iT邦幫忙

1

FortiGate 60D使用IP POOL功能後內網走外部IP無法連到內部Server

  • 分享至 

  • xImage

各位前輩大家好,小弟爬了很多文還是沒法子解決,還請各位前輩給予指教

問題如下
我司郵解反解IP為59.59.59.60,但WAN1的IP為59.59.59.58(所以會被擋信)
後來小弟在IP POOL上新增了59.59.59.60(類型:超載)的IP後
原本OUTLOOK(POP&SMTP)只要是設定59.59.59.60 IP的同事就無法連到郵件的服務
但外點的同仁或是使用手機是可以正常收發59.59.59.60的郵件

目前已指定internal(mail主機)-->wan1(NAT指定用IP POOL的59.59.59.60)
但因為公司業務會出差,所以必需在外面收信(需使用59.59.59.60)
不可能請他們一直改POP&SMTP的設定
想要把要去59.59.59.60的POP&SMTP封包轉到內部192.168.0.210(MAIL Server)
這樣用外部IP設定的同事可以在公司收信,但建了下列的設定還是不成功
希望各位前輩給予指導

謝謝

PS.小弟第一次發文,如果有表逹不好的地方還請包涵

政策路由
進入介面-->internal
來源IP-->192.168.0.0/255.255.255.0
目的IP-->59.59.59.60
出去的介面-->intenal
閘道器位址-->192.168.0.1

IPV4政策
入接口-->interal
來源位址-->All
出接口-->interal
目的位址名稱-->mail server(192.168.0.210)
服務-->POP,SMTP
防火牆-->啟用NAT

設置資訊
Wan 1的IP是59.59.59.58
Wan 2的IP是69.69.69.76
Mail主機IP是192.168.0.210
物件-IP Pool-->類型:超載,外部IP範圍59.59.59.60

圖片
  直播研討會
圖片
{{ item.channelVendor }} {{ item.webinarstarted }} |
{{ formatDate(item.duration) }}
直播中

2 個回答

0
mytiny
iT邦超人 1 級 ‧ 2017-03-29 03:34:48
最佳解答

我司郵解反解IP為59.59.59.60,但WAN1的IP為59.59.59.58(所以會被擋信)

不是很明白為何這樣會被擋信
重點是要設好VIP對應
同時要拿掉所有政策路由
這樣即便是內網連59.59.59.60
也會自己轉到192.168.0.210

看板大有設兩條WAN,(未啟用ECMP嗎?)
可能因此用了政策路由,(還是建議拿掉)
但這樣會破壞原本的對應優先權,而且把路由搞複雜了
限於文字表達,難以盡述,還是建議版大詢問原銷售廠商
請其提供技術服務為宜

junhaogo iT邦新手 5 級 ‧ 2017-03-29 09:42:21 檢舉

1.被擋信的原因是mial.XXX.com是指向IP 59.59.59.60,Wan1的IP是59.59.59.58,如果沒指定用59.59.59.60的IP寄信,大部份郵件主機都會把我司的郵件歸類在不安全的郵件或是直接拒收(因為與反解IP不符)

2.最早的設定是無使用政策路由,使用59.59.59.58 IP連外是可以正常使用59.59.59.60的服務,但為了要指定MAIL SERVER用59.59.59.60的IP寄信,所以在物件 IP POOL 上新增了一個59.59.59.60的物件後
使用59.59.59.58對外就無法連到59.59.59.60

3.已經向購買的廠商請求協助,不過他設定的政策還是不行
所以才上來請教各位前輩

mytiny iT邦超人 1 級 ‧ 2017-03-30 21:40:20 檢舉

因為設定政策路由會破壞原來相關路由的規則
所以一定要全部拿掉後才做得出來
之所以會用IP POOL後就無連線
小弟是認為VIP的對應沒有設好
請再次仔細檢查
同時建議您OS版本用5.2.10會比較穩

junhaogo iT邦新手 5 級 ‧ 2017-03-31 09:03:50 檢舉

廠商向原廠求救後,已解決(OS為5.2.4版-未更新)

政策路由設定
進入介面-->internal
來源IP-->192.168.0.210/255.255.255.255
目的IP-->0.0.0.0/0.0.0.0
出去的介面-->Wan1(先前觀念錯誤選成internal)
閘道器位址-->59.59.59.254

政策IPV4
入接口-->interal
來源位址-->192.168.0.0/24
出接口-->interal
目的位址名稱-->192.168.0.210
服務-->POP,SMTP(有用到的服務都要選)
防火牆-->不啟用NAT(先前有開啟是錯誤)

供有需要的人參考

另外也感謝各位前輩的回覆

感恩

0
msnman
iT邦研究生 1 級 ‧ 2017-03-28 16:39:29

為什麼你的mailserver設定不是指向網域,而是指向IP,所以業務只要設定指向網域,應該就沒有問題了。

建議你簡化MAILserver設定,將mailserver安裝兩張網卡,一張設定外網IP,另一張設定內網IP,這樣無論那一個IP收信就都一樣了。

我要發表回答

立即登入回答