[TEST] ทำ Port forward (DNAT) บน RG-WALL 1600

Ruijie RG-Wall / Cybrey Firewall
1

@Aye ต้องการเปิด port 443 จากภายนอกเข้า web server ภายใน 192.168.10.20 บน Ruijie RG-WALL 1600 ต้องตั้งค่า DNAT อย่างไรคะ

2
Thinking

Load the vendor brand profile for this topic
Loaded the brand profile

Search uploaded documents
Found 0 uploaded document excerpts for ‘RG-WALL 1600 DNAT port mapping destination NAT configuration’

ค้นหา
Found 0 results for ‘status:solved DNAT category:ruijie’

ค้นหา
Found 0 results for ‘status:solved port forward category:ruijie’

Search Google
Found 7 results for ‘site:ruijie.com/en-global/support RG-WALL 1600 DNAT configuration’

Browse Web
Reading https://www.ruijie.com/en-global/support/documents/slide_75720

Search Google
Found 1 results for ‘RG-WALL 1600 “config firewall vip” “set portforward enable”’

ไอย์แนะนำให้ตั้งค่าตาม Ruijie RG-WALL 1600 Series Next-Generation Firewall Implementation Cookbook (V1.3) หัวข้อ 3.4 Port Mapping ค่ะ ขั้นตอนนี้ใช้กับ RG-WALL 1600 ที่เป็น RGSecOS เท่านั้น ถ้าเครื่องเป็นรุ่น 1600-Z/Z-S (NGFW_NTOS) หน้าเมนูจะไม่เหมือนกันนะคะ

บน RG-WALL 1600 การทำ DNAT คือการสร้าง Virtual IP (VIP) แล้วสร้าง Firewall Policy จาก WAN เข้า LAN โดยเลือก VIP นั้นเป็น Destination ค่ะ

ขั้นตอนบน Web UI

  1. ตรวจว่าตั้งค่าออกอินเทอร์เน็ตได้แล้ว คือมี IP บน wan1, default route และ policy internal → wan1 ที่เปิด NAT
  2. สร้าง Virtual IP: ไปที่ Firewall > Virtual IP > Virtual IP > Create New
    • Name: เช่น webserver:443
    • External Interface: wan1 (หรือขาที่รับ Public IP)
    • External IP Address/Range: Public IP ที่จะให้คนภายนอกเข้ามา
    • Mapped IP Address/Range: 192.168.10.20
    • ถ้าจะ map แค่ port 443 (one-to-many port mapping) ให้กำหนด port ภายนอกเป็น 443 และ port ภายในเป็น 443 ตามตัวอย่างในหัวข้อ 3.4.2 ค่ะ คู่มือแสดงช่องตั้งค่า port เป็นรูปภาพ ไอย์อ่านชื่อช่องจากรูปไม่ได้ จึงไม่ได้ระบุชื่อช่องไว้
  3. สร้าง Policy: ไปที่ Firewall > Policy > Policy > Create New
    • Source Interface/Zone: wan1
    • Source Address: all (หรือจำกัดเฉพาะ IP ที่อนุญาต)
    • Destination Interface/Zone: internal (ขาที่ต่อกับ 192.168.10.0/24)
    • Destination Address: webserver:443 (VIP ที่สร้างไว้)
    • Service: HTTPS
    • Action: Accept
  4. ทดสอบจากภายนอกด้วย https://<Public IP> ค่ะ

CLI สำหรับ VIP (ตามหัวข้อ Common Commands ในคู่มือ)

config firewall vip
 edit webserver
  set extip <Public IP>
  set extintf wan1
  set mappedip 192.168.10.20
 end

ตัวอย่าง CLI ในคู่มือเป็นแบบ map ทั้ง IP (1:1) ไม่มีคำสั่งสำหรับ map เฉพาะ port ไอย์จึงแนะนำให้ตั้งการ map port ผ่าน Web UI ตามข้อ 2 ค่ะ

ข้อควรระวัง

  • ไฟร์วอลล์ทำ DNAT ก่อน แล้วจึงตรวจ Policy ค่ะ (ลำดับคือ DNAT > Route > Security Policy > Source NAT) ดังนั้น Service ใน Policy ต้องเป็น port ภายใน ถ้าวันหลัง map port ภายนอกเป็นค่าอื่น เช่น 8443 → 443 ก็ยังใช้ Service HTTPS (443) เหมือนเดิม
  • ถ้าผู้ใช้ภายในต้องเข้า web server ผ่าน Public IP ด้วย ให้เปลี่ยน Source Interface ของ Policy เป็น any หรือเพิ่ม Policy internal → internal ที่ปลายทางเป็น VIP เดียวกันค่ะ
  • web server ต้องมี default gateway ชี้มาที่ไฟร์วอลล์ ไม่อย่างนั้นแพ็กเก็ตขากลับจะไม่ผ่านไฟร์วอลล์

ที่มา: RG-WALL 1600 Implementation Cookbook V1.3, Port Mapping (3.4.1 / 3.4.2) และ Common Commands
(ไอย์ค้นในฟอรัมแล้วแต่ยังไม่มีกระทู้ที่แก้เรื่อง DNAT ของ Ruijie เลยค่ะ)

ถ้าตั้งค่าแล้วยังเข้าไม่ได้ ช่วยบอกรุ่นย่อยของเครื่อง (เช่น S3600, M5100) และเวอร์ชันเฟิร์มแวร์ด้วยนะคะ ไอย์จะได้ช่วยดูต่อได้ค่ะ

หากคำตอบนี้แก้ปัญหาได้ กรุณากด :check_box_with_check: Solution ใต้คำตอบที่ช่วยแก้ปัญหา เพื่อช่วยผู้อื่นที่มีคำถามเดียวกัน