مركز المعرفة · FORTIGATE VPN

إعداد FortiGate IPsec VPN: ضبط IKEv2 مع FortiClient

Quad Bilişim · حساب النشر : admin · 5 نوفمبر 2026

لإعداد VPN للوصول عن بُعد على FortiGate، طابق أولاً إصدارات FortiOS وFortiClient، ثم اضبط نفق IKEv2 ومصادقة المستخدمين ومجموعة عناوين IP للعملاء وقاعدة أمان تسمح بالموارد الضرورية فقط. يستند هذا الدليل إلى وثائق إدارة FortiOS 7.4.9؛ وقد تختلف القوائم والخيارات في الإصدارات الأخرى. أما VPN بين المواقع والإعداد الأول لاتصال الجهاز بالإنترنت فهما موضوعان منفصلان.

يدا مختص يراجع إعدادات VPN على مكتب مضاء مع حاسوبين محمولين وجهاز أمان شبكي بلا علامة تجارية

1. حدّد الإصدار: لماذا يهم IKEv2؟

أُزيل دعم IKEv1 لاتصالات IPsec في FortiClient Windows 7.4.4. قد يؤدي تطبيق تعليمات IKEv1 قديمة على هذا العميل إلى مشكلات في الاتصال. بدءاً من FortiOS 7.6.3، استُبدل وضع نفق SSL VPN بـIPsec في جميع طرازات FortiGate؛ ولا تُنقل إعدادات وضع النفق القديمة أثناء الترقية. أكمل الانتقال قبل الترقية. لا تفسّر ذلك على أنه إزالة جميع وظائف SSL VPN بالطريقة نفسها في كل إصدار 7.6.

للإعداد الأول لـWAN وLAN ووصول المسؤول، راجع دليل الإعداد الأساسي لـFortiGate . يركّز هذا الدليل على مستخدم مخوّل يتصل بشبكة المكتب من الخارج.

2. جهّز خطة IP ومجموعة المستخدمين

احفظ نسخة احتياطية من الإعدادات وسجّل الطراز وبنية FortiOS ونظام تشغيل العميل وإصدار FortiClient. جهّز المجموعة المسموح لها باستخدام VPN ضمن User & Authentication. عند استخدام LDAP/RADIUS، تحقّق من اتصال الدليل ومطابقة المجموعة قبل إعداد VPN؛ وافصل بين مصادقة المستخدم ومصادقة الجهاز باستخدام PSK أو الشهادة. صمّم بشكل منفصل طريقة المصادقة متعددة العوامل التي تدعمها المؤسسة.

العناوين التالية افتراضية. يجب ألا تتداخل مجموعة VPN مع شبكة المكتب أو الفرع أو الشبكة المحلية للمستخدم البعيد. لا تسجّل كلمات المرور أو المفتاح المشترك هنا.

الحقل	مثال	قرار الإعداد
الشبكة الداخلية	10.40.10.0/24	حدّد بوضوح الشبكة الفرعية المسموح بالوصول إليها.
مجموعة عناوين VPN	10.40.250.10–10.40.250.50	خصّص عناوين عملاء لا تتداخل مع الشبكات الأخرى.
البوابة البعيدة	vpn.example.com	استخدم اسم نطاق تملكه ويُحلّ إلى عنوان WAN الفعلي.
المجموعة وDNS	VPN-Office / ‏DNS المؤسسة	سجّل المجموعة المسموح لها وخادم DNS الذي يحلّ الأسماء الداخلية.

3. أنشئ النفق باستخدام IPsec Wizard

ضمن VPN → IPsec Wizard، اختر Remote Access ثم Client-based → FortiClient. امنح النفق اسماً مميّزاً. اضبط Incoming Interface على واجهة WAN الفعلية وحدّد ضمن Authentication طريقة PSK أو الشهادة المعتمدة في المؤسسة. عند استخدام PSK، وزّع مفتاحاً طويلاً وعشوائياً وفريداً عبر قناة آمنة.

في خطوة Policy & Routing، أدخل الواجهة الداخلية وكائن عنوان الوجهة ومجموعة عناوين العملاء. عند تفعيل split tunnel، تُوجّه شبكات المؤسسة المحدّدة فقط عبر النفق؛ أما توجيه جميع حركة الإنترنت فيحتاج إلى قاعدة خروج منفصلة وتخطيط للسعة. اختر DNS تابعاً للمؤسسة ويمكن الوصول إليه لحلّ الأسماء الداخلية. راجع القواعد التي أنشأها المعالج قبل الحفظ.

