ไขความลับการตั้งค่า FortiGate: เชื่อมต่ออินเทอร์เน็ตและเปิดเกราะ NGFW อย่างมือโปรผ่าน GUI!

การตั้งค่า FortiGate Firewall ให้สามารถเชื่อมต่ออินเทอร์เน็ตและเปิดใช้งานคุณสมบัติ Next-Generation Firewall (NGFW) ผ่านหน้า Graphical User Interface (GUI) เป็นขั้นตอนสำคัญในการสร้างเครือข่ายที่ปลอดภัยและมีประสิทธิภาพ คู่มือนี้จะแนะนำคุณตลอดกระบวนการอย่างละเอียด ตั้งแต่การเชื่อมต่ออุปกรณ์ครั้งแรกไปจนถึงการกำหนดค่านโยบายความปลอดภัยขั้นสูง

ไฮไลท์สำคัญที่คุณจะได้รับ

การเข้าถึงและตั้งค่าเบื้องต้น: เรียนรู้วิธีเชื่อมต่อ FortiGate และเข้าสู่ระบบผ่าน GUI ด้วย IP Address เริ่มต้น (https://192.168.1.99) พร้อมการตั้งค่ารหัสผ่านใหม่เพื่อความปลอดภัย
การกำหนดค่าเครือข่ายหลัก: ตั้งค่าอินเทอร์เฟซ WAN เพื่อเชื่อมต่อกับผู้ให้บริการอินเทอร์เน็ต (ISP), อินเทอร์เฟซ LAN สำหรับเครือข่ายภายใน และ Default Route เพื่อให้การจราจรข้อมูลออกสู่อินเทอร์เน็ตได้อย่างถูกต้อง
เปิดใช้งาน NGFW แบบ Policy-Based: ทำความเข้าใจและกำหนดค่า NGFW ในโหมด Policy-based ซึ่งให้ความยืดหยุ่นและการควบคุมที่เหนือกว่าในการใช้นโยบายความปลอดภัยต่างๆ เช่น Antivirus, Web Filter, และ IPS

ขั้นตอนที่ 1: การเตรียมการและการเข้าสู่ระบบ FortiGate GUI

ก่อนเริ่มต้น ตรวจสอบว่าคุณมีอุปกรณ์และการเชื่อมต่อที่จำเป็นครบถ้วน รวมถึงสาย Ethernet สำหรับเชื่อมต่อ FortiGate กับคอมพิวเตอร์และอุปกรณ์ ISP

1.1 การเชื่อมต่อทางกายภาพ

เชื่อมต่อพอร์ต WAN (เช่น wan1) ของ FortiGate เข้ากับโมเด็มหรือเราเตอร์จาก ISP ของคุณ
เชื่อมต่อพอร์ต LAN (เช่น internal หรือ port1) ของ FortiGate เข้ากับคอมพิวเตอร์ที่คุณจะใช้ในการตั้งค่า
เปิดเครื่องอุปกรณ์ ISP, FortiGate, และคอมพิวเตอร์ของคุณ

1.2 การเข้าสู่ระบบ GUI

โดยทั่วไป FortiGate จะมี IP Address เริ่มต้นสำหรับการจัดการคือ 192.168.1.99

ตั้งค่า IP Address ของคอมพิวเตอร์ให้อยู่ในเครือข่ายเดียวกันกับ FortiGate เช่น ตั้งเป็น IP Address 192.168.1.100 และ Subnet Mask 255.255.255.0
เปิดเว็บเบราว์เซอร์ (เช่น Chrome, Firefox) และไปที่ https://192.168.1.99
หน้าจอเข้าสู่ระบบจะปรากฏขึ้น ให้ป้อนชื่อผู้ใช้: admin และเว้นว่างช่องรหัสผ่าน (สำหรับการเข้าสู่ระบบครั้งแรก) จากนั้นคลิก Login
ระบบจะแจ้งให้คุณตั้งรหัสผ่านใหม่สำหรับบัญชี admin กรุณาตั้งรหัสผ่านที่คาดเดาได้ยากเพื่อความปลอดภัย
หลังจากตั้งรหัสผ่านใหม่ คุณอาจพบกับ FortiGate Setup wizard ซึ่งจะช่วยแนะนำการตั้งค่าเบื้องต้นบางอย่าง เช่น Hostname

