pas de façon fiable.
Lorsque vous utilisez plusieurs tunnels vers Oracle Cloud Infrastructure, Oracle vous recommande de configurer votre routage de façon à acheminer le trafic de manière déterministe via le tunnel préféré. Si vous souhaitez utiliser un tunnel IPSec comme tunnel principal et un autre comme tunnel de sauvegarde, configurez des routages plus spécifiques pour le tunnel principal (BGP) et des routages moins spécifiques (récapitulatifs ou par défaut) pour le tunnel de sauvegarde (BGP/statique). Sinon, si vous publiez le même routage (par exemple, un routage par défaut) via tous les tunnels, le trafic renvoyé du réseau cloud virtuel vers le réseau sur site est acheminé vers n'importe lequel des tunnels disponibles. En effet, Oracle utilise un routage asymétrique.
Pour consulter des recommandations de routage Oracle spécifiques sur la façon de forcer le routage symétrique, reportez-vous à Routage du VPN site à site.
VPN site à site basé sur un routage ou sur une stratégie
Le protocole IPSec utilise des associations de sécurité pour déterminer comment crypter les paquets. Au sein de chaque association de sécurité, vous définissez des domaines de cryptage pour mettre en correspondance le type de protocole et les adresses IP source et de destination d'un paquet avec une entrée de la base de données d'association de sécurité afin de définir le mode de cryptage ou de décryptage du paquet.
Les termes ID de proxy, index de paramètre de sécurité (SPI) ou sélecteur de trafic peuvent être utilisés par d'autres fournisseurs ou dans la documentation du secteur pour faire référence aux associations de sécurité ou aux domaines de cryptage.
Il existe deux méthodes générales pour l'implémentation des tunnels IPSec :
- Tunnels basés sur un routage : également appelés tunnels basés sur le saut suivant. Une recherche de table de routage est effectuée sur l'adresse IP de destination d'un paquet. Si l'interface sortante du routage est un tunnel IPSec, le paquet est crypté et envoyé à l'autre extrémité du tunnel.
- Tunnels basés sur une stratégie : le protocole et les adresses IP source et de destination du paquet sont mis en correspondance avec la liste des instructions de stratégie. Si une correspondance est trouvée, le paquet est crypté selon les règles de l'instruction de stratégie.
Les têtes de réseau du VPN site à site Oracle utilisent des tunnels basés sur un routage. Elles peuvent fonctionner avec des tunnels basés sur une stratégie, mais cela donne lieu à des avertissements, répertoriés dans les sections suivantes.
Si le CPE prend en charge les tunnels basés sur un routage, utilisez cette méthode pour configurer le tunnel. Il s'agit de la configuration la plus simple, qui offre la meilleure interopérabilité avec la tête de réseau du VPN Oracle.
Le tunnel IPSec basé sur un routage utilise un domaine de cryptage présentant les valeurs suivantes :
- Adresse IP source : n'importe laquelle (0.0.0.0/0)
- Adresse IP de destination : n'importe laquelle (0.0.0.0/0)
- Protocole : IPv4
Si vous devez être plus spécifique, vous pouvez utiliser un routage récapitulatif unique pour les valeurs du domaine de cryptage au lieu d'un routage par défaut.
Lorsque vous utilisez des tunnels basés sur une stratégie, chaque entrée de stratégie (bloc CIDR d'un côté de la connexion IPSec) que vous définissez génère une association de sécurité IPSec avec chaque entrée admissible à l'autre extrémité du tunnel. Cette paire est appelée domaine de cryptage.
Dans ce diagramme, l'extrémité Passerelle de routage dynamique Oracle du tunnel IPSec possède des entrées de stratégie pour trois blocs CIDR IPv4 et un bloc CIDR IPv6. L'extrémité CPE sur site du tunnel possède des entrées de stratégie pour deux blocs CIDR IPv4 et deux blocs CIDR IPv6. Chaque entrée génère un domaine de cryptage avec toutes les entrées possibles à l'autre extrémité du tunnel. Les deux côtés d'une paire d'association de sécurité doivent utiliser la même version d'adresse IP. Le résultat est un total de huit domaines de cryptage.
Si le CPE ne prend en charge que les tunnels basés sur une stratégie, tenez compte des restrictions suivantes.
- Le VPN site à site prend en charge plusieurs domaines de cryptage (50 au maximum).
- Si vous aviez une situation semblable à l'exemple ci-dessus et que vous ne configuriez que trois des six domaines de cryptage IPv4 possibles côté CPE, le lien serait répertorié avec l'état Démarré partiellement. En effet, tous les domaines de cryptage possibles sont toujours créés côté passerelle de routage dynamique.
