iT邦幫忙

1

Fortigate 60D 政策路由問題

  • 分享至 

  • xImage

請問一下各位:

今天新加了一個Wan2,不做balance,只單純的將部份使用者利用政策路由將流量導向他,測試都可以上網,唯獨原先利用Wan1固I 虛擬IP到內網的mail server卻怎麼樣都無法使用?

在收信軟體的Server直接填固I 或192.168.1.X 也沒辦法收,不知是哪邊的設定漏掉了,還是還要在加什麼東西呢?謝謝。

jeles51 iT邦研究生 3 級 ‧ 2017-05-23 13:02:39 檢舉
先列出相關的POLICY的設定來看看,
說不定你把所有 192.168.1.X的流量,全導到Wan2了呢?
目前只有測試我自己一個人,所以Policy只加了一個我自己的IP到WAN2 其他舊有的都沒變 192.168.1.0 /24 => WAN1
補充一下,因為我看官方影片說可以建立Virtual Wan Link似乎可行,但是這樣子就得要刪掉原本的policy甚至要停機作業,不太可能。所以看看有沒有其他地方是我漏的,謝謝。
圖片
  直播研討會
圖片
{{ item.channelVendor }} {{ item.webinarstarted }} |
{{ formatDate(item.duration) }}
直播中

1 個回答

0
mytiny
iT邦超人 1 級 ‧ 2017-05-23 17:54:21

小弟建議可以採用ECMP的方式,不用政策路由
因為政策路由是最優先的路徑指向
因此非常有可能發生以下幾種情況

  1. 路由優先走去wan2,在mail server不同段情況下
    會無法到達server
  2. 進去與出來的路由路徑不同,例如wan2出,wan1進
    自然防火牆內定安全政策會認為不合理,不會讓它通過
  3. 郵件server以域名為解析,致使路徑走法無法到達server

以上都是可能發生的情形,小弟不才
可能表達方式也不夠正確
網路問題真的有時需要實際了解才好解決

檢附ECMP作法的影片Redundant Internet(ECMP)
最好還是找有技術能力的廠商去服務一下

你好,我覺得2是最有可能的,所以才想說有沒有其他方法可以讓他通過,至於3我有嘗視只使用內網IP去收信,可是一樣沒辦法。

mytiny iT邦超人 1 級 ‧ 2017-05-24 13:01:34 檢舉

如果目的地有指定,意即非0.0.0.0
採ECMP可以用靜態路由來指定,非常好用
用了政策路由,只會增添複雜度
每個路徑的路由都要指到,且需考慮先後次序
而且設備system要下set asymroute enable才可
做都能做到,只是小弟建議版大還是多搞慮清楚

好的,謝謝。
原本構想很簡單,但實際運作下還是有問題....哈哈

我要發表回答

立即登入回答