หน้าจอเข้าสู่ระบบ FortiGate GUI

ขั้นตอนที่ 2: การตั้งค่าเครือข่ายพื้นฐาน (Network Configuration)

หลังจากเข้าสู่ระบบ GUI ได้แล้ว ขั้นตอนต่อไปคือการกำหนดค่าอินเทอร์เฟซเครือข่ายเพื่อให้ FortiGate สามารถเชื่อมต่ออินเทอร์เน็ตและให้บริการเครือข่ายภายในได้

2.1 การตั้งค่าอินเทอร์เฟซ WAN (WAN Interface)

อินเทอร์เฟซ WAN คือประตูสู่โลกอินเทอร์เน็ตสำหรับเครือข่ายของคุณ

ไปที่เมนู Network > Interfaces
ค้นหาและเลือกอินเทอร์เฟซที่เชื่อมต่อกับ ISP (โดยทั่วไปคือ wan1 หรือ wan) จากนั้นคลิก Edit
Alias: คุณสามารถตั้งชื่อเล่นให้อินเทอร์เฟซนี้เพื่อให้จดจำง่าย
Role: โดยทั่วไปจะถูกตั้งค่าเป็น "WAN"
Addressing mode:
- DHCP: หาก ISP ของคุณจ่าย IP Address แบบอัตโนมัติ ให้เลือกตัวเลือกนี้
- Manual: หาก ISP ให้ IP Address แบบคงที่ (Static IP) ให้เลือกตัวเลือกนี้ แล้วกรอก IP Address, Subnet Mask และ Default Gateway ที่ได้รับจาก ISP
Administrative Access: เปิดใช้งาน HTTPS และ PING เพื่อให้สามารถจัดการและทดสอบการเชื่อมต่อได้ (แนะนำให้จำกัดการเข้าถึงจาก WAN เพื่อความปลอดภัยในภายหลัง)
คลิก OK เพื่อบันทึกการตั้งค่า

2.2 การตั้งค่าอินเทอร์เฟซ LAN (LAN Interface)

อินเทอร์เฟซ LAN ใช้สำหรับเชื่อมต่อกับอุปกรณ์ในเครือข่ายภายในของคุณ

ในหน้า Network > Interfaces เลือกอินเทอร์เฟซสำหรับเครือข่ายภายใน (เช่น internal หรือ port1, port2 ฯลฯ ที่รวมกันเป็น software switch) จากนั้นคลิก Edit
Alias: ตั้งชื่อเล่นได้ตามต้องการ
Role: โดยทั่วไปคือ "LAN"
IP/Netmask: กำหนด IP Address และ Subnet Mask สำหรับเครือข่ายภายในของคุณ เช่น 192.168.1.99/255.255.255.0 (หากคุณใช้ IP นี้เป็น Gateway ของ FortiGate เอง ตรวจสอบให้แน่ใจว่าไม่ซ้ำกับ IP เริ่มต้นที่ใช้เข้า GUI หากคุณเปลี่ยนไปแล้ว) หรือ 192.168.10.1/255.255.255.0
Administrative Access: เปิดใช้งาน HTTPS และ PING เพื่อให้สามารถจัดการ FortiGate จากเครือข่ายภายในได้
DHCP Server: หากคุณต้องการให้ FortiGate ทำหน้าที่เป็น DHCP Server แจก IP Address ให้อุปกรณ์ในเครือข่าย LAN ให้เปิดใช้งานส่วนนี้ และกำหนดช่วง IP Address ที่จะแจก (IP Pool) รวมถึง Default Gateway (ซึ่งควรเป็น IP ของอินเทอร์เฟซ LAN นี้) และ DNS Server
คลิก OK เพื่อบันทึกการตั้งค่า

