ども。こんばんは。

知らぬ間に出ていました。

まだ上げてないけどまとめ。

Introducing FortiOS™ 6.0

主な新機能？？（What’s New – Key Featuresより）

Multi-path intelligence for SD-WAN
Asset tagging
FortiCASB integration
Multi-cloud support with SDN connectors
FortiClient Support For Linux
New FortiGuard services
Indicator of compromise (IOC) quarantine and IP ban
FortiMail and FortiWeb feature enhancements
Administrator-defined automation
Automated security audits and expanded audit rules

リリースノート

https://docs.fortinet.com/d/fortios-6.0.0-release-notes

リリースノートザーッと呼んで見ての確認事項とか気になるところ。

・FortiGuard Security Rating Serviceってなんだ？
・ファクトリー証明書がデフォルトで2048bitになるっぽい。バージョンアップしたら証明書やられる？
・GUI上はなんかアップグレードパスが見つからないとか書いてるが大丈夫か。

・5.6.1か5,6,2以外からアップデートする場合は4433ポートをSSL-vpnとかから外さないといけないっぽい。うちは5.6.2だけど、そもそも4433って何かですでに使われてたか確認。
・5.6.3以降からのアップデートでゾーンに物理インターフェースが含まれてると吹っ飛ぶ・・・？
原文：Upgrading from 5.6.3 or later removes all of the members of a zone if the zone contains a physical interface and at least one of that physical interface’s VLAN interfaces.
・デフォルトのTLSバージョンが1.1以上になった
・上げた後にリストアするとほぼ設定が戻らないっぽい。※まぁこれはいつも通り念のため上げる前に取得したバックアップを戻せばいいかな。
戻るのは以下の設定・・・ってポリシー戻らんやないかい！

operation mode
interface IP/management IP
static route table
DNS settings
VDOM parameters/settings
admin user account
session helpers
system access profiles

・VDOMのショートネーム、ロングネームってなんぞや。ダウングレードまでには最大11文字に短くする必要がある？前からそんな仕様あったっけ。
・どのバージョンからかは知らぬがResolved Issue多すぎじゃね。。。
・このKnown issue大丈夫か・・・？

451348 Flow AV SSL traffic EICAR detection failure
435951 Traffic keeps going through the DENY NGFW policy configured with URL category.
→・・・あ。これKnown Issueやったんか・・・。ざけんなNGFW！！！

そんなところか。Known Issue結構あるなー。

まぁそんなところですね。今日は上げません。

ではでは。またの機会に。

はい。やばいです。

先日も書きましたが、下手にアプリケーションでポリシーを書くとえらい目にあります。

このvideoとaudioのポリシー、SMTPまで引っ掛けてました。。。。

あと、DNSフィルタですが、これも酷い。。。

なんかmoneyforwardにつながらないと思ってたら、FortiGateのせいだった。。。

なんかね、名前解決できるはずなのに、エラーと判断した上にRedirectしやがった。(デフォルトではFortiNetのDNSにリダイレクトされる。)

なので、もう一旦無効にしましたよ。

以前のようにポリシーのプロファイルとしてURLフィルタが当てられないので、地味に困る。

結局またall->all->allで、URLカテゴリ指定したポリシー作ってもいろんなものが吸い寄せられるんだろうなあ。

うーん。これはNFGW機能OFFにして旧来通りのポリシーベースにしようかなぁ。。

ではでは。またの機会に。

ども。こんばんは。

先日の記事でアンチウイルス(AV)とDNSフィルタが何故か動作しないということを書きました。

FortiGate 90Dへのリプレース完了

で、これ結論から言うと動作しました。

今回我が家では・・・こんな感じで、一部のクライアントをvdom1からvdom2にカキーンと曲げています。

クライアント ー ーーーーvdom1 ーー Interlink
(一部クライアント)　　　　　　 ＼　← PolicyRoute＋AV/DNSフィルタ
クライアント ーーーーーvdom2 ーーー OCN

