之前提供Fortigate 的SSL VPN 的快速設定方式，都是在防火牆設備上建立帳號，讓用戶端使用該帳號及密碼作登入。只是，這其實有很大的資安問題，因為很多公司為了方便，往往只建立一至兩組的通用帳號及密碼；萬一某個知道登入方法的員工離職了，這樣就會造成要重新設定及公告撥入的帳號和密碼，怎麼想都覺得這是很有問題的作法。假如公司每個月換掉一個員工，不就每個月都要痛一次？

但是，如果公司有使用微軟的AD網域架構，就能利用Windows Server 2008 內建的網路原則伺服器（NPS），當作我們的Radius Server；也就是用戶端想在Fortigate 上登入SSL VPN 時，只要輸入網域的帳號及密碼，就會依據網管在該帳戶所開放的權限去判斷是否允許登入。

上一篇文章講了Fortigate SSL VPN 的設定方式，但參照該方法後，所有進出的網路流量都會經過Fortigate 設備；如果用戶端的電腦在台灣就算了，萬一老闆出國比賽到半個地球外的歐洲，難道上個網還要大老遠繞回台灣才能出去HAPPY 嗎？

所以，還是要研究一下怎麼設定。方法其實很簡單，只要到User -> User Group 找出已設定的群組，然後勾選「Allow Split Tunneling」，點選「OK」就完成。

切換成繁中介面後，會比較容易理解，該選項就是「允許通道分割」。

只是，假如真有這麼簡單，我就不會又寫一篇教學...

其實，我對Fortinet 的防火牆設備有非常大的好感，尤其光手邊在惡搞的FG60B 也提供SSL VPN 功能，實在讓人覺得揪甘心啊～

就算你的老闆出差到中國包二奶，也能透過SSL VPN 連回公司存取內部資料，甚至藉由台灣的線路正常瀏覽無名正妹相簿政經新聞及相關網站。或許，有人會說為什麼不用PPTP VPN，我個人認為PPTP  其實沒有想像中方便，尤其對於一般使用來說，光找出連線設定恐怕就有一定的複雜度，更何況無法預期身處的網路環境是否允許PPTP 封包通過。

至於，啟用的設定方式也很簡單，記得三大原則：
● VPN 使用者及群組的設定
● 防火牆Policy 的設定
● 路由設定

當然，這次還是拿FG60B（FortiOS 3.0 MR7）當範例：

前陣子因為公司的對外線路到期了，經過跟總務部門討論後，依舊繼續跟中華電信續約，並且簽下了資安艦隊方案，因此...嘿嘿嘿，手邊就多了一台Fortigate 60B 可以惡搞啦...

不過，公司現有的網路環境就已經有防火牆，想要惡搞看效果還是不夠準，於是決定利用假日把FG60B 帶回家測。所以，第一件事情就是要先設定PPPoE網路連線。

Hyper-V 的遠端管理設定讓我花了很多時間看文件及討論尋求方法，最後在微軟高階程式經理-John Howard  在2008年3月28日的部落格文章-Hyper-V Remote Management，才找到一系列的詳細解說。

在上一篇網誌裡有提到，微軟提供的Tech.Ed 2008 影音課程發生不能播放的狀況，而且仔細檢查測試後發現，連過去在TechNet 網站所發佈的網路廣播課程也是一樣。