daily

Fortigate Interface Mac Address 확인 방법

GUI, CLI에서 Fortigate Interface가 가지고 있는 Mac Address 확인 방법

먼저 GUI부터

Fortigate GUI > Network > Interface > Edit

Wan1 Interface 확인해보기

오른쪽 탭에 Mac Address가 표시됩니다.

CLI에서 Mac Address 확인하는 방법

명령어 diagnose hardware deviceinfo nic <Interface Name> 입력

또는 

get hardware nic <Interface Name>

위 명령어 입력 시 동일한 내용이 출력됩니다. / 아무거나 입력하셔도 됩니다.

위와 같은 내용이 출력

Fortigate Interface Mac Address 확인 방법

FortiManager 및 FortiAnalyzer VM 라이선스 활성화 방법

VM 라이선스 활성화 하기 위한 사전 작업이 끝나고 난 후(IP 및 라우팅 설정등) 

1. 인터넷이 되는 환경,

- 먼저 FortiManager 및 FortiAnalyzer VM은 fds1.fortinet.com(usfds1.fortinet.com)과 통신 체크

- Manager의 경우에는 Signature update도 필요하므로 GUI > FortiGuard > Licensing Status 부분에서 security 기능 활성화 체크

2. 폐쇄망 환경,

폐쇄망 환경에서는 인터페이스 IP와 라이선스 파일 관리 IP가 일치해야 합니다.

Support site 로그인 후 장비리스트에서 VM 선택 > 편집 클릭 후 IP address 입력 (임의의 IP주소를 넣어도 됩니다.

입력한 IP가 VM Interface에 동일하게 들어가 있어야 합니다.(사용하지 않는 Interface에 설정)

3. Proxy Server를 통하여 라이선스 활성화

FortiManager 및 Fortianalyzer VM CLI 접속 후 "config system web-proxy" 에서 Proxy Server 설정

FortiManager 및 FortiAnalyzer VM 라이선스 활성화 방법

Fortigate SSL-VPN 사용 시 인터넷이 느릴 경우

Fortigate SSL-VPN 인증 후 클라이언트의 인터넷 속도가 느리다고 판단될 때 해볼 수 있는 방법

PC에 설치된 Forticlient 실행 후 설정탭

DTLS 터널 우선의 체크박스 체크되어 있는지 확인

체크되어 있다면 비활성화 후 재연결하고 인터넷 연결 확인

Fortigate SSL-VPN 사용 시 인터넷이 느릴 경우

Fortigate FortiGuard 또는 FortiCare license가 만료되면 어떻게 되는지

제목에 관한 내용이  Fortinet Community site에 올라와서 올려봅니다.

하드웨어뿐만 아니라 VM에 관한 내용도 있더라고요.

FortiGuard는 Fortigate의 보안기능들(Av, IPS, Web filter등)

보안기능의 경우 AV,IPS,App Con 경우 license 만료일까지 시그니처가 업데이트되고 해당 시그니처는 계속 사용이 가능하며 추가 업데이트 X

Webfilter, antispam FortiGaurd로 쿼리 X

-

위 링크에선 하드웨어보단 VM에 관한 내용이 더 ..! 관심이 갑니다

VM의 경우 년 단위로 VM + License 구매 또는 영구 VM + License 두 가지 형태로 구매가 가능합니다.

년 단위로 VM + License 형태로 구매 시 라이선스가 만료되면 30일의 갱신 유예 기간이 제공되며 이 기간에는 축사, 제한된 기능만 사용된다고 합니다. 30일이 지나면 CLI 접근만 가능

-

영구 VM과 년 단위 License 형태로 구매 시 라이선스가 만료되면 하드웨어처럼 보안 기능 사용과 저장된 설정으로만 동작하는 방화벽(설정 변경 X)

빨간 박스 년 단위 VM + License 

주황 박스 영구 VM과 년 단위 License

Fortigate FortiGuard 또는 FortiCare license가 만료되면 어떻게 되는지

Fortigate session filter IP 범위로 조건 설정하는 방법

위 링크는 지난번 session filter 및 client 확인하는 방법 포스팅

session filter 조건 중 IP range로 조건 설정하는 방법에 대해 추가로^^

session filter 조건들을 보니 range에 대한 방법은 따로 없더라고요. (최근에 알게됨)

range의 경우 위 이미지처럼 설정해주시면 됩니다.

<IP>띄어쓰기<IP>

조건 설정 후 설정된 filter 확인

source ip 부분에 1.1.1.1 ~ 1.1.1.44까지 설정된 걸 확인할 수 있습니다.

