Tips แก้ปัญหา Network ทุกองค์กร Firewall Block อะไรอยู่ดูอย่างไร❓❓❓

Tips แก้ปัญหา Network ทุกองค์กร  Firewall Block อะไรอยู่ดูอย่างไร

เมื่อผู้ใช้งานแจ้งว่า
 เข้าเว็บไซต์ไม่ได้ 
 เปิดโปรแกรมไม่ได้ 
 Remote ไม่ได้ 
 VPN ใช้งานไม่ได้ 
 Ping ไม่ผ่าน
คำถามแรกที่ต้องตอบให้ได้คือ "Firewall กำลัง Block อะไรอยู่หรือไม่"
-----------------------------------
ให้ตรวจสอบตาม Step ขั้นตอนดังนี้
 1. ตรวจสอบ Firewall Log
Firewall ทุกยี่ห้อ เช่น
• Fortinet FortiGate 
• Palo Alto Networks 
• Sophos Firewall 
• Cisco Secure Firewall 
 จะมีเมนู Log สำหรับดู Traffic ที่ถูกอนุญาตหรือถูก Block
ตัวอย่างข้อมูลที่ควรดู
Source IP : 192.168.1.10
Destination IP : 8.8.8.8
Service : HTTPS
Action : Deny
Policy ID : 0
Reason : Implicit Deny
 หากพบ Action = Deny / Block แสดงว่า Firewall กำลังปฏิเสธการเชื่อมต่อนั้น
-----------------------------------
 2. Filter Log ตาม IP ผู้ใช้งาน
สมมติเครื่องมี IP
192.168.10.50
 ให้ค้นหา Log ด้วย IP นี้
จะเห็นว่า
Source : 192.168.10.50
Destination : 172.217.xxx.xxx
Action : Deny
 ทำให้ทราบทันทีว่า Firewall กำลัง Block การเชื่อมต่อจากเครื่องดังกล่าว
-----------------------------------
 3. ตรวจสอบ Policy Hit Count
Firewall ส่วนใหญ่มี Hit Counter
ตัวอย่าง
Policy 10 : Allow Internet
Hits = 5000
Policy 20 : Block Social Media
Hits = 300
 หากจำนวน Hits ของ Policy Block เพิ่มขึ้นเรื่อยๆ แสดงว่ามี Traffic ถูก Block อยู่จริง
-----------------------------------
 4. ตรวจสอบ Session
บางครั้ง Policy อนุญาตแล้ว แต่ Session ไม่ถูกสร้าง
ตรวจสอบ
Source IP
Destination IP
Port
Protocol
 หากไม่พบ Session
อาจเกิดจาก
• Firewall Block 
• Routing ผิด 
• NAT ผิด 
• ISP มีปัญหา 
-----------------------------------
 5. ใช้ Packet Capture
หากดู Log แล้วยังไม่พบสาเหตุ
ให้จับ Packet
ดูว่า
Packet เข้า Firewall หรือไม่
Packet ออกจาก Firewall หรือไม่
กรณีที่ 1
เข้า
ออก
 Firewall Block
กรณีที่ 2
เข้า
ออก
 ปัญหาอยู่ปลายทาง
กรณีที่ 3
เข้า
ออก
 ปัญหาอยู่ก่อนถึง Firewall
-----------------------------------
 6. ทดสอบด้วย Ping และ Traceroute
Ping
ping 8.8.8.8
หากไม่ได้
 อาจถูก Block ICMP
Traceroute
Windows
tracert 8.8.8.8
Linux
traceroute 8.8.8.8
 ช่วยระบุได้ว่าการเชื่อมต่อหยุดที่จุดใด
-----------------------------------
 7. ตรวจสอบ Security Features
หลายครั้งไม่ได้ถูก Block จาก Policy
แต่ถูก Block จากระบบรักษาความปลอดภัย เช่น
• IPS 
• Web Filter 
• Application Control 
• Antivirus 
• Geo Blocking 
• DNS Filter 
• SSL Inspection
ตัวอย่าง Log
Action : Block
Reason : IPS Signature
หรือ
Action : Block
Reason : Web Filter
Category : Social Networking
-----------------------------------
 8. ตรวจสอบ Implicit Deny
Firewall ทุกตัวมี Policy สุดท้ายที่ซ่อนอยู่
Deny Any Any
เรียกว่า Implicit Deny
หาก Traffic ไม่ตรงกับ Policy ใดเลย
 Firewall จะ Block อัตโนมัติ
มักพบ Log ลักษณะ
Policy ID : 0
Action : Deny
-----------------------------------
 ขั้นตอนตรวจสอบแบบมืออาชีพ
1. หา IP เครื่องที่มีปัญหา 
2. ทดสอบ Ping / Traceroute 
3. เปิด Firewall Log 
4. Filter ตาม Source IP 
5. ดู Action ว่า Allow หรือ Deny 
6. ดูว่าโดน Policy ไหน 
7. ตรวจสอบ IPS / Web Filter / Application Control 
8. ใช้ Packet Capture หากยังหาสาเหตุไม่เจอ
-----------------------------------
 สรุปสุดท้ายแบบเข้าใจง่าย
วิธีดูว่า Firewall Block อะไรอยู่ ให้เริ่มจาก -> การเปิด Log แล้วค้นหาตาม IP ของเครื่องที่มีปัญหา -> จากนั้นตรวจสอบ Action (Allow/Deny), Policy ที่ถูกใช้งาน -> Security Feature ที่เกี่ยวข้อง เช่น IPS, Web Filter หรือ Application Control
 ซึ่งจะช่วยระบุได้อย่างรวดเร็วว่า Firewall กำลัง Block อะไรและเพราะเหตุใด

Tips แก้ปัญหา Network ทุกองค์กร Firewall Block อะไรอยู่ดูอย่างไร❓❓❓

บทความที่เกี่ยวข้อง

หมวดหมู่

ต้องการคำปรึกษา?

มีคำถามเพิ่มเติม?