云企业网：第三方SD-WAN设备对接转发路由器实现IDC与VPC互通

第三方SD-WAN设备配置示例

1. 请确保第三方SD-WAN设备的UDP 500以及5000端口允许本地网关设备1和本地网关设备2的公网地址访问。具体操作，请参见添加安全组规则。

2. 登录第三方SD-WAN设备的命令行配置界面。

3. 执行以下命令，添加IPsec-VPN连接一阶段配置。

   config vpn ipsec phase1-interface
       edit "HUB"                                              #第三方SD-WAN设备作为Hub节点
           set type dynamic
           set interface "port1"                               #使用“port1”与本地IDC建立IPsec-VPN连接
           set ike-version 2                                   #使用IKE v2版本
           set peertype any
           set net-device disable                              #关闭本功能
           set proposal des-sha1                               #配置一阶段加密算法和认证算法
           set add-route disable                               #关闭自动添加路由的功能
           set dpd on-idle
           set wizard-type hub-fortigate-auto-discovery         
           set auto-discovery-sender enable                    #在Hub节点开启本功能，以便接收与发送Spoke之间的直连隧道互联信息。
           set network-overlay enable
           set network-id 1
           set psksecret fddsFF456****                         #配置预共享密钥
           set dpd-retryinterval 60
       next
   end
                                   

4. 执行以下命令，添加IPsec-VPN连接二阶段配置。

   config vpn ipsec phase2-interface
       edit "HUB"
           set phase1name "HUB"
           set proposal des-sha1                          #配置二阶段加密算法和认证算法
       next
   end
                                   

5. 执行以下命令，配置IPsec-VPN隧道IP地址。

   
   config system interface                            
       edit "HUB"
           set vdom "root"
           set ip 169.254.10.1 255.255.255.255            #配置隧道IP地址
           set allowaccess ping
           set type tunnel                                #指定隧道接口类型
           set remote-ip 169.254.10.254 255.255.255.0     #配置隧道对端IP地址
           set interface "port1"                          #指定隧道关联的物理接口为"port1" 
       next
   end

   重要

   169.254.10.254是不被Spoke节点所使用的预留IP地址，IPsec-VPN隧道是一个点对点的隧道，但是ADVPN中这条隧道需要同时对应多个Spoke节点，因此不能将remote-ip写成一个存在的Spoke节点的IP地址。

6. 执行以下命令，在第三方SD-WAN设备上配置安全策略，允许本地IDC之间、本地IDC与阿里云互相访问。

   config firewall policy
       edit 7
           set name "HUB_to_SPOKE"               
           set srcintf "port1" "HUB" "to_aliyun_test1"     #源接口为"port1" 、"HUB"、"to_aliyun_test1"
           set dstintf "HUB" "port1" "to_aliyun_test1"     #目的接口为"port1" 、"HUB"、"to_aliyun_test1"
           set action accept                               #允许流量通行
           set srcaddr "all"                               #匹配所有源网段的流量
           set dstaddr "all"                               #匹配所有目的网段的流量
           set schedule "always"
           set service "ALL"
       next
   end                              

7. 执行以下命令，添加BGP配置。

   config router bgp
       set as 65534                                           #指定第三方SD-WAN设备的BGP AS号为65534                                
       config neighbor-group                                  #启用neighbor-group属性
           edit "HUB_group"
               set next-hop-self enable
               set remote-as 65534                            #指定对端的BGP AS号
               set additional-path send
               set route-reflector-client enable              #开启路由反射功能，指定第三方SD-WAN设备为路由反射器
           next
       end
       config neighbor-range                                           
           edit 1
               set prefix 169.254.10.0 255.255.255.0          #只要匹配前缀列表169.254.10.0/24的BGP邻居均可以和Hub节点建立iBGP邻居关系。
               set neighbor-group "HUB_group"
           next
       end
   end                              