- Le routage basé sur une stratégie dépend du VPN site à site version 2. Reportez-vous à Service de VPN site à site mis à jour pour plus d'informations sur le VPN site à site version 2.
- En fonction de la date de création du tunnel, vous ne pourrez peut-être pas le modifier pour utiliser un routage basé sur une stratégie et devrez le remplacer par un nouveau tunnel IPSec.
- Les blocs CIDR utilisés à l'extrémité Passerelle de routage dynamique Oracle du tunnel ne peuvent pas chevaucher ceux utilisés à l'extrémité CPE sur site.
- Un domaine de cryptage doit toujours se trouver entre deux blocs CIDR de la même version d'adresse IP.
Si le CPE est derrière un dispositif NAT
En général, l'identificateur IKE CPE configuré au niveau de votre extrémité de la connexion doit correspondre à celui utilisé par Oracle. Par défaut, Oracle utilise l'adresse IP publique du CPE, que vous fournissez lors de la création de l'objet CPE dans la console Oracle. Toutefois, si le CPE se trouve derrière un dispositif NAT, l'identificateur IKE CPE configuré de votre côté peut être l'adresse IP privée du CPE, comme indiqué dans le diagramme suivant.
Certaines plates-formes CPE ne vous autorisent pas à modifier l'identificateur IKE local. Si c'est le cas, vous devez modifier l'ID IKE distant dans la console Oracle pour qu'il corresponde à l'ID IKE local de votre CPE. Vous pouvez fournir cette valeur lors de la configuration de la connexion IPSec ou ultérieurement en modifiant cette dernière. Oracle s'attend à ce que la valeur soit une adresse IP ou un nom de domaine qualifié complet tel que cpe.example.com. Pour obtenir des instructions, reportez-vous à Modification de l'identificateur IKE CPE utilisé par Oracle.
Paramètres IPSec pris en charge
Pour obtenir la liste des paramètres IPSec pris en charge (indépendamment du fournisseur) pour toutes les régions, reportez-vous à Paramètres IPSec pris en charge.
Le numéro ASN BGP Oracle pour le domaine de cloud commercial est 31898. Si vous configurez un VPN site à site pour US Government Cloud, reportez-vous à Paramètres de VPN site à site requis pour Government Cloud et à Numéro ASN BGP d'Oracle. Pour United Kingdom Government Cloud, reportez-vous à Numéro ASN BGP d'Oracle.
Configuration du CPE
Les instructions de configuration de cette section sont fournies par Oracle Cloud Infrastructure pour votre CPE. Si vous avez besoin d'une aide supplémentaire, contactez directement le support technique du fournisseur du CPE.
La figure suivante illustre la disposition de base de la connexion IPSec.
Par défaut, FortiGate provisionne le tunnel IPSec en mode basé sur un routage. Cette rubrique traite de FortiGate avec une configuration de VPN basée sur un routage.
Si nécessaire, FortiGate peut provisionner le tunnel IPSec en mode basé sur une stratégie. Pour activer cette fonctionnalité, accédez à System, puis à Feature Visiblity. Sous Additional Features, activez la fonctionnalité Policy-based IPSec VPN.
A propos de l'utilisation d'IKEv2
Oracle prend en charge Internet Key Exchange version 1 (IKEv1) et version 2 (IKEv2). Si vous configurez la connexion IPSec dans la console pour qu'elle utilise IKEv2, vous devez configurer le CPE afin qu'il utilise uniquement IKEv2 et les paramètres de cryptage IKEv2 associés pris en charge par votre CPE. Pour obtenir la liste des paramètres pris en charge par Oracle pour IKEv1 ou IKEv2, reportez-vous à Paramètres IPSec pris en charge.
Si vous voulez utiliser IKEv2, l'une des tâches présentées dans la section suivante diffère quelque peu. Plus précisément, dans la tâche 2, lors de la configuration de l'authentification, sélectionnez IKE version 2.
Processus de configuration
Avant de commencer, assurez-vous que vous disposez d'une licence ou d'une licence de version d'évaluation valide pour configurer FortiGate.
- Accédez à VPN, puis à IPSec Wizard pour créer un tunnel VPN.
- Sur la page VPN Creation Wizard, indiquez les éléments suivants :
- Name : description utilisée pour identifier le tunnel IPSec. Evitez de saisir des informations confidentielles.
