想請教一下各位前輩,目前小弟台灣公司與大陸分公司有建置MPLS VPN,但不知為何大陸端往台灣端SERVER的溝通有問題!其問題在於PING的到,但無法使用其服務,例如網頁、ERP、NAS...等,而台灣端要連到大陸的SERVER操作是沒問題的。目前只能把大陸要用的台灣SERVER將它的Gateway暫時指到台灣MPLS的Router上,讓大陸端User可以正常使用,但這個方式不太正規,所以想請教大家我的問題出在哪裡?
公司資料：
台灣公司 Juniper SSG5
防火牆 Lan1:192.168.0.1 / Lan2:192.168.2.1
MPLS Router:192.168.0.10 (路由接在Lan1的Switch上)
NAS:192.168.0.20 (File Server)
ERP:192.168.0.30 (WEB ERP,Windows 2012 STD)
Policy: Trust Intra-zone: Source(Any) To Destination(Any) Allow(Any Service)
靜態路由 目的地 192.168.5.0/24 G/W:192.168.0.10 Interface:Lan1
大陸公司 Fortigate 60D
防火牆 Lan:192.168.5.1
MPLS Router:192.168.5.10 (路由接在Lan的Switch上)
SERVER :192.168.5.50 (File Server,Windows 2012 STD)
Policy: LAN to LAN: Source(Any) To Destination(Any) Allow(Any Service)
靜態路由 目的地 192.168.0.0/24 G/W:192.168.5.10 Interface:Lan
目的地 192.168.2.0/24 G/W:192.168.5.10 Interface:Lan
問題：
1.台灣端可以遠端連線控制大陸端SERVER及USER,沒有任何問題
2.台灣SERVER預設G/W指到防火牆192.168.0.1
3.大陸端可以PING到台灣NAS及ERP,但無法連接到NAS上開啟任何檔案(出現無法訪問,錯誤代碼0x80070035),也無法用IE開啟NAS的管理頁面
4.大陸端可以PING到台灣WEB ERP,但無法用IE開啟ERP(出現無法顯示網頁)
5.將NAS及ERP的G/W指到MPLS Router後,大陸端可正常使用其服務
再麻煩各位前輩們指導一下,我是否有哪邊沒有設好?或是遺漏的地方?感謝大家!
已邀請的邦友 {{ invite_list.length }}/5
像是典型的 triangle(asymmetric) route問題.
Fortigate 60D :
config system interface
edit [Name of the internal interface]
set icmp-redirect disable
end
試試 !
對阿 其實這個架構一點都不正規
要正規的話 再買2個L3 switch
L2 SWITCH 不應該直接接 ROUTER
有機率是路由沒設定好
你可以把192.168.0.x 的機器default gateway改成 192.168.0.10
如果192.168.2.x 的機器連的到主機,那台北的router和防火牆設定就沒問題
接下來就剩大陸的 router 和防火牆的問題
@Abbot 那個選項我在60D裡找不到哩!!
@hon2006 會這樣弄是因為想減少SSG5的負擔,這台真的是很久了,而且效能也不夠,再加上公司沒有預算買L3的設備,更不用說換防火牆,所以我只能用現成的設備來處理....過去的公司都是用Fortigate,MPLS也是直接接在內網直接用是沒問題的(我知道不太正規).
目前狀況就是台灣端不管G/W設在防火牆或Router上台灣端都沒問題,主要是大陸端在連台灣的主機時,如果主機G/W指到防火牆就是能PING但不能用,所以我才會認為是SSG5的問題居多.
建議重新變更網路架構，把 Juniper & Fortigate 分別移到 MPLS 到 Router 之間，照你的畫法，實在看不出 Juniper & Fortigate 放在內部的用意為何，如果是要切 VLAN，如果你的 L2 等級夠高 (你沒寫上型號)，它也可以切 VLAN 使用
不好意思,可能我表達沒有很清楚,2台防火牆基本上都有對外控管公司上網,只是小弟偷懶沒畫,所以才會讓你們誤會放在內部,抱歉....
基本上,就是我把VPN廠商提供的路由器IP定義在和SERVER同網段,這樣同一台SWITCH狀況可以減少很多,以前公司2邊全都是Fortigate時,同樣的架構是沒有問題的(我知道這個不正規的規劃,這只能說小弟偷懶...),但現在公司台灣是用小小的舊機器SSG5,它就卡住了,所以我才會覺得是SSG5上面的設定有遺漏或設錯什麼,但實在找不出錯誤的原因,才想要麻煩各位前輩技術支援一下.
60D firmware 有更新嗎 ??? 有買維護嗎 ???
60D目前是新品,還在一年保固內,可以更新,不過我覺得不是60D的問題,因為我們有另一個大陸分公司也有MPLS(我沒畫出來),他們也是用SSG5,一樣的狀況,可以PING不能用服務.....
iThome鐵人賽
看影片追技術