iT邦幫忙

0

請教Fortigate 政策路由的問題

fortigate fortinet fortios
chenc001 2019-02-18 01:39:23 ‧ 10550 瀏覽

  • 分享至 

  • xImage

請教Fortigate 政策路由的問題
假設環境有一條中華 一條遠傳
中華固i: 60.245.185.130~136
遠傳固i: 210.30.240.135~9

WAN1:設定為60.245.185.130
WAN2:設定為210.30.240.135

內網某IP想走中華固i的60.245.185.136這個IP出去

剛接觸Fortigate的設備，就按照以前的做法
從中華ADSL後面接一條網路線到Fortigate的某個port上
接哪個port的角色設為WAN，用戶定義60.245.185.136/24，然後再來設定政策路由
但會出現 和 'wan1' 子網路相衝突

後來有在WAN1設定第二IP:60.245.185.136
然後再去政策路由 出去介面:WAN1
但測試後ip還是60.245.185.130

請問在不改WAN1:設定為60.245.185.130的情況下，如何讓內網某IP想走中華固i的60.245.185.136這個IP出去呢?

最後附上
機器型號:200D
韌體版本:v5.4.9,build1202

希望大大能提供設定方式，感謝!

phl0722 iT邦研究生 1 級 ‧ 2019-02-19 15:24:12 檢舉
我公司也是兩條固定IP專線，兩條都是中華，我是用FD100，我目前是一條用default route 設定跑WAN1，另一條WAN2設一固IP後做POLICY ROUTE 去路由出去(可設定範圍IP)。但外到內只能跑WAN1進來，WAN2無法做到外到內...尚在研究中...
mytiny iT邦超人 1 級 ‧ 2019-02-19 21:49:33 檢舉
兩條WAN的距離值要一樣
由優先權值來定default route
然後政策路由要仔細設定來與回的路徑

如果可能，推薦試試FortiOS 6.0.4
用其中的SD-WAN，放棄用政策路由
新版的Fortigate可以根據source來指定外線
登入發表討論
圖片
  直播研討會
圖片
{{ item.channelVendor }} {{ item.webinarstarted }} |
{{ formatDate(item.duration) }}
直播中

1 個回答

1
mytiny
iT邦超人 1 級 ‧ 2019-02-18 09:03:36
最佳解答

樓主的狀況應該與政策路由無關
主要還是防火牆政策裡的NAT有關

因為缺乏型號與版本相關資料
但是政策NAT可以設IP POOL
IP POOL中可以指定出WAN 1的IP位置

好奇樓主應當請設備經銷商解決問題
畢竟經銷商建置應當最清楚狀況才是
如果還有進階討論歡迎再來研究

看更多先前的回應...收起先前的回應...
竹本立里 iT邦好手 1 級 ‧ 2019-02-18 11:22:51 檢舉

IP POOL +1
然後設定群組
哪個群組走哪個 WAN

請設備經銷商解決問題
畢竟經銷商建置應當最清楚狀況才是+1

chenc001 iT邦新手 5 級 ‧ 2019-02-19 14:22:35 檢舉

感謝大大的回覆

有在別的地方詢問，某大提供的
FortiGate 200D 連外實體 IP 設定
http://w3.nhps.tp.edu.tw/cptech/upload/FortiGate%20200D%E9%80%A3%E5%A4%96%E5%AF%A6%E9%AB%94IP%E8%A8%AD%E5%AE%9A.pdf
依照上述方式，測試過還是不行

最後附上
機器型號:200D
韌體版本:v5.4.9,build1202

希望大大能提供設定方式，感謝!

mytiny iT邦超人 1 級 ‧ 2019-02-19 21:49:21 檢舉

雖然樓主的是OS 5.4的版本
文件小弟仔細看過了，實作觀念是一樣的
不知樓主測試不行到底是哪裡不行，
可否截圖來看看或描述狀況
另外WAN1設定第二IP有取消掉嗎?
不然可能會衝突哦

其實真心建議大家慎選服務廠商
在下知道在一開始購買時難以辨識能力
但其實從規劃開始及功能演示就可以看出廠商能力
溝通過程中把需要的內容寫成文字紀錄並據以為驗收標準
同時記得給予廠商相對的技術服務費用
(技術服務一分價錢一分貨，真心不騙)

