其實，我對Fortinet 的防火牆設備有非常大的好感，尤其光手邊在惡搞的FG60B 也提供SSL VPN 功能，實在讓人覺得揪甘心啊～ 
/" class="wp-smiley">
就算你的老闆出差到中國包二奶，也能透過SSL VPN 連回公司存取內部資料，甚至避開偉哉網路長城的封鎖，藉由台灣的線路正常瀏覽無名正妹相簿政經新聞及相關網站。或許，有人會說為什麼不用PPTP VPN，我個人認為PPTP 其實沒有想像中方便，尤其對於一般使用來說，光找出連線設定恐怕就有一定的複雜度，更何況無法預期身處的網路環境是否允許PPTP 封包通過。
至於，啟用的設定方式也很簡單，記得三大原則：
● VPN 使用者及群組的設定
● 防火牆Policy 的設定
● 路由設定
當然，這次還是拿FG60B（FortiOS 3.0 MR7）當範例：
1) 到VPN -> SSL，啟用SSL VPN。參考上方的網路架構圖，設定Tunnel IP 範圍為「192.168.254.1 至 192.168.254.50」。
由於我假設的內部網路為網域環境，所以在進階設定的DNS及WINS Server，都指定AD主機的IP。實務上，如果公司同樣有網域環境，強烈建議設定成跟內部網路環境一樣，在網芳連線上也比較不會有問題。
2) 到User -> Local 新增使用者。
本範例為建立一個使用者「sslvpn」於本機上。記得..密碼要設定啊！
3) 到User Groups -> 新增群組。
範例所建立的群組名稱為「SSLVPN_GP」，設定SSL VPN 的Tunnel IP 範圍與先前設定一樣，為「192.168.254.1 至 192.168.254.50」。注意！類型需選擇「SSL_VPN」，並且將已經建立好的帳號「sslvpn」選取至Members 裡。
至於其他選項的功能，有興趣的人可以翻原廠文件：SSL VPN User Guide 3.0 MR7。
4) 到Firewall -> Policy ，新增相關Policy。依據最上方的網路架構及設想可能的用途，VPN 進來的用戶端及內部網路必須能互相溝通，而且VPN用戶端可透過該設備上網。所以必須增加下列Policy：
● Wan1 -> Internal。注意！「Action」的類型請務必選擇「SSL-VPN」，並且允許「SSLVPN_GP」群組可使用SSL VPN。
其實，這條Policy 就是攸關使用者能否透過https存取及登入的設定，沒有建立這條就啥都別談了。
● Internal -> ssl.root。「ssl.root」指的就是SSL VPN 的網路環境位置，故要讓內部網路能存取到VPN 用戶端的資源，則必須建立相關Policy。
● ssl.root -> Internal。這...不用特別解釋了吧...
● ssl.root -> Wan 1。這點要注意的是，因為SSL VPN 用戶端在撥入後，需要透過Fortigate上網，所以務必勾選「NAT」，不然你就在內部網路玩小圈圈就好了。
完成後，除了原本就有的「Internal -> wan 1」，一共增加了四條Policy。
5) 到Router -> Static，新增一筆Static Route。由於SSL VPN 的Tunnel IP Range 範例設定為192.168.254.[1-50]，所以我就直接設定「192.168.254.0/255.255.255.0」。注意！Device 類別請記得選「ssl.root」。
你高興的話也可以不要新增啦，只是連上去會發現不能互通而已。
以上就算是完成所有設定。
接著進行測試，請先確認Fortigate 的外部IP及SSL VPN 的Login Port。
然後輸入「https://外部ip:10443」，就能看到登入畫面了。請記得加上「https」跟「埠號」，否則到死都連不上。
如果是初次登入，在登入後應該會跳出安裝ActivX 的要求。想連SSL VPN 的話，乖乖裝就對啦！
連接成功就會出現像下面這兩張圖一樣的訊息。
很讚吧！用HTTPS 網頁登入的方式就能完成SSL VPN 連線，就代表你的電腦只要能上網，就能輕鬆連回公司內部。
對～～關掉那個頁面，VPN 也就跟著斷了... 
所以，我個人強力推薦到Fortinet 技術支援網站下載SSL VPN 撥接軟體。（限定已註冊用戶）
撥接方式更為簡單，只要預設的SSL VPN Login Port 沒有更動（預設為10443）， 輸入IP 後連埠號都無須輸入，再鍵入帳號密碼選「Connect」，就能連上SSL VPN 囉！
就算不小心點到「X」，也只會縮到右小角的工具列中。
上面教的步驟真的是快速設定，所以Policy 的Source 及Destination Address 都是設定「all」，而且連防護的Protection Profile 都沒加上。
如果對Fortigate 有一定熟悉度的人，我還是建議認真把相關防護設定好，不然哪天被玩很大就麻煩了。
下一篇再來討論「如何切割VPN通道」，也就是VPN 用戶端除了進公司內部網路的流量走VPN 通道，其餘都還是走原本的對外線路。應該沒人希望哪天老闆到荷蘭出訪看紅燈區的櫥窗女郎，上Internet 查資料時還要透過半個地球外的Fortigate 吧！？
相關參考文件：
Fortinet Knowledge Center - SSL VPN User Guide（簡體版）
