Alphorm.com Formation Certification NSE4 - Fortinet Fortigate Infrastructure 6.x

Une formation
Mohamed Anass EDDIK
Formation
Fortigate Infrastructure 6.2

Une formation
Cursus Fotigate 6.2

Une formation
Plan
Introduction
1. Configurer IPsec VPN
2. Configurer le DLP
3. Configurer Routage
4. Configurer SD-WAN
5. Configurer les domaines virtuels
6. Configurer le Switching
7. Configurer le VPN site-to-site IPsec
8. Configurer le Fortinet SSO
9. Configurer la HA
10. Configurer le Proxy Web
11. Effectuer les diagnostiques
Conclusion

Une formation
Public concerné
Support technique
Administrateur sécurité
Avant-vente sécurité
Préparer la Certification NSE4

Une formation
Prérequis
Passer la formation Fortigate Security
Connaissances en sécurité
Connaissances en TCP/IP
ou bien

Présentation du Lab
de la formation
Une formation
Mohamed Anass EDDIK

Une formation
Schéma du Lab
Environnement du Lab
Connectique VMnet
Plan

Alphorm.com Formation Certification NSE4 - Fortinet Fortigate Infrastructure 6.x

Une formation
Environnement du Lab
HQ:LONDRE
Nom machine IP Rôle
DC-londre.alphorm.lan 192.168.1.100 DC + Autorité de certification
Web-srv.alphorm.lan 172.30.30.50 Serveur web
Client.alphorm.lan 172.17.17.20 Client final
Londre-FW.alphorm.lan 192.168.1.99
Fortigate FW + passerelle par défaut +
plusieurs interfaces DMZ
BO:Paris
Nom machine IP Rôle
DC-Paris 172.20.0.100
DC + Autorité de certification + Webmail +
Client final
Paris-FW 172.20.0.1 Fortigate XG FW + passerelle par défaut

Une formation
Connectique VMnet
Nom VMnet Réseau
Lan-Londre VMnet1 192.168.1.0/24
User VMnet2 172.17.17.0/24
DMZ-Srv VMnet3 172.30.30.50/24
WAN-Londre VMnet4 10.1.1.0/24
WAN-Paris VMnet5 10.2.2.0/24
WAN2-Londre VMnet7 10.3.3.0/24
Wan2-Paris VMnet8 10.4.4.0/24
Lan-Paris VMnet6 172.20.0.0/24

Comprendre Policy-Based
et Route-based
Une formation
Mohamed Anass EDDIK

Une formation
Encapsulation
IKE Phase 1
NAT-T
IKE Phase 2
Policy-based et Route-based
Lab
Plan

Une formation
IKE Phase 1
• Authentifier les pairs
Le premier paquet n’a pas l’ID d’homologue, ainsi le
répondeur ne peut pas l’utiliser pour identifier l’initiateur
• Négocier une SA bidirectionnelle
• Echange DH pour clés secrètes

Une formation
NAT-T
ESP ne peut pas prendre en charge NAT car il n’a
pas de numéros de port
Si NAT Traversal est défini sur Enable, il détecte si
les périphériques NAT existent sur le chemin
d’accès.
Si oui, ESP est encapsulé sur UDP 4500, il est
conseillé si initiateur ou répondeur est derrière NAT.
Si NAT Traversal est défini sur forcé :
ESP est toujours encapsulé sur UDP, même lorsqu’il
n’y a pas de périphériques NAT sur le chemin

Une formation
IKE Phase 2
Négocie deux SAs unidirectionnels pour ESP (protégé
par phase1 IKE SA)
Lorsque SA est sur le sujet d’expirer, il renégocie .
Chaque phase 1 peut avoir plusieurs phases 2
Si plusieurs phases 2 existent, FortiGate dirige le
trafic pour corriger la phase 2

Une formation
Policy-based et Route-based

Configurer IPsec VPN
Une formation
Mohamed Anass EDDIK

Une formation
DialUp VPN
Lab
Plan

Surveiller l’IPsec VPN
Une formation
Mohamed Anass EDDIK

Une formation
Bonnes pratiques
Lab
Plan

Une formation
Bonnes pratiques
Dans les circonstances où plusieurs tunnels VPN à
distance commutés existent, assurez-vous que le tunnel a
un PEER ID appliqué
Assurez-vous de la compatibilité entre la version
FortiClient et la version FortiClient OS
Si votre dispositif FortiGate est derrière un périphérique
NAT, comme un routeur, configurez le transfert de port
pour les ports UDP 500 et 4500
Assurez-vous que l’accélération matérielle est activée pour
les meilleures performances d’IPsec

