Konfigurowanie zapory FortiGate 40F z 3CX

Wprowadzenie

Ten dokument opisuje konfigurację urządzenia FortiGate 40F przy użyciu stabilnego oprogramowania układowego (firmware) w wersji 7.0.X. Instrukcja powinna być kompatybilna z każdym urządzeniem działającym pod kontrolą tej lub nowszej wersji oprogramowania.

Krok 1: Wyłączenie funkcji SIP ALG

Funkcjonalność SIP ALG należy wyłączyć z poziomu wiersza poleceń (CLI) urządzenia FortiGate.

W następnej kolejności musimy usunąć moduł pomocniczy sesji (session-helper).

1. Uruchom następujące polecenia:

2. Wśród wyświetlonych ustawień znajduje się wpis podobny do poniższego przykładu:

3. W tym przykładzie kolejne polecenia będą wyglądać następująco:

Teraz uruchom ponownie zaporę sieciową za pomocą interfejsu graficznego (GUI) lub wiersza poleceń (CLI).

Polecenie CLI to:

• execute reboot

Krok 2: Tworzenie reguły wychodzącej dla systemu 3CX

1. Przejdź do: „Policy & Objects” (Polityki i obiekty) > „Firewall Policy” (Polityka zapory sieciowej).
2. Kliknij przycisk „Create New” (Utwórz nową).

1. „Name” (Nazwa): Nazwij politykę zapory w celu jej łatwiejszej identyfikacji.
2. „Incoming interface” (Interfejs wejściowy): Wybierz interfejs sieci LAN lub interfejs, w którym znajduje się serwer 3CX.
3. „Outgoing interface” (Interfejs wyjściowy): Wybierz interfejs sieci WAN.
4. „Source” (Źródło): Wybierz swój serwer 3CX.
5. „Destination” (Cel): Wybierz wartość „all” (Wszystkie).
6. „Schedule” (Harmonogram): Użyj domyślnej wartości systemowej „always” (Zawsze).
7. „Service” (Usługa): Wybierz wcześniej utworzone usługi 3CX oraz porty dla powiadomień push, DNS i SMTP.
8. „Action” (Akcja): Użyj domyślnej wartości systemowej „ACCEPT” (Akceptuj).
9. „NAT”: Użyj domyślnej wartości systemowej (ZAZNACZONE).

Więcej informacji na temat portów używanych przez system 3CX znajdziesz w dokumentacji konfiguracji zapory i routera.

Krok 3: Tworzenie reguły przychodzącej umożliwiającej zdalny dostęp do serwera 3CX

Tworzenie wirtualnego IP

Musisz utworzyć 1 wirtualny adres IP dla każdego portu usługi w celu przekierowania ruchu do serwera 3CX.

1. Przejdź do: „Policy & Objects” (Polityki i obiekty) > „Virtual IPs” (Wirtualne adresy IP).
2. Kliknij: „Create New” (Utwórz nowy) > „Virtual IP” (Wirtualny adres IP).

1. „Name” (Nazwa): Nazwij wirtualny adres IP w celu łatwiejszej identyfikacji.
2. „Interface” (Interfejs): Ustaw interfejs, na którym znajduje się Twój publiczny adres IP.
3. „External IP address” (Zewnętrzny adres IP): Wprowadź zewnętrzny adres IP połączenia internetowego.
4. „Map to IPV4 address” (Mapuj na adres IPv4): Wprowadź wewnętrzny adres IP serwera 3CX Phone System.
5. „Port forwarding” (Przekierowanie portów): Zaznacz pole „port forwarding”, aby uzyskać dostęp do menu.
6. „Protocol” (Protokół): Ustaw typ protokołu w zależności od przekierowywanych portów (TCP lub UDP).
7. „Port Mapping type” (Typ mapowania portów): Użyj domyślnej wartości systemowej „One to one” (Jeden do jednego).
8. „External service port” (Zewnętrzny port usługi): Wprowadź port zewnętrzny, najczęściej taki sam jak port wewnętrzny.
9. „Map to IPv4 port” (Mapuj na port IPv4): Wprowadź port wewnętrzny.

3. Po utworzeniu wszystkich wirtualnych adresów IP powinny one wyglądać podobnie do skonfigurowanych reguł dla danego środowiska.

W tym przykładzie nasz zewnętrzny adres IP to 1.2.3.4, a adres IP serwera 3CX to 192.168.10.10.

Wskazówka: Możesz utworzyć grupę wirtualnych adresów IP (Virtual IP group) zawierającą wszystkie wirtualne adresy IP, aby uprościć konfigurację polityki zapory sieciowej.

Tworzenie obiektu zapory sieciowej

Aby utworzyć politykę zapory sieciowej, musimy najpierw utworzyć obiekt zapory.

1. Przejdź do: „Policy & Objects” (Polityki i obiekty) > „Services” (Usługi).
2. Kliknij: „Create New” (Utwórz nową) > „Service” (Usługa).

1. „Name” (Nazwa): Nazwij usługę w celu łatwiejszej identyfikacji.
2. „Protocol Type” (Typ protokołu): Użyj domyślnej wartości systemowej „TCP/UDP/SCTP”.
3. „Address” (Adres): Użyj domyślnej wartości systemowej 0.0.0.0.
4. „Destination port” (Port docelowy): Wymień wszystkie porty dla systemu 3CX.
5. „Specify Source Ports” (Określ porty źródłowe): Pozostaw odznaczone.

