A primeira hora com um FortiGate novo define três coisas incômodas de reverter: em qual modo de operação ele roda, se está dividido em VDOMs, e como você o alcança. Cada uma tem um padrão, e cada padrão é certo para algumas implantações e errado para outras.
O estado de fábrica
Um FortiGate sai com configuração conhecida. A interface interna tem um endereço de gerência documentado e roda um servidor , então um notebook ligado nela recebe endereço e alcança a interface web de imediato. A conta admin não tem senha. Não há políticas de firewall, o que somado à negação implícita significa que nada passa até você escrever uma: uma unidade nova não é permissiva por padrão, é inerte.
Uma restauração de fábrica retorna exatamente a esse estado, o que importa na recuperação: é uma linha de base conhecida, e não uma configuração parcialmente limpa.
execute factoryreset
O primeiro passo de configuração é sempre o mesmo, e é o que as pessoas adiam: definir a senha do admin. Uma unidade com senha em branco alcançável de qualquer lugar é o achado mais comum em qualquer auditoria de FortiGate.
Modo NAT e modo transparente
O modo de operação determina o que o equipamento é na rede.
Modo é o padrão e a escolha usual. As interfaces têm endereços IP, o equipamento roteia entre elas e atua como gateway. Tudo sobre políticas, NAT, roteamento e (software-defined ) pressupõe esse modo.
Modo transparente transforma o equipamento num elemento invisível no fio. As interfaces não têm endereços IP, o FortiGate faz ponte entre elas na camada 2, e os hosts dos dois lados não sabem que ele existe. Ele recebe um único IP de gerência para administração e nada mais. É o que se usa para inserir inspeção num segmento existente sem readereçar nada, requisito comum quando a rede não pode mudar mas o tráfego precisa ser inspecionado.
| Modo NAT | Modo transparente | |
|---|---|---|
| Endereçamento de interface | Cada interface tem IP | Sem IPs de interface; um IP de gerência |
| Papel | Roteador e gateway | Ponte de camada 2 |
| Roteamento, NAT, SD-WAN | Disponíveis | Não se aplicam |
| Visível aos hosts | Sim, como gateway | Não |
| Uso típico | A borda da rede | Inserir inspeção num segmento existente |
Trocar de modo apaga a maior parte da configuração, porque os dois modos não compartilham configurações significativas. É por isso que a escolha pertence ao começo, e não a depois.
VDOMs dividem um equipamento em vários
Domínios virtuais particionam um FortiGate em unidades independentes, cada uma com suas interfaces, políticas, tabela de roteamento e administradores. O tráfego não passa entre VDOMs salvo se você deliberadamente os interligar.
As razões para habilitá-los são reais: separar inquilinos ou unidades de negócio que não devem ver a configuração uns dos outros, manter teste e produção apartados num só equipamento, ou delegar administração sem conceder direitos globais.
O custo é que toda operação adquire um contexto. Comandos de configuração, diagnósticos e roteamento tornam-se por VDOM, e um comando executado no VDOM errado retorna resposta verdadeira sobre a rede errada. Essa única confusão responde por boa parte dos relatos de "a configuração está certa mas não funciona" em equipamentos multi-VDOM.
Há sempre um VDOM de gerência, dono do tráfego de saída do próprio equipamento: atualizações, registro e DNS do sistema.
Acesso administrativo, e como as pessoas se trancam do lado de fora
Cada interface tem um conjunto de protocolos administrativos permitidos. Habilitar HTTPS e numa interface interna é comum; habilitá-los na interface WAN expõe o plano de gerência à internet, e fazer isso sem restrição é como equipamentos acabam em relatórios de exploração em massa.
Dois controles importam mais que a lista de protocolos:
Trusted hosts restringem uma conta administrativa a endereços de origem específicos. Isso é por conta, não por interface, e é o controle mais forte: mesmo que a gerência seja alcançável, só as origens listadas conseguem autenticar. É também o bloqueio autoinfligido clássico, porque uma entrada que não inclua seu endereço atual passa a valer imediatamente.
Mudar as portas de gerência move HTTPS e SSH de 443 e 22. Isso não é segurança por si só, e reduz de forma significativa o ruído de varredura indiscriminada. Também libera a 443 para uma (rede privada virtual) ou servidor virtual na mesma interface, que muitas vezes é a motivação real.
