У меня серьезные проблемы с настройкой переадресации портов на Fortigate 50B. Устройство в основном работает по умолчанию, интерфейс wan1 подключен к моему оптоволоконному интернет-модему, а моя локальная сеть подключена к внутреннему коммутатору Fortigate. Заводская политика брандмауэра по умолчанию, разрешающая трафик от внутреннего интерфейса к wan1, сохраняется, и я могу получить доступ к интерфейсу как обычно.
Затем я добавил виртуальный IP-адрес и политику брандмауэра для разрешения доступа из Интернета к моим локальным серверам (IP 192.168.9.51), веб-серверу (стандартный порт 80). Я сделал следующие настройки.
Изменить сопоставление виртуальных IP-адресов
Name : Server VIP
External interface : wan1
Type : Static NAT
Extermal IP Address/Range : 0.0.0.0
Mapped IP Address/Range : 192.168.9.51
Port Forwarding : not checked
Политика межсетевого экрана
Source interface/Zone : wan1
Source address : all
Destination interface/Zone : internal
Destination address : Server VIP
Schedule : always
Service : HTTP
Action : ACCEPT
no other settings checked
Что происходит сейчас, так это то, что я не могу получить доступ к Интернету со своего сервера, я также не могу подключиться к веб-серверу из Интернета. Я могу пинговать сайт извне, но весь веб-трафик блокируется в обе стороны.
Я проверил документацию, но, насколько я могу судить, все настроил правильно. Здесь есть кто-нибудь со знанием перенаправления портов Fortigate / NAT?
Ну .. Я нашел решение:
Edit Virtual IP Mapping
Name : Server VIP
External interface : wan1
Type : Static NAT
Extermal IP Address/Range : xxx.xxx.xxx.xxx <- insert external IP here
Mapped IP Address/Range : 192.168.9.51
Port Forwarding : not checked
Я получаю тебя иметь чтобы ввести внешний IP-адрес интерфейса wan1 и не использовать 0.0.0.0, поскольку в документации указано, что он действителен для любого IP-адреса. Это дерьмо, поскольку все переадресации портов перестанут работать, если мой интерфейс WAN изменит IP-адрес, например, после потери питания. Но, по крайней мере, сейчас это работает.
Вам обязательно нужно проверить NAT в политике брандмауэра с вашим VIP, если вы используете NAT, все выходит. Сначала попробуйте это.