iT邦幫忙

1

VDSL升級後IP區段虛擬指向功能無法正常使用

各位先進午安:
小弟公司有兩路中華電信的VDSL,接入一台FortiGate 80c的防火牆:
WAN端的設定如下:
WAN-1:
8個IP(6個可用,假設IP為59.124.1.106到59.124.1.111)
防火牆接入的IP設為59.124.1.111
www指向106,ebook指向107,FTP指向108...
所有外部連線連入後,「虛擬指向」(不知道正確的專用名詞為何,煩請賜告)一切正常
連www的、連eBook的及連FTP的,都能正常工作(我的意思是:雖然防火牆WAN-1埠實體接線指定IP是111;但其他幾個IP的外部連入需求它也會處理)。
WAN-2: 原為5個IP(3個可用,假設IP為61.24.1.160到61.24.1.162)
防火牆接入的IP設為61.24.1.162
mail指向160,SSH指向161,exchange指向162...
原本如同WAN-1,所有外部連線連入後,「虛擬指向」也是正常
連mail的、連SSH的及連exchange的,都能正常工作(防火牆WAN-2埠實體接線指定IP是162;但其他幾個IP的外部連入需求它也會處理)。

問題來了,我們升級了WAN-2後,中華電信另外給了3個IP(241到243),悲劇發生了,WAN-2除了防火牆實接的162外,都不再被處理了!不知道問題出在哪裡...(變成只有真的有接到小烏龜的,才被處理)

找中華電信來看了三次,都無法解決,不知道該如何處理,請大家幫忙,謝謝!

P.S. 進一步測試的結果是:如果在同一個中華電信的子網域下,是可以正常工作的;但只要是該子網域外的,就不被處理...
舉例:故意裝一台筆電在小烏龜後面,設IP為160或241、242、243(和防火牆在同網段),用SSH程式連到161這個IP,它可以連入到公司內部負責SSH的VM,但同一部筆電,拿回家連上網路(IP就和公司不同網段)SSH連線就不被處理,感覺上,好像中華的設備在「上一階」就擋掉要進來的需求...

請各位高手幫幫忙,先謝謝大家了!祝大家設備都乖乖,網路都順暢!

看更多先前的討論...收起先前的討論...
1.「虛擬指向」 <- 虛擬伺服器
2.架構、子網路遮罩(submask)設定有問題
CalvinKuo iT邦大師 7 級 ‧ 2017-12-11 18:28:26 檢舉
WAN該不會改成多機型固六,印象中是Subnet mask: 255.255.255.0,Gateway不在小烏龜在中華電信機房依你的例子是: 61.24.1.254
一般是連續六個IP,怎會給241-243,161-163...
建議版大排查方法,建多個虛擬伺服器對應到內部某IP,就只用ICMP/TELNET這種好測的...真的不行就叫中華電信重給一組連續6個的IP。
terryliu iT邦新手 5 級 ‧ 2017-12-12 14:01:30 檢舉
回應 Blue Jacky 大師:
謝謝您的回應,不知道有沒有更「精確」的專有名詞?
因為「虛擬伺服器」大家可能比較會想到的是「同一IP有好幾台伺服器」
我的狀況比較是「多個沒有接實體設備的IP由同一個防火牆來處理各種服務需求」
另外,防火牆設定沒動,原本可以的功能在升級完就無法使用了!所以,我一直覺得是中華的設定(或設備)造成問題...
再次謝謝您百忙之中的回應,也懇請繼續賜教,謝謝!
CalvinKuo iT邦大師 7 級 ‧ 2017-12-12 14:51:27 檢舉
版大,問一下原來是固3(5用3)改固6,小烏龜的模式(路由器模式/通透模式)應該不一樣,有更換或重新設定嗎? 我會建議更換IP與現場外包工程師(打給客服好好客訴一下,敝公司是有個業務經理可以直接聯絡)
虛擬伺服器在FG-80C/92D介面叫 虛擬IP。我有2台FG-80C,1台FG-92D,都是資安艦隊2010/2013/2016的... 只要設了虛擬IP,不管有沒對應使用防火牆規則,該IP無法使用會有衝突...
ayu iT邦研究生 2 級 ‧ 2017-12-13 02:41:57 檢舉
固六不一定連續喔! 尤其是稍早期的, 完全有可能是固3+固3

會不會是, HINET機房(數據分公司)在處理封包網哪邊送時, 設定出錯誤了呢?
你從外網測試 traceroute 到 160 161 162 241 242 243 各別的結果, 是否不同, 或是到某節點就過不了?