O caminho de recuperação quando o acesso se perde é o console pela porta serial, que configuração de software alguma bloqueia. Qualquer implantação de FortiGate em que o console não seja alcançável não tem caminho de recuperação aquém de uma visita ao local, e isso vale saber antes de importar.
O que quem vai prestar o exame precisa saber de cor
Estado de fábrica: endereço interno conhecido, DHCP na interna, senha de admin em branco, sem políticas e portanto sem tráfego. Modo NAT roteia e é o padrão; modo transparente faz ponte na camada 2 com um único IP de gerência, e alternar entre eles apaga a configuração. VDOMs dão políticas e tabelas de roteamento independentes com um VDOM de gerência para o tráfego do próprio equipamento, e todo comando passa a ser sensível ao contexto. O acesso administrativo é controlado por interface via protocolo e por conta via trusted host, e o console é o caminho de recuperação.
Esta série, em ordem
Este artigo abre a série Administração do FortiGate. As primeiras decisões diante de uma unidade recém-saída da fábrica são as mais difíceis de mudar depois; as partes acompanham um administrador a partir dali na ordem em que o trabalho chega: a , depois política e tradução e por que uma regra não disparou, as duas ferramentas que mostram o caminho de um pacote, roteamento, inspeção, identidade, túneis, redundância e logs, e por fim os recursos que aparecem nas bordas de uma implantação.
- O verbo da CLI do FortiOS que apaga coisas em silêncio. config, edit, set, next, end: uma gramática pequena com três armadilhas, uma das quais apaga coisas em silêncio.
- Políticas de firewall e NAT no FortiGate: ordem de correspondência, SNAT e DNAT. Políticas avaliadas de cima para baixo com o primeiro casamento vencendo, e a tradução de origem e de destino dentro delas.
- Por que a sua regra do FortiGate não disparou. Por que uma regra mais estreita abaixo de uma mais ampla nunca dispara, e o ID de política que não é a ordem.
- Como ler um debug flow de FortiGate. A sequência do diagnose debug flow como receita: por que a ordem importa, e por que a limpeza importa mais.
- Como ler uma captura do sniffer do FortiGate. Os cinco argumentos posicionais do sniffer de pacotes, e como ler o que ele imprime.
- Roteamento e SD-WAN no FortiGate: ordem de seleção de rota e avaliação de regras. Rotas de política antes da tabela de roteamento, a rota mais específica primeiro, e como as regras de software-defined WAN escolhem um caminho.
- Perfis de segurança do FortiGate: antivírus, IPS e controle de aplicações. Perfis de antivírus, de sistema de prevenção de intrusão e de controle de aplicações, e o que cada um vê no modo flow ou proxy.
- Inspeção SSL do FortiGate: certificate vs deep inspection. A inspeção de certificado lê só o nome e o certificado; a inspeção profunda decifra, com tudo o que isso implica.
- Autenticação de firewall e FSSO no FortiGate: identidade dentro de uma política. Um usuário em vez de um endereço numa política: a autenticação ativa, e o single sign-on alimentado pelo diretório.
- VPN IPsec no FortiGate: fase 1, fase 2 e topologias redundantes. Túneis de rede privada virtual em duas fases, saber qual delas falhou, e desenhos em malha, e redundantes.
- Alta disponibilidade FGCP no FortiGate: ativo-passivo, ativo-ativo e failover. Duas ou mais unidades sob o FGCP: a eleição sensível ao override, a sincronização de sessões e o failover.
- Registro e diagnóstico no FortiGate: para onde vão os logs e como achar um problema. Os destinos de log e o que cada um guarda, e por que uma política que não registra não deixa nada para investigar.
- Traffic shaping e QoS no FortiGate: garantir banda num enlace que já está cheio. O shaping só importa num enlace congestionado: ele decide quem sofre quando não há o bastante.
- FortiGate como servidor DNS: os quatro modos e onde o filtro vale. Relay, base local ou resolvedor completo: quatro modos de DNS, como cada um falha e onde o filtro de DNS se aplica.
- NAT em escala de operadora, MAP-E, domain fronting e WCCP. Tradução em escala de operadora, MAP-E, domain fronting e : os recursos nas bordas de uma implantação.
- ACME no FortiGate: um cliente embutido para o certificado do próprio equipamento. O cliente embutido que obtém e renova o próprio certificado do FortiGate, e os seus requisitos.