本地网关设备1配置示例

1. 登录本地网关设备1的命令行配置界面。

2. 添加默认路由，确保本地网关设备1可以访问第三方SD-WAN设备公网IP地址。

   #本文场景中port1接口映射公网IP地址121.XX.XX.211，因此配置默认路由指向port1网关。
   config router static
       edit 1
           set device "port1"
           set distance 5
           set gateway 192.168.100.253
       next
   end
   
   #您可以通过以下命令查看路由信息。
   FortiGate-VM64-KVM # get router info routing-table all
   S*      0.0.0.0/0 [5/0] via 192.168.100.253, port1

3. 执行以下命令，添加IPsec-VPN连接一阶段配置。

   config vpn ipsec phase1-interface
       edit "hz_sp"
           set interface "port1"                           #使用"port1"接口与第三方SD-WAN设备建立IPsec-VPN连接
           set ike-version 2                               #使用IKE v2版本
           set peertype any
           set net-device disable                          #关闭该功能
           set proposal des-sha1                           #配置一阶段加密算法和认证算法
           set localid "hzoffice1"
           set dpd on-idle
           set wizard-type spoke-fortigate-auto-discovery
           set auto-discovery-receiver enable               #在Spoke节点开启本功能，以便接收Hub节点发送的直连隧道信息。
           set network-overlay enable
           set network-id 1
           set remote-gw 42.XX.XX.129                       #指定Hub节点的公网IP地址 
           set psksecret fddsFF456****                      #配置预共享密钥，需和Hub节点保持一致
           set add-route disable                            #关闭自动添加路由的功能
       next
   end                            

4. 执行以下命令，添加IPsec-VPN连接二阶段配置。

   config vpn ipsec phase2-interface
       edit "hz_sp"
           set phase1name "hz_sp"
           set proposal des-sha1                         #配置二阶段加密算法和认证算法
           set auto-negotiate enable                     #开启自动协商    
       next
   end
                                   

5. 执行以下命令，配置IPsec-VPN隧道IP地址。

   
   config system interface
       edit "hz_sp"
           set vdom "root"
           set ip 169.254.10.10 255.255.255.255           #配置隧道IP地址
           set allowaccess ping
           set type tunnel                                #指定隧道接口类型
           set remote-ip 169.254.10.254 255.255.255.0     #配置隧道对端IP地址
           set interface "port1"                          #指定隧道关联的物理接口为"port1" 
       next
   end
    
   config system interface                                #新建loopback接口，用于模拟本地IDC1中的客户端。
       edit "loopback"
          set vdom "root"
          set ip 192.168.254.100 255.255.255.0            
          set allowaccess ping
          set type loopback
     next
   end

6. 执行以下命令，在本地网关设备1上配置安全策略，允许本地IDC之间、本地IDC与阿里云互相访问。

   config firewall policy
       edit 3
           set name "hz_sp_remote"                    #配置去往本地IDC1方向的安全策略     
           set srcintf "hz_sp"  "loopback" "port1"    #源接口为"port1" 、"hz_sp"、"loopback"
           set dstintf "loopback" "hz_sp" "port1"     #目的接口为"port1" 、"hz_sp"、"loopback"
           set action accept                #允许流量通行
           set srcaddr "all"                #匹配所有源网段的流量
           set dstaddr "all"                #匹配所有目的网段的流量
           set schedule "always"
           set service "ALL"
       next
   end  

7. 执行以下命令，添加BGP配置。

   config router bgp
       set as 65534                                         #指定本地网关设备1的BGP AS号
       set network-import-check disable                     #关闭发布路由的检查
       config neighbor
           edit "169.254.10.1"                              #与第三方SD-WAN设备建立iBGP邻居关系
               set remote-as 65534                          #指定第三方SD-WAN设备的BGP AS号
               set additional-path receive
           next
       end
       config network
           edit 1
               set prefix 192.168.254.100 255.255.255.255   #宣告本地IDC1中客户端的地址，用于与VPC、本地IDC2互通
           next
       end
   end                              

