【简介】现在很多单位都有分公司或者分部，距离离的还比较远，但又经常需要两点之间进行安全的通迅，防火墙与防火墙之间建立IPsec可以很好满足要求，这里介绍两端都是固定IP的情况防火墙的配置。
IPsec的作用
作为一项成熟的技术，广泛应用于组织总部和分支机构之间的组网互联，其利用组织已有的互联网出口，虚拟出一条“专线”，将组织的分支机构和总部连接起来。
IPsec通常是由防火墙与防火墙之间建立连接，但也可以通过远程的客户端与防火墙建立IPsec连接。
环境介绍
本次IPsec选用的设备为比较大众化的FortGate 60D与FortGate 90D。
① IPsec设置之前需要知道双方的公网地址以及内网地址范围。
② 两边内网地址网段不能相同，以免互相访问时发生冲突 。
配置 IPsec
为了能够更好的理解两端IPsec设置的区别，我们将两边的设置放在一起介绍。
① 选择菜单 【虚拟专网】-【IPsec】-【 隧道】，点击 Create New 新建一条隧道。
② FortiGate 90D 与 FortiGate 60D 通过向导建立IPsec隧道对比。
(1)用户名建议使用地名加设备简称，会比较方便判断是哪里到哪里 ；
(2)因为两边都是FortiGate设备，所以在向导里选项Site to Site；
(3)远程网关就是需要连接的对方的外网地址，这里输入对方的外网地址，会自动检测出流出接口；
(4)预共享密钥为自定义，要求连接的双方设备都设置为相同的预共享密钥；
(5)选择输入本地接口，本地子网会自动填写，远程子网就是需连接的对方内网范围，这里填写对方的内网范围。
③ 有的时候会报告错误信息，退出重来又会正常 (可以理解为 Bug）。
启动与测试
IPsec建成后需要启动连接。
① 选择菜单【虚拟专网】-【监视器】-【IPsec 监视器】，初始状态为断开（红色下箭头图标），鼠标在上点击右键，弹出子菜单，点击启用。
② 当 IPsec 监视器中的状态显示为绿色向上箭头时，表明已经连接成功。
③ Ping对方内网网关，也可以验证是否连通。
④ IPsec建好后，就可以安全的访问对方内网了，和本地局域网一样，本例中192.168.1.111就是90D内网中的电脑共享。
【提示】如果对方内网不能Ping通，有可能是因为对方电脑系统内的防火墙启动了，关闭系统防火墙就OK了。
删除 IPsec
当我们因为各种原因需要删除IPsec的时候，先要知道通过模板建立IPsec时，都创建了哪些内容。
① 自动建立了两个地址对象。
② 自动建立了一进一出的两条策略。
③ 自动创建了一条静态路由。
④ 从菜单上可以看到，隧道并不可以直接删除，如果需要删除隧道，需要先删除自动建立的一条静态路由和两条进出策略，然后才可以删除隧道。 当然最好也删除两条地址对象及地址对象组。飞塔技术-老梅子 QQ：57389522