とどのつまり、vdom1からvdom2へのvdom linkに抜けるタイミングのポリシーでアンチウイルスとDNSフィルタを有効にしていました。

これだと動かない模様ですorz

なんでvdom1でやりたいかというと、プロファイルの管理がし易いかなとかそんな理由です。。。

うーん、これ前からそうだっけかな。

まぁとりあえず動いたかな。

でもDNSフィルタが聞かないぞ・・・ちゃんとDNSサーバから外にでるポリシーに当ててるつもりなんだけどなー。

あ・・・・DNS通信、video/audioに持って行かれてた模様・・・orz

※このポリシーの下にDNSとかHTTPとかのポリシーがある。

DNSだけポリシー上に書くかな〜。

ではでは。またの機会に。

ども。こんばんは。

リプレース中からうまくいってませんでした。

invalid user name or password

とか言われてログインできない=Activationできない。

原因は「日本の」FortiCloudに勝手に繋いでしまうから・・・。
気づくのにだいぶかかった。。。これやめて。。。

日本にはアカウント持ってないんだもの。
ちなみにグローバル？のFortiCloudには2014年の5月頃に登録していました。

さんざん探し回ったけど日本以外のサーバに変更する方法が見つからず。

結局JPのFortiCloudにアカウントを作って解決しました。

これイマイチだなぁ。
世界中にFortiGate撒くような案件だとどうなるんだろ。有償版は違うのかな？一応マルチテナントっぽいライセンスもあるっぽいし。

お、AVのオプションにもFortiSandbox出てきたな。

おまけ。FortiCloud関係のデバッグ

 

dgw-ng (global) # diagnose test application forticldd

1. dump fds setting

2. dump log controller status

3. dump log server status

4. dump msg controller status

5. dump msg server status

7. dump FDS default update server status

8. dump FDNI status

9. dump Contract Controller status

10. dump Configuration Manager status

11. dump FortiClient status

12. dump FortiManager status

13. dump image/cfg/script schedule

14. dump image list

15. dump fap version list

16. dump fsw version list

17. dump connection info

20. toggle debug of FortiGuard log

こんな感じ。

dgw-ng (global) # diagnose test application forticldd 3

Debug zone info:

    Domain:

    Home log server: 208.91.113.221:514

    Alt log server: 208.91.113.144:514

    Active Server IP:      208.91.113.221

    Active Server status:  unknown

    Log quota:      102400MB

    Log used:       0MB

    Daily volume:   20480MB

    FDS arch pause: 0

    fams archive pause: 0

    APTContract : 0

    APT server: 208.91.113.221:514

    APT Altserver: 208.91.113.144:514

    Active APTServer IP:      208.91.113.221

    Active APTServer status:  up

ではでは。またの機会に。

ども。こんばんは。

先日購入したFortiGate 90Dへリプレースの準備をしていきます。

今回はヤフオクで購入。3台購入しました。(私と後輩2人で共同購入。)

Tポイント5000ポイントくらい使って1台、¥21,700ってところですね。
ライセンスが2020年6月まで残っています。

FortiOS 5.6が使えて、価格も比較的安くとてもいい機種だと思っています。

ではリプレースに向けて設定をいれていきます。

なお、FortiOS 5.6のあれこれはこちらにまとめていきます。

FortiOS 5.6メモ(随時更新したい)

まずは、ファームウェアをあげます。もうズドンとあげます。
※事前にWAN1のIPアドレスを変更してインターネットにつながる状態にしています。
初期では、LAN1でDHCPが走っているので、LAN1に繋いで「192.168.1.99」につなげばGUIが見れます。これも大昔からの伝統ですねー。

ズドンと上げたら一応execute factoryresetをしています。なんとなく気持ち悪いので。
※一同factoryresetする前にAVとか諸々最新にできたことを確認しました。

■とりあえずVDOMを有効化

FortiOS 5.6メモ(随時更新したい)を参照。

■基本的な設定

・ホスト名変更
・タイムゾーン変更
・管理者パスワードの追加
・ハードウェアスイッチを削除(後述のroot VDOMのポリシーを消してから)
 ・SSLのポートを10443に変更(SSL-VPNとかぶるので)

■VDOMを追加

・今回は、今のJuniper SRXのVirtual Routerと同じ構成にするつもりなので2つ設定。
両方ともフローベースだぜ！NGFWもポリシーベースだぜ！(←詳細はFortiOS 5.6メモ(随時更新したい)を参照。)

・VDOM rootにあるIPv4ポリシーを消す。
※wan1インターフェースがrootから別のvdomに移動できないため。

・とりあえずFeature Visibilityは全部onに。

・Implicit Policyのロギングを有効に。

■インターフェースを設定

・リンクアグリゲーション

・・・は、100D以上じゃないとできないってよ・・・。

しょうがないので、今回はWAN1とWAN2をそれぞれTrunkでL3とつなぎ、WAN1側にCTUにつながるラインを、WAN2側に既存のLAN側になる部分を繋ぐ設計にしよう。

