آموزش ساخت VDOM در FortiGate

آموزش ساخت VDOM در FortiGate همراه با مثال

دامنه های مجازی (Virtual Domains - VDOM) برای تقسیم دستگاه FortiGate به چندین واحد مجازی مستقل استفاده می شوند. این واحدها هر یک می توانند به صورت جداگانه سیاست های امنیتی و تنظیمات خاص خود را در دو حالت NAT و Transparent (به طور پیش فرض رویNAT قرار می گیرد.) داشته باشند. به این ترتیب، برای هر شبکه متصل، می توان تنظیمات جداگانه ای برای مسیریابی و خدمات VPN ایجاد کرد.

چندین VDOM می توانند در حالت Multiple VDOM به عنوان واحدهای مستقل ایجاد و مدیریت شوند.
به طور پیش فرض، بیشتر دستگاه های FortiGate از ده عدد VDOM پشتیبانی می کنند و در بسیاری از مدل ها با خرید لایسنس می توان تعداد VDOMها را افزایش داد. البته ممکن است برخی استثنائات وجود داشته باشد.

مروری بر این مقاله

• Multi-VDOM mode
• Global Settings
• Management VDOM
• Inter-VDOM Routing
• توپولوژی ها
• بهترین شیوه ها

نمونه پیکربندی

• Configure an Administrative VDOM Type
• Inter-VDOM Routing Configuration Example: Internet Access
• Enable Multi-VDOM Mode and Create the VDOMs
• Assign Interfaces to VDOMs
• Configure the VDOM links
• Inter-VDOM Routing
• Configure the Firewall Policies
• Test the Configuration

Multi-VDOM Mode

در حالت چندVDOM، FortiGate می تواند چندین VDOM داشته باشد که به صورت مستقل عمل می کنند. وقتی حالت Multi-VDOM برای اولین بار فعال می شود، همه تنظیمات VDOM به صورت پیش فرض به rootمنتقل می شوند.Root VDOMقابل حذف نیست و در تنظیمات باقی می ماند، حتی اگر هیچ ترافیکی را پردازش نکند.

Global Settings

تنظیمات گلوبال خارج از یک VDOM پیکربندی می شوند. این تنظیمات کل دستگاه FortiGate را تحت تأثیر قرار می دهند و شامل تنظیماتی مانند Interfaces، Firmware، DNS، برخی گزینه های ثبت لاگ و sandboxingهستند. این تنظیمات باید تنها توسط مدیران سطح بالا تغییر داده شوند.

Management VDOM

VDOM مدیریت به نقشی خاص اشاره دارد که باید به یکی از VDOMها اختصاص داده شود. به طور پیش فرض، Root VDOM به عنوان VDOM مدیریت تنظیم می شود و سرویس های مدیریتی نظیر به روزرسانی های FortiGuard و ترافیک های داخلی مانند لاگ ها به سرورهای راه دور، از VDOM مدیریت ارسال می شوند. این VDOM قابل حذف نیست.

به طور پیش فرض، VDOMمدیریتRoot VDOM است. با این حال، می توانید VDOM مدیریت را از طریق GUI و یا CLI تغییر دهید.

تغییر VDOM مدیریت در GUI

1. به Global VDOM > System > VDOM بروید.
2. VDOM مورد نظر خود را برای مدیریت انتخاب کرده و روی Switch Management کلیک کنید.
3. سپس OK را فشار دهید.

تغییر VDOM مدیریت در CLI

config global
config system global
set management-vdom
end

در هر زمان فقط یک VDOM مدیریت می تواند وجود داشته باشد.

Inter-VDOM Routing

VDOM Links، Interfaceهای مجازی هستند که به VDOMها امکان می دهند بدون استفاده از Interfaceفیزیکی با یکدیگر ارتباط برقرار کنند. یکVDOM Link شامل یک جفت Interface است که هر کدام به یک VDOM متصل است تا اتصال بین VDOMها را تشکیل دهند. مسیریابی(Routing) بین VDOMها می تواند برای ارتباط بین یک VDOM و دیگری پیکربندی شود.
هنگامی که VDOMها روی دستگاه FortiGate شما پیکربندی می شوند، تنظیم مسیریابی بین VDOMها و VDOM Linkشبیه به ایجاد یک VLAN Interface است. VDOM Linkرا می توان درCLI یا در لیست Network Interface در GUI مدیریت کرد.

توپولوژی ها

این ها انواع اصلی پیکربندی در حالت چند VDOM هستند

VDOMهای مستقل

در این حالت، چندین VDOM کاملاً جداگانه ایجاد می شوند. هر VDOM می تواند VDOM مدیریت باشد، به شرطی که به اینترنت دسترسی داشته باشد تا به سرویس های FortiGuard و دیگر منابع مدیریتی متصل شود. هیچ لینکی بین VDOMها وجود ندارد و هر VDOM به طور مستقل مدیریت می شود.

