เห็น Policy: ACCEPT แล้ว Case อาจยังไม่จบ เพราะการที่ Firewall อนุญาต Traffic เป็นข้อมูลเพียงส่วนหนึ่งของสิ่งที่กำลังเกิดขึ้นบนเส้นทางนั้น

เคสนี้เริ่มต้นเหมือนจะง่าย ผู้ใช้งานแจ้งว่าเข้า Server ปลายทางไม่ได้ เปิด FortiGate ขึ้นมาดู พบว่า Source และ Destination เป็นไปตามที่กำหนด Service ก็ตรงกับเงื่อนไข และ Policy ก็ Match

Action: ACCEPT ✓

มาถึงตรงนี้ Traffic ดูเหมือนควรไปต่อได้แล้ว หน้า Application กลับยังนิ่ง... ถ้าเป็นคุณ จะเปิดดูอะไรต่อ?

Route? NAT? Security Profile? หรือ Log? คำตอบของเคสนี้อาจไม่ได้อยู่ในหน้าจอเดียว เพราะ Policy ช่วยบอกว่า Traffic ตรงกับ Rule ไหน ส่วนสาเหตุที่ใช้งานไม่ได้ยังต้องอาศัยข้อมูลจากจุดอื่นมาประกอบกัน

เบาะแสที่ 1: Traffic กำลังไปทางไหน?

อีกจุดที่ควรดูคือ Route Table หรือตารางเส้นทาง ว่า FortiGate มองเห็น Network ปลายทางผ่าน Interface ใด และเลือก Next Hop หรือจุดส่งต่อถัดไปเป็นอะไร

มี Static Route, Default Route หรือเส้นทางอื่นเข้ามาเกี่ยวข้องหรือเปล่า?

Source, Destination และ Service อาจตรงตาม Policy ทุกอย่าง ขณะที่เส้นทางที่ระบบเลือกกลับต่างจากโครงสร้างเครือข่ายที่วางไว้ สิ่งที่ผู้ใช้งานเห็นจึงยังเป็นคำเดิม “เข้าไม่ได้”

เบาะแสที่ 2: Address ถูกแปลงเป็นอะไร?

อีกส่วนที่ควรเชื่อมเข้ามาคือ NAT หรือการแปลง Address

Source Address มีการแปลงหรือไม่? ฝั่ง Destination มี VIP (Virtual IP) หรือ Destination NAT เข้ามาเกี่ยวข้องหรือเปล่า? และเมื่อ Traffic ไปถึงอีกฝั่ง ระบบปลายทางมองเห็น Address อะไร? บางเคสเส้นทางดูปกติ ขณะที่ Address ที่ใช้จริงระหว่างการสื่อสารต่างจากค่าที่เรากำลังไล่ดู หากมองเฉพาะต้นทางกับปลายทางจากหน้า Policy จุดนี้จึงหลุดสายตาได้ง่าย

เบาะแสที่ 3: Traffic นี้มี Security Profile อะไรเข้ามาเกี่ยวข้องบ้าง?

Antivirus, Web Filtering, IPS หรือ Application Control อาจเข้ามาทำงานกับ Traffic ตามการตั้งค่าที่กำหนดไว้ ตรงนี้ทำให้คำว่า ACCEPT กับ ใช้งานสำเร็จ ตอบคนละเรื่องกัน ACCEPT ช่วยยืนยันว่า Traffic ตรงกับเงื่อนไขของ Policy และได้รับอนุญาตตาม Rule ที่ตั้งไว้ ส่วนสิ่งที่เกิดขึ้นกับ Session จริงยังต้องอาศัยข้อมูลจากจุดอื่นมาช่วยต่อภาพให้ครบ

แล้วจะรู้ได้อย่างไรว่าปัญหาเกิดขึ้นที่จุดไหน?

ตรงนี้ Log หรือบันทึกเหตุการณ์, Monitoring หรือการติดตามสถานะ และ Diagnostic Tools หรือเครื่องมือวิเคราะห์ปัญหาเริ่มมีบทบาทมากขึ้น Log ช่วยให้เห็นว่า Traffic ถูกจัดการอย่างไร Monitoring ช่วยให้เห็นสถานะและพฤติกรรมที่กำลังเกิดขึ้น ส่วน Diagnostic Tools ช่วยทดสอบสมมติฐานที่เราตั้งไว้ ทำให้การไล่ปัญหามีทิศทางมากกว่าการเปิด Configuration ทีละหน้าแล้วหวังว่าจะเจอค่าที่ผิด

จากข้อมูลตั้งต้นเพียงว่า “User เข้าไม่ได้” เราจึงค่อยๆ ทำให้ปัญหาชัดขึ้นได้ว่า ตอนนี้ Traffic อยู่ที่จุดไหน และข้อมูลที่มีอยู่กำลังชี้ให้ดูอะไรต่อ ถ้าจะจำเคสลักษณะนี้ให้สั้นลง สามารถสรุปเป็น 4 มุมได้

• — PATH — เส้นทาง: Traffic กำลังถูกส่งไปทางไหน
• — TRANSLATION — การแปลง Address: ต้นทางหรือปลายทางถูกแปลงเป็นค่าอะไร
• — INSPECTION — การกลั่นกรอง Traffic: มี Security Control ใดเข้ามาเกี่ยวข้องบ้าง
• — EVIDENCE — หลักฐาน: Log, Monitoring และ Diagnostic กำลังบอกอะไร

4 มุมนี้เป็นกรอบช่วยตั้งคำถาม “เวลาต้องไล่หาสาเหตุของปัญหา” เพื่อให้แต่ละสิ่งที่เปิดดูมีเหตุผลรองรับ และค่อยๆ ตัดความเป็นไปได้ออกทีละส่วน

มุมการทำงานลักษณะนี้สามารถต่อยอดได้ในหลักสูตร FortiOS 7.6 Administrator

ภายในคลาส ผู้เรียนจะได้ฝึกผ่าน Interactive Labs ตั้งแต่การตั้งค่าระบบและเครือข่าย การดู Log และติดตามสถานะ การจัดการ Firewall Policy และ NAT การกำหนดเส้นทาง การยืนยันตัวตน การใช้งาน Security Profiles รวมถึง IPsec VPN, SD-WAN, High Availability ตลอดจนการวิเคราะห์และแก้ไขปัญหาที่เกิดขึ้นบน FortiGate

เหมาะสำหรับผู้ที่ทำงานด้าน Network และ Security ซึ่งมีหน้าที่ตั้งค่า ดูแล และติดตาม FortiGate รวมถึงต้องการมองเห็นความสัมพันธ์ของแต่ละส่วนชัดขึ้นเมื่อต้องใช้งานหรือแก้ปัญหาจริง

สนใจต่อยอดทักษะด้าน Network และ Security บน FortiGate

ไม่ว่าจะเป็นการอบรมรายบุคคล หรือพัฒนาทีมงานในองค์กร

หากอยากพูดคุยว่าพื้นฐาน FortiGate ที่มีอยู่ ควรต่อยอดทักษะด้านไหน หรือ FortiOS 7.6 Administrator เชื่อมกับบทบาทที่รับผิดชอบอย่างไร ปรึกษากับทีม NTC ได้ค่ะ LINE: @NTC-LINE