admin 08/01/2026

VPN Site-to-Site (IPsec) trên FortiGate

Fortigate NAMHI | Giai đoạn 3 | Bài 11

🏢 VPN Site-to-Site (IPsec) trên FortiGate – Kết nối Trụ sở ↔ Chi nhánh đúng chuẩn triển khai

Nếu Bài 10 là VPN cho user làm việc từ xa, thì Site-to-Site là VPN cho mạng ↔ mạng. Mục tiêu là để HQ và Branch “nhìn thấy nhau” ổn định, chạy ERP, file server, camera, VoIP… như cùng một hệ thống. Bài này đi theo lộ trình NAMHI: thiết kế đúng → cấu hình đúng → test đúng → troubleshoot nhanh.

⏱️ 35–55 phút 🎯 Level: Trung cấp 🧰 Dành cho: IT triển khai / IT hệ thống

⬅️ Bài 10: VPN Remote Access ➡️ Đi tới Bài 12 (High Availability - HA)

🧭 Site-to-Site là gì? Khác Remote Access chỗ nào?

👤 Remote Access (Bài 10)

User cá nhân (laptop/PC) kết nối vào FortiGate
Truy cập tài nguyên nội bộ theo group
Thường dùng SSL-VPN/IPsec RA

🏢 Site-to-Site (Bài 11)

Kết nối 2 mạng LAN (HQ ↔ Branch)
Thiết bị ↔ thiết bị (FortiGate ↔ FortiGate)
Thường dùng IPsec Tunnel

⚠️ 3 lỗi “chết người” của Site-to-Site: trùng subnet, NAT nhầm, thiếu policy/routing 1 chiều.

📋 Checklist trước khi cấu hình (điền đủ là làm rất nhanh)

✅ WAN 2 đầu

Public IP / DDNS

HQ-WAN, Branch-WAN. Nếu dynamic IP thì chuẩn bị DDNS.

Khuyến nghị: ưu tiên IP tĩnh nếu có.

✅ LAN Subnet

Không trùng nhau

Ví dụ HQ: 192.168.10.0/24, Branch: 192.168.20.0/24.

Trùng subnet: tunnel có thể up nhưng data không chạy.

✅ PSK + Proposal

Thông số Phase1/2

Pre-shared key, encryption/hash, DH group, lifetime.

2 đầu phải khớp, lệch 1 mục là không lên.

🎯 Thiết kế “đúng chuẩn vận hành” (NAMHI khuyến nghị)

Nguyên tắc 1

Chỉ route đúng subnet cần đi qua tunnel

Không kéo cả Internet hoặc subnet không liên quan qua VPN. Dễ rối routing và khó debug.

Nguyên tắc 2

Policy 2 chiều + NAT = Disable

Site-to-Site “không NAT”. NAT nhầm là lỗi phổ biến nhất khiến app chết dù tunnel up.

Nguyên tắc 3

Bật log để support nhanh

Policy VPN↔LAN bật Log Allowed Traffic: All Sessions để nhìn thấy flow ngay lập tức.

1️⃣ Tạo IPsec Tunnel bằng Wizard (nhanh, ít sai)

Bước 1

VPN → IPsec Wizard → Site to Site

Chọn kiểu Site-to-Site (FortiGate) để wizard dựng đúng skeleton Phase1/Phase2.

Bước 2

Remote Gateway (WAN bên kia)

Nhập public IP/DDNS của site đối tác. Kiểm tra chắc chắn WAN reachable.

Bước 3

Local Subnet / Remote Subnet

Local: subnet LAN tại site đang cấu hình
Remote: subnet LAN của site bên kia

⚠️ Khai báo sai subnet là nguyên nhân số 1 của lỗi “tunnel up nhưng không ping/app không chạy”.

2️⃣ Routing: Static route (hoặc policy route) cho đúng đường

Sau khi có tunnel interface, bạn cần đảm bảo traffic từ LAN đi tới remote subnet sẽ được route qua tunnel. Với đa số case SMB, Static route là đủ, dễ quản trị.

💡 Checklist nhanh: “HQ muốn tới 192.168.20.0/24 thì next-hop là tunnel HQ↔Branch” và ngược lại ở Branch.

3️⃣ Firewall Policy 2 chiều (điểm hay bị quên)

➡️ HQ → Branch

Incoming: LAN-HQ
Outgoing: IPsec-HQ-Branch
Destination: LAN-Branch
NAT: Disable

⬅️ Branch → HQ

Incoming: IPsec-HQ-Branch
Outgoing: LAN-Branch
Destination: LAN-HQ
NAT: Disable

⚠️ Thiếu 1 chiều policy = traffic đi 1 hướng được, hướng còn lại “mất tích”.

💡 NAMHI khuyến nghị: service chỉ mở theo nhu cầu (SMB/RDP/HTTPS…) thay vì ALL, đặc biệt khi chạy ERP/VoIP.

🔍 Test chuẩn triển khai (đúng thứ tự là ra bệnh ngay)

✅ Test L3

Ping từ HQ tới 1 IP ở Branch
Ping từ Branch tới 1 IP ở HQ
Xem VPN monitor: Phase1/Phase2 có traffic

✅ Test dịch vụ

RDP/SMB/ERP theo đúng policy
Kiểm tra DNS nội bộ nếu truy cập bằng tên
Kiểm tra firewall trên server nếu chỉ ping được

💡 Khi debug: nhìn Policy hit counter và Forward traffic log là biết bị chặn ở đâu ngay.

❌ Lỗi thường gặp & cách xử lý nhanh (accordion)

❌ Phase1 không lên (tunnel không establish)

Sai Pre-shared Key
Sai proposal (encryption/hash), DH group
WAN/ISP chặn, NAT-T không đúng, gateway không reachable

❌ Phase2 lên nhưng không ping/app không chạy

Sai Local/Remote subnet (selectors)
Thiếu policy 2 chiều hoặc policy sai interface
NAT bị bật nhầm trên policy VPN
Routing bất đối xứng (asymmetric routing)

💡 80% trường hợp “tunnel up nhưng không chạy” là subnet selector hoặc NAT.

❌ Ping được nhưng truy cập theo tên không được

Thiếu DNS nội bộ / split DNS
Client không dùng đúng DNS server
Test bằng IP trước để tách lỗi DNS

❌ Trùng subnet giữa 2 site

Đây là lỗi “không cứu được bằng policy”. Cách đúng là đổi subnet 1 đầu (hoặc dùng NAT over VPN nhưng sẽ phức tạp hơn).

🧩 Kết luận

Site-to-Site thành công không chỉ là “tunnel lên”, mà là routing đúng, policy đủ 2 chiều, không NAT và có log để support. Bài tiếp theo (Bài 12) sẽ nâng level vận hành doanh nghiệp: High Availability (HA) để tránh downtime.

➡️ Bài tiếp theo