ตัวอย่างหน้าจอการตั้งค่าอินเทอร์เฟซใน FortiGate

2.3 การตั้งค่า Default Route (Static Routes)

Default Route หรือ Gateway of Last Resort จะบอก FortiGate ว่าจะส่งข้อมูลที่ปลายทางไม่รู้จักไปยังที่ใด (โดยทั่วไปคือ Gateway ของ ISP)

ไปที่เมนู Network > Static Routes
คลิก Create New
ตั้งค่าดังนี้:
- Destination: เลือก Subnet และป้อน 0.0.0.0/0.0.0.0 ซึ่งหมายถึงทุกเครือข่าย (all traffic to unknown destinations)
- Gateway Address: ป้อน IP Address ของ Gateway ที่ ISP ให้มา (หาก WAN ใช้ DHCP บางครั้ง Route นี้จะถูกสร้างอัตโนมัติ แต่ควรตรวจสอบ)
- Interface: เลือกอินเทอร์เฟซ WAN ที่คุณกำหนดค่าไว้ (เช่น wan1)
คลิก OK เพื่อบันทึก

2.4 การตั้งค่า DNS Server

เพื่อให้ FortiGate และอุปกรณ์ในเครือข่ายสามารถแปลงชื่อโดเมนเป็น IP Address ได้

ไปที่เมนู Network > DNS
ในส่วน DNS Servers:
- Specify: เลือกตัวเลือกนี้เพื่อกำหนด DNS Server ด้วยตนเอง
- ป้อน DNS Server ที่ต้องการ เช่น Google DNS (8.8.8.8 และ 8.8.4.4) หรือ DNS ของ ISP
คลิก Apply

ขั้นตอนที่ 3: การสร้าง Firewall Policy เพื่ออนุญาตการใช้งานอินเทอร์เน็ต

Firewall Policy เป็นกฎที่กำหนดว่าการจราจรข้อมูลใดบ้างที่ได้รับอนุญาตให้ผ่าน FortiGate ในที่นี้ เราจะสร้าง Policy เพื่อให้เครื่องในเครือข่าย LAN สามารถออกอินเทอร์เน็ตได้

ไปที่เมนู Policy & Objects > Firewall Policy (ในบางเวอร์ชันอาจเป็น IPv4 Policy)
คลิก Create New
ตั้งค่า Policy ดังนี้:
- Name: ตั้งชื่อ Policy ให้สื่อความหมาย เช่น LAN_to_WAN_Internet_Access
- Incoming Interface: เลือกอินเทอร์เฟซ LAN ของคุณ (เช่น internal หรือชื่อ switch interface ของ LAN ports)
- Outgoing Interface: เลือกอินเทอร์เฟซ WAN ของคุณ (เช่น wan1)
- Source: เลือก all หรือระบุ Address Object ของเครือข่าย LAN ของคุณ (เช่น 192.168.10.0/24)
- Destination: เลือก all
- Service: เลือก ALL หรือระบุ Service ที่ต้องการอนุญาต (เช่น HTTP, HTTPS, DNS)
- Action: เลือก ACCEPT
- NAT: ตรวจสอบให้แน่ใจว่าเปิดใช้งาน (Enable) NAT เพื่อให้อุปกรณ์ใน LAN สามารถใช้อินเทอร์เน็ตผ่าน IP Address ของ WAN ได้
- Security Profiles: ในขั้นตอนนี้เราจะยังไม่เปิดใช้งาน NGFW features ใน Policy นี้ แต่จะกลับมาเปิดใช้งานในภายหลัง (หลังจากเปิดโหมด NGFW)
คลิก OK เพื่อบันทึก Policy

วิดีโอนี้แสดงภาพรวมการตั้งค่า FortiGate เพื่อเชื่อมต่ออินเทอร์เน็ต รวมถึงการกำหนดค่า WAN Interface, Route และ Policy ซึ่งเป็นพื้นฐานสำคัญก่อนการเปิดใช้งาน NGFW

