Fortinet下一代防火墙(NGFW)现已登陆AWS Marketplace。FortiGate NGFW支持各种Amazon EC2实例类型和配置，以更好的为客户提供可伸缩的SSL VPN和IPSec功能。基于此，FortiGate能够支持多达数千用户以SSL和IPSec的加密隧道方式并发连接到部署在AWS上的应用。同时，用户无需为这数千并发用户单独付费，一切费用都包含在了FortiGate-VM的订阅费用中。此外，通过使用c5n系列机型，FortiGate-VM能够获得更好的网络处理性能，单机达到20Gbps+ 吞吐量，从容应对各种云上负载场景。在本文中，我们将讨论使用FortiGate-VM在AWS中部署可弹性扩缩的安全解决方案时的一些设计考虑。我们还将概述如何在AWS中启动该解决方案。
通过AWS Transit Gateway和AWS Route53进行多区域部署
尽管有多种不同的方法在AWS中实现弹性架构，但大多数设计都会考虑在至少两个AWS区域部署服务，以支持灾难恢复，并避免在发生自然灾害(如地震)时服务中断。此外，通过在一个AWS区域中的两个或更多可用区中部署资源，客户可以确保容错。图1描述了一个多区域的FortiGate部署，它利用AWS Route 53将SSL客户端(FortiClient)连接到延迟最小的地区。在这种架构中，部署了两个区域云安全服务中心(us-east-1和us-west-1)。每个云安全服务中心由两个FortiGate实例组成。
【图1：利用AWS Route53和FortiGate-VM实现多区域远程办公安全接入】
如图所示，Route 53使VPN客户端能够从FortiGate获得IP地址，从而基于延迟来终止VPN连接。除了区域冗余之外，AWS设计的最佳实践还包括部署至少两个FortiGate，每个FortiGate都位于不同的可用区。当然，FortiGate也支持多种高可用设计，如A/A和A/P模式HA。Route 53中的多值应答路由可用于向各个区域的FortiGate分发IPSec VPN流量，如图1所示。
大多数客户将应用部署在多个VPC中，而同时远程客户端需要访问这多个VPC。AWS推荐利用AWS Transit Gateway（TGW）作为共享服务VPC和所有业务VPC的连接方式。如图2所示，位于Cloud Security Services Hub的FortiGate-VM能够通过AWS Transit Gateway连接到业务VPC。在这个架构中，AWS NLB将 SSL VPN流量基于五元组（源/目的IP，源/目的端口，协议）负载均衡到位于中心VPC的两台FortiGate上。
在VPN用户方面，虽然需要提前在FortiGate上进行用户创建，但是如果用户本地已经有LDAP，RADIUS，AD等认证服务器，FortiGate可以直接与认证服务器联动，管理员无需额外维护用户认证信息，将会极大降低配置复杂度和配置错误的可能性。同时，FortiToken可以作为双因子认证（2FA）来确保登录用户的身份安全。
如图2所示，在hub VPC里的两个子网分别和TGW相连。一旦SSL VPN用户连接到任何一个FortiGate，用户都可以访问到部署在应用VPC中的应用。举例来说，如果一个远程用户需要访问位于业务VPC B的资源，私有子网里路由表里的一条指定路由（10.20.0.0/16）将会被使用，并且流量会通过TGW attachment被路由到TGW（如图2所示）。这里需要注意的是，在每个私有子网里的路由表都要包含通过TGW attachment去往业务VPC的路由。此外，他们包含一个默认网关路由指向每个可用区中的FortiGate的私有ENI。回向流量将会被TGW路由回hub VPC。FortiGate所在子网的路由表，将默认网关设置为FortiGate私有ENI，这种情况下，回向流量可以走相同的路径到远程用户。客户可以创建IPSec VPN将本地环境和Hub VPC中的FortiGate或TGW安全连接起来，让远程用户也能直接安全的访问本地资源。
【图2：远程用户通过SSLVPN连接到FortiGate-VM和Transit Gateway】
使用FortiGate实现精简架构的混合云安全互联
FortiGate可以同时作为SSL-VPN网关和IPSec VPN网关来实现远程用户的安全连接和混合云安全互联。FortiClient SSL-VPN客户端可以运行在iOS，安卓，Windows，MacOS和Linux系统上，让用户方便的连接到部署在任意位置的FortiGate，不论是在AWS上还是办公网出口亦或是数据中心出口。
在混合云场景中，用户通常会将本地数据中心和AWS环境通过Direct Connect进行专线互联，来确保高优先级业务流量的传输可靠性。同时，对于低优先级的业务流量会通过IPSec VPN连接到云环境。FortiGate能够以硬件和VM的形式分别部署在IDC、办公网、AWS平台上。如本文所述，远程用户通过SSL VPN与AWS Route 53服务可以就近连接到FortiGate，从而安全、便捷的访问云上和本地资源。
通过使用FortiGate实现的混合云安全互联，不仅让连接变得更安全更方便，同时在网络架构上实现了精简。如图3所示：
【图3：传统架构 vs Fortinet精简架构】
传统模式下
通常IDC中的CGW和VPN，与云上VPN很可能是不同厂商，品牌异构带来很高的学习和运维成本，以及稳定性风险；
不同厂商的SSLVPN无法打通，用户只能接入指定SSLVPN网关，无法按需负载，且必须使用两个品牌的SSLVPN客户端；
IDC接入的SSLVPN用户访问云上资源配置复杂；
为解决高可靠问题，需要在CGW和两处VPN均部署双机，成本高。
使用FortiGate实现的精简架构下
FortiGate可以同时作为CGW连接DX，IPSec VPN，和SSLVPN网关，极大降低了网络结构的复杂性和运维成本；