VDOMهای دسترسی به اینترنت

دسترسی به اینترنت عمدتاً توسط یک VDOM فراهم می شود؛ برای مثال، VDOMمدیریت که به عنوانRoot VDOM در نمودار نشان داده شده است. هر مشتری از طریق یک لینک بین VDOMها به VDOM مدیریت متصل می شود VDOM مدیریت کنترل کامل بر دسترسی به اینترنت دارد) این روش می تواند امنیت را بهبود بخشد زیرا تنها یک نقطه ورودی و خروجی وجود دارد.این نوعVDOMبرای افرادی که قصد خرید لایسنس آنلاین و ایجاد تونل به سرورهایFortiGuardرا دارند، توصیه می شود.

Meshed VDOM

VDOMها می توانند با استفاده از لینک های بین VDOMها با یکدیگر ارتباط برقرار کنند. در پیکربندی هایfull-mesh ، همه VDOMها به یکدیگر متصل هستند. در پیکربندی هایpartial-mesh ، فقط برخی از VDOMها به هم متصل هستند. در این پیکربندی، لینک های بین VDOMها توسط مدیر globalایجاد می شوند.

بهترین شیوه ها

VDOMها می توانند Firewall Policiesجداگانه ای ارائه دهند و در حالتNAT، پیکربندی های کاملاً جداگانه ای برای مسیریابی و خدمات VPNبرای هر شبکه یا سازمان متصل فراهم کنند. در این بخش لیستی از بهترین شیوه ها برای پیکربندیVDOMها آمده است

• تنظیم منابع برای هر VDOM

به طور پیش فرض، همه تنظیمات Resource مربوط به هر VDOM بدون محدودیت است.

• دامنه های مجازی در حالتNAT

پس از فعال کردن دامنه های مجازی و ایجاد یک یا چند VDOM، باید آن ها را پیکربندی کنید. مراحل زیر یک نمای کلی از فرآیند پیکربندی را ارائه می دهد
1. تغییر دامنه مجازی Management
2. پیکربندی FortiGate Interfaces برای VDOM های شما در حالت NAT
3. پیکربندی مسیریابی VDOM
4. پیکربندی Policyهای امنیتی برای VDOMها در حالت NAT
5. پیکربندی پروفایل های UTM برای VDOMها در حالت NAT
6. آزمایش پیکربندی

توصیه می شود این مراحل را به ترتیب داده شده انجام دهید.

نمونه پیکربندی

پیکربندی های VDOM می توانند هم از طریق GUI و هم از طریق CLI انجام شوند. برای جلوگیری از ساخت تصادفی VDOM جدید در محیط CLI، می توان Promptsرا فعال کرد. اینPromptsهنگام تغییر تنظیمات، از شما تأیید می خواهند که آیا قصد دارید پیکربندی را درCLI انجام دهید یا خیر.

config system global set edit-vdom-prompt enable end

Configure an Administrative VDOM Type

در حالت چند VDOM، می توان هر VDOM را به عنوان نوع مدیریتی (Administrative) پیکربندی کرد.

نکتهدر هر لحظه فقط یک VDOM مدیریتی می تواند وجود داشته باشد و این نوع VDOM نمی تواند بر روی FortiWifi تنظیم شود. همچنین، VDOM مدیریتی نمی تواند به طور همزمان در حالت Transparent قرار گیرد.

پیکربندی نوع VDOM در GUI

1. به System > VDOM بروید.
2. گزینه Create New را انتخاب کرده و نامی برای VDOM وارد کنید.
3. نوع VDOM را به Admin تغییر دهید.
4. سپس OK را فشار دهید.

پیکربندی نوع VDOM در CLI

config system settings set vdom-type {traffic | admin}
end

Inter-VDOM Routing Configuration Example: Internet Access

دو دپارتمان شرکت، حسابداری (Accounting) و فروش (Sales)، به یک FortiGate متصل هستند. این شرکت از یک ارائه دهنده خدمات اینترنتی (ISP) واحد برای اتصال به اینترنت استفاده می کند. این یک مثال از پیکربندی دسترسی به اینترنت است.

Enable Multi-VDOM Mode and Create the VDOMs

VDOMهای Accounting و Sales را می سازیم.

فعال سازیVDOMهادرGUI

1. به System > Settings بروید.
2. در بخشSystem Operation Settings گزینهVirtual Domains را فعال کنید. (پس از فعال سازی حالت Multi-VDOM شما از دستگاه خارج می شوید و باید دوباره وارد شوید.)
3. سپس روی OK کلیک کنید.