ขั้นตอนที่ 4: การเปิดใช้งาน NGFW (Next-Generation Firewall) Mode

FortiGate รองรับ NGFW สองโหมดหลักคือ Profile-based (โหมดดั้งเดิม) และ Policy-based (โหมดใหม่ที่ยืดหยุ่นกว่า) เราจะเปิดใช้งานโหมด Policy-based ซึ่งช่วยให้สามารถนำ Security Profiles ไปใช้กับ Firewall Policy ได้โดยตรงและละเอียดมากขึ้น

4.1 การตั้งค่า NGFW Mode เป็น Policy-Based

ไปที่เมนู System > Settings
เลื่อนลงไปที่ส่วน System Operation Settings
Inspection Mode: เลือก Flow-based โดยทั่วไปโหมดนี้ให้ประสิทธิภาพที่ดีกว่าสำหรับการตรวจสอบทราฟฟิกส่วนใหญ่
NGFW Mode: เลือก Policy-based
SSL/SSH Inspection: เลือกโปรไฟล์การตรวจสอบ SSL/SSH ที่ต้องการ เช่น certificate-inspection (สำหรับการตรวจสอบใบรับรองเบื้องต้น) หรือโปรไฟล์ที่สร้างขึ้นเองหากต้องการ Deep Inspection (ซึ่งอาจต้องมีการติดตั้ง FortiGate CA Certificate บนเครื่องลูกข่าย)
คลิก Apply เพื่อบันทึกการเปลี่ยนแปลง

ตัวอย่างหน้าจอการตั้งค่า NGFW Mode และ Security Profiles ใน FortiOS

4.2 การนำ Security Profiles ไปใช้กับ Firewall Policy

หลังจากเปิดใช้งาน NGFW Mode เป็น Policy-based แล้ว คุณสามารถกลับไปแก้ไข Firewall Policy ที่สร้างไว้ในขั้นตอนที่ 3 (LAN_to_WAN_Internet_Access) เพื่อเปิดใช้งาน Security Profiles ต่างๆ:

ไปที่เมนู Policy & Objects > Firewall Policy
เลือก Policy LAN_to_WAN_Internet_Access ที่สร้างไว้ แล้วคลิก Edit
ในส่วน Security Profiles, คุณสามารถเปิดใช้งานโปรไฟล์ต่างๆ ได้ตามต้องการ:
- Antivirus: เปิดใช้งานเพื่อสแกนหาไวรัสและมัลแวร์
- Web Filter: เปิดใช้งานเพื่อควบคุมการเข้าถึงเว็บไซต์ตามหมวดหมู่หรือ URL ที่กำหนด
- Application Control: เปิดใช้งานเพื่อควบคุมการใช้งานแอปพลิเคชันต่างๆ
- Intrusion Prevention (IPS): เปิดใช้งานเพื่อป้องกันการโจมตีจากภัยคุกคามที่รู้จัก
- SSL Inspection: เลือกโปรไฟล์ SSL Inspection ที่คุณต้องการใช้สำหรับ Policy นี้ (สอดคล้องกับที่ตั้งค่าใน System Settings หรือเลือกโปรไฟล์เฉพาะ)
หมายเหตุ: สำหรับแต่ละ Security Profile อาจมีโปรไฟล์ default ให้เลือกใช้งาน หรือคุณสามารถสร้างโปรไฟล์ที่กำหนดเองได้ในเมนู Security Profiles
คลิก OK เพื่อบันทึกการเปลี่ยนแปลง Policy

