daily

자체 생성 트래픽에 대한 Fortigate source IP 변경 방법

자체 생성 트래픽이란 FAZ, FMG, SNMP등 fortigate에서 시작되는 패킷 보낼 때 일반적으론 트래픽이 나가는 인터페이스 IP로 나가기 때문에 변경이 필요할 때가 있습니다.

위 두 링크에는 위 적어둔 FAZ, FMG, SNMP뿐만이 아닌 여러 부분에서 변경이 가능하니 참고하시면 됩니다.

자체 생성 트래픽에 대한 Fortigate source IP 변경 방법

Fortigate Interface Mac Address 확인 방법

GUI, CLI에서 Fortigate Interface가 가지고 있는 Mac Address 확인 방법

먼저 GUI부터

Fortigate GUI > Network > Interface > Edit

Wan1 Interface 확인해보기

오른쪽 탭에 Mac Address가 표시됩니다.

CLI에서 Mac Address 확인하는 방법

명령어 diagnose hardware deviceinfo nic <Interface Name> 입력

또는 

get hardware nic <Interface Name>

위 명령어 입력 시 동일한 내용이 출력됩니다. / 아무거나 입력하셔도 됩니다.

위와 같은 내용이 출력

Fortigate Interface Mac Address 확인 방법

Fortigate FQDN address IP list CLI로 확인하는 방법

Fortigate FQDN address를 생성하고 생성된 FQDN address의 Resolve 된 IP list를 CLI로 확인하는 방법입니다.

CLI > diagnose firewall fqdn list-ip 입력 시 출력화면

FQDN address와 Resolve된 IP list가 출력됩니다. 갯수가 많을 시 찾기 또는 확인이 힘들어 grep 명령어를 사용하여 필터링해줍니다.

diagnose firewall fqdn list-ip 뒤에 | grep -A10 login 명령어 입력

-A10은 아래 줄 수

물론 GUI에서도 FQDN address IP list들 확인이 가능합니다.^^

Fortigate FQDN address IP list CLI로 확인하는 방법

Fortigate session filter IP 범위로 조건 설정하는 방법

위 링크는 지난번 session filter 및 client 확인하는 방법 포스팅

session filter 조건 중 IP range로 조건 설정하는 방법에 대해 추가로^^

session filter 조건들을 보니 range에 대한 방법은 따로 없더라고요. (최근에 알게됨)

range의 경우 위 이미지처럼 설정해주시면 됩니다.

<IP>띄어쓰기<IP>

조건 설정 후 설정된 filter 확인

source ip 부분에 1.1.1.1 ~ 1.1.1.44까지 설정된 걸 확인할 수 있습니다.

IP 뿐만 아니라 Port의 경우도 이런 방법으로 range 설정이 가능합니다.

Fortigate session filter IP range 조건 설정하는 방법

Fortigate 권장 Firmware Versions 확인하기

Fortinet 본사에서 권장하는 Firmware Versions

가끔 안정적인 Firmware가 뭐에요? 라는 질문에 유용하게 쓰일 자료일 것 같아서 공유드립니다.

해당 링크의 문서는 안정성을 위한 일반 고객 배포에 대한 Firmware Versions이라고 하네요

거의 동일한 버전이기는 하지만..!

참고 자료

Fortigate 권장 Firmware Versions 확인하기

fortigate deep-inspection이 필요한 application control 확인 방법

SSL/TLS로 암호화된 트래픽을 검사하기 위해서는 deep-inspection이 필요합니다.

certificate-inspection의 경우 암호화된 트래픽을 검사하지 못하고 Header만으로 검사수행

application control의 경우 deep-inspection이 필요한 application과 필요하지 않은 application 시그니처가 있습니다.

7.2.x대 license 없는 application signature list 입니다. 약 2400개 정도가 있고 license가 있다면 약 5000개의 application signature로 업데이트가 됩니다.

application signature list에서 youtube를 검색해보았습니다.

그러면 체크해놓은 것처럼 signature 옆에 구름표시가 있는데 이런 signature들은 deep-instpection이 필요한 signature입니다.

해당 application들은 certificate-inspection으로 검사해도 탐지가 되지 않습니다.

이렇게 확인하는 방법도 있고

fortiguard site에서 확인하는 방법도 있습니다. 아래

fortiguard site > service > application control > signature name 검색

youtube를 검색해서 위 이미지 application list에 있는 youtube와 youtube_video.play라는 signature를 들어가 보았습니다.

