การแก้ไขปัญหาความล้มเหลวของ DHCP และ DNS หลังจากการอัปเกรดเฟิร์มแวร์ FortiGate (คู่มือ FortiOS 7.4.x Enterprise)

ในเครือข่ายองค์กรสมัยใหม่ แพลตฟอร์มไฟร์วอลล์ได้พัฒนาไปไกลกว่าอุปกรณ์รักษาความปลอดภัยรอบนอกแบบธรรมดาแล้ว ปัจจุบัน โซลูชันอย่าง FortiGate ทำหน้าที่เป็นแพลตฟอร์มควบคุมการรับส่งข้อมูลแบบรวมศูนย์ จัดการการกำหนดเส้นทาง การบังคับใช้นโยบายความปลอดภัย บริการ DNS และการจัดสรร DHCP ไปพร้อมกัน การรวมสถาปัตยกรรมนี้ช่วยเพิ่มประสิทธิภาพในการดำเนินงาน แต่ก็ทำให้เกิดความเสี่ยงต่อความล้มเหลวของระบบในระหว่างการอัปเกรดเฟิร์มแวร์ด้วย หลังจากอัปเกรดเป็นเฟิร์มแวร์เวอร์ชันต่างๆ เช่น FortiOS 7.4.x หลายองค์กรรายงานความล้มเหลวของบริการเครือข่าย รวมถึงความล้มเหลวในการจัดสรร IP ผ่าน DHCP ความล้มเหลวในการแก้ไข DNS และการหยุดชะงักของการเชื่อมต่อหลายไซต์

สารบัญ

1. ส่วนที่ 1: เหตุใด DHCP จึงมักล้มเหลวหลังจากการอัปเกรดเฟิร์มแวร์
2. ส่วนที่ 2: ความล้มเหลวในการแก้ไข DNS หลังจากการย้ายเฟิร์มแวร์
3. ส่วนที่ 3: ความแตกต่างระหว่าง DHCP, DNS และประเด็นด้านนโยบาย
4. ส่วนที่ 4: กลยุทธ์การอัปเกรดหลายไซต์อย่างปลอดภัย
5. ส่วนที่ 5: วงจรชีวิตของฮาร์ดแวร์และข้อจำกัดด้านความจุของแพลตฟอร์ม
6. คำถามที่พบบ่อย

ส่วนที่ 1: เหตุใด DHCP จึงมักล้มเหลวหลังจากการอัปเกรดเฟิร์มแวร์

ความล้มเหลวของบริการ DHCP หลังจากการอัปเกรดไฟร์วอลล์มักเกิดขึ้นเนื่องจากความไม่สอดคล้องกันของการกำหนดค่าในส่วนควบคุม (control plane configuration) เซิร์ฟเวอร์ DHCP ของ FortiGate จะทำการตรวจจับความขัดแย้งก่อนการเช่าโดยการส่งแพ็กเก็ต ICMP Echo หรือ ARP probe ก่อนที่จะกำหนดที่อยู่ IP หากตรวจพบการตอบกลับ ไฟร์วอลล์จะยกเลิกกระบวนการจัดสรรการเช่า

ตัวอย่างคำสั่งดีบักเพื่อตรวจสอบพฤติกรรมของ DHCP:

diagnose debug reset
diagnose debug application dhcps -1
diagnose debug enable

วิศวกรควรตรวจสอบพฤติกรรมเครือข่ายเลเยอร์ 2 ด้วย รวมถึงความเสถียรของตาราง ARP และการแพร่กระจายของการกระจายเสียง VLAN เนื่องจากความล้มเหลวของ DHCP อาจมีต้นกำเนิดมาจากอุปกรณ์สวิตช์ปลายทางมากกว่าตัวไฟร์วอลล์เอง

ส่วนที่ 2: ความล้มเหลวในการแก้ไข DNS หลังจากการย้ายเฟิร์มแวร์

ความล้มเหลวของ DNS ใน FortiOS 7.4.x อาจแสดงออกมาในรูปแบบของความล้มเหลวในการแก้ไขชื่อโดเมนที่เฉพาะเจาะจงมาก โดเมนภายในอาจใช้งานไม่ได้ ในขณะที่โดเมนสาธารณะยังคงแก้ไขชื่อได้สำเร็จ ซึ่งโดยปกติแล้วบ่งชี้ถึงปัญหาเกี่ยวกับการกำหนดค่าฐานข้อมูล DNS หรือการควบคุมอำนาจของโซน

เพื่อตรวจสอบการตั้งค่าฐานข้อมูล DNS:

config system dns-database
edit "Example"
set authoritative disable
end

หากเปิดใช้งานโหมดควบคุมแบบมีอำนาจเหนือกว่า FortiGate อาจปฏิเสธการส่งต่อคำขอ DNS หากไม่มีการจัดเก็บระเบียนไว้ในเครื่อง

มีการรายงานปัญหาการเชื่อมต่อ DNS ผ่าน TLS ในเฟิร์มแวร์บางเวอร์ชัน วิธีแก้ปัญหาชั่วคราวอาจต้องเปลี่ยนไปใช้การส่งต่อ DNS แบบข้อความธรรมดา จนกว่าจะมีการติดตั้งแพทช์เฟิร์มแวร์เวอร์ชันเสถียรแล้ว