- Template Type : Site to Site
- Remote Device Type : Cisco
- NAT Configuration : No NAT between sites
- Cliquez sur Suivant.
- Sur la page Authentication, indiquez les éléments suivants :
- Remote Device : adresse IP
- IP Address : adresse IP de la tête de réseau du VPN Oracle. Oracle a généré cette valeur lors de la création du tunnel IPSec.
- Outgoing Interface : interface WAN configurée pour le trafic externe.
- Authentication Method : Pre-shared Key. Oracle ne prend en charge que les clés secrètes partagées.
- Pre-shared Key : clé secrète partagée. Oracle a généré cette valeur lors de la création du tunnel IPSec.
- Cliquez sur Suivant.
- Sur la page Policy & Routing, indiquez les éléments suivants :
- Local Interface : interface LAN configurée pour le trafic interne.
- Local Subnets : sous-réseau utilisé pour le trafic interne.
- Remote Subnets : sous-réseaux de réseau cloud virtuel Oracle qui seront utilisés pour le tunnel IPSec.
- Internet Access : None
-
Cliquez sur Créer.
Un message récapitulatif apparaît avec les détails de la configuration. L'assistant crée automatiquement des stratégies de sécurité avec les sous-réseaux que vous avez spécifiés et ajoute les routages statiques requis.
Vous devez convertir chaque tunnel IPSec récemment créé en tunnel personnalisé afin d'ajouter les paramètres recommandés pour Phase 1 et Phase 2.
Effectuez les étapes suivantes pour chaque tunnel.
- Accédez à VPN, puis cliquez sur IPSec Tunnels.
- Sélectionnez le tunnel et cliquez sur Edit pour afficher la page Edit VPN Tunnel.
-
Cliquez sur Convert to Custom Tunnel.
-
Modifiez les sections appropriées afin qu'elles correspondent aux paramètres requis présentés dans les captures d'écran suivantes. N'oubliez pas de cliquer sur l'icône représentant une coche en haut à droite de chaque section après avoir apporté vos modifications.
L'adresse IP figurant dans la première capture d'écran est un simple exemple.
Si vous voulez utiliser IKEv2, sélectionnez plutôt IKE Version 2 dans l'écran Authentication.
- Après avoir configuré toutes les sections, cliquez sur OK pour enregistrer et fermer les boîtes de dialogue.
A ce stade, le tunnel IPSec n'est pas établi par défaut car FortiGate utilise l'adresse IP affectée sur l'interface WAN. Dans ce cas, il s'agit d'une adresse IP privée car Oracle applique la fonctionnalité NAT 1 à 1. Cette adresse IP privée est utilisée en tant qu'ID IKE local et ne correspond pas à celle attendue sur la passerelle de routage dynamique Oracle. Pour résoudre ce problème, vous pouvez modifier manuellement l'ID IKE local sur votre routeur FortiGate à l'aide de l'interface de ligne de commande du CPE ou modifier la valeur utilisée par Oracle dans la console Oracle (reportez-vous aux instructions ci-après). Quelle que soit la manière utilisée, cela corrige l'incompatibilité et démarre le tunnel IPSec.
-
La liste des connexions IPSec du compartiment que vous visualisez apparaît. Si vous ne voyez pas celui que vous recherchez, vérifiez que vous consultez le bon compartiment (sélectionnez-le dans la liste située à gauche de la page).
-
Pour la connexion IPSec qui vous intéresse, cliquez sur le menu Actions (
), puis sur Modifier.L'identificateur IKE CPE actuellement utilisé par Oracle s'affiche dans la partie inférieure de la boîte de dialogue.
- Indiquez les nouvelles valeurs pour Type d'identificateur IKE CPE et Identificateur IKE CPE, puis cliquez sur Enregistrer les modifications.
Redondance avec BGP sur IPSec
Pour la redondance, Oracle recommande d'utiliser BGP sur IPSec. Par défaut, si vous disposez de deux connexions du même type (par exemple, deux VPN IPSec utilisant BGP) et que vous publiez les mêmes routages sur celles-ci, Oracle privilégie le routage le plus ancien pour répondre aux demandes ou établir des connexions. Si vous voulez forcer le routage à être symétrique, Oracle vous recommande d'utiliser BGP et l'ajout de préfixe de chemin AS avec vos routages pour influer sur le chemin utilisé par Oracle lors de la réponse et du lancement des connexions. Pour plus d'informations, reportez-vous à Détails de routage pour les connexions au réseau sur site.