ภาพรวมกระบวนการตั้งค่า FortiGate และ NGFW

Mindmap ด้านล่างนี้สรุปขั้นตอนหลักในการตั้งค่า FortiGate เพื่อเชื่อมต่ออินเทอร์เน็ตและเปิดใช้งาน NGFW ผ่าน GUI ซึ่งจะช่วยให้คุณเห็นภาพรวมของกระบวนการทั้งหมด ตั้งแต่การเข้าถึงอุปกรณ์ การกำหนดค่าเครือข่ายพื้นฐาน การสร้างนโยบายไฟร์วอลล์ ไปจนถึงการเปิดใช้งานคุณสมบัติ NGFW และการตรวจสอบความถูกต้องของการตั้งค่า

mindmap root["FortiGate Internet & NGFW Setup (GUI)"] id1["1. Initial Access & Setup"] id1a["Connect Physical Cables"] id1b["Access GUI (192.168.1.99)"] id1c["Set Admin Password"] id1d["Hostname Configuration (Optional Wizard)"] id2["2. Network Configuration"] id2a["WAN Interface Setup"] id2aa["IP Address (DHCP/Static)"] id2ab["Administrative Access"] id2b["LAN Interface Setup"] id2ba["IP Address & Subnet"] id2bb["DHCP Server (Optional)"] id2c["Static Default Route"] id2ca["Destination: 0.0.0.0/0"] id2cb["Gateway: ISP Gateway IP"] id2cc["Interface: WAN Port"] id2d["DNS Configuration"] id3["3. Firewall Policy for Internet"] id3a["Create New Policy (LAN to WAN)"] id3b["Source: LAN Network / All"] id3c["Destination: All"] id3d["Service: All / Specific Services"] id3e["Action: Accept"] id3f["Enable NAT"] id4["4. NGFW Enablement (Policy-Based)"] id4a["System > Settings"] id4aa["Inspection Mode: Flow-based"] id4ab["NGFW Mode: Policy-based"] id4ac["SSL/SSH Inspection Profile"] id4b["Apply Security Profiles to Policy"] id4ba["Antivirus"] id4bb["Web Filter"] id4bc["Application Control"] id4bd["IPS"] id5["5. Testing & Verification"] id5a["Test Internet Connectivity from LAN"] id5b["Check FortiGate Logs (Forward Traffic, Event Logs)"] id5c["Verify FortiGuard Connectivity (Dashboard)"]

Mindmap นี้แสดงให้เห็นถึงลำดับขั้นตอนที่ต้องดำเนินการอย่างชัดเจน ทำให้ง่ายต่อการติดตามและตรวจสอบการตั้งค่าแต่ละส่วน

การประเมินความซับซ้อนและประสิทธิภาพของ NGFW

Radar chart ด้านล่างแสดงการประเมินเชิงคุณภาพของแง่มุมต่างๆ ในการตั้งค่าและใช้งาน FortiGate NGFW โดยเปรียบเทียบระหว่างความต้องการของธุรกิจขนาดเล็ก (SMB) ทั่วไป กับความต้องการขององค์กรขนาดใหญ่ (Enterprise) ที่อาจมีความซับซ้อนมากกว่า ค่าที่แสดงเป็นเพียงการประเมินเพื่อให้เห็นภาพ ไม่ใช่ข้อมูลเชิงสถิติที่ตายตัว

จาก Radar Chart จะเห็นว่า FortiGate สามารถตอบสนองความต้องการได้ทั้ง SMB และ Enterprise โดยมีความยืดหยุ่นในการตั้งค่าสูง แม้ว่าการตั้งค่าสำหรับ Enterprise อาจต้องการความละเอียดและความเข้าใจในฟีเจอร์เชิงลึกมากกว่า การเลือกใช้ Flow-based inspection mode ช่วยลดผลกระทบต่อประสิทธิภาพโดยรวม

สรุปตารางการตั้งค่า FortiGate ที่สำคัญ

ตารางด้านล่างนี้สรุปพารามิเตอร์การตั้งค่าที่สำคัญสำหรับการเชื่อมต่ออินเทอร์เน็ตและการเปิดใช้งาน NGFW เบื้องต้นผ่าน GUI ซึ่งคุณสามารถใช้เป็นข้อมูลอ้างอิงอย่างรวดเร็ว