در مدل های سری FortiGate 90 و پایین تر، VDOMها فقط از طریق CLI قابل فعال سازی هستند.

فعال سازیVDOMدرCLI

config system global
set vdom-mode multi-vdom
end

پس از فعال سازی حالت Multi-VDOM شما از دستگاه خارج می شوید و باید دوباره وارد شوید.

ایجادVDOMهایAccountingوSalesدرGUI

1. در Global VDOM به مسیر System > VDOM بروید.
2. روی Create New کلیک کنید.
3. در فیلد Virtual Domain، نام Sales را وارد کنید.
4. در صورت نیاز، حالت NGFW (Next-Generation Firewall) را تنظیم کنید. اگر حالت NGFW به صورت Profile-based تنظیم شده باشد، امکان فعال سازی Central SNAT وجود دارد.
5. روی OK کلیک کنید تا VDOM ایجاد شود.
6. مراحل بالا را برای Accounting نیز تکرار کنید.

ایجادVDOMهایAccountingوSalesدرCLI

config vdom edit Accounting next edit Sales next end

Assign Interfaces to VDOMs

هر Interface می تواند به یکی از VDOM ها اختصاص داده شود.

در GUI، ستون "Ref." نشان می دهد که آیا این رابط در یک پیکربندی موجود استفاده شده است یا خیر و به شما امکان می دهد به سرعت به آن ارجاعات دسترسی پیدا کرده و آن ها را ویرایش کنید.

این مثال از سه Interfaceاستفاده می کند

1. Port1 ---- WAN
2. Port2 ---- AccountingLocal
3. Port3 ---- SalesLocal

Port2 و Port3 به شبکه هر دپارتمان متصل هستند. Port1برای ترافیک به اینترنت و از اینترنت استفاده می شود و ازDHCPبرای تنظیم آدرسIPاستفاده می کند که در بسیاری از ارائه دهندگان خدمات اینترنتی(ISP) رایج است.

برای اختصاص دادنInterfaceها بهVDOMها درGUIمراحل زیر را انجام دهید

1. در Global VDOM به مسیر Network > Interfaces بروید.
2. Port2 را انتخاب کرده و روی Edit کلیک کنید.
3. از لیست Virtual domain، گزینه Accounting را انتخاب کنید.
4. روی OK کلیک کنید.
5. مراحل قبلی را تکرار کنید تا port3 به Sales VDOM اختصاص داده شود.
6. مراحل قبلی را تکرار کنید تا port1 به Root VDOM اختصاص داده شود.

تخصیص Interface به VDOM در CLI

config global
config system interface
edit port2
set vdom Accounting
next
edit port3
set vdom Sales
next
edit port1
set vdom root
next
end
end

Configure the VDOM links

برای تکمیل ارتباط بین هر VDOM و Management VDOM، باید دو لینک VDOM اضافه کنید. یک جفت لینک بین AccountingوManagementاست و جفت دیگر بینSalesوManagementبه هر سمت این لینک ها آدرس هایIP اختصاص داده می شود، زیرا در مرحله بعدی برای پیکربندی مسیر یابی بین VDOMها (Inter-VDOM routing) مفید خواهند بود.

برای پیکربندی لینکVDOMبینAccountingوManagementدرGUI

1. در Global VDOM به مسیر Network > Interfaces بروید.
2. روی Create New کلیک کرده و گزینه VDOM Link را انتخاب کنید.
3. اطلاعات زیر را وارد کنید
4. روی OK کلیک کنید.

برای پیکربندی لینکVDOMبینSalesوManagementدرGUI

1. در Global VDOM به مسیر Network > Interfaces بروید.
2. روی Create New کلیک کرده و گزینه VDOM Link را انتخاب کنید.
3. اطلاعات زیر را وارد کنید
4. روی OK کلیک کنید.

برای پیکربندی لینکVDOMبینSalesوManagementدرGUI

1. در Global VDOM به مسیر Network > Interfaces بروید.
2. روی Create New کلیک کرده و گزینه VDOM Link را انتخاب کنید.
3. اطلاعات زیر را وارد کنید
4. روی OK کلیک کنید.

Inter-VDOM Routing

VDOM Link به VDOMها اجازه می دهد تا به صورت داخلی با یکدیگر ارتباط برقرار کنند. می توانید مسیر یابی بین VDOM ها را به روش های مختلف از طریق CLI یا GUI پیکربندی کنید.

نام یک لینک VDOM نمی تواند با نام یک VDOM یکسان باشد.

لینک VDOM از قابلیت بارگذاری ترافیک (Traffic Offload) پشتیبانی نمی کند. اگر می خواهید از این قابلیت استفاده کنید، از NPU-VDOMLINK بهره ببرید.