・VLANインターフェースとしてPPPoE用のインターフェースを2つ作成しそれぞれのVDOMへ
いま、PPPoE喋るインターフェースってUntaggなんだよなー。FortiGateだとVLANインターフェイスだとタグつけなきゃダメかー。。。

→当然ながらVLANID同一で複数サブインターフェースは切れないので、今回は諦めてWAN1とWAN2それぞれ物理インターフェースを使うことに。

・VLANインターフェースを作成
Internal1の下にそれぞれ作って、それぞれのVDOMに割当。

■VDOM Linkとroot VDOMからFortiGuardへの抜け設定

・FortiGuardはrootから出ていくので、root VDOMのスタティックルートをvdom linkに抜ける。
多分、vdom linkのインターフェースにIPアドレスを振っておかないと出ていけないっぽい。
※IPアドレスが0.0.0.0/0.0.0.0の場合は、通信ログに何も乗ってこなかった。

■セントラルNATの設定

・今回NGFWをポリシーベースにしたのでポリシー毎にSNAT(送信元NAT)できないので設定する。これVirtual IPの設定したら、逆方向(サーバ発信)もNATされる・・・よね？

■Virtual IPの設定

・これは普通に設定する。

■ポリシー

・ひたすら以降中。

一旦今日はここまで。

ではでは。またの機会に。

ども。こんばんは。

久々のFortiGateネタ。

FortiCloudで設定管理、ファームウェア管理、ログ管理、FortiSandbox(Cloud Sandbox)とか諸々ができます。
ちなみに無償プランでも最近100GBまでログ保管してくれるっぽい(でも7日で消える？)し、Sandboxも1日10ファイルくらいは解析してくれるっぽいです。

残念ながら5.2(v5.2.1,build618 (GA))ですけどね。

ずっとConfig Managementができない(The tunnel is not established.)のを不思議に思っていましたが、設定が必要だった模様。

以下マニュアル

FortiCloud v3.1.2 Frequently Asked Questions

FortiCloudへの設定はこんな感じ。
※これ多分FortiManagerと繋ぐ時の設定と一緒っぽいな。

config system central-management
set mode backup
set type fortiguard
end

お、コマンド実行後すぐにCPUとメモリが出てきました。
※上の段はもう使ってないFortiGate 50B。

ちなみにうちのFortiGateは直接Global IPは持っていません。
どうもFortiGateからFortiCloudに向けてセッション貼ってるっぽいですね。

なんか不審なエラー(ファームウェアミスマッチ？)っぽいメッセージが出てますが設定が見えます。
※手動でImportしてみましたが改善しませんでした。

怖いけどオブジェクト作ってみる・・・。

変更部分は青背景なのかな？
※ページ切り替えたら青背景消えた笑

右上のDeployを押して見る。

できた・・・っぽい

ログがでます。

おー。入ってる。

とりあえず、設定はできそう。。

が、複数セキュリティプロファイルには対応していない？っぽいです。

まぁいいか。

で、おまけ！勢いでバージョンアップもします！

FortiGate本体だと、5.2系を認識していませんが、FortiCloudだと5.2系の最新にできるぽい。

FortiOS v5.2.11, Build 754にアップデートします。以下リリースノート。

http://docs.fortinet.com/uploaded/files/3654/fortios-v5.2.11-release-notes.pdf

スケジュールを指定するみたいですが、これUTCで指定するっぽいです。
※今の時間が選択されているのでそれを参考に。

サクッとできましたー。

とりあえず、IPS/AVも更新できてるし、EICARも検知するし、AndroidからのSSL-VPNも問題ないしOKかな。

あと、FortiCloud Configでもう一回Importしたほうが良さそう？これは定期的にアップロードされているのかよくわからん。
※もう一回Importしたらファームウェアミスマッチのエラーは消えました。

とりあえず今日はここまで。

ではでは。またの機会に。

機種変したのでメモ

ユーザの設定画面で「Enable Two-factor Authentication」を一旦OffしてOK。

再度OnにしてOKして、「Send Activation Code」を押す。

この手順を飛ばして「Send Activation Code」だけ押すと、有効期限が古いままのコードが送信されるので注意。

なお、相変わらずQRコードじゃないとうまく登録出来ない気がする・・・。