4. أكمل إعداد IKEv2 وEAP وقاعدة الوصول

لأن سير المعالج الموثّق للإصدار 7.4.9 قد يبدأ بـIKEv1، افحص النفق الناتج وأكمل التحويل إلى IKEv2 ومصادقة المستخدم عبر EAP وفق الخطوات الرسمية لذلك الإصدار. يمكن تعريف مجموعة واحدة داخل النفق باستخدام authusrgrp؛ وعند اختيار وراثة المجموعات من السياسات، يجب إضافة المجموعة المناسبة إلى حقل المصدر في Firewall Policy. تحقّق بصورة منفصلة من مطابقة المجموعات في التصميم متعدد المجموعات. لا تفترض أن تغيير إصدار IKE وحده سيحافظ على مجموعة المستخدمين.

ضمن Policy & Objects → Firewall Policy، قيّد مجموعة عناوين المصدر وطريقة ربط المجموعة وعناوين الوجهة والخدمات المطلوبة في القاعدة من واجهة VPN إلى LAN/VLAN المعنية. لا تترك إذناً دائماً من نوع ALL/ALL لمجرد تشغيل الاتصال. قرّر استخدام NAT مع مراعاة مسار العودة؛ فالوصول الداخلي المعتاد عبر التوجيه لا يحتاج غالباً إلى NAT. يجب أن تتطابق مقترحات Phase 1/2 وإعدادات DH/PFS ومدد الصلاحية عند الطرفين.

5. طابق ملف FortiClient

في ملف الوصول عن بُعد لـFortiClient أو EMS، اختر IPsec VPN والبوابة Remote Gateway الفعلية وIKE Version 2. يجب أن تتطابق طريقة PSK/الشهادة ومصادقة المستخدم وتوزيع العناوين عبر Mode Config وإعدادات Phase 1/2 وخيارات النقل مع FortiGate. لا تفترض تطابق قوائم وميزات العميل المُدار عبر EMS مع عميل VPN المجاني؛ تحقّق من الإصدار المثبّت ودعم الحزمة.

في إعداد يبدأ بـUDP، تحقّق من إتاحة الشبكة اللازمة لـIKE وNAT-T. يتطلّب IPsec over TCP/443 أو الرجوع من UDP إلى TCP دعماً ووضع نقل متطابقاً عند الطرفين. تشير وثائق FortiOS 7.4.9 إلى احتمال تعارض TCP/443 مع وصول الإدارة عبر HTTPS. افحص الخدمات الحالية ووصول المسؤول قبل تغيير المنافذ؛ فاختيار TCP/443 وحده لا يضمن الاتصال.

6. الاتصال قائم لكن الشبكة الداخلية غير متاحة: ترتيب الفحص

ظهور VPN بحالة متصل لا يعني اكتمال الوصول إلى التطبيق. افحص أولاً حالة Phase 1 وPhase 2 في عرض IPsec ضمن Dashboard → Network. ثم تحقّق من IP الممنوح للعميل والمسار نحو الوجهة ومطابقة القاعدة ومسار العودة وجدار الحماية الخاص بالخادم. إذا نجح الوصول عبر IP وفشل عبر الاسم، فافحص DNS. قد يكون Ping محظوراً؛ جرّب أيضاً منفذ التطبيق المسموح به فعلياً.

باستخدام حساب مخوّل، تحقّق من الوصول إلى الموارد المسموحة ومن حجب الموارد غير المسموحة. أضف إلى سجل الفحص التاريخ والإصدارات وخدمة الوجهة ومعرّف القاعدة والنتيجة. لا يدّعي هذا المقال إجراء اختبار في بيئة عميل حقيقية. قد تحتوي مخرجات التشخيص الكاملة على مفاتيح جلسات أو معلومات مستخدمين؛ احذف الحقول السرية قبل مشاركتها.

وضّح نطاق إعداد FortiGate VPN

خدمة دعم FortiGate — يمكنك مشاركة طراز الجهاز وإصدار البرنامج وعدد العملاء والتطبيقات المطلوب الوصول إليها. راجع أيضاً الترخيص ومدة الدعم باستخدام قائمة التحقّق من ترخيص FortiGate . الإصدارات المذكورة أمثلة للواجهة؛ تحقّق من الإصدارات المدعومة حالياً والتنبيهات الأمنية قبل النشر في بيئة العمل.

الموارد التقنية

مراجعة المصادر: 5 نوفمبر 2026. جدول التقييم والخطوات والمثال الافتراضي مقترحات عمل أصلية من Quad Bilişim، وليست ضمانًا للسعر أو النتيجة.