作者conlich (clcy)
看板NetSecurity
標題[問題] SSG5的設定.
時間Tue Sep 21 22:24:11 2010
大家好,小弟最近在設定SSG5時遇到一個怪問題.
就是小弟的環境裡有3個實體IP,其中兩個IP分派給兩台SERVER.
所以小弟就設定成...
10.1.1.1 ->SSG5的外部IP
10.1.1.2 ->指給MAIL
10.1.1.3 ->指給OTHER
內部的IP為
192.168.1.254 ->SSG5的內部IP
192.168.1.200 ->MAIL SERVER
192.168.1.201 ->APP OTHER
就小弟所知道的,就是先把SSG5的主要IP設定好.
然後去MIP裡把192.168.1.254設定跟10.1.1.1在一起
再來去設定VIP.
VIP1:10.1.1.2
service:
192.168.1.200 port:25
192.168.1.200 port:110
192.168.1.200 port:80 (web mail)
policy:
untrust any ->trust VIP(10.1.1.2) service:mutile 25,110,80
trust any<->any
設定完後,內部上網沒有問題,但是外部要連線到內部的mail server都進不來.
小弟有把log勾起來,也看不到任何連線進來的log...(DNS有設定了)
請問這樣子是什麼問題嗎??
謝謝.
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 114.32.102.138
1F：推 JohnMyung:如果只是單一實體IP對內部單一虛擬IP不是設定MIP嗎? 09/22 02:31
2F：→ JohnMyung:雖然VIP也可做到.不過按照你的需求我會覺得MIP比較省事 09/22 02:33
3F：→ conlich:您好,我是三個實體IP對多個虛擬IP(BY PORT),所以我有 09/22 12:38
4F：→ conlich:設定MIP也有設定VIP.MIP用來設定直接連到SSG5的WEB UI 09/22 12:39
5F：→ conlich:VIP設定其它的服務. 09/22 12:39
6F：→ JohnMyung:是說外部client直接設定mail server ip呢? 09/22 12:45
7F：→ JohnMyung:可以在policy最後設定:untrust any >trust any deny 09/22 12:48
8F：→ JohnMyung:並且勾選log，確認外部client使否有連到firewall 09/22 12:49
9F：→ JohnMyung:如果外部都連不到firewall這樣你上面就是設心酸囉 09/22 12:50
10F：→ conlich:嗯...就是連LOG都沒有才心酸...原本在用的是OK的.備援機 09/22 18:30
11F：→ conlich:上線就發生這個狀況.感覺是ATU-R找不到SSG5.. 09/22 18:30
12F：→ winkissimo:policy裡的service改成any試試 10/06 21:34