daily

자체 생성 트래픽에 대한 Fortigate source IP 변경 방법

자체 생성 트래픽이란 FAZ, FMG, SNMP등 fortigate에서 시작되는 패킷 보낼 때 일반적으론 트래픽이 나가는 인터페이스 IP로 나가기 때문에 변경이 필요할 때가 있습니다.

위 두 링크에는 위 적어둔 FAZ, FMG, SNMP뿐만이 아닌 여러 부분에서 변경이 가능하니 참고하시면 됩니다.

자체 생성 트래픽에 대한 Fortigate source IP 변경 방법

FortiManager 및 FortiAnalyzer VM 라이선스 활성화 방법

VM 라이선스 활성화 하기 위한 사전 작업이 끝나고 난 후(IP 및 라우팅 설정등) 

1. 인터넷이 되는 환경,

- 먼저 FortiManager 및 FortiAnalyzer VM은 fds1.fortinet.com(usfds1.fortinet.com)과 통신 체크

- Manager의 경우에는 Signature update도 필요하므로 GUI > FortiGuard > Licensing Status 부분에서 security 기능 활성화 체크

2. 폐쇄망 환경,

폐쇄망 환경에서는 인터페이스 IP와 라이선스 파일 관리 IP가 일치해야 합니다.

Support site 로그인 후 장비리스트에서 VM 선택 > 편집 클릭 후 IP address 입력 (임의의 IP주소를 넣어도 됩니다.

입력한 IP가 VM Interface에 동일하게 들어가 있어야 합니다.(사용하지 않는 Interface에 설정)

3. Proxy Server를 통하여 라이선스 활성화

FortiManager 및 Fortianalyzer VM CLI 접속 후 "config system web-proxy" 에서 Proxy Server 설정

FortiManager 및 FortiAnalyzer VM 라이선스 활성화 방법

fortigate diangnose debug rating

diagnose debug rating 명령어로 연결된 FortiGuard Server 확인 또는 통신 해결하기 위해 사용하는 명령어입니다.

diagnose debug rating 명령어 입력 시 나오는 출력물

Service 상태와 Fortiguard와 어떤 프로토콜을 사용하는지 몇번 포트를 사용하는지등 관련 설정도 확인이 가능합니다.

아래에 있는 IP들은 해당 장비와 인접해 있는 Fortiguard Server들의 IP입니다. (나오는 IP List들은 장비마다 다를 수 있음)

여러 Fortiguard Server List 중 어느 Server와 통신하여 라이선스가 활성화 되어 있는지는 Flags를 보시면 됩니다.

Flags에는 여러 값들이 있는데요

D : 해당 장비가 DNS query(service.fortiguard.net)하여 받아옴

I : FortiGuard와 통신하여 라이선스 활성화

T : Server가 Fortigate와 통신안됨

F : Server 다운

위 이미지 기준으로는 DNS query하여 IP를 받아오고 Fortiguard와 연결된 서버는 173.243.138.210 Server입니다.

만약 장비에 라이선스가 업데이트되지 않는다면 저 IP와 통신 상태 확인해 보는 것도 방법이겠죠

추가로 Fortiguard Server와 통신관련하여 트러블 슈팅 명령어입니다.

1. diagnose debug application update -1

2. diagnose debug enable

3. execute update-now

차례대로 입력 시 debug 내용이 나옵니다.

fortigate diagnose debug rating

fortigate Web Filter Cache 설정

fortigate Web Filter Cache는 사용자가 URL접속 후 Fortiguard에게 rating받은 정보를 메모리에 저장하여 동일한 URL 접속 시 Fortiguard로 Query하지 않고 저장된 정보를 보냅니다.

Fortigate GUI > system > Fortiguard > Filtering

해당 장비는 라이선스가 있는 상태이고 Default 설정값입니다.

Fortiguard로 rating한 결과값을 메모리에  저장하는 시간이 60분입니다.

무한대로 저장할 수 있는 건 아닙니다. 어느 정도 되면 override됩니다.

fortigate Web Filter Cache 설정

fortigate web filter action 및 allow와 monitor 차이점

이 부분은 fortigate web filter > URL filter action에 관련된 내용입니다.

URL Filter에 action은 4개가 있습니다. /Exempt, Block, Allow, Monitor

먼저,

Allow : URL에 대한 트래픽 허용

Block : URL 차단

위 두 가지는 뭐 당연하죠 ㅎㅎ

Monitor : Allow와 action 자체는 동일하지만 Log를 남깁니다. / Allow는 Log를 남기지 않음

Exempt : URL 예외 처리지만 Web filter의 검사 순서는

URL filter > Fortiguard categry > Content Filter 순으로 검사를 합니다.