個人已實際遇過類似情況3~4次了! 其中一次是無端把我的IP往別的節點送, 可能在異動別人的IP時順便把我的也改掉了.
還有, .162 那台防火牆, 請關機斷電十分鐘以上再試.
CalvinKuo iT邦大師 7 級 ‧ 2017-12-13 13:26:42 檢舉
我覺得 ayu 大提到的機房問題可能性最大。 可是沒辦法解釋160-161會失效,但162本身正常問題... 除非中華電信有特別的防火牆規則判斷是否為實體設備,ICMP或?
若要測ayu大的 traceroute,要把ICMP打開或轉送到內網設備去。
terryliu iT邦新手 5 級 ‧ 2017-12-13 14:59:03 檢舉
回應 CalvinKuo 大師:
WAN-2是升級時順便改為多機型固六IP,Subnet Mask 的確是 255.255.255.0,Gateway 的確是 61.24.1.254 (P.S. 當然假設的) 也的確是在「中華電信機房」
不是連續六個IP的原因是固3 IP改固6 IP,中華會儘量給連續的IP,但如果已經派給別的用戶,就只好給不連續的。我們原先是 161-163,再加給了241-243。
您建議的排查方法,我也試了,結果是一樣的!
是有考慮請中華電信重給一組連續6個的IP...
謝謝您百忙之中的回應,也懇請繼續賜教,謝謝!
terryliu iT邦新手 5 級 ‧ 2017-12-13 15:08:02 檢舉
再回應 CalvinKuo 大師:
1. 是的,是由固3(5用3)改固6(8用6)
2. 小烏龜的模式(路由器模式/通透模式) 外包工程師是換一台
3. 我也在想,更換一組連續的六個IP,我已經斷斷續續客訴四次了,敝公司也有個業務經理可以直接聯絡,她很熱心轉給其他單位;但一直沒辦法解決!
4. 虛擬伺服器在FG-80C/92D介面叫 虛擬IP => 這需要設定嗎?(但我不認為它是問題點,因為我沒改過,且我出問題的不是新增的三個)
5. 您提到的:「只要設了虛擬IP,不管有沒對應使用防火牆規則,該IP無法使用會有衝突...」可以詳細說明一下嗎?(拜託您)
terryliu iT邦新手 5 級 ‧ 2017-12-13 15:23:46 檢舉
回應 Ayu 大師:
固六不一定連續喔! 尤其是稍早期的, 完全有可能是固3+固3 ==>沒錯,因為原有的IP後面已經有人用了
會不會是HINET機房在處理封包網哪邊送時, 設定出錯誤了呢? ==>我覺得被 Drop 掉了...
你從外網測試 traceroute 到 160 161 162 241 242 243 各別的結果,是否不同, 或是到某節點就過不了? ==> 要測一下
個人已實際遇過類似情況3~4次了! 其中一次是無端把我的IP往別的節點送, 可能在異動別人的IP時順便把我的也改掉了 ==>您怎麼發現的? TraceRT 嗎?.
還有, .162 那台防火牆, 請關機斷電十分鐘以上再試. ==> 這要半夜才能做了... XD
謝謝您百忙之中回應小弟,也懇請繼續賜教,謝謝!
terryliu iT邦新手 5 級 ‧ 2017-12-13 15:30:26 檢舉
再回應 CalvinKuo 大師:
1. 我也覺得 Ayu 大師提到的機房問題可能性最大。(+1)
2. 可是沒辦法解釋160-161會失效,但162本身正常問題... 除非中華電信有特別的防火牆規則判斷是否為實體設備,ICMP 或? ==> 是!我嚴重懷疑他們新的設備會偵測「是否有接實體設備」,因為我若接了電腦、分享器,都可以正常使用,只有「虛擬IP」的功能失效!
若要測Ayu大的 traceroute,要把ICMP打開或轉送到內網設備去 ==> 這點我不熟,得上網爬一下文
再次謝謝您百忙之中的回應,也懇請繼續賜教,謝謝!
0
牛哥
iT邦好手 1 級 ‧ 2017-12-14 11:27:26
最佳解答

若是我的話,會想辦法搞一台對照用的UTM。
(用LINUX裝一台也OK,網路搜尋一下就有教學文可照著做。)
然後針對WAN-2,把你原本的防火牆換下來,使用對照用的UTM去配置同樣的虛擬主機。
再確認一下是否問題出在中華電信?還是你原來的UTM配置有問題?

苦主發文中提到的「虛擬指向」,應該就是類似NAT的作用。
但UTM可以代管ISP派給你的IP區域,功能比NAT更強大。
基本上,企業使用了UTM來管理網路環璄後,
應該是把伺服器之類的主機,以內部私用IP的型式去設置好,
然後用苦主所提到的「虛擬指向」功能去配置伺服器對外的服務。
不知苦主有沒有遵照這個原則呢?或著你要使用DMZ的方式?

