Fortigate 外部dns 無法ping 到內部主機

#fortigate #dns #firewall

arthur 2022-09-05 21:47:42 ‧ 1901 瀏覽

我在虛擬機架設mail server，然後我dns有監聽wan孔，但我用ping功能，去ping我的虛擬機時ping不到，當我將虛擬機和客戶端連vpn時，客戶卻可以ping到，請問哪裡我有那裡設定錯誤嗎?
這是我的內部DNS

直播研討會

{{ item.channelVendor }} {{ item.webinarstarted }} |

直播中

zyman2008

iT邦大師 6 級 ‧ 2022-09-06 13:01:37

要讓 Internet 可以連你要公開的內部網路服務, 在你的防火牆(Fortigate)要做兩個設定.
1.DNAT Port forwarding, 將 Public IP - port/protocol 對應到內部服務
Fortigate 的設定叫做 VIP (virtual IP)
https://docs.fortinet.com/document/fortigate/6.0.0/cookbook/419996/creating-virtual-ip-addresses

2.防火牆規則, 允許 wan to lan 的內部服務
加一條 IPv4 policy. 注意 destination 要選上面建的 VIP 物件.
https://docs.fortinet.com/document/fortigate/6.0.0/cookbook/502582/creating-a-security-policy

Note:
如果你想從內網測試這個 VIP 的 port fowarding. 要處理 NAT hairpin 問題.
https://community.fortinet.com/t5/FortiGate/Technical-Tip-Configuring-Hairpin-NAT-VIP/ta-p/195448
但如果你用 split DNS, 內網 DNS 查詢回內網 IP, 外網查詢回 public IP. 就不需要處理 NAT hairpin.