การตั้งค่า	เมนู (Path)	ค่าที่แนะนำ / ตัวอย่าง	หมายเหตุ
IP Address เริ่มต้นของ GUI	การเข้าถึงผ่าน Browser	`https://192.168.1.99`	ใช้ชื่อผู้ใช้ `admin`, รหัสผ่านว่าง (ครั้งแรก)
Hostname	System > Settings	เช่น `FW-BranchOffice`	ตั้งชื่อให้อุปกรณ์เพื่อระบุตัวตน
WAN Interface (IP)	Network > Interfaces > [wan_interface] > Edit	DHCP หรือ Static IP (ตาม ISP)	เปิด Administrative Access (HTTPS, Ping) อย่างระมัดระวัง
LAN Interface (IP)	Network > Interfaces > [lan_interface] > Edit	เช่น `192.168.10.1/24`	เปิด DHCP Server หากต้องการ
Default Static Route	Network > Static Routes > Create New	Destination: `0.0.0.0/0`, Gateway: [ISP_Gateway_IP], Interface: [wan_interface]	จำเป็นสำหรับการออกอินเทอร์เน็ต
DNS Servers	Network > DNS	Primary: `8.8.8.8`, Secondary: `8.8.4.4`	หรือใช้ DNS ของ ISP
Firewall Policy (Internet Access)	Policy & Objects > Firewall Policy > Create New	Src: LAN, Dst: WAN, Source: [lan_network], Destination: all, Service: ALL, Action: ACCEPT, NAT: Enable	Policy พื้นฐานเพื่อให้ LAN ออกเน็ต
Inspection Mode	System > Settings > System Operation Settings	`Flow-based`	เพื่อประสิทธิภาพที่ดี
NGFW Mode	System > Settings > System Operation Settings	`Policy-based`	เพื่อการควบคุม Security Profiles ที่ยืดหยุ่น
Security Profiles in Policy	Policy & Objects > Firewall Policy > [policy_name] > Edit	เปิดใช้งาน Antivirus, Web Filter, IPS, Application Control ตามต้องการ	เลือกโปรไฟล์ default หรือสร้างเอง

หน้าจอ Dashboard ของ FortiGate แสดงสถานะโดยรวมของระบบและความปลอดภัย

ขั้นตอนที่ 5: การทดสอบและยืนยันการตั้งค่า

หลังจากตั้งค่าทั้งหมดแล้ว ควรทดสอบเพื่อให้แน่ใจว่าทุกอย่างทำงานได้อย่างถูกต้อง:

ทดสอบการเชื่อมต่ออินเทอร์เน็ต: จากคอมพิวเตอร์ในเครือข่าย LAN ลองเปิดเว็บเบราว์เซอร์และเข้าเว็บไซต์ต่างๆ เช่น google.com หรือ ping ไปยัง DNS Server เช่น ping 8.8.8.8
ตรวจสอบ Log: ไปที่ Log & Report > Forward Traffic เพื่อดูว่ามีการจราจรข้อมูลผ่าน Firewall Policy ที่สร้างไว้หรือไม่ และมีการ block อะไรบ้างหากเปิด Security Profiles
ตรวจสอบสถานะ FortiGuard: ในหน้า Dashboard (Status) ตรวจสอบส่วน Lizenzinformation หรือ FortiGuard Status เพื่อให้แน่ใจว่า FortiGate สามารถเชื่อมต่อกับบริการ FortiGuard เพื่ออัปเดตฐานข้อมูลภัยคุกคามได้

การตั้งค่าเหล่านี้จะช่วยให้ FortiGate ของคุณพร้อมใช้งานอินเทอร์เน็ตและมีการป้องกันพื้นฐานจาก NGFW แล้ว คุณสามารถปรับแต่ง Security Profiles และ Firewall Policies เพิ่มเติมเพื่อให้เหมาะสมกับความต้องการขององค์กรของคุณได้