如果可能，推薦試試FortiOS 6.0.4
用其中的SD-WAN，放棄用政策路由
新版的Fortigate可以根據source來指定外線
卻仍能保有原靜態路由的規則
願意嘗試新功能的服務廠商才是好廠商
在下會大力推薦
畢竟Fortinet的能耐早就不是以往的UTM四合一了

chenc001 iT邦新手 5 級 ‧ 2019-02-20 10:45:16 檢舉

小弟的單位，還有一台200D備用的，先重設工廠模式

WAN1:x.x.x.146
https://ithelp.ithome.com.tw/upload/images/20190220/20115376qD8Gshy0OG.jpg

LAN:192.168.100.99/24 DHCP:110~210 原廠預設
https://ithelp.ithome.com.tw/upload/images/20190220/20115376dA9kV0tfMS.jpg

PC使用DHCP
https://ithelp.ithome.com.tw/upload/images/20190220/20115376pnWuBDTujY.jpg

再來新增地址
https://ithelp.ithome.com.tw/upload/images/20190220/20115376xkJMRWMwhr.jpg

新增IP Pool x.x.x.147
https://ithelp.ithome.com.tw/upload/images/20190220/20115376RNvcDCwBCQ.jpg

新增ipv4政策
https://ithelp.ithome.com.tw/upload/images/20190220/201153760U78US8gkI.jpg

設定完成之後，用whois查詢顯示x.x.x.146
不是IP Pool x.x.x.147
https://ithelp.ithome.com.tw/upload/images/20190220/20115376CtAwm5GkpH.jpg

已經依照步驟設定還是不行...
麻煩各位大大了...

另外請教目前OS 5.4的版本備份的 系統設定檔
若之後200D的OS升級至6.0.4的話，還可以用當初OS 5.4的版本備份的 系統設定檔 還原嗎?
感謝!

chenc001 iT邦新手 5 級 ‧ 2019-02-20 11:17:53 檢舉

後來有試著ipv4政策名稱:lan to wan 手拉下移 147上移
https://ithelp.ithome.com.tw/upload/images/20190220/20115376wSQwt1PloN.jpg

https://ithelp.ithome.com.tw/upload/images/20190220/20115376HG7esNBrNr.jpg

之後用whois查詢顯示x.x.x.147 成功了!
感謝各位大大!

mytiny iT邦超人 1 級 ‧ 2019-02-20 11:35:08 檢舉

只能初步看了一下(稍晚再仔細看看)
感覺設定都很正常，沒有錯誤的地方
畢竟不是經銷商，沒法到現場了解狀況
設備通常不會出錯，一定有什麼地方疏漏了
建議查看一下路由或其他設定有沒有敲錯
也可以試一下封包擷取，看看到底有沒有轉對

OS的版本跟config一定要匹配
OS的升級一定要看原廠步驟
如果嫌升級步驟太多
可以把config分段改成txt檔
修正格式後，倒進新的OS版本
很多工程師都是這樣做的
不同OS硬倒config會有不可預知的後果！

mytiny iT邦超人 1 級 ‧ 2019-02-20 11:38:58 檢舉

暈倒，不早說
如果192.168.100的網段要走147
當然防火牆政策要先放在前面呀(用滑鼠拖一下)
其他的網段才會走原來wan1介面的IP
防火牆政策是有先後順序的

chenc001 iT邦新手 5 級 ‧ 2019-02-20 11:43:07 檢舉

感謝mytiny大大的耐心指教
小弟剛接觸Fortigate的設備不久，不知道可以用滑鼠拖一下

登入發表回應

我要發表回答

立即登入回答
iThome鐵人賽
參賽組數
1064 組
團體組數
40 組
累計文章數
22179 篇
完賽人數
597 人
iT+看影片追技術 看影片追技術 看更多
熱門tag 看更多
15th鐵人賽 16th鐵人賽 13th鐵人賽 14th鐵人賽 12th鐵人賽 11th鐵人賽 鐵人賽 2019鐵人賽 javascript 2018鐵人賽 python 2017鐵人賽 windows php c# windows server linux css react vue.js
熱門問題
熱門回答
熱門文章
IT邦幫忙