Panduan Site-to-Site VPN FortiGate Antar Kantor: IPsec IKEv2, NAT, dan Akses Lintas Subnet

Ringkasan Tutorial

Panduan implementasi site-to-site IPsec FortiGate antar kantor yang menekankan pengumpulan parameter tunnel, phase1/phase2, route, policy, NAT exemption, dan pengujian akses lintas subnet.

Tujuan Belajar

• Membangun Phase1 dan Phase2 IPsec dengan parameter yang konsisten.
• Menerapkan route dan policy antar subnet tanpa NAT yang merusak tunnel.
• Menguji traffic nyata antar kantor dan membaca log debug saat gagal.

Hasil Akhir yang Diharapkan

Setelah menyelesaikan seluruh modul, peserta diharapkan mampu mengulang implementasi ini secara mandiri, memahami alasan desainnya, dan melakukan verifikasi hasil di lapangan tanpa hanya menyalin konfigurasi.

Kenapa Glosarium Ini Penting

Materi Panduan Site-to-Site VPN FortiGate Antar Kantor: IPsec IKEv2, NAT, dan Akses Lintas Subnet memuat cukup banyak istilah teknis dan singkatan. Modul ini disediakan agar pembaca awam tidak tersendat saat menjumpai istilah yang sering dipakai engineer jaringan, server, storage, dan security.

Cara Menggunakan Modul Ini

1. Baca istilah yang belum Anda pahami sebelum lanjut ke implementasi.
2. Kembali ke glosarium ketika menemukan singkatan baru di langkah konfigurasi.
3. Gunakan definisi ini sebagai pijakan awal, lalu cocokkan dengan output perangkat yang Anda pakai.

Versi Perangkat & Platform Uji

FortiOS 7.2 atau 7.4

Estimasi Waktu Praktik

120-150 menit

Prasyarat Sebelum Memulai

• Kedua FortiGate memiliki IP publik atau jalur internet yang reachability-nya baik.
• Subnet pusat dan cabang sudah ditentukan serta tidak overlap.
• Parameter enkripsi, DH group, dan secret bersama telah disepakati.

Topologi Lab & Skenario Praktik

• FortiGate pusat dan cabang saling terhubung melalui internet publik.
• Masing-masing site memiliki subnet LAN internal berbeda.
• Tunnel IPsec menjadi jalur privat utama untuk komunikasi antar site.

Kasus Lapangan & Sasaran Implementasi

Kantor pusat dan cabang perlu saling mengakses server internal tanpa mengekspos layanan ke internet. IPsec tunnel menjadi jalur privat utama, tetapi keberhasilan implementasinya bergantung pada phase parameter yang cocok, route yang benar, dan pengecualian NAT.

Target pembaca: Administrator firewall yang harus menghubungkan kantor pusat dan cabang secara aman.

Hasil akhir yang harus dicapai: Tunnel IPsec antar kantor naik stabil dan subnet pusat serta cabang dapat saling berkomunikasi sesuai kebijakan akses.

Tahapan Implementasi Lapangan

1. Kumpulkan seluruh parameter peer, subnet lokal-remote, dan kebijakan enkripsi sebelum membuat tunnel.
2. Bangun Phase1 interface mode dan Phase2 selectors sesuai subnet yang harus melewati VPN.
3. Tambahkan static route dan firewall policy lintas site serta pastikan NAT exemption berjalan.
4. Lakukan uji ping, akses aplikasi, dan debug flow atau ike jika tunnel belum naik.

Contoh Konfigurasi / Command Penting

config vpn ipsec phase1-interface
 edit "HQ-BRANCH"
  set interface "port1"
  set ike-version 2
  set peertype any
  set remote-gw 198.51.100.2
  set psksecret ENC secret
 next
end
config vpn ipsec phase2-interface
 edit "HQ-BRANCH-P2"
  set phase1name "HQ-BRANCH"
  set src-subnet 192.168.10.0 255.255.255.0
  set dst-subnet 192.168.20.0 255.255.255.0
 next
end

Hal yang Wajib Diverifikasi

• Phase1 dan Phase2 berstatus up.
• Subnet pusat dapat mengakses subnet cabang sesuai policy dan sebaliknya.
• Traffic ke subnet remote tidak terkena masquerade atau source NAT yang salah.
• Akses aplikasi inti antar kantor berjalan saat tunnel aktif.

Troubleshooting Paling Sering Muncul

• Jika tunnel tidak up, cek proposal phase1/phase2, key, dan reachability peer public IP.
• Jika tunnel up tetapi trafik gagal, cek route, selector subnet, dan NAT exemption.
• Jika aplikasi tertentu gagal meski ping sukses, audit port policy dan MTU/MSS jika perlu.

Keputusan Desain yang Perlu Dipahami

• Pastikan subnet antar site tidak overlap sebelum membuat VPN.
• Gunakan IKEv2 untuk interoperabilitas dan stabilitas yang lebih baik bila memungkinkan.
• Untuk banyak site, dokumentasi tunnel dan route harus sangat disiplin.

Kesalahan yang Sering Terjadi di Lapangan

• Selector subnet tidak cocok antara kedua sisi.
• Traffic VPN masih terkena NAT internet umum.
• Policy tunnel dibuat tetapi route ke subnet remote tidak ada.

Artefak Serah Terima yang Harus Disimpan

• Daftar parameter tunnel dan subnet pusat-cabang.
• Bukti status tunnel dan hasil uji aplikasi lintas site.
• Prosedur debug dasar untuk incident di masa depan.

Langkah Lanjut Setelah Praktik

Setelah modul ini selesai, ulangi implementasi tanpa melihat catatan langkah demi langkah, lalu dokumentasikan hasil verifikasi, kendala, dan perubahan desain. Cara ini membantu materi benar-benar berpindah dari sekadar dibaca menjadi keterampilan kerja.