پیکربندیVDOM LinkدرGUI

1. به Global VDOM > Network > Interfaces بروید.
2. روی Create New > VDOM Link کلیک کنید و اطلاعات لازم را وارد کنید.
3. سپس روی OK کلیک کنید.

به طور پیش فرض، لینک های VDOM به صورت لینک های نقطه به نقطه (PPP) ایجاد می شوند. در صورت نیاز، نوع لینک را می توان از طریق CLI تغییر داد. به عنوان مثال، هنگام اجرای پروتکل OSPF در IPv6، برای ارتباط با همسایه های OSPF نیاز به یک آدرس محلی (Link-Local) است. برای این که یک لینک VDOM آدرس محلی دریافت کند، نوع آن باید به "Ethernet" تنظیم شود.

می توانید یک default static routeرا برای هرVDOMپیکربندی کنید تا دسترسی به اینترنت فراهم شود. به عبارت دیگر، این مسیر استاتیک مسیریابی بین هرVDOMدپارتمان وVDOMاصلی(root VDOM)را فراهم می کند.

تنظیمات این مسیر استاتیک به شرح زیر است

Default Gatewayآدرس IP سمت مدیریتی لینک VDOM

Accounting VDOM: 11.11.11.1
Sales VDOM: 12.12.12.1

Interfaceاینترفیسی که در سمت VDOM دپارتمان از لینک VDOM قرار دارد

Accounting VDOM: AccountVlnk0
Sales VDOM: SalesVlnk0

IP address: 0.0.0.0/0.0.0.0 (پیش فرض)

برای پیکربندی مسیر استاتیک پیش فرض به اینترنت درAccounting VDOM

1. در Accounting VDOM، به مسیر Network > Static Routes بروید.
2. روی Create New کلیک کنید و نسخه مورد نظر را انتخاب کنید.
3. اطلاعات زیر را وارد کنید
4. روی OK کلیک کنید.

برای پیکربندی مسیر استاتیک پیش فرض به اینترنت درSales VDOM

1. در Sales VDOM، به مسیر Network > Static Routes بروید.
2. روی Create New کلیک کنید و نسخه مورد نظر را انتخاب کنید.
3. اطلاعات زیر را وارد کنید
4. روی OK کلیک کنید.

Configure the Firewall Policies

پس از پیکربندیVDOMها، Interfaceهای فیزیکی، VDOM Links و Static Routes، حالا باید فایروال به گونه ای پیکربندی شود که ترافیک مجاز را رد کند. قوانین فایروال به صورت هر VDOM به طور جداگانه پیکربندی می شود و Firewall ObjectsوRoutes باید برای هر VDOMبه طور مستقل ایجاد شوند.

برای پیکربندی Firewall Rules از AccountingLocal به اینترنت در GUI

1. در Accounting VDOM، به مسیر Policy & Objects > Firewall Policy بروید.
2. روی Create New کلیک کنید.
3. اطلاعات زیر را وارد کنید

4. روی OK کلیک کنید.
5. در root VDOM، به مسیر Policy & Objects > Firewall Policy بروید.
6. روی Create New کلیک کنید.
7. اطلاعات زیر را وارد کنید

8. روی OK کلیک کنید.

برای Firewall Rules از SalesLocal به اینترنت در GUI

1. در Sales VDOM، به مسیر Policy & Objects > Firewall Policy بروید.
2. روی Create New کلیک کنید.
3. اطلاعات زیر را وارد کنید

4. روی OK کلیک کنید.
5. در root VDOM، به مسیر Policy & Objects > Firewall Policy بروید.
6. روی Create New کلیک کنید.
7. اطلاعات زیر را وارد کنید

8. روی OK کلیک کنید.

Test the Configuration

پس از پیکربندی Inter-VDOM routing، برای اطمینان از عملکرد صحیح باید پیکربندی را تست کنید. آزمایش اتصال (connectivity) اطمینان می دهد که اتصالات شبکه فیزیکی، پیکربندیInterfaceهای FortiGate و Firewall Policyها به درستی تنظیم شده اند.

ساده ترین راه برای تست اتصال، استفاده از دستورات PingوTracerouteبر رویHostها در شبکه های حسابداری و فروش است تا اتصال بین مسیرهای مختلف در شبکه تأیید شود. اتصال میزبان های متصل به port2 (AccountingLocal)درAccounting VDOMبه اینترنت و همچنین میزبان های متصل بهport3 (SalesLocal)درSales VDOMبه اینترنت را تست کنید.

برای ارزیابی پایداری، امنیت و نگهداری این زیرساخت، راهنمای پشتیبانی شبکه را نیز مطالعه کنید.