La passerelle de routage dynamique Oracle utilise /30 ou /31 en tant que sous-réseau pour la configuration des adresses IP sur les tunnels d'interface. N'oubliez pas que l'adresse IP doit faire partie du domaine de cryptage du VPN site à site et être autorisée par la stratégie de pare-feu à atteindre le VPN homologue via le tunnel d'interface. Vous devrez peut-être implémenter un routage statique via l'interface de tunnel pour l'adresse IP homologue.
Le numéro ASN BGP d'Oracle pour le cloud commercial est 31898, à l'exception de la région Serbie centrale (Jovanovac), à savoir 14544. Si vous configurez un VPN site à site pour Government Cloud, reportez-vous à Paramètres de VPN site à site requis pour Government Cloud et à Numéro ASN BGP d'Oracle.
De votre côté, vous pouvez utiliser un numéro ASN privé. Les numéros ASN privés sont compris entre 64512 et 65534.
Dans la première tâche, vous ajoutez l'adresse IP BGP à l'interface de tunnel FortiGate récemment créée.
Effectuez les étapes suivantes pour chaque tunnel.
- Accédez à Network, puis à Interface.
-
Sélectionnez l'interface qui vous intéresse et cliquez sur Edit.
- Configurez les éléments suivants :
- IP : saisissez l'adresse IP BGP que vous avez affectée à l'extrémité FortiGate de l'interface de tunnel. La capture d'écran suivante montre un exemple de valeur : 192.168.66.2.
- Remote IP/Network Mask : ajoutez l'adresse IP BGP que vous avez affectée à l'extrémité Oracle de l'interface de tunnel. Incluez un masque /30 ou /31, selon la manière dont vous avez spécifié les adresses dans la console Oracle. Dans la capture d'écran suivante, 192.168.66.0/30 a été utilisé, où 192.168.66.2 est affecté à l'extrémité FortiGate et 192.168.66.1 à l'extrémité Oracle.
Ping access (recommandé) : dans la section Administrative Access, activez l'accès ping.
- Cliquez sur OK.
Pour chaque tunnel, ajoutez un routage statique /32 vers l'adresse IP Oracle via le tunnel, comme illustré dans la capture d'écran suivante.
Effectuez les étapes suivantes pour chaque tunnel.
- Accédez à Network, puis à BGP.
- Entrez les informations suivantes :
- Local AS : votre numéro ASN BGP. Vous pouvez utiliser un numéro ASN privé. Les numéros ASN privés sont compris entre 64512 et 65534.
- Router ID : valeur fournissant au routeur BGP une identité unique parmi ses homologues.
- Neighbors : cliquez sur Create New, puis saisissez l'adresse IP BGP de l'extrémité Oracle du tunnel et le numéro ASN BGP Oracle. Le numéro ASN BGP d'Oracle pour le cloud commercial est 31898, à l'exception de la région Serbie centrale (Jovanovac), à savoir 14544. Si vous configurez un VPN site à site pour une connexion à Government Cloud, reportez-vous à Numéro ASN BGP d'Oracle.
Networks : vous pouvez utiliser ce champ pour publier un sous-réseau spécifique sur BGP. Vous pouvez également utiliser la section Redistribute de la section Advanced Options pour publier des sous-réseaux.
- Cliquez sur OK.
Vérification
La commande CLI suivante est utile pour rassembler des données statistiques, par exemple : le nombre de paquets cryptés et décryptés, le nombre d'octets envoyés et reçus, l'identificateur du domaine de cryptage, etc. Ce type d'information peut être primordial pour identifier un problème avec le VPN.
diagnose vpn tunnel listLa commande suivante indique une stratégie de pare-feu manquante, un routage de transmission manquant et des problèmes de tri des stratégies. En l'absence de problème de communication, cette commande renvoie une sortie vide.
diagnose debug flowLa commande suivante vérifie les informations de statut de voisin BGP. N'oubliez pas qu'un état Actif ne signifie pas que la session BGP est démarrée. "Actif" fait référence à un message d'état BGP. Pour plus d'informations, reportez-vous à l'histoire de BGP et aux concepts associés dans la documentation FortiGate.
get router info bgp summaryLa commande suivante fournit des informations plus détaillées sur un voisin BGP.
get router info bgp neighborsLe service Monitoring est également disponible auprès d'Oracle Cloud Infrastructure pour surveiller de façon active et passive vos ressources cloud. Pour plus d'informations sur la surveillance du VPN site à site, reportez-vous à Mesures de VPN site à site.
Si vous rencontrez des problèmes, reportez-vous à Dépannage de VPN site à site.