2021年9月2日 星期四

Fortigate IP/MAC 綁定

 

Fortigate IP/MAC 綁定,更嚴謹的網路控管。

這類文章網上很多了,所以本篇是寫給我自己看的。

談到Firewall的IP/MAC綁定,先說明其功用。所謂IP/MAC綁定,即是IP/MAC Binding,意思是檢查到達Firewall並要出去外網的IP封包,是否附合指定的MAC。更簡單來說,指定的電腦要配合管理員指定的IP,才能通過Firewall出去外網。

通常幾步要做。
一‧ 設定DHCP Server(如果Client是設定固定IP的話,這步驟可省略)
就是因應不同上網設備(或更深層地說,是網卡),給他們指定固定的內網IP,在IP/MAC綁定上是必要的,如果DHCP Server本身不能派給上網設備一個指定的IP,可能讓設備本身得不到正確的IP而不能上網。當然,就算不做IP/MAC綁定也好,為了方便Firewall Policy的設置,也應該做一個DHCP指定IP的設定。設定步驟如下:

打開Console
>config system dhcp reserved-address
>edit Ivan-Computer
>set ip 192.168.1.100
>set mac 00:aa:bb:cc:dd:ee
>end

二. 設定IP/MAC Binding table
設定好DHCP reserved table之後,就要設定IP/MAC Binding table。這個表記載著MAC與IP的配對資料。設定步驟如下:

打開Console
>config firewall ipmacbinding table
>edit 1  (註: 用數字作為id)
>set ip 192.168.1.100
>set mac 00:aa:bb:cc:dd:ee
>set name Ivan-Computer
>set status enable
>end

三. 啟動Firewall上的IP/MAC Bindnig
DHCP和IPMAC Binding 的表都設置完成後,就可以啟動Firewall上的IP/MAC Binding。
設置步驟如下:

打開Console
>config firewall ipmacbinding setting
>set bindthroughfw enable   (對出外網的連線作檢查)
>set bindtofw enable   (對存取Firewall的連線作檢查)
>set undefinedhost block  (對不符合IP/MAC的連線,拒絕)
>end

四. 對內網的設備啟動ipmac bind
不啟動就不會做檢查了
>config system interface
>edit internal
>set ipmac enable
>end

上方的internal 要視乎你要啟用那一個內網接口,如果你全部接在Internal1,則就設定internal1

設置完成。

心得:本篇介紹了設置DHCP和IP/MAC Binding,在設置上有些需要留神的,例如因為要更改客戶設備的IP,最好等用戶都關機後再做,讓他們重新派IP,若不能停的話,就要小心注意IP衝突問題。另外,就算設置了DHCP表,如果有不認識的電腦連結到內網,DHCP也可能派發IP,所以你要小心注意你DHCP Server上派發IP的範圍。

還有就是,以上這些設置,都是防火牆和客戶端中間的關聯,如果有 Server在同一個內網段中,則用戶還是可以自己設定IP,連上這些Server而不受防火牆限制呢。

以上內容出至於 Ivan IT' Notes: Fortigate IP/MAC 綁定,更嚴謹的網路控管。 (it-ivan.blogspot.com)

1 則留言:

  1. HP DL380 Gen9 Rack Server in UAE, Proliant 2U Rack Server in UAE, Rack Server in UAE
    https://gccgamers.com/hp-dl380.html
    HP DL380 Gen9 Rack Server in UAE, Safe Shopping Multiple Payment Options Express Delivery GCC Gamers Moneyback Guarantee.
    1634537121407-8

    回覆刪除