Comprendre DLP
Une formation
Mohamed Anass EDDIK

Une formation
Fonctionnement DLP
Modèles de nom de fichier
Types de fichiers
Lab
Plan

Les délégués du moteur DLP numérisent vers les processus appropriés (IPS, proxy)
Les filtres définissent le ou les motifs à rechercher dans le paquet/fichier
Le capteur contient des filtres – Liste des critères de correspondance
FortiGate applique le premier filtre correspondant
Fonctionnement DLP
1. Filter 1
2. Filter 2
3. Filter 3
DLP Sensor Match ?
Action

Une formation
Modèles de nom de fichier
nicepainting.jpg
mona.jpg
painting.jpg
*.jpg
nicepainting.png
nice*.jpg
nicepainting.jpg
Modèles spécifiés par :
Nom de fichier complet ou partiel
Extension de fichier complète ou partielle
Une combinaison de nom et d’extension
Modèles spécifiés par :
Nom de fichier complet ou partiel
Extension de fichier complète ou partielle
Une combinaison de nom et d’extension

Une formation
Types de fichiers
JPEG image
BMP image
Executable
CAB archive
File Type Match?
ZIP archive
Basé sur le contenu binaire, quel que soit le nom de fichier/extension
Fonctions même si l’utilisateur tente de contourner DLP en
changeant le nom/l’extension de fichier
Types de fichiers pris en charge codés en dur dans le micro-logiciel
FortiOS

Configurer le DLP
Une formation
Mohamed Anass EDDIK

Une formation
DLP Fingerprinting
Configuration du capteur DLP pour
Fingerprinting
Archivage DLP
Lab
Plan

DLP Fingerprinting
FortiGate scans partagent la recherche de noms de fichiers correspondant au modèle
Fait des empreintes digitales pour les fichiers correspondants
FortiGate effectue une somme de contrôle pour chaque segment du fichier
Stocke les totaux de contrôle des segments, pas le fichier – fonctionne avec des fichiers
volumineux
Si la plupart des morceaux correspondent, DLP identifie positivement le fichier
Peut fonctionner même si le fichier est modifié un peu
La taille de bloc par défaut est 2800 octets
Modification de la taille du bloc vide toute la base de données
#config dlp settings
#set chunk-size [100-100000]
#end

Une formation
Capteur pour Fingerprinting
config dlp sensor
edit <name>
config filter
edit <filter ID>
set proto http-get
set filter-by fingerprint
set fp-sensitivity "Critical"
next
end
Activé dans le CLIActivé dans le CLI
pour le filtre DLP
La fonction d’empreinte digitale est activée de CLI (seulement)
pour chaque filtre dans le capteur DLP
Si configuré dans CLI devient visible dans l’interface graphique, les
actions du capteur DLP s’appliquent à toutes les empreintes
digitales avec son niveau de sensibilité

Archivage DLP
Archivage Sommaire
Logs correspondant au trafic (URL, email header To/From…)
Protocoles pris en charge (SMTP, POP3, IMAP, MAPI, HTTP (GET et POST seulement), FTP,
NNTP
Activé via la CLI :
Full Archiving
Log and archive email messages, attachments, webpages
Peut être utile pour l’investigations à court terme
Activé en CLI :
config dlp sensor
edit <profile_name>
set summary-proto <protocol_list>
end
config dlp sensor
edit <profile_name>
set full-archive-proto <protocol_list>
end

Paramétrer le Routage
sur Fortigate
Une formation
Mohamed Anass EDDIK

Une formation
Routage statique
Routage Dynamique
PBR
Routage services internet
Plan

Une formation
Routage statique
Le routage est la façon dont un paquet est envoyé le long
d’un chemin-de point à point sur le réseau-de la source à la
destination
Si la destination est sur un sous-réseau qui n’est pas
directement connecté au routeur, le paquet est relayé à un
autre routeur qui est plus proche
Les entrées de la table de routage peuvent être configurées
manuellement, dynamiquement ou les deux