用户可以使用AWS Route 53负载两台FortiGate的SSLVPN接入，当用户访问就近的SSLVPN网关；
只需配置简单的SD-WAN规则即可将IDC的SSLVPN流量分流到IPSecVPN隧道，不占用DX带宽；
IT解决方案：
下一代防火墙部署场景：化繁为简、加密云接入、可视化与自动化、默认FortiEDR和FortiXDR保护会自动检测并拦截本文中描述的攻击，且无需进行其他更新
以更低的复杂性提供业内首屈一指的威胁防护和性能、网络与安全的融合、集成安全架构、多重检查引擎、统一控制管理、高级威胁防御、内置反病毒引擎、终端测的安全防护、全自动威胁检测、全自动威胁调查、全自动威胁响应
飞塔防火墙服务：应用控制、Web过滤、反病毒、FortiCloud 沙箱、入侵防御、病毒爆发防护服务、内容消除与重建、IP 信誉和反僵尸网络
品类：零信任网络访问(ZTNA)、下一代防火墙、FortiClient终端安全、FortiManager集中管理平台 、 FortiAuthenticator身份管理平台、HPC基础架构、雾计算基础架构、网络安全生态系统、集成式安全方法、入侵防御系统、网络访问控制、智能边缘、自动化安全架构、恶意设备检测、端点检测、高级威胁检测、事件分析溯源
方案适用机型：
机框设备：FortiGate 7060E 、FortiGate 7040E 、FortiGate 7030E 、FortiGate 5001E
超高端设备：FortiGate 6300F\6301F\6500F\6501F
高端设备：FortiGate 3980E、FortiGate 3960E 、FortiGate 3800D 、FortiGate
3700DFortiGate 3600E 、FortiGate 3400E、FortiGate 3200D、FortiGate 3100D
、FortiGate 3000D 、FortiGate 2500E、FortiGate 2000E、FortiGate 1500D
、FortiGate 1200D 、FortiGate 1000D
中端设备：FortiGate 900D 、FortiGate 800D 、FortiGate 600E、FortiGate 500E
、FortiGate 400E 、FortiGate 300E、FortiGate 200E 、FortiGate 100E
入门级设备：FortiGate 80E、FortiGate 60E、FortiGate 50E、FortiGate 30E 、FortiGate 60D – Rugged
Virtual Machines：FortiGate-VM00 、FortiGate-VM01, -VM01V 、FortiGate-VM02,
-VM02V、FortiGate-VM04, -VM04V 、FortiGate-VM08, -VM08V 、FortiGate-VM16,
-VM16V 、FortiGate-VM32, -VM32V 、FortiGate-VMUL, -VMULV
专有型号/系列：FortiOS 7.0、Fortinet SASE、FortiXDR
服务区域：
四川 飞塔 Fortinet：成都 飞塔 Fortinet、绵阳 飞塔 Fortinet、自贡 飞塔 Fortinet、攀枝花 飞塔 Fortinet、泸州 飞塔 Fortinet、德阳 飞塔 Fortinet、
广元 飞塔 Fortinet、遂宁 飞塔 Fortinet、内江飞塔 Fortinet、乐山 飞塔 Fortinet、资阳 飞塔 Fortinet、宜宾 飞塔 Fortinet、南充 飞塔 Fortinet、
达州 飞塔 Fortinet、雅安 飞塔 Fortinet、阿坝藏族羌族自治州飞塔 Fortinet、凉山彝族自治州 飞塔 Fortinet、广安 飞塔 Fortinet、巴中 飞塔 Fortinet、眉山 飞塔 Fortinet
重庆 飞塔 Fortinet
贵州飞塔 Fortinet：贵阳飞塔 Fortinet、遵义飞塔 Fortinet、铜仁飞塔 Fortinet、安顺飞塔 Fortinet、毕节飞塔 Fortinet 、六盘水飞塔 Fortinet、黔南州飞塔 Fortinet、黔西南州飞塔 Fortinet 、黔东南州飞塔 Fortinet
云南飞塔 Fortinet：昆明飞塔 Fortinet 、曲靖飞塔 Fortinet 、玉溪飞塔 Fortinet 、昭通飞塔 Fortinet 、临沧飞塔 Fortinet 、保山飞塔 Fortinet 、
丽江飞塔 Fortinet 、普洱飞塔 Fortinet、红河哈尼飞塔 Fortinet、德宏飞塔 Fortinet、楚雄飞塔 Fortinet 、文山飞塔 Fortinet 、
西双版纳飞塔 Fortinet 、怒江飞塔 Fortinet
西藏自治区飞塔 Fortinet：拉萨飞塔 Fortinet、昌都飞塔 Fortinet、林芝飞塔 Fortinet、山南飞塔 Fortinet、日喀则飞塔 Fortinet、那曲飞塔 Fortinet、阿里飞塔 Fortinet
飞塔自身关键词：
飞塔防火墙，飞塔官网，飞塔公司，fortigate防火墙，飞塔防火墙配置
飞塔相关关键词：
网络安全，安全SD-WAN，Fortinet FortiGate-VM，Fortinet，VPN保护，Web过滤，
网络分段，网络微分段，物联网平台保护
更多机型和方案请咨询
成都科汇科技有限公司 — 专业安全服务商。
无论您的IT架构是 本地化、云端、还是混和云 都能提供一站式安全方案。
地址：四川省成都市人民南路四段一号时代数码大厦18F
电话咨询热线：400-028-1235
QQ：132 5383 361
手机：180 8195 0517（微信同号 ）