IP 뿐만 아니라 Port의 경우도 이런 방법으로 range 설정이 가능합니다.

Fortigate session filter IP range 조건 설정하는 방법

FortiClientEMS에서 FortiGate Webfilter Profile 가져오는 방법

Fortigate에서 사용중인 Webfilter Profile을 FortiClientEMS Profile로 가져와 EMS 정책에 적용

먼저 Fortigate에서 EMS-Webfilter라는 테스트용 Profile을 생성해 줍니다.

FortiGuard Category Based Filter는 비활성화인 상태이고 URL Filter에서 네이버만 Static으로 차단 설정

FortiClientEMS GUI > Endpoint Profile > Web Filter 오른쪽 상단의 Import 클릭

Fortigate IP 및 ID/PW 입력

Fortigate WebFilter Profile 리스트

테스트용으로 생성한 EMS-Webfilter 선택

One Time Pull : 일회성 가져오기 / Fortigate WebFilter Profile이 변경되어도 동기화 되지 않음

Group Schedule : n개 이상 Profile 선택 시 선택한 모든 Profile에 대한 일괄 동기화 스케줄 설정

Individual Schedule : n개 이상 Profile 선택 시 선택한 Profile에 대한 개별 동기화 스케줄 설정

저는 One Time Pull로 진행

불러온 EMS-Webfilter Profile

Webfilter Profile 설정 확인

Categories base는 비활성화 되어 있고 아래 Static으로 네이버 static 차단 설정 확인

FortiClientEMS에서 FortiGate Webfilter Profile 가져오는 방법

ForticlientEMS 인증서 다운로드 방법 / Forticlient EMS Certificate

해당 작업은 Fortigate와 ForticlientEMS와 Fabric연결 시 나오는 경고창을 해결하기 위함

Fortigate GUI > Security Fabric > Fabric Connectors > Forticlient EMS

EMS Server IP 및 Name 입력하는 부분

IP를 입력하고 OK를 누르면,

빨간색 박스에 Failed to verify the certificate for server "EMS"라는 문구로 시작하여 에러창이 표시가 됩니다.

그러면 이제 ForticlientEMS의 인증서 업로드 작업을 해주면 됩니다.

인증서를 다운로드 하기 위해서는,

"ForticlientEMS가 설치된 PC에 접속 후 다운로드 해주셔야 합니다."

접속 > 컴퓨터 인증서 관리 > 신뢰할 수 있는 루트 인증 기관 > 인증서 > FortiClient Enterprise Management Server 우클릭 후 내보내기

Base-64로 선택하여 내보내기

해당 인증서를 Fortigate GUI > System > Certificates > Create/Import > CA Certificate > ForticlientEMS에서 다운받은 인증서 파일 업로드

해당 작업이 끝나고 다시 Fabric Connectors에서 연결을 시도하면 에러창이 아닌

위 이미지처럼 창이 나옵니다. Accept 누르고 OK까지 눌러주고 ForticlientEMS 접속 후 Authorize까지 해주면 끝

이상입니다.

ForticlientEMS 인증서 다운로드 방법 / Forticlient EMS Certificate

fortigate Attempted to join FortiCloud log 비활성화

가끔 fortigate system log를 보다 보면 "Attempted to join FortiCloud" log가 많이 남아 있는 걸 볼 수 있습니다.

해당 log는 fortigate 장비에 forticloud login이 되어 있지 않을 때 지속적으로 발생합니다. login되어 있으면 log는 안 찍힙니다.

login을 하지 않고 설정을 통해 해당 log를 남지 않게 하는 방법

CLI 접속 후 위 이미지처럼 명령어를 입력해 주면 됩니다! 간단

fortigate Attempted to join FortiCloud log 비활성화

fortigate diagnose hard sysinfo memory 명령어

memory관련 문제해결에 유용한 글인 것 같아서..

해당 명령어 입력 시 fortigate memory에 대한 정보가 나옵니다.

나오는 값들에 대한 설명이 있으니 참고하기 좋은 커뮤글

fortigate diagnose hard sysinfo memory

Fortigate SSL-VPN 98% 멈춤 현상 시 추가 방법

지난번에 올린 SSL-VPN 특정 % 멈춤 현상에 대한 글입니다.

98%의 경우 Forticlient를 삭제 후 재설치로 포스팅하였는데 추가로.. 해 볼 방법이 있어 포스팅해 봅니다.

PC 인터넷 네트워크 어댑터 설정 부분에 IPv6가 활성화되어 있으면 98% 멈춤 현상이 발생할 수 있다고 하네요.

Fortigate SSL-VPN 98% 멈춤 현상 시 추가 방법