iT邦幫忙

0

如何用防火牆鎖IP

各位大大好,我是新手MIS
想請問一下,如何用防火牆鎖IP讓公司的某些人只能使用內網,不能用外網
我們上司說單純鎖IP就好,不需綁MAC,有誰能拜託告訴我要如何做嗎?

設備:fortigate 60D (基本設定前人已完成)
拜託了,感激不盡

2 個回答

1
做工仔人!
iT邦高手 1 級 ‧ 2016-09-30 15:57:40
最佳解答
  1. 先在"防火牆物件"->"位址" ->"位址"中建立要封鎖的IP .
  2. 在"防火牆物件"->"位址" ->"位址群組"中,先建立一個群組後並將要封鎖的IP 加到這個群組中.
  3. 在"規則"->"防火牆策略"中增加一條規則"入接口"就是LAN , 來源位址名稱:選用2.新增的群組. 出接口就是WAN ,最重要的是"採取行動" 要選 "DENY"

基本上這樣就可以限制USER 上網. 以後要增減封鎖的IP ,就只要調整群組中的設定即可,
以上是解樓主提的問題.

請注意: 但是如果USER 會自己改IP 的話, 就會鎖不到.

看更多先前的回應...收起先前的回應...
神威 iT邦新手 3 級 ‧ 2016-09-30 16:11:32 檢舉

http://ithelp.ithome.com.tw/upload/images/20160930/20102983TNKI65tpAX.png
沒有LAN選項怎麼辦

可能是INTERNAL , 可以從"系統管理"->"網路"->"介面" 中確認:那一項是LAN 端.

神威 iT邦新手 3 級 ‧ 2016-09-30 16:19:57 檢舉

http://ithelp.ithome.com.tw/upload/images/20160930/20102983uLNFCORiJG.png
我輸入這樣,但是他會出現錯誤耶
http://ithelp.ithome.com.tw/upload/images/20160930/20102983vTkQe7AIXU.png

目的位址名稱設錯: 應該是要0.0.0.0/0.0.0.0 或是 all

神威 iT邦新手 3 級 ‧ 2016-09-30 16:25:48 檢舉

http://ithelp.ithome.com.tw/upload/images/20160930/20102983IdcW5P3dlW.png
是這樣吧?但還是能上網耶?是不是不能自己鎖自己阿?

要封鎖的ip ,要放在xx的群組中. 至於會不會鎖到自己 : 就看你電腦的IP 有沒有在 xx 的群組中.

神威 iT邦新手 3 級 ‧ 2016-09-30 16:33:00 檢舉

http://ithelp.ithome.com.tw/upload/images/20160930/20102983gVE8DbI65l.png
http://ithelp.ithome.com.tw/upload/images/20160930/20102983tyCVEVSXs2.png
http://ithelp.ithome.com.tw/upload/images/20160930/20102983tCicz1fnG6.png
這樣我的IP也設定在裡面了阿?

可以先將自己的ip 放進去. 驗證:規是否生效?
防火牆的規則是由上而下"比對"的方式在運作. 最好是將這條規則放在這一區的第一條.確保優先生效.(可以在規則按右鍵選"插入政策" =>"往上移"

你老闆不准你上網了啊 !
看你自己要不要偷偷的拿掉?

神威 iT邦新手 3 級 ‧ 2016-09-30 16:38:58 檢舉

http://ithelp.ithome.com.tw/upload/images/20160930/20102983biJVoVBOaz.png
可是沒這選項耶??

神威 iT邦新手 3 級 ‧ 2016-09-30 16:40:08 檢舉

不是啦,我只是先拿自己的來試驗而已,之後是要去鎖別人的

改用"區域檢視"(在畫面的右上角) 會比較好看,也比較好調整. 

看internal 那區, wan1 及wan2 都要設.才會鎖得完全.

神威 iT邦新手 3 級 ‧ 2016-09-30 16:47:00 檢舉

耶?OK了耶開心
謝謝 大頭! 大大
~

神威 iT邦新手 3 級 ‧ 2016-10-13 08:54:36 檢舉

大頭!,能再問個問題嗎?
那如果要綁MAC須再追加甚麼設定 ?

剛才看了一下我家的FortiGate110C :沒有發現可以綁 USER MAC的地方.也沒發現可以設定DHCP SERVER的地方.
建議改用另一種方式:
從 DHCP SERVER 上來綁 MAC所對映的IP(一般DHCP SERVER都會有這個功能) .
Forti就設定 IP 的規則.
這種作法的"隱憂"就是USER手動設定IP.

神威 iT邦新手 3 級 ‧ 2016-10-13 10:36:31 檢舉

所以要用DHCP SERVER來綁定MAC和IP囉?
不能直接用固定IP嗎?

最好是這樣.
萬一以後再改IP或公司要改網段時.只要從DHCP SERVER來改就好了. 不必到每一台電腦改.

神威 iT邦新手 3 級 ‧ 2016-10-13 11:30:29 檢舉

恩恩,了解,還想請教一下
那有些人說MAC綁IP,這樣是如何做到的,需要甚麼工具呢?

一般MAC綁IP都是在DHCP SERVER中綁.

神威 iT邦新手 3 級 ‧ 2016-10-17 10:29:59 檢舉

http://ithelp.ithome.com.tw/upload/images/20161017/20102983H6P1baBzHh.png
請問綁mac是不是在這裡設定?還有vlan name是要打ip位址嗎?

不是這裡. 這裡應該是幫VLAN設定MAC的地方.
看DHCP SERVER的功能.

神威 iT邦新手 3 級 ‧ 2016-10-18 07:58:15 檢舉

有了,昨天費了好一番功夫,終於架設成功了,謝謝

神威 iT邦新手 3 級 ‧ 2016-10-18 07:58:17 檢舉

有了,昨天費了好一番功夫,終於架設成功了,謝謝

神威 iT邦新手 3 級 ‧ 2016-10-18 07:58:21 檢舉

有了,昨天費了好一番功夫,終於架設成功了,謝謝

0
尼克
iT邦高手 1 級 ‧ 2016-09-30 15:32:50

若是人多應該鎖Gatway就好,你動到Firewall會變成一個去設定管理。

我要發表回答

立即登入回答