ตัวอย่างการย้อนกลับการตั้งค่า DNS:

config system dns
set protocol cleartext
end

ส่วนที่ 3: ความแตกต่างระหว่าง DHCP, DNS และประเด็นด้านนโยบาย

เมื่อผู้ใช้รายงานปัญหาการเชื่อมต่อเครือข่ายด้วยข้อความเช่น "เชื่อมต่อแล้วแต่ไม่สามารถเข้าถึงอินเทอร์เน็ตได้" วิศวกรจะต้องทำการวินิจฉัยแบบหลายขั้นตอน

ชั้นที่ 1 — การตรวจสอบความถูกต้องของ DHCP

ตรวจสอบว่าอุปกรณ์ไคลเอ็นต์ได้รับข้อมูลที่อยู่ IP, เกตเวย์ และเซิร์ฟเวอร์ DNS อย่างถูกต้อง

เลเยอร์ 2 — การทดสอบ DNS

เรียกใช้การทดสอบการสืบค้น DNS:

nslookup google.com

หากการเชื่อมต่อ IP ทำงานได้ แต่การแก้ไขชื่อโดเมน (DNS resolution) ล้มเหลว โปรไฟล์ความปลอดภัยหรือนโยบายการกรอง DNS อาจขัดขวางการรับส่งข้อมูลการค้นหา

ชั้นที่ 3 — การตรวจสอบการกำหนดเส้นทางตามนโยบาย

ตรวจสอบกฎ NAT, ตรรกะการเลือกเส้นทาง SD-WAN และโปรไฟล์การตรวจสอบความปลอดภัย

ส่วนที่ 4: กลยุทธ์การอัปเกรดหลายไซต์อย่างปลอดภัย

องค์กรขนาดใหญ่ไม่ควรทำการอัปเกรดอุปกรณ์ไฟร์วอลล์ทั้งหมดพร้อมกัน แต่ควรใช้วิธีการทยอยอัปเกรดแทน

1. การทดสอบการตรวจสอบความถูกต้องในห้องปฏิบัติการ
2. การนำไปใช้งานในพื้นที่นำร่อง
3. การทยอยวางจำหน่ายผลิตภัณฑ์

เปิดใช้งานโหมดการอัปเกรดแบบไม่หยุดชะงักเมื่อมีให้ใช้งาน:

set uninterruptible-upgrade enable

การจัดลำดับการอัปเกรดอย่างเหมาะสมจะช่วยลดผลกระทบต่อการดำเนินงานของธุรกิจในช่วงการเปลี่ยนผ่านเฟิร์มแวร์

ส่วนที่ 5: วงจรชีวิตของฮาร์ดแวร์และข้อจำกัดด้านความจุของแพลตฟอร์ม

บางครั้งความไม่เสถียรของเฟิร์มแวร์ไม่ได้เกิดจากข้อผิดพลาดของซอฟต์แวร์ แต่เกิดจากข้อจำกัดด้านทรัพยากรฮาร์ดแวร์ เฟิร์มแวร์เวอร์ชันใหม่กว่าอาจลบการสนับสนุนแพลตฟอร์มรุ่นเก่าที่มีหน่วยความจำต่ำเพื่อปรับปรุงประสิทธิภาพของระบบ

องค์กรที่ใช้งานโครงสร้างพื้นฐานที่ล้าสมัยควรประเมินความเสี่ยงตลอดวงจรชีวิตก่อนทำการอัปเกรดเฟิร์มแวร์ครั้งใหญ่

สำหรับการวางแผนการเปลี่ยนโครงสร้างพื้นฐานเครือข่ายระดับองค์กร แพลตฟอร์มต่างๆ เช่น เราเตอร์สวิตช์ จัดหาอุปกรณ์เครือข่ายจากหลากหลายแบรนด์ ราคาไอที ให้บริการเครื่องมือเปรียบเทียบราคาและสินค้าคงคลังฟรีสำหรับการวางแผนจัดซื้อ

คำถามที่พบบ่อย: การแก้ไขปัญหา DHCP และ DNS ของ FortiGate

Q1. เหตุใดจึงเกิดความล้มเหลวของ DHCP หลังจากการอัปเกรดเฟิร์มแวร์?

เนื่องจากการอัปเกรดเฟิร์มแวร์อาจเปลี่ยนแปลงรูปแบบการกำหนดค่า การเชื่อมโยงอินเทอร์เฟซ หรือลำดับการประมวลผลการตรวจสอบความปลอดภัย

คำถามที่ 2. จะแก้ไขปัญหาความล้มเหลวของ DNS TLS ได้อย่างไร?

เปลี่ยนไปใช้การส่งต่อ DNS แบบข้อความธรรมดาชั่วคราว และอัปเกรดเป็นเฟิร์มแวร์เวอร์ชันเสถียร

คำถามที่ 3. ควรจัดการกับการอัปเกรดหลายไซต์อย่างไร?

ใช้กลยุทธ์การทดสอบในห้องปฏิบัติการ การทดลองใช้งานนำร่อง และการทยอยนำไปใช้ในสาขาต่างๆ

Q4. จะตรวจสอบเวอร์ชันซอฟต์แวร์ FortiGate ได้อย่างไร?

ตัวอย่างคำสั่ง CLI เพื่อตรวจสอบเวอร์ชันซอฟต์แวร์:

get system status

ตรวจสอบความเข้ากันได้ของเฟิร์มแวร์ก่อนนำไปใช้งานจริงเสมอ