|
在上一篇 Virtual IP設定 中有提到，reflexive功能有個原廠不願意承諾的bug。
這個bug的產生，是因為在XG中啟用reflexive功能後，
XG只會建立一個反向規則給該服務主機連外使用。
原廠David回覆如下， Shunze，
在Business Application Rule中的Reflexive Rule選項的意義，是系統會自動建立另一條相同條件的規則，但是將來源和目的欄位的值對調。
因此，所以有的設定中，也會包含到NAT的設定。
假如您在設定Business Application Rule時，沒有將NAT選項啟用。
系統自動建立的規則，自然也不會啟用NAT，也就會造成連線到網際網路失敗的狀況。
因此，建議可以自行建立Network Rule來做為對外連線的規則，這樣會比較合理。
其意為
原本外對內的Virtual IP規則中未加NAT，所以reflexive後的內對外，也不會加NAT。
而位在內部的服務主機其IP是私有IP，
請問各位，若不做NAT，私有IP有辦法直接連外嗎？
答案當然是否定的。
而這個XG自建的reflexive規則不僅看不到，也不提供修改；
所以這個XG自帶的reflexive規則根本就是個雞肋。
它唯一適用的情境是，當外對內的Virtual IP規則中，有啟用來源端轉址(NAT)時，reflexive功能才能正常運作；
但一旦套用NAT後，後端服務主機也無從識別外界訪客的個別IP！？
所以啟用NAT後，reflexive才能正常運作根本就是雞肋！
抱怨完了，接著來看看如何正常的建立一個Reflexive Rule？
其實很簡單，就是手動建一條內對外的Network Policy，並指定MASQ要轉到Alias IP，
然後移到Virtual IP policy之前，讓它比Virtual IP的規則提早生效。
這樣不是有點麻煩嗎？
沒錯，reflexive rule在Cyberoam是正確的，而且也可以修改的。
但既然用了XG，面對這樣的bug，原廠選擇無視它？那我們只能接受它、放下它；
放棄或無視這個功能，然後乖乖的自行手動建立reflexive規則...
♥順子老婆的網拍，請多關照∼
If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!
|
2016-09-05, 16:37
《分享》Virtual IP設定
《分享》手動自行建立Reflexive Rule