FW con varias WAN

[cesar1978]

Buenos dias,
estoy trabajando con un fortigate 200D y no se como configurar las WAN.
Os describo un poco como lo tengo configurado:
Tengo varias LAN, DMZ y WANs.
El problema es cuando configuras las Interfaces WAN, no puedes ponerle cual es el Default Gateway de cada Interface. Asi que lo unico que he hecho es definir las Interfaces con una IP.
En las rutas he puesto una Ruta por Defecto 0.0.0.0 0.0.0.0 para que todo el trafico de navegacion salga por una interface y ahi si que puedes poner el Default Gateway.
Tengo un grupo de usuarios que necesitan salir por otra interface WAN por lo que he creado "Policy Routes" de tal manera que una Red de origen pueda salir por otra WAN y ahi tambien me deja poner cual es el DG.

Ahora el problema es el siguiente. Quiero montar una VPN por otra interface WAN. Al no tener Default Gateway, desde otro equipo con una IP dentro del mismo rango publico si que puedo hacer un ping al Fortigate por que estan en la misma red: Pero si le hago un ping a la IP publica del FW Fortigate no responde por que no tiene DG y no se como definirlo. En definitiva no tiene una ruta de vuelta.

[cesar1978]

Alguien me puede ayudar, please

[And.quijada]

Saludos amigo.

Todos los enlaces deben tener una ruta estática si tienen ip fija si es por dhcp no hace falta. Si quieres tenerlos todos vivos, es decir que puedan responder desde afuera debes colocarlo una ruta por cada uno con la misma distancia de esta forma todas las rutas estarán en la tabla de enrutamiento. Si no lo quieres usar para balanceo coloca una prioridad mas alta. Por defecto cuando haces rutas tienen distancia 10 prioridad 0

Si colocas por ejemplo.
Enlace 1
0.0.0.0/0
Wan1
Dg x.x.x.x
Distancia 10
Prioridad 0

Enlace 2
0.0.0.0/0
Wan1
Dg x.x.x.x
Distancia 10
Prioridad 1

Ambos van a estar vivos y los veras en la tabla de enrutamiento y los puedes usar para las vpn, pero hacia Internet solo saldrá por el enlace 1 y si este se cae se va por el 2. Claro debes tener las políticas que permitan eso.

Saludos












Enlace 2

[DavidMar]

Se que el mensaje es antiguo pero a lo mejor en este tipo de casos lo que te pasa es como a mi. En la doc de Forti aparecen siempre casos sencillos con una red local y dos accesos wan. En estos casos jugando con pesos y distancias, y una o dos politicas de enrutamiento vale.
Pero mi caso era como lo que comentas, tengo 6 segmentos de red definidos y dos interfaces wan, ademas rutas estaticas a otras redes.
Mi objetivo era que algunos segmentos saliesen por el wan1 y otros por el wan2. Sin balanceos ni alta disponibilidad.
Al añadir el segundo enlace wan y ponerle el mismo peso y distancia empezaba a balancear con lo que la mitad de las veces no se establecia conexion.

Al añadir la politica de enrutamiento como dice la doc. te sustituye cualquier ruta estatica previa y me redirigia TODO el trafico por el gw definido en dicha politica.
Al final encontre un foro donde explicaba el proceso de enrutado en forti y aclaraba que las politicas de enrutado se hacen en la fase de PRE-routing.
En resumen, tuve que añadir el equivalente a las rutas estaticas a las politicas de enrutado por cada segmento local, y la ultima politica de cada segmento era la de dg que apuntaba al puerto wan que queria.
Por ejemplo:
politicas:
de puerto8 a dir-segmento1 puerto 9
de puerto8 a dir segmento2 puerto10
de puerto8 a 0.0.0.0/0 wan1

de puerto9 a dir-segmento3 puerto8
de puerto9 a dir segmento2 puerto10
de puerto9 a 0.0.0.0/0 wan2

de puerto10 a dir segmento1 puerto9
de puerto10 a dir segmento3 puerto8
de puerto10 a 0.0.0.0/0 wan1

[gabyrossi]

Holas, asi es.. asi debe ser para no perder comunicacion con las demas redes internar si es que las necesitas.
saludos.