추가로 site에서는 signature에 대한 자세한 정보 확인이 가능합니다. / 다른 security signature도 동일

여기서 Deep App Ctrl을 비교해서봐주시면 될 것 같습니다. / Yes or No

당연히! Yes가 deep-inpsection 필요입니다.

fortigate deep-inspection이 필요한 application controll 확인 방법

fortigate 마지막으로 사용된 방화벽 정책 확인하는 방법

마지막으로 사용된 정책과 처음 정책이 사용된 시간도 확인이 가능합니다.

먼저 Fortigate GUI > Policy & Objects로 가서  상단에 탭을 우클릭해줍니다.

Action, NAT 여기가 탭부분인데 아무 곳이나 클릭해도 상관은 없습니다

아무튼.. 우클릭 후 First Used와 Last Used 컬럼을 체크해줍니다.

체크를 해주고 나면 탭 부분에 표시가 됩니다.

정책이 처음 사용된 시간과 마지막 시간 초단위 까지 표시가 됩니다

날짜로 표기된 부분은 마우스를 가져다 놓으면 표시가 됩니다^^

fortigate 마지막으로 사용된 방화벽 정책 확인하는 방법

fortianalyzer firmware upgrade path 확인

fortigate와 마찬가지로 fortianalyzer에도 firmware upgrade path가 있습니다.

fortigate의 경우 firmware download 하는 곳에서 바로 확인이 가능하지만 fortianalyzer는 firmware download 하는 곳에서 확인이 불가능합니다.

먼저,

위 site로 접속해 줍니다.

접속 후 화면

fortianalyzer 클릭

이 곳에선 fortianalyzer의 admin guide, OS 호환성, CLI Reference 등 여러 자료들이 많습니다.

해당 OS에서 새로 나온 기능이라던가.. fortianalyzer에 관련된 기능이나 자료를 찾기에 좋은 site입니다.

스크롤을 아래로 내려서 Upgrade Guide 클릭

Upgrade Guide에서는 firmware upgrade 하는 방법도 나와있습니다~ (참고)

firware upgarde paths Tab에서 확인

거의 major OS Version 단위로 upgrade가 가능하네요 / 추가로 Log Rebuild 진행 유무 확인

fortianalyzer upgrade paths 확인

fortigate diangnose debug rating

diagnose debug rating 명령어로 연결된 FortiGuard Server 확인 또는 통신 해결하기 위해 사용하는 명령어입니다.

diagnose debug rating 명령어 입력 시 나오는 출력물

Service 상태와 Fortiguard와 어떤 프로토콜을 사용하는지 몇번 포트를 사용하는지등 관련 설정도 확인이 가능합니다.

아래에 있는 IP들은 해당 장비와 인접해 있는 Fortiguard Server들의 IP입니다. (나오는 IP List들은 장비마다 다를 수 있음)

여러 Fortiguard Server List 중 어느 Server와 통신하여 라이선스가 활성화 되어 있는지는 Flags를 보시면 됩니다.

Flags에는 여러 값들이 있는데요

D : 해당 장비가 DNS query(service.fortiguard.net)하여 받아옴

I : FortiGuard와 통신하여 라이선스 활성화

T : Server가 Fortigate와 통신안됨

F : Server 다운

위 이미지 기준으로는 DNS query하여 IP를 받아오고 Fortiguard와 연결된 서버는 173.243.138.210 Server입니다.

만약 장비에 라이선스가 업데이트되지 않는다면 저 IP와 통신 상태 확인해 보는 것도 방법이겠죠

추가로 Fortiguard Server와 통신관련하여 트러블 슈팅 명령어입니다.

1. diagnose debug application update -1

2. diagnose debug enable

3. execute update-now

차례대로 입력 시 debug 내용이 나옵니다.

fortigate diagnose debug rating

fortigate Web Filter Cache 설정

fortigate Web Filter Cache는 사용자가 URL접속 후 Fortiguard에게 rating받은 정보를 메모리에 저장하여 동일한 URL 접속 시 Fortiguard로 Query하지 않고 저장된 정보를 보냅니다.

Fortigate GUI > system > Fortiguard > Filtering

해당 장비는 라이선스가 있는 상태이고 Default 설정값입니다.

Fortiguard로 rating한 결과값을 메모리에  저장하는 시간이 60분입니다.

무한대로 저장할 수 있는 건 아닙니다. 어느 정도 되면 override됩니다.

fortigate Web Filter Cache 설정