FortiGate IPSec VPN Remote Access: คู่มือตั้งค่าฉบับสมบูรณ์

อุปกรณ์ที่ใช้ในตัวอย่าง:

• FortiGate 31G
• Firmware 7.4.9 (เวอร์ชันล่าสุด)
• SSL VPN ถูกเอาออกแล้ว เหลือแค่ IPSec

ข้อมูลที่ต้องเตรียม:

1. WAN Interface - ต้องมี Public IP
2. LAN Network - เช่น 192.168.10.0/24
3. VPN IP Pool - เช่น 10.255.255.10-20

หมายเหตุ: IPSec VPN ไม่มี License แยก ใช้ได้ตาม Capacity ของรุ่น

สร้าง User:

1. ไปที่ User & Authentication > User Definition
2. กด Create New
3. เลือก Local User (หรือดึงจาก RADIUS/LDAP ก็ได้)
4. ใส่ Username และ Password (อย่างน้อย 8 ตัวอักษร)
5. FortiToken: เปิดใช้ 2FA ถ้าต้องการ (มีแถมมา 2 Token)
6. กด Submit

สร้าง User Group:

1. ไปที่ User & Authentication > User Groups
2. กด Create New
3. ตั้งชื่อ: IPSec-VPN-Group
4. เพิ่ม User เข้า Group
5. กด OK

Tips: แยก Group ตามแผนก (IT, Marketing) เพื่อทำ Policy แยกกัน

ใช้ IPSec Wizard:

1. ไปที่ VPN > IPSec Wizard
2. เลือก Remote Access
3. เลือก Client Based > FortiClient
4. ตั้งชื่อ: IPSec-VPN-Remote
5. กด Next

ตั้งค่า Incoming:

1. Incoming Interface: เลือก WAN Port
2. Authentication: Pre-shared Key
3. Pre-shared Key: ตั้งรหัสยากๆ (สำคัญมาก!)
4. User Group: เลือก IPSec-VPN-Group
5. กด Next

ตั้งค่า Network:

1. Local Interface: เลือก LAN
2. Local Address: 192.168.10.0/24
3. Client Address Range: 10.255.255.10-20
4. DNS Server: Use System DNS
5. ติ๊ก Enable IPv4 Split Tunnel
6. กด Create

เปิด Advanced Settings:

1. ไปที่ VPN > IPSec Tunnels
2. คลิก Tunnel ที่สร้างไว้ > Edit
3. คลิก Convert to Custom Tunnel

Phase 1 (IKE):

• Encryption: AES128, AES256
• Authentication: SHA256 (ลบ SHA1 ทิ้ง - ไม่ปลอดภัย)
• DH Group: 14, 5
• Key Lifetime: 86400 seconds

Phase 2 (IPSec):

• Encryption: AES128, AES256
• Authentication: SHA256
• DH Group: 14, 5 (ให้ตรงกับ Phase 1)

สำคัญ: User Group เปลี่ยนเป็น Inherit Policy เพื่อกำหนดใน Firewall Policy แทน

แก้ไข Policy ที่ Wizard สร้าง:

1. ไปที่ Policy & Objects > Firewall Policy
2. หา Policy ชื่อ IPSec-VPN แล้ว Edit

ตั้งค่า Source:

• Source User: เลือก IPSec-VPN-Group
• นี่คือการผูก User Group กับ Policy

เปิด Security:

• ติ๊ก IPS - ป้องกันการโจมตีผ่าน VPN
• Log: All Sessions

กรณีมีหลาย Group:

• สร้าง Policy แยกสำหรับแต่ละ Group
• กำหนด Destination Network ต่างกัน
• IT เข้าได้ทุก Server, Marketing เข้าได้แค่บางส่วน

IKE Version 1:

• ใช้ XAuth สำหรับ Authentication
• รองรับ Local User และ LDAP Server
• มีช่องโหว่ค่อนข้างเยอะ
• ไม่แนะนำ ใน Firmware ใหม่

IKE Version 2 (แนะนำ):

• ใช้ EAP สำหรับ Authentication
• รองรับ Local User และ RADIUS Server
• ไม่รองรับ LDAP โดยตรง
• ปลอดภัยกว่า IKEv1 มาก

การเปลี่ยนเป็น IKEv2:

1. Edit Tunnel > Authentication
2. เปลี่ยน IKE Version เป็น 2
3. ต้อง Enable EAP ผ่าน CLI

คำสั่ง CLI:

`

config vpn ipsec phase1-interface

edit "IPSec-VPN-Remote"

set eap enable

set eap-identity send-request

next

end

`

ความหมาย:

• set eap enable - เปิดใช้ EAP Authentication
• set eap-identity send-request - ให้ Client ส่ง Identity มา

หมายเหตุ:

• IKEv2 จำเป็นต้องใช้ EAP
• ถ้าไม่เปิด EAP จะ Authenticate ไม่ผ่าน

สร้าง VPN Connection:

1. เปิด FortiClient > Remote Access
2. กด Configure VPN
3. เลือก IPSec VPN
4. ใส่ข้อมูล:

• Connection Name: Office-VPN
• Remote Gateway: Public IP ของ FortiGate
• Authentication: Pre-shared Key
• Pre-shared Key: ตรงกับ FortiGate

สำหรับ IKEv1:

• IKE Version: 1
• Phase 1/2: ตรงกับ FortiGate

สำหรับ IKEv2:

• IKE Version: 2
• Phase 1/2: ตรงกับ FortiGate

ทดสอบ:

1. ใส่ Username/Password
2. กด Connect
3. สถานะต้องขึ้น Connected

ที่ FortiGate:

1. VPN > IPSec Tunnels - ดู Status ว่า Up
2. Dashboard > FortiView > VPN - ดู User ที่ Connect
3. Monitor > Firewall User Monitor - ดู User และ IP ที่ได้รับ

ตรวจสอบ Traffic:

1. ไปที่ Policy & Objects > Firewall Policy
2. คลิกขวาที่ Policy VPN
3. เลือก Show Matching Logs
4. ดูว่ามี Traffic วิ่งผ่าน Policy

Log จะแสดง:

• Source IP (VPN IP ที่ได้รับ)
• Username ที่ VPN เข้ามา
• Destination ที่เข้าถึง