设置FortiGate 双网关
2012-12-21 16:53:39   来源：   评论：0 点击：

说明：
本文档针对所有FortiGate设备的双网关配置进行说明。双网关的网络环境可以实现链路备份和负载均衡，本文档以典型的双网关配置为例现实上述功能。
环境介绍：
本文使用FortiGate5001做演示。本文支持的系统版本为FortiOS v3.0及更高。
步骤一：配置接口
在系统管理----网络中配置接口IP和ping服务器
外网接口一：port5  10.0.0.56     网关，10.0.0.1

外网接口二：port8  10.0.254.2    网关，10.0.254.1

Ping服务器条件：网关可以响应ping包，在AD拨号时网关不会改变。
Ping服务器：它可以实现链路备份功能。启用后外网接口会向网关发送ping包，如果数据包在规定的条件下没有返回则防火墙认为该网关down掉。防火 墙会自动将路由表中该接口的出网路由删除，这样所有数据都会通过另一条静态路由出网。一旦该接口的网关返回ping包，则防火墙会自动恢复路由表中删除的 路由，所有数据会通过两条静态路由出网。
在系统管理----网络----选项中可以配置ping服务器的检测条件。
检测间隔：指每多少秒向网关发送一次ping包
故障恢复检测：指在多少个连续的ping包没有响应后认为该网关down掉
本例的配置是如果网关down掉，则在一分钟后防火墙会把该网关从路由表中删除。

步骤二：配置路由
在路由----静态中写两条出网路由，注意管理距离必须一致

 

在路由---当前路由中可以看到写好的静态路由

 

数据包进入防火墙的顺序：先走路由，再走策略
说明：当路由表中有多个出网路由时，FortiGate设备会按内置的算法实现负载均衡，这个算法不能被修改。这个算法是：假设路由表中有n条出网路由， 则防火墙会将内网源IP地址的最后一组数值除n取余，余1走第一条出网路由，余n-1走第n-1条出网路由，余0走第n条出网路由。
本例的出网规则是：奇数IP走port5，偶数IP走port8
如果想让某些IP走特定的接口需要策略路由来实现。
步骤三：配置策略
本例的内网接口是port6
在防火墙----策略中写两条出网策略，即port6到port5，port6到port8
勾选NAT即可

 

步骤四：测试
配置好后在PC的cmd下用tracert 命令可以查看出网路径