예를 들어, 티스토리 URL이 URL Filter에서 허용, Fortugard category에서 차단으로 설정되어 있다면 허용되는 게 아니라 차단이 됩니다. 순서대로 검사를 다 진행하기 때문이죠.

하지만 URL Filter에서 URL을 Exempt Action을 설정해주면 다음 단계 검사를 진행하지 않고 통과시킵니다.

그래서 URL 예외처리가 필요하다면 URL Filter > Exempt로 해주시면 됩니다.

fortigate web filter action 및 allow와 monitor 차이점

fortimanager NTP Server 버전 확인하는 방법

일단 fortimanager는 fortigate를 관리하는 장비입니다. 정책, 펌웨어등등!

그래서 fortigate를 많이 사용하는 고객이라면 도입 시 많은 장점이 있죠!

오늘은 fortimanager에 설정된 NTP Server의 버전을 확인하는 방법을 알아보겠습니다.

먼저 fortimanager에 접속 후 환경 설정 탭으로 들어가 줍니다.

환경 설정탭으로 진입 후 대쉬보드에 시스템 시간 클릭

저는 현재 ntp1.fortinet.net이라는 fortinet NTP Server로 설정되어 있습니다. (장비 default 설정)

회사내 NTP Server가 있다면 변경도 가능합니다.

fortimanager가 외부와 통신이 되면 fortimanager IP로 Wireshark에서 Packet Capture 진행

fortimanager IP 확인

Wireshark에서 확인

NTP는 UDP 123번 Port로 정의되어 있어 목적지 Port 123번으로 filter를 걸어줬습니다.

그러면 fortinet NTP Server IP와 오른쪽에 보시면 NTP Version 4 확인이 가능합니다.

fortimanager NTP Server 버전 확인하는 방법

Fortigate signature update 또는 rating service에는 각각의 다른 포트를 사용합니다.

먼저 Fortigate signature update는 Antivirus, IPS, Application등 Fortigurad로부터 signature를 update 받아 사용합니다.

정상적으로 signature update를 받기 위해선

Fortigate는 update.fortiguard.net과 통신이 되어야 하는데,

Fortiguard에서는 주기적으로 signature를 update하므로 update 마다 다운로드하기 위해서는 위 update.fortiguard.net과 주기적으로 통신이 되어야 하고 port는 HTTPS 443을 사용합니다.

signature update 확인 방법은 GUI와 CLI 둘 다 가능합니다.

GUI에서는 System > Fortiguard에서 확인하려고 하는 기능에 마우스를 올리면 언제 마지막으로 update가 되었는지 expired date가 나오는데 signature update는 expired date까지만 signature update가 가능합니다.

참고 아래 스크린샷은 라이선스가 없는 Fortigate입니다 ^^

CLI에서는 명령어 diagnose autoupdate versions 입력 시 확인이 가능합니다.

Fortigate rating service의 Antispam 및 web filtering은 Fortiguard에 쿼리를하고 결과값을 받아 정의된 Action에 따라 동작합니다.

쿼리하는 URL은 service.fortiguard.net입니다.

예를 들어 Fortigate 하단의 client가 www.naver.com을 접속합니다.

그러면 Fortigate는 Fortiguard에 www.naver.com라는 URL을 쿼리하고 Fortiguard URL DB에 정의된 값을 얻습니다.

www.naver.com은 Search Engines and Portals에 포함되어 있고 default Action은 pass입니다.

추가로 Fortiguard는 약 3억개의 URL DB를 가지고 있으며

그 중 약 6천개의 차단되는 악성, 피싱, 스팸 URL을 가지고 있습니다.

Fortigate rating service에 사용되는 Port는

- UDP 8888, 53

- HTTPS 8888, 53, 443

Fortigate rating service도 GUI System > Fortiguard에서 확인이 가능하며

rating service의 경우 expired date까지만 쿼리하므로 라이선스가 expire되면 쿼리를 하지 못해 web 접속이 되지 않아 장애상황이 발생할 수 있습니다.

그러므로 라이선스를 갱신하지 않는다면 expired date에 맞춰 기능을 꺼주시는 게 좋습니다.

마지막으로!

Fortigate signature update 및 rating service는 라이선스가 필요한 기능입니다.

Fortigate signature update 및 rating service use port

알아보기 끝