БАЗА ЗНАНИЙ · FORTIGATE VPN

Настройка FortiGate IPsec VPN: IKEv2 с FortiClient

Quad Bilişim · Аккаунт публикации: admin · 5 ноября 2026 года

Для настройки VPN удалённого доступа на FortiGate сначала согласуйте версии FortiOS и FortiClient, затем настройте туннель IKEv2, аутентификацию пользователей, пул клиентских IP-адресов и правило безопасности только для необходимых ресурсов. Руководство основано на документации администратора FortiOS 7.4.9; в других версиях меню и параметры могут отличаться. Межсетевой VPN и первоначальное подключение устройства к интернету — отдельные темы.

Руки специалиста, проверяющего настройки VPN за светлым столом с двумя ноутбуками и немаркированным устройством сетевой безопасности

1. Определите версию: почему важен IKEv2?

В FortiClient Windows 7.4.4 удалена поддержка IKEv1 для IPsec. Старая инструкция для IKEv1 может вызвать проблемы подключения с этим клиентом. Начиная с FortiOS 7.6.3 туннельный режим SSL VPN заменён на IPsec на всех моделях FortiGate; прежние настройки туннельного режима при обновлении не переносятся. Завершите миграцию до обновления. Это не означает одинаковое удаление всех функций SSL VPN во всех выпусках 7.6.

Для первоначальной настройки WAN, LAN и административного доступа используйте руководство по базовой настройке FortiGate . Здесь рассматривается авторизованный пользователь, подключающийся к офисной сети извне.

2. Подготовьте IP-план и группу пользователей

Создайте резервную копию конфигурации и запишите модель, сборку FortiOS, ОС клиента и версию FortiClient. В разделе User & Authentication подготовьте группу с разрешённым VPN-доступом. При использовании LDAP/RADIUS заранее проверьте соединение с каталогом и соответствие групп. Не смешивайте аутентификацию пользователя с аутентификацией устройства по PSK или сертификату. Отдельно спроектируйте поддерживаемый организацией способ многофакторной аутентификации.

Адреса ниже условные. Пул VPN не должен пересекаться с сетями офиса, филиалов и локальной сетью удалённого пользователя. Не записывайте сюда пароли и общий ключ.

Поле	Пример	Решение при настройке
Внутренняя сеть	10.40.10.0/24	Явно ограничьте доступную подсеть.
Пул VPN	10.40.250.10–10.40.250.50	Выделите непересекающиеся адреса клиентов.
Удалённый шлюз	vpn.example.com	Используйте собственное доменное имя, разрешающееся в фактический WAN-адрес.
Группа и DNS	VPN-Office / корпоративный DNS	Запишите разрешённую группу и DNS-сервер для внутренних имён.

3. Создайте туннель через IPsec Wizard

Откройте VPN → IPsec Wizard и выберите Remote Access и Client-based → FortiClient. Задайте туннелю понятное уникальное имя. В Incoming Interface укажите фактический WAN-интерфейс, а в Authentication — выбранный организацией метод PSK или сертификат. При использовании PSK передавайте длинный случайный уникальный ключ по защищённому каналу.

На этапе Policy & Routing укажите внутренний интерфейс, адресный объект назначения и клиентский пул. При включённом split tunnel через туннель направляются только заданные корпоративные сети. Для передачи всего интернет-трафика нужны отдельное правило выхода в интернет и планирование пропускной способности. Для внутренних имён выберите доступный корпоративный DNS. Перед сохранением проверьте правила, созданные мастером.

4. Завершите настройку IKEv2, EAP и правила доступа

Поскольку описанный для 7.4.9 мастер может начинать с IKEv1, проверьте созданный туннель. Выполните переход на IKEv2 и настройку EAP-аутентификации по официальным шагам для этой версии. Одну группу можно задать в туннеле через authusrgrp. При наследовании групп из правил добавьте нужную группу в поле источника Firewall Policy. В схеме с несколькими группами отдельно проверьте соответствие групп. Не рассчитывайте, что смена только версии IKE сохранит группу пользователей.

В Policy & Objects → Firewall Policy ограничьте исходный пул, выбранный способ привязки группы, адреса назначения и необходимые службы в правиле от VPN-интерфейса к нужной LAN/VLAN. Не оставляйте постоянное разрешение ALL/ALL ради работоспособности подключения. Решайте вопрос NAT вместе с обратной маршрутизацией; обычному маршрутизируемому доступу во внутреннюю сеть NAT чаще всего не нужен. Предложения Phase 1/2, DH/PFS и время жизни должны совпадать на обоих концах.

5. Согласуйте профиль FortiClient

В профиле удалённого доступа FortiClient или EMS выберите IPsec VPN, фактический Remote Gateway и IKE Version 2. Метод PSK/сертификат, аутентификация пользователя, выдача адресов Mode Config, Phase 1/2 и транспорт должны соответствовать FortiGate. Не считайте меню и возможности клиента под управлением EMS идентичными бесплатному VPN-клиенту. Проверьте установленную версию и возможности пакета.

При настройке с UDP проверьте сетевую доступность для IKE и NAT-T. Для IPsec over TCP/443 или переключения с UDP на TCP необходимы поддержка и одинаковый транспортный режим на обоих концах. Документация FortiOS 7.4.9 предупреждает о возможном конфликте TCP/443 с административным HTTPS-доступом. Перед сменой порта проверьте действующие службы и административный доступ. Выбор TCP/443 сам по себе не гарантирует соединение.

6. VPN подключён, но внутренняя сеть недоступна: порядок проверки

Статус подключённого VPN ещё не подтверждает доступ к приложению. Сначала проверьте Phase 1 и Phase 2 в представлении IPsec раздела Dashboard → Network. Затем проверьте выданный клиенту IP, маршрут к цели, совпадение правила, обратный маршрут и собственный межсетевой экран сервера. Если доступ по IP работает, а по имени нет, исследуйте DNS. Ping может блокироваться; проверьте также фактически разрешённый порт приложения.

С авторизованной учётной записью проверьте как доступ к разрешённым ресурсам, так и блокировку запрещённых. В журнал проверки внесите дату, версии, целевую службу, ID правила и результат. Статья не утверждает проведение тестов в реальной среде заказчика. Полный диагностический вывод может содержать ключи сеанса или сведения о пользователях; удаляйте конфиденциальные поля перед передачей.

Уточните объём работ по настройке FortiGate VPN

Поддержка FortiGate — сообщите модель устройства, версию ПО, количество клиентов и нужные приложения. Лицензии и срок поддержки дополнительно проверьте с помощью контрольного списка лицензирования FortiGate . Указанные версии иллюстрируют интерфейс; перед внедрением проверьте актуальные поддерживаемые выпуски и уведомления безопасности.

Технические ресурсы

Источники проверены: 5 ноября 2026 года. Таблица оценки, шаги и условный пример — оригинальные рабочие предложения Quad Bilişim; они не являются гарантией цены или результата.