苦主的問題敍述,若能搭示意圖,標上IP、PORT等數值,會讓人更好理解哦~

看更多先前的回應...收起先前的回應...
terryliu iT邦新手 5 級 ‧ 2017-12-14 12:26:59 檢舉

回應牛哥大師:
我補上拓撲圖了,請看上面一點的回應,謝謝...(避免重覆太多次)
我的防火牆沒有任何變動,所以應該不是設定的問題
(是中華電信升級完,該功能就不行了,姑且稱之為「代管WAN IP功能」吧)
P.S. 剛剛補上的圖,有大概標示了比較詳細的資料了,謝謝!

terryliu iT邦新手 5 級 ‧ 2017-12-14 15:25:46 檢舉

補上最完整的圖,同一部防火牆,左右區塊本來都正常,升速並多加 3 個IP後,右邊就變成現在的怪狀況了!
感覺上,右邊在同一個Router下,要求可以正常被處理(不過,我沒有配發外同網段的IP可測...);但只要出了Router就不行了...怪哉!
完整圖

CalvinKuo iT邦大師 7 級 ‧ 2017-12-15 01:00:45 檢舉

看了這張圖,個人覺得WAN2的防火牆設定應該沒問題。 不然61.24.1.243應該是不會通。中華電信機房設定問題(Ayu大提到的IP轉送錯誤問題)...
要測很簡單,防火牆WAN2斷線,找台會回應ICMP的設備電腦或無線AP都行,IP設定為外網無法用的61.24.1.160,用外網TRACERT回來,要我會用手機分享WIFI用筆電測試。若是轉送到其他地方去,就拍照印出來叫中華電信處理....

牛哥 iT邦好手 1 級 ‧ 2017-12-15 01:19:45 檢舉

同感!
答案呼之欲出~

terryliu iT邦新手 5 級 ‧ 2017-12-21 17:31:10 檢舉

回應 CalvinKuo 大師:
防火牆 WAN2 為何要斷線呢?可以解答一下嗎?謝謝!

terryliu iT邦新手 5 級 ‧ 2018-04-12 16:07:28 檢舉

好的...各位觀眾...謎底揭曉!
果然是中華電信的設定有誤,我最近密集打電話去中華的機房(2344-2307),換了三位工程師陪我測試,雖然還是沒能當下解決問題;但至少有一點結論!
最後結論是由我打電話給「企業客服經理」,請企客這邊由內部提出申請,讓我帶著我的防火牆去「機房」的會議室"實測"給他們看,釐清問題到底是他們的設定還是我這邊的設定有問題!
企客後來回覆我,幫我找另一組人試試,沒想到隔天就有位先生打電話給我,承認他們的設定"似乎"不妥,已經修改相關設定,請我再測試看看...結果-----「它就好了」!

0
Blue Jacky
iT邦大師 1 級 ‧ 2017-12-13 10:15:10

依你的敍述,繪製網路拓樸如下:
https://ithelp.ithome.com.tw/upload/images/20171213/20065474v2Z1mKeouQ.jpg

59.124.1.111(FortiGate 80c)功能如同路由、閘道
這樣大家比較瞭解問題所在,免得一群人胡亂猜。

問題不在中華電信,你只是先前幸運"投機"成功。
請檢查 FortiGate 80c 的 gateway 相關設定。

一般都是像下圖的左下區域或右上區域的架構,少數特殊個案採不同連接方式。
https://ithelp.ithome.com.tw/upload/images/20171213/20065474k94Xn1iU3N.jpg

terryliu iT邦新手 5 級 ‧ 2017-12-13 15:33:23 檢舉

謝謝 Blue Jacky 大師,感謝您為此還畫了圖!小弟也有想過畫圖(正在畫),謝謝您!
我的狀況和您畫的不同,容小弟稍後補上,謝謝!

terryliu iT邦新手 5 級 ‧ 2017-12-14 11:50:26 檢舉

補上架構圖:
http://www.ProLAN.com.tw/CCLMtemp/Map001.jpg

0
CalvinKuo
iT邦大師 7 級 ‧ 2017-12-13 18:24:15

我不是啥大師,只是之前回答問題多了吧...

下面這個是我們家電話公司廠商遠端連線進來用的虛擬IP
https://ithelp.ithome.com.tw/upload/images/20171213/200467401jPluvQZSH.jpg

會發現虛擬IP會占用IP問題,那是因為我每三年換一次資安艦隊合約拿新的防火牆。
舊防火牆改IP作為WIFI上網的Gateway,在重新設定規則時,把虛擬IP相關防火牆規則刪除,虛擬IP還是會被占用該IP,造成使用該IP的設備衝突無法聯網,直到虛擬IP被刪除。

若是IP衝突,可以試著在小烏龜那邊直接連台電腦用外網IP(使用無法對應的IP 160/161),開久一點看看會不會有IP衝突(印象中半小時就會出現),另外用ARP指令查詢MAC與IP對應是否正常,還不行就抓封包看看有無異常。

https://www.ithome.com.tw/node/54461 ARP掛馬問題 通常發生在區網
http://www.netadmin.com.tw/article_content.aspx?sn=0808050013 封包分析

terryliu iT邦新手 5 級 ‧ 2017-12-14 12:22:16 檢舉

謝謝 CalvinKuo 大師:
我的拓撲圖如下:
拓撲圖

我要發表回答

立即登入回答