​​【FortiOS 8.0】❀ 02. 接口PPPoE拨号与PPPoE虚拟接口拨号对比 ❀ FortiGate 防火墙

【简介】FortiGate防火墙除了常规在接口上配置PPPoE拨号之外还有一种创建PPPoE虚拟接口的拨号相信很多人都没有用过下面我们来看看它们之间有什么不同。常规PPPoE拨号首先我们来配置常规PPPoE拨号。① 将ADSL拨号宽带接入防火墙的Wan1口默认Wan1口是DHCP状态因此会自动从光猫获得192.168.1.X网段的IP地址由于internal也是192.168.1.X网段因此菜单接口会显示一个红色的报错提示选择Wan1接口点击【编辑】。② 首先输入宽带的别名这在有多条宽带的时候容易区分一般建议用运营商带宽命名也可以加入宽带类型例如拨号、固定IP、专线等。寻址模式选择【PPPoE】在用户名和密码处输入你的ADSL拨号宽带帐号和密码管理距离默认为5如果有多条不同类型的宽带建议修改为10因为固定IP默认路由下的管理距离默认为10只有管理距离相同才能同时使用多条宽带。最后点击【确认】。③ 回到接口界面如果PPPoE拨号成功在Wan1口会出现IP地址如果只是显示0.0.0.0/0.0.0.0说明没有拨号成功需要耐心等待一段时间如果仍未拨号成功而且确定帐号密码无误可以将光猫断电重启再耐心等待。④ 如果Wan1接口显示出了IP地址恭喜你PPPoE拨号成功了。下一步就是修改内网IP地址了由于192.168.1.X网段使用太频繁有可能会引起冲突因此建议修改内网网段点击internal接口选择【编辑】。⑤ 将IP地址从192.168.1.99改为192.168.128.1可以为以后VPN互联时避开内网地址冲突。DHCP的地址范围也要做同步修改这里建议地址范围取20200为其它设备空出部分IP。DNS服务器选择【指定】输入当前宽带的DNS地址这样解析速度最快如果不知道当家宽带DNS地址也可以输入通用地址例如114.114.114.114、8.8.8.8最后点击【确认】。⑥ 由于连接防火墙接口的IP地址已改会显示丢失连接。⑦ 电脑网卡启用DHCP将从防火墙internal接口上获得新的IP地址。⑧ 用新地址192.168.128.1登录防火墙。外网口和内网口都配置好了下面就差上网策略了。选择菜单【策略对象】-【防火墙策略】默认已经有一条internal接口到wan1接口的上网策略选择策略点击【编辑】。⑨ 给策略输入自定义的名称当策略很多的时候容易区分。上网策略主要由流入接口、流出接口、源、目标、服务、NAT组成默认是由internal接口到wan1接口不限制internal接口IP也不限制wan1接口IP不限制访问端口上网策略必须启用NAT。为了保护上网安全建议启用反病毒和IPS反病毒配置文件选择【default】IPS配置文件选择【protect_client】这是因为上网策略中电脑访问互联网电脑是客户端只要保护客户端就可以了。启用反病毒后SSL检查必须选择【certificate-inspection】点击【OK】。⑩ 在电脑的命令窗口ping baidu.com如果能解析出IP地址并ping通说明上网正常了。⑪ 进入测速网站选择同运营商的最近的测速点进行测速多运行几次取最后的稳定值下次再测速时测速点不变。PPPoE虚拟接口拨号下面我们来测试PPPoE虚拟接口拨号。① 选择菜单【网络】-【接口】点击Wan1口弹出菜单选择【编辑】。② 去掉别名寻址模式选择【静态】IP地址改为【0.0.0.0/0.0.0.0】点击【确认】。③ 回到接口界面选择子菜单【新建】-【接口】。④ 输入虚拟接口名称点击类型下拉按钮弹出菜单中选择【PPPoE接口】。⑤ 点击接口下拉按钮弹出菜单中选择【wan1】表示这个虚拟接口是创建的wan1接口下。⑥ 然后输入宽带帐号和密码管理距离由默认的5改成10点击【确认】。⑦ 返回接口界面可以看到在wan1接口下显示新建的PPPoE虚拟接口并且很快就拨号成功。那是不是就立即可以上网了呢其实还不行。⑧ 不行的原因在上网策略上上网策略中内网是到wan1口但wan1口的IP是0.0.0.0/0.0.0.0显然是无法上网的。选择上网策略点击【编辑】。⑨ 点击流出接口下拉按钮弹出菜单中选择刚刚创建的PPPoE虚拟接口。其它都不动点击【确认】。⑩ 现在的上网策略就是内网到PPPoE虚拟接口了。⑪ 中断的网络又通了。⑫ 同样的环境再次测速网速几乎没有变动。PPPoE虚拟接口的优势即然上面的测试证明虚拟PPPoE接口和接口下直接配置PPPoE拨号速度完全一样那为什么还需要PPPoE虚拟接口呢① PPPoE虚拟接口配置更灵活可以在一个物理接口下配置多个PPPoE接口。可独立于物理接口配置每个PPPoE虚拟接口的属性。② 在防火墙策略、SDWAN等引用接口时更加直观和灵活。③ PPPoE虚拟接口为动态获取网关与策略路由配合使用时策略路由可以正常获取到PPPoE的网关不需要手动填写网关。④ 防火墙接口上直接配置PPPoE拨号修改接口下与 PPPoE 拨号无关的参数如 DNS 覆盖、接口管理协议、MTU、inbandwidth/outbandwidth 等PPPoE 会重新拨号影响业务。而 PPPoE 虚拟接口修改与 PPPoE 拨号无关的参数PPPoE 不会重新拨号不会影响业务。⑤ 在FortiGate设备上配置PPPoE连接时调整 tcp-mss‌ 参数是解决部分网站无法访问或数据包分片问题的关键步骤。由于 PPPoE 封装会在标准以太网 MTU1500 字节基础上增加 8 字节开销导致有效 MTU 变为 1492 字节若不调整 TCP 最大段大小MSS可能导致带有 DFDont Fragment标志的大数据包被丢弃 。‌‌在防火墙接口上直接配置PPPoE拨号拨号成功后会动态创建 ppp 接口无法指定动态创建的 ppp 接口的tcp-mss。而在PPPoE虚拟接口下可以设置tcp-mss参数这在解决PPPoE环境下产生的TCP分片丢包问题非常有用。