Encaminhamento de porta no Fortigate 50B

Question

Tenho sérios problemas em configurar o encaminhamento de porta em um Fortigate 50B. A unidade está basicamente rodando como padrão de fábrica, a interface wan1 está conectada ao meu modem de internet de fibra ótica e minha lan está conectada ao switch interno do Fortigate. A política de firewall padrão de fábrica que permite o tráfego da interface interna para wan1 é mantida e eu posso acessar o interet como normal.

Em seguida, adicionei um ip virtual e uma política de firewall para permitir o acesso da Internet aos servidores locais (ip 192.168.9.51) webserver (porta padrão 80). As configurações que fiz são as seguintes.

Editar mapeamento de IP virtual

Name : Server VIP
External interface : wan1
Type : Static NAT
Extermal IP Address/Range : 0.0.0.0
Mapped IP Address/Range : 192.168.9.51
Port Forwarding : not checked

Política de firewall

Source interface/Zone : wan1
Source address : all
Destination interface/Zone : internal
Destination address : Server VIP
Schedule : always
Service : HTTP
Action : ACCEPT
no other settings checked

O que acontece agora é que não consigo acessar a Internet do meu servidor, também não estou acessando o servidor da Internet. Eu sou capaz de fazer ping em um site do lado de fora, mas todo o tráfego da web é bloqueado, nos dois sentidos.

Eu verifiquei a documentação, mas até onde eu sei, configurei isso corretamente. Alguém aqui com conhecimento de Fortigate port forwading / NAT?

    

Answer 1

Bem .. Eu encontrei a solução:

Edit Virtual IP Mapping

Name : Server VIP
External interface : wan1
Type : Static NAT
Extermal IP Address/Range : xxx.xxx.xxx.xxx  <- insert external IP here
Mapped IP Address/Range : 192.168.9.51
Port Forwarding : not checked

Acontece que você tem para inserir o ip externo da interface wan1 e não usar 0.0.0.0, pois os estados da documentação devem ser válidos para qualquer ip. Isso é uma porcaria, já que todos os redirecionamentos de portas vão parar de funcionar se minha interface wan mudar o endereço IP depois de um powerloss, por exemplo. Mas pelo menos isso funciona agora.

    

Answer 2

Você definitivamente precisa verificar o NAT na política de firewall com o seu VIP se você estiver usando o NATing. Tente isso primeiro.