daily

fortigate local-in-policy & trusted hosts 설정

먼저 fortigate local-in-policy는 Interface 대상으로 액세스를 제한하는 정책입니다.

local-in-policy는 GUI에서 설정이 불가능하고 CLI에서만 가능합니다.

설정 방법

Fortigate CLI > config firewall local-in-policy > edit <> > set ?

일반 정책설정과 거의 똑같습니다. <* 표시는 필수적으로 설정이 되어야 하는 표시>

intf : 정책을 적용할 Interface

srcaddr : 출발지

dstaddr : 목적지

action : default는 deny

service : 어떠한 service만 액세스해줄건지

schedule : 해당 정책의 적용 시간 / always 또는 특정한 시간만 적용

status : 정책의 활성화, 비활성화

위 조건대로 설정 후 적용시켜주면 됩니다. 기본적으로 local-in-policy에는 아무런 정책도 설정되어 있지 않습니다.

trusted hosts

admin 사용자에게 신뢰할 수 있는 IP 대역을 할당하여 액세스 허용

trusted hosts는 GUI, CLI에서 설정이 가능합니다.

먼저 GUI

Fortigate GUI > System > Administrators > 계정 클릭

아래 Restrict login to trusted hosts를 활성화 후 IP 대역 설정

CLI에서는 config system admin > edit <계정> > set trusthost1 <IP대역 입력>

끝!

fortigate local-in-policy & trusted hosts 설정 알아보기 끝

fortigate 로그인 실패 시 잠금관련 설정 알아보기

fortigate 로그인 3회 실패 시 1분간 계정이 잠긴다.

설정을 통하여 실패 횟수 및 계정이 잠기는 시간을 변경할 수 있다.

해당 설정은 cli에서만 변경이 가능

config system global

명령어 입력

admin-lockout-duration : 실패 시 잠기는 시간 60초 (default) / 잠기는 시간 1초 ~ 2147483647초까지 설정가능

admin-lockout-threshold : 실패 횟수 3 (default) / 횟수 1 ~ 10까지 설정가능

필요 시 요청에 맞추어 설정하면 된다.

fortigate login fail count setting / 로그인 실패 시 잠금시간 및 실패횟수 설정

 Fortigate admin password recovery

fortigate 관리자 패스워드 복구

fortigate 패스워드 분실 시 재설정하는 방법

1단계

Fortigate 장비에 Console 연결

연결 후 확인사항

패스워드 복구를 하기 위해선

CLI > config system global > set admin-maintainer enable/disable이 enable되어 있어야 한다.

default로 enable 이지만 혹시 다른 누군가가 바꿔놨을 수도 있다는 가정하에 확인

패스워드 복구를 위해서 maintainer라는 계정으로 Login함

2단계

장비 재부팅

재부팅 후 maintainer Login

ID : maintainer

PW : bcpb<Fortigate S/N> / Ex. bcpbFGT100FXXXXXXX

bcpb뒤에 해당 Fortigate의 S/N가 오는데 대소문자를 구분한다.

그리고 장비가 켜지고 나서 30초 안에 maintainer 계정으로 Login해야 하기 때문에 패스워드는 미리 메모장에 적어놓고 복사/붙여넣기 해두는 게 좋다.

추가로 장비 재부팅은 물리적인 전원케이블이 절체되어야 한다. ( 장비 shutdown 후 전원케이블 절체, 약 10초 후 연결 )

명령어로 인한 재부팅 X

3단계 패스워드 재설정

maintainer Login에 성공하면

config system admin > edit admin으로 진입하여 패스워드 재설정을 해주면 된다.

마지막으로 maintainer로 Login 시 factoryreset(장비 공장초기화) 또는 admin으로 진입해 패스워드 복구만 가능하다.

이 외 다른 모든 설정 변경 불가능함

Fortigate admin password recovery

그리고..

maintainer 기능도 disable에 패스워드까지 분실하였다면 방법이 없다.