【FortiOS 8.0】❀ 08. SSID隧道模式 ❀ FortiGate 防火墙

【简介】在企业环境中使用WiFi经常需要分多个网段使不同网段的设备相互隔离以保证无线环境下的安全。这就要用到SSID隧道模式。SSID隧道模式配置前面我们配置过PPPoE虚拟接口其实SSID隧道模式也是一样生成SSID虚拟接口。① 选择菜单【无线交换机控制】-【SSID】点击【新建】。② 第一步输入SSID名称流量模式默认为【隧道】寻址模式默认为【静态】不用修改。第二步输入IP/网络掩码不要和防火墙中任何IP地址相冲突包括连接AP的接口IP。③ 如果想用无线连接的电脑访问防火墙那么第三步勾选管理访问IPv4下的【HTTPS】【HTTP】会自动勾选。第四步勾选【PING】方便测试连通。和internal接口一样也支持IPv6IPv6的配置以后再讲。第五步启用DHCP服务这样无线连接后再能获得IP地址。第六部点击DNS服务器下的【指定】第七步、第八步输入常用的DNS地址。在只有一条宽带的情况下第七部输入宽带的指定DNS如果有多条宽带并且是不同的运营商第七步则输入通用的DNS地址。例如114.114.114.114、8.8.8.8。④ 第九步输入SSID名称也就是无线搜索里显示的名称第十步输入密码最后点击【确认】完成。和桥接模式相比隧道模式多了一个配置IP地址启用DHCP服务步骤。默认隔离主机选项是未启用的后面我们会讲到。⑤ 隧道模式SSID创建完成。可以重复上述步骤创建多个隧道模式SSID例如为领导、财务、普通员工以及访客各建一个隧道SSID。每个隧道SSID分配不同的IP地址网段。修改配置文件和桥接模式一样我们需要修改配置文件才能使不同模式的SSID可以同时使用。① 选择菜单【无线交换机控制器】-【FortiAP管理】可以看到目前已经连接两台FortiAP 231F并且状态都为【在线】。② 选择菜单【无线交换机控制器】-【FortiAP配置文件】可以看到有一个FortiAP 231F的默认配置文件这个文件在连接AP后自动产生两台FortiAP 231F都是使用这一个配置文件即使连接了十台、二十台FortiAP 231F也只需要这一个配置文件。但如果连接了其它型号的FortiAP则会自动产生对应型号的配置文件。选择配置文件点击【编辑】。③ 由于前面配置桥接模式的时候已经讲述过配置文件这里就不再累述在2.4GSSID选择【手工】。④ 把创建的隧道SSID和桥接SSID都加入。⑤ 同样在5G那里SSID也是选择手工把隧道SSID和桥接SSID都加入。点击【确认】。⑥ 修改后的配置文件可以看到2.4G和5G分别加入了哪些SSID。⑦ 用电脑查看WiFi可以看到已经出现了隧道SSID了。配置策略我们知道桥接模式SSID是通过连接AP的内网接口去访问宽带接口而实现上网的隧道模式SSID则不同。因为它是一个独立的虚拟接口。① 选择菜单【策略对象】-【防火墙策略】点击【新建】。② 第一输入输入策略名称第二步点击流入接口下拉按钮弹出菜单中选择【OldMei-SD】隧道模式SSID和PPPoE虚拟接口一样都是一个独立的接口。③ 上网策略的配置相信大家都非常熟悉了就不再累述了。④ 同样如果需要访问internal接口的话还需要创建一条OldMei-SD到Internal接口的策略内网接口互相访问不需要启用NAT为了减轻防火墙的负担默认内网都是安全的可以不启用反病毒和入侵防御。⑤ 电脑连接无线SSID OldMei-SD可以自动获得SSID指定的IP地址。⑥ Ping百度域名能解析出IP地址并Ping通说明可以正常上网。Ping Internal接口IP可以通说明无线可以访问有线内网。⑦ 除了可用Internal接口IP访问防火墙外由于隧道模式SSID启用了【HTTPS】因此也可以通过OldMei-SD虚拟接口直接访问防火墙。⑧ 选择菜单【仪表板】-【WiFi】点击【FortiAP无线客户端】可以看到隧道SSID和桥接SSID可以同时使用互不干扰。SSID隧道模式的优缺点【优点】一、可以创建多个SSID每个SSID都有独立的网段有效的分割不同的访问需求。二、每个SSID都是独立的虚拟接口引用接口时更加直观和灵活。【缺点】当有多个SSID时配置略微复杂。