本地网关设备2配置示例

1. 登录本地网关设备2的命令行配置界面。

2. 添加默认路由，确保本地网关设备1可以访问第三方SD-WAN设备公网IP地址。

   #本文场景中port1接口映射公网IP地址121.XX.XX.78，因此配置默认路由指向port1网关。
   config router static
       edit 1
           set device "port1"
           set distance 5
           set gateway 192.168.99.253
       next
   end
   
   #您可以通过以下命令查看路由信息。
   FortiGate-VM64-KVM # get router info routing-table all
   S*      0.0.0.0/0 [5/0] via 192.168.99.253, port1

3. 执行以下命令，配置IPsec-VPN一阶段参数：

   
   config vpn ipsec phase1-interface                        
       edit "hz_sp1"
           set interface "port1"                           #使用"port1"接口与第三方SD-WAN设备建立IPsec-VPN连接
           set ike-version 2                               #使用IKE v2版本
           set peertype any
           set net-device disable                          #关闭该功能
           set proposal des-sha1                           #配置一阶段加密算法和认证算法
           set localid "hzoffice2"
           set dpd on-idle
           set wizard-type spoke-fortigate-auto-discovery  
           set auto-discovery-receiver enable               #在Spoke节点开启本功能，以便接收Hub节点发送的直连隧道信息。
           set network-overlay enable
           set network-id 1
           set remote-gw 42.XX.XX.129                       #指定Hub节点的公网IP地址
           set psksecret fddsFF456****                      #配置预共享密钥，需和Hub节点保持一致
           set add-route disable                            #关闭自动添加路由的功能 
       next
   end
                                   

4. 执行以下命令，配置IPsec-VPN二阶段参数。

   config vpn ipsec phase2-interface
       edit "hz_sp1"
           set phase1name "hz_sp1"
           set proposal des-sha1                         #配置二阶段加密算法和认证算法
           set auto-negotiate enable                     #开启自动协商    
       next
   end
                                   

5. 执行以下命令，配置IPsec-VPN隧道IP地址。

   config system interface
       edit "hz_sp1"
           set vdom "root"
           set ip 169.254.10.11 255.255.255.255           #配置隧道IP地址
           set allowaccess ping
           set type tunnel                                #指定隧道接口类型
           set remote-ip 169.254.10.254 255.255.255.0     #配置隧道对端IP地址
           set interface "port1"                          #指定隧道关联的物理接口为"port1" 
       next
   end
   
   config system interface                                #新建loopback接口，用于模拟本地IDC2中的客户端。
       edit "loopback"
            set vdom "root"
            set ip 192.168.100.104 255.255.255.0
            set allowaccess ping
            set type loopback
   end

6. 执行以下命令，在本地网关设备2上配置安全策略，允许本地IDC之间、本地IDC与阿里云互相访问。

   config firewall policy
       edit 3
           set name "hz_sp1_remote"                  #配置去往本地IDC2方向的安全策略     
           set srcintf "hz_sp1" "loopback" "port1"   #源接口为"port1" 、"hz_sp1"、"loopback"
           set dstintf "loopback" "hz_sp1" "port1"   #目的接口"port1" 、"hz_sp1"、"loopback"
           set action accept                         #允许流量通行
           set srcaddr "all"                         #匹配所有源网段的流量
           set dstaddr "all"                         #匹配所有目的网段的流量
           set schedule "always"
           set service "ALL"
       next
   end                              

7. 执行以下命令，添加BGP配置。

   config router bgp
       set as 65534                                          #指定本地网关设备2的BGP AS号
       set network-import-check disable                      #关闭发布路由的检查
       config neighbor
           edit "169.254.10.1"                               #与第三方SD-WAN设备建立iBGP邻居关系
               set remote-as 65534                           #指定第三方SD-WAN设备的BGP AS号
               set additional-path receive                                
           next
       end
       config network
           edit 1
               set prefix 192.168.254.104 255.255.255.255    #宣告本地IDC2中的客户端，用于与VPC、本地IDC1互通
           next
       end
   end