Une formation
Routage Dynamique
Les chemins sont automatiquement découverts
FortiGate communique avec les voisins pour trouver
les meilleurs itinéraires
Les chemins sont basés sur l’adresse IP de
destination du paquet
Le routage devient auto-organisateur
FortiGate support : RIP, OSPF, BGP, IS-IS

Une formation
Policy-Based Routes
Correspondance plus granulaire que les itinéraires statiques :
Protocole
Adresse source
Port source
Ports de destination
Types de bits de service (ToS)
Avoir la priorité sur la table de routage
Maintenu dans une table de routage distincte
Action : FortiGate envoie en utilisant l’interface sortante spécifiée
pour la passerelle spécifiée. Arrête le routage des stratégies et
utilise la table de routage à la place

Une formation
Routage services internet
Acheminer des services Internet bien connus grâce à des
interfaces WAN spécifiques
Il cherche automatiquement les nouvelles adresses IP d’un
site web et il configure la table de routage static pour vous
Les itinéraires de base de données de service Internet sont
en fait des itinéraires de stratégie et prévalent sur tous les
autres itinéraires de la table de routage

Découvrir l’ECMP et le RFP
Une formation
Mohamed Anass EDDIK

Une formation
ECMP (Equal Cost Multipath) Routing
RPF (Reverse path Forwarding)
LAB
Plan

Une formation
ECMP
Si les multiples statiques, OSPF, ou BGP ont les mêmes
attributs, ils sont tous actifs et FortiGate distribue le trafic à
travers chacun d’eux
Pour être pris en compte pour ECMP, les itinéraires doivent
avoir les mêmes valeurs pour les attributs suivants : Sous-
réseau de destination, distance du système métrique
priorité

Une formation
Méthodes ECMP
config system settings
set v4-ecmp-mode [source-ip-based | weight-based | usage-based |
source-dest-ip-based]
end
Source IP (default) : Les sessions de la même adresse IP
source utilisent la même route
Source-destination IP : Les sessions avec la même source
et la même paire IP de destination utilisent la même route
Weighted : Les sessions sont distribuées en fonction du
poids de l’interface
Usage (Spillover) : Un itinéraire est utilisé jusqu’à ce que
le seuil de volume soit atteint, puis utiliser l’itinéraire
suivant est utilisé

Une formation
Policy-Based Routes
Correspondance plus granulaire que les itinéraires
statiques:
Protocole
Adresse source
Port source
Ports de destination
Types de bits de service (ToS)
Avoir la priorité sur la table de routage
Maintenu dans une table de routage distincte
Actions:
FortiGate transfère, en utilisant l’interface sortante spécifiée,
pour la passerelle spécifiée
Arrête le routage des stratégies et utilise la table de routage à la
place

Une formation
Policy-Based Routes
Source IP (default) : Les sessions de la même adresse IP
source utilisent la même route
Source-destination IP : Les sessions avec la même source et
la même paire IP de destination utilisent la même route
Weighted : Les sessions sont distribuées en fonction du
poids de l’interface
Usage (Spillover) : Un itinéraire est utilisé jusqu’à ce que le
seuil de volume soit atteint, puis utiliser l’itinéraire suivant
est utilisé

Une formation
Exemple
10.0.4.0/24
Port1
Port2

Une formation
RFP
Protège contre les attaques de usurpation IP
L’adresse IP source est vérifiée par rapport à la table de
routage pour le chemin inverse
Le RPF n’est effectué que sur:
Le premier paquet dans la session, pas sur la réponse
Le paquet suivant dans la direction d’origine après un
changement d’itinéraire, pas sur la réponse
Deux modes:
Loose
Strict

FortiGate routing table
Subnet Interface Type Distance Priority
0.0.0.0/0 Wan1 Static 10 0
10.0.1.0/24 Wan1 Connected 0 0
10.0.2.0/24 Wan2 Connected 0 0
10.0.3.0/24 Port1 Connected 0 0
10.0.1.0/24
10.0.2.0/24
10.0.3.0/24
User A
any IP
User B
any IP
User C
10.0.4.1/24
Exemple

Solution
FortiGate routing table
Subnet Interface Type Distance Priority
0.0.0.0/0 wan1 Static 10 0
0.0.0.0/0 wan2 Static 10 5
10.0.4.0/24 port1 Static 10 0
10.0.1.0/24 wan1 Connected 0 0
10.0.2.0/24 wan2 Connected 0 0
10.0.3.0/24 port1 