Tworzenie polityki zapory sieciowej

1. Musimy utworzyć politykę zapory sieciowej, aby zezwolić na ruch z zewnątrz do serwera 3CX.

1. Przejdź do: „Policy & Objects” (Polityki i obiekty) > „Firewall Policy” (Polityka zapory sieciowej).
2. Kliknij przycisk „Create New” (Utwórz nową).
3. „Name” (Nazwa): Nazwij politykę zapory w celu łatwiejszej identyfikacji.
4. „Incoming interface” (Interfejs wejściowy): Interfejs źródłowy, na którym znajduje się dostęp do Internetu.
5. „Outgoing interface” (Interfejs wyjściowy): Interfejs, na którym znajduje się serwer 3CX (w naszym przykładzie poniżej jest to interfejs VLAN).
6. „Source” (Źródło): Adres IP, z którego pochodzą połączenia (użyj „all” dla połączeń do 3CX z dowolnego miejsca).
7. „Destination” (Cel): Wybierz wszystkie utworzone wcześniej wirtualne adresy IP.
8. „Schedule” (Harmonogram): Użyj domyślnej wartości systemowej „always” (Zawsze).
9. „Service” (Usługa): Wybierz wcześniej utworzone usługi 3CX.
10. „Action” (Akcja): Użyj domyślnej wartości systemowej „ACCEPT” (Akceptuj).
11. „NAT”: Odznacz opcję NAT, aby system 3CX widział zdalne adresy IP.

Więcej informacji na temat portów używanych przez system 3CX znajdziesz w dokumentacji konfiguracji zapory i routera.

Krok 4: Tworzenie wewnętrznego rozwiązywania nazw DNS (Split DNS)

Aby system 3CX działał prawidłowo w sieci lokalnej, konieczne jest zapewnienie możliwości dotarcia do serwera za pomocą jego nazwy FQDN lokalnie (bez wychodzenia do Internetu). W tym celu musimy skonfigurować serwer DNS na urządzeniu FortiGate i utworzyć wpis DNS, który powiąże jego domenę FQDN z prywatnym adresem IP.

Komputery i telefony IP muszą mieć ustawiony interfejs LAN urządzenia FortiGate jako serwer DNS.

1. Przejdź do: „System” > „Feature Visibility” (Widoczność funkcji).
2. Zaznacz opcję „DNS Database” (Baza danych DNS). Po zaznaczeniu tego pola możemy skonfigurować serwer DNS.
3. Przejdź do: „Network” (Sieć) > „DNS Servers” (Serwery DNS).
4. Kliknij przycisk „Create New” (Utwórz nową) w sekcji „DNS Service on Interface” (Usługa DNS na interfejsie).
5. Musisz wybrać wszystkie interfejsy LAN w trybie „recursive” (rekurencyjnym), aby usługa DNS była na nich aktywna.

1. Kliknij przycisk „Create New” (Utwórz nową) w sekcji „DNS Database” (Baza danych DNS).

1. „Type” (Typ): Użyj domyślnej wartości systemowej „Primary” (Główny).
2. „View” (Widok): Użyj domyślnej wartości systemowej „Shadow”.
3. „DNS Zone” (Strefa DNS): Nazwij swoją strefę DNS.
4. „Domain Name” (Nazwa domeny): Domena Twojego serwera 3CX (w tym przykładzie nasza nazwa FQDN to example.3cx.com, więc nasza nazwa domeny to 3cx.com).
5. „Hostname of Primary DNS” (Nazwa hosta głównego DNS): Użyj domyślnej wartości systemowej „Dns”.
6. „TTL”: Użyj domyślnej wartości systemowej.
7. „Authoritative” (Autorytatywny): Odznacz tę opcję.

1. Dodaj wpisy DNS za pomocą przycisku „Create New” (Utwórz nowy):

1. „Type” (Typ): Ustaw adres (A).
2. „Hostname” (Nazwa hosta): Ustaw nazwę hosta (w tym przykładzie nasza nazwa FQDN to example.3cx.com, więc nasza nazwa hosta to example).
3. „IP Address” (Adres IP): Ustaw adres IP swojego serwera 3CX.

Przetestuj swoją konfigurację. Spróbuj rozwiązać nazwę FQDN serwera 3CX będąc w sieci LAN – musi ona zwrócić adres wewnętrzny.

Weryfikacja konfiguracji

Zaloguj się do Konsoli Administracyjnej 3CX, przejdź do sekcji „Admin” > „Dashboard” (Pulpit) > „Firewall” (Zapora sieciowa) i uruchom narzędzie 3CX Firewall Checker. Sprawdzi ono, czy Twoja zapora sieciowa jest prawidłowo skonfigurowana do pracy z systemem 3CX.

Więcej informacji na temat narzędzia Firewall Checker można znaleźć tutaj.

Zobacz również

• Konfiguracja zapory sieciowej i routera
• Firewall checker

Ostatnia aktualizacja
Ten dokument został ostatnio zaktualizowany 10 września 2026 r.
https://www.3cx.pl/docs/konfiguracja-zapory-fortigate/