fortilinkポートをlanポートとして使用する

 FortiGate-40F(FortiOS-6.2.9)

Aポート：fortilinkはFortiSwithとの連携用ポート

連携は使用しないため通常のLANポートとして利用できるようにする。

１．インターフェース定義を削除

２．LANポートのメンバに加える

【手順】

Webコンソールサイト(管理者)からネットワーク＞インターフェースを開く

fortilink行の「参照」を開く

DHCPサーバとNTPで使用されているためこれらを消去します。

CLIコンソールを開きDHCP設定を確認します。（GUI右上の [ >_  ] から開けます）

show system dhcp server

edit2に「fortilink」が定義されているのでこれを削除します。

# config system dhcp server

# delete 2

# end

IPv6のDHCPを確認

#show system dhcp6 server

もし同様に設定があれば削除

# config system dhcp6 server

config system dhcp6 server

    edit 1

        set interface "fortilink"

    next

end

# config system dhcp6 server

# delete 1

# end

次にNTP

システム＞設定

「デバイスをローカルNTPサーバとして設定」をOFF、または「リッスンするインターフェース」から削除する。

インターフェースに戻りfortilinkの参照がすべて消去されたことを確認します。

インターフェースfortilinkを選択して「削除」を押します。

AポートをLANポートのメンバに加えて終了です。

最後に「デバイスをローカルNTPサーバとして設定」をONにしていた場合、ONへ戻す。

FotiGate-30D

FortiGate統合脅威管理（UTM）をコンパクトなケースに収めたFortiGate-30D

私にとって初のDタイプ、今までの金属ケースではなくプラスティックと随分と変わりましたね

一概には言えないがカタログ値で同40Cより上で60Cより下って感じですね。

FortiOSはｖ5.0 build0305 Patch10

FortiAP 221B 実験用として購入してみた。

FortiOS 4.0 MR3以上を搭載したFortiGateをコントローラとして使用する無線LANアクセスポイントFortiAP-221B

IEEE 802.11 a/b/g/nに準拠しており、2.4GHz b/g/n と 5GHz a/nの両帯域で動作し 2x2 MIMOにより最大600Mbpsを提供することができる。

PoEに対応しているため対応HUBに接続するだけで通電できる。PoE対応HUBがなければ別途ACアダプタを購入することになる。

詳しい仕様についてはFORTINET社の紹介ページを参照してください。

天井や壁、Tレールに設置することができる金具が付属

PoEに対応しているハブがあればLANケールで電源供給が可能
対応ハブがないときは別途ACアダプタを購入

見た目は非常にシンプル

FortiAPをLANに接続します（DHCPでIP割り振り）。
DHCPがない場合はデフォルトでは192.168.1.2/24となるため手動で管理IPを設定する。
ブラウザ経由でログインしてadmin（管理者）パスワードを設定しておこう。

では管理するFortiGate側からFortiAPの設定を行います。尚、管理するFortiGateは110Cでファームウェアはv4.0 MR3 Patch15です。

尚、コントローラとなるFortiGate110CはNATモードで運用されています。

無線帯域を日本に合わせますが、ワイヤレスコントローラ＞管理アクセスポイント＞カスタムAPファイルに既に何か存在する場合は一度すべて削除する必要があります。

CLIコンソールで以下のコマンドを実行します。
# config wireless-controller setting
# set country JP
# end

これを設定しないと日本国内では違法となる電波を発信してしまうため必ず正しく設定します。

簡単なネット構成の確認

既存社内LAN：10.1.0.0/255.255.0.0（switch/internal）

SSIDは２つ用意する。

・ネット許可＋社内LANアクセス可能＋端末同士の通信許可：fgt_intra_nomap
・ネット許可＋社内LANアクセス不可＋端末同士の通信不可：fgt_public_nomap
それぞれ同時接続数は制限しない

無線タイプ：802.11n 5GHzと2.4GHz
セキュリティ：WPA/WPA2-PSK
暗号化：AES

AP経由の端末（DHCP割り当て）
　fgt_intra_nomap：192.168.50.0/24
　fgt_public_nomap:192.168.60.0/24

SSIDを作成する

ワイヤレスコントローラ＞ワイヤレスネットワーク＞SSID＞新規作成

インターフェース名：wifi_intraおよびwifi_public
IP/ネットマスク：端末側でのGWとなる
DHCPサーバの有効：チェックON
デフォルトゲートウェイ：インターフェースのIPと同じ
DNSサーバ：システムDNSと同じ（社内のDNS参照させるときは指定）

インターフェース名はシステム＞ネットワーク＞インターフェースへ同時に登録されます。
DHCPサーバーはシステム＞ネットワーク＞DHCPサーバーへ同時に登録されます。

fgt_intra_nomap（社内LAN OK）

fgt_public_nomap（社内LAN NG）

無線設定

ワイヤレスコントローラ＞管理アクセスポイント＞カスタムAPプロファイル＞新規作成

※20/40 MHzチャンネル帯域チェックONで通信速度を上げることができるが他の5GHz機器と干渉する可能性がある場合は使用しない方がいい

802.11na_5G

802.11ng_204G

FortiAPの設定

ワイヤレスコントローラ＞管理アクセスポイント＞管理FortiAP

LAN接続されているFortiAPが一覧に出てきているので編集します。

承認します

プロファイルの割り当て

通信ポリシー

●SSID fgt_public_nomap接続した端末はインターネットのみアクセス可能

端末から外部へ
wifi_public→wan1（external）

NAT有効化を忘れずに
必要に応じてUTMを設定

●SSID fgt_intra_nomapに接続した端末はインターネットおよび社内LANへのアクセス可能

端末から外部へ
wifi_intra→wan1(external)

NAT有効化を忘れずに
必要に応じてUTMを設定

端末から社内LANへ
wifi_intra→switch（internal）

社内LANから端末へ
switch（internal）→wifi_intra

設定は以上

他のAPなどの影響により通信が不安定なときはチャンネルを変えてみるとよい。

ForiGate40C 不安定

FortiGate40Cご利用のお客様より

・メール受信が遅い
・ネットが遅い
・たまにネットがダウン

という報告を受け調査開始

１．問題の切り分け

まず回線に問題がないか切り分けるため他社ルータに切り替えてみる。

→同様の現象は発生しない


２．FortiGateの初期化

FortiGateを工場出荷に戻し再構築する。

→現象は相変わらず発生する

機器の故障か・・・

ポートの不良も考えられるのでWAN1ポートからWAN2ポートに切り替えて・・・・

という時に、とある報告で

「FortiGate40C＋FortiOS 4.0 MR3 Patch15の組み合わせでパケットをロスしてしまう」

こんな情報が！

ということでv4.0 MR3 Patch14にダウングレードです。

FortiGateが突然通信不能に？

FortiGateのIPSエンジンアップデートが発表された。

対象はFortiOS Ver 4.3.12以降向けで自動アップデート設定をしていれば自然と更新される。

ただ基本的にIPS エンジンのアップデートはCPUに負担が掛かかるようで、稀にCPU使用率が上昇したままになり、最悪ネットワーク障害を起こす可能性があるそうです。

100%障害が発生する訳ではないが、障害が発生すると見込んで自動アップデートではなく、手動でアップデートして障害対応したいものである。

対象FortiOSバージョン

　[ FortiOS Ver 4.3.12（4.0 MR3 Patch12）以上 ]

対象IPSバージョン

　[ IPS Engine Ver 2.00174未満のFortiGate ]


手動アップデートの手順（自己責任でお願いします）

現在のFortiOS、IPSエンジンのバージョンを確認して対象であれば、購入先等に問い合わせてIPSエンジン2.00174のアップデートファイルを入手してください。

flen-400-2.0174.pkg

Web管理画面のシステム＞設定＞FotiGuard＞IPS定義 [アップデート]からファイルをアップロードする。

IPSエンジンが2.00174になっていることを確認しCLIコンソールでipsengineプロセスの状態をチェックします。

以下は問題がない場合ですが、ipsengineプロセスが複数になっていたり右から２番目の値が上昇している場合は現象が発生していると思われます。

FGT9999999999 # diagnose sys top Run Time: 50 days, 3 hours and 24 minutes 0U, 1S, 99I; 443T, 129F, 126KF httpsd 87 S 15.2 5.8 newcli 2897 R 3.8 3.9 httpsd 2894 S 0.9 4.8 ipsengine 2832 S < 0.0 14.6 httpsd 94 S 0.0 6.2 urlfilter 61 S 0.0 5.8 scanunitd 2857 S < 0.0 5.6 cmdbsvr 29 S 0.0 5.6 httpsd 2890 S 0.0 4.8 httpsd 2891 S 0.0 4.8 httpsd 37 S 0.0 4.5 miglogd 35 S 0.0 4.0 fgfmd 84 S 0.0 4.0 scanunitd 2858 S < 0.0 4.0 newcli 2885 S 0.0 3.9 cw_acd 86 S 0.0 3.7 updated 69 S 0.0 3.6 scanunitd 2856 S < 0.0 3.6 iked 68 S 0.0 3.5 authd 62 S 0.0 3.5

もし、現象が発生しているようならば、以下のコマンドでIPSエンジンのみ再起動してみます。

# diagnose test application ipsmonitor 99

restarting ipsmonitor

Web画面などから応答が無い場合は機器とシリアル接続を試してみる。それでもダメならば強制的に本体を電源をOFFにしてから起動するしかない。ただし稀に故障の原因にもなるので承知の上で行う。
　

FortiGate ログが書き込まれない

先日FortiGate110Cのファームウェアをアップデートしたらログが書き込まれなくなった

更新前：FortiOS 4.0_MR1
更新後：FortiOS 4.0_MR3_Patch15

管理者権限のあるユーザでWeb管理画面へ
ダッシュボード＞StatusにあるCLIコンソールから操作します。

存在しない場合は表示項目の追加からCLIコンソールを選択して追加します。

CLIコンソールでチェックすると

# show log memory setting
show log memory setting
    set status disable　← 無効になってる！
end

あれ？・・・ということで有効に変更

# config log memory setting
 (setting) # set status enable　←　有効に変更
 (setting) # end
# exit
　

FortiWiFi 基本設定

FortiWiFi-60Cの簡単な設定

FortiWiFiとは
FortiGateにWi-Fiのポートが付いたモデルである。

基本的にはFortiGateと同じである。

ちょっと残念なのがこのWiFiポートはアクセスポイント（AP）ではないっていうことです。
WANポート、LANポートのように独立したポートなのです。

従ってLANポートと同じネットワークアドレスが設定できない。

どうしてもAPがいいのであれば別途FortiAPという専用機器があるのでそちらを追加で購入する方法があります。

それからMACアドレスでの接続許可やSSIDを隠すステルスモードは現在搭載されていないがファームウェアV5.0で可能になる予定です。

例）
WANポート_10.10.10.1/255.255.255.255（外側）

LANポート_192.168.0.0/255.255.255.0（内側）
WiFiポート_192.168.50.0/255.255.255.0（内側）

ファームウェアV4.0 MR3 Patch15 (build 0672)

●アドレス
wifi用のアドレスを作成します。

●DNS設定
wifiインターフェースを「システムのDNSサーバに転送」にしておく（存在しなければ追加）

●ワイヤレスコントローラ
IPアドレス　：192.168.50.1/255.255.255.0
管理アクセス　：PINGのみで良いでしょう
DHCPサーバ有効　：ON
アドレス範囲　：192.168.50.10-192.168.50.20
サブネットマスク　：255.255.255.0
デフォルトゲートウェイ　：インターフェースのIPと同じ
DNSサーバ　：システムDNSと同じ（社内のDNSを使いたい場合は指定で定義）

SSID：必要に応じて変更
セキュリティー：WPA/WPA2-パーソナル
暗号化：AES
事前共有キー：8文字～64文字まで（26文字以上は設定したいところです）

WiFi機器同士の通信をさせない場合はSSID内トラフィックブロックをONにする
同時接続数を制限する場合はその台数を設定する

●DHCPサーバ
ワイアレスコントローラの作成と同時に作成されるので内容をチェックしておく

●ポリシー
Wi-Fi機器がインターネットだけにつながれば良いのであればWiFiポート→WANポートへのポリシーを作成するだけでよい。NATは有効にします。

送信元アドレスは先ほど作成したアドレスを設定
宛先アドレスは外部なので基本的にallで設定

これでWi-Fi経由でインターネットが閲覧できるようになります。

●Wi-Fiの調整
送信出力の調整
不正APスキャンさせないをONにします。

●WiFiポートからLANポート
LANポート内にあるサーバにアクセスさせた場合
WiFiポート→LANポートへのポリシーを作成するだけでよい。NAT有効にします。

●その他
SSIDは追加できるのでひとつのWiFiポートに対して複数の割り当てができます。LANにアクアセスできる、できないで分けるなどの使い方ができるようです。

簡単な説明だがこんな感じで設定すればOK
　

ForiGate 信頼できるホストを間違ってアクセスできなくなった！

FortiGateでは納品時はどのホストからもアクセスができるようになっているがセキュリティ的によくない。

やはり0.0.0.0を変えてアクセス制限は設定しなければいけませんね。

設定はWEB管理画面で言うと、システム＞管理者＞管理者アカウント内の「信頼できるホスト」

しかし、ここで0.0.0.0を誤って全部127.0.0.1/32に書き換えてしまった！当然その瞬間WEBからの応答がなくなる。

こんな場合はFortiGateとPCをシリアル接続してCLI経由で設定します。（接続方法はこちらを参考）

まずは管理者でログイン

# config system admin
(admin)# show system admin
config system admin
    edit "admin"
        set trusthost1 127.0.0.1 255.255.255.255
        set trusthost2 127.0.0.1 255.255.255.255
        set trusthost3 127.0.0.1 255.255.255.255
        set accprofile "super_admin"
        set vdom "root"
        ・
        ・
        ・

        こんな感じで設定情報が表示される・・・見事にlocalhostのみだ！笑える
        ということで３番目を上書きして変更します。

(admin)# edit admin　←設定するユーザー名
(admin)# set trusthost3 192.168.0.0/255.255.255.0　←信頼するホスト（192.168.0.0/24でも可）
(admin)# end
# exit

これで完了！
無事WEB管理画面にアクセスできるようになりました。
　

FortiGateのファイアウォールが原因でRSupが使えない

弊社ではsantec様のRSupというリモートツールでお客様のPCサポートを行っているがForiGateの再設定後、突然使えなくなった。

機器とファームウェアは以下の通り
FortiGate 110C v4.0,build0672,130904(MR3 Patch 15)


RSupはWeb（80,443ポート）が使えれば問題ないと思っていたが、IMのNateOn、NateOn_File.Transfer、NateOn_Remote.Controlが一致するアプリケーションのようです。

弊社ではIM全般をブロックしていたためこのような事態に陥っていまった。

UTMプロファイル＞アプリケーションコントロール＞にてNateOn_File.Transfer、NateOn_Remote.Controlをモニターするポリシーを作成して無事解決

ポリシーを作成するときアプリケーションを選択するが、何故かコンボボックスに項目が見つからない。ボックス内にnateonと入れたら候補が出てきた！ハマった

もしかしたら接続されるお客様側も同様に許可する必要がありそうだ。
　

FortiGate SSL VPN WebAccessモード

前提条件：ForiGateをNATモード（ルータ）で稼働させている必要があります。

トンネルモードを使わない簡単な構築です。

接続元のクライアントPCではJavaRumtimeが必要になるので予めインストールしておきましょう。

使用した機器：FortiGate110C

ファームウェアバージョン：FortiOS v4.0 MR3 Patch15

LAN：10.1.0.0/255.255.0.0

操作はすべてWeb管理画面から行いますが、ユーザ、VPN、FWポリシーが操作できるユーザでログインします。基本的にはsuper_adminがいいでしょう。

[ファイアウォールオブジェクト＞アドレス＞アドレス]でLAN側のネットワークを予め定義しておく

※ご自分の環境に合わせてください。

ローカルユーザの作成　[ユーザ＞ユーザ＞ローカル]

ユーザ名とパスワードを設定してログインユーザを作成します。

※私はユーザ名にメールアドレスを使用しています。

※認証はLDAP、RADIUSなどありますが事前に定義しておく必要があります。

ユーザグループの作成　[ユーザ＞ユーザグループ＞ユーザグループ]

名前：SSLVPNuser（適当でOK）

タイプ：ファイアウォール

SSL-VPNアクセスを許可をチェックONにして予め作成されているポータル[full-access]を選択します。このポータルは[VPN＞SSL＞ポータル]で自由に作成することができます。

ポリシーの作成　[ポリシー＞ポリシー＞ポリシー]

SSLVPNの接続を許可するポリシーを作成します。

新規作成

送信元インターフェース：wan1（External）

送信元アドレス：All

宛先インターフェース：switch（Internal）

宛先アドレス：LocalNetwork（LAN側のネットワーク）

アクション：SSL-VPN

SSL-VPNユーザを設定チェックONにして追加

ユーザーグループ：SSLVPNuser

サービス：ANY

スケジュール：always

作成されたポリシーは以下の通り

そのブロック内で一番上になるように移動します。

接続元からLAN側にアクセスできるポリシーを作成します。

新規作成

送信元インターフェース：sslvpnトンネルインターフェース（ssl.root）

送信元アドレス：All

宛先インターフェース：switch（Internal）

宛先アドレス：LocalNetwork（LAN側のネットワーク）

スケジュール：always

サービス：ANY

アクション：ACCEPT

作成されたポリシーは以下の通り

以上でFortiGateの設定は完了となりますので、外部からアクセスしてみます。

アドレスはhttps://グローバルIP:10443/

この証明書には問題がありますと表示されるが、このサイトの閲覧を実行するで進みます。

ログインに成功です。右上の「Connection Tool」から選択して接続します。

また接続設定はBookmarksに登録ができます。

接続先のアドレスはFQDNではダメなようです。
ホスト入力時にはhttp://などのようにプロトコル指定は不要です。

RDPネイティブはそのマシン内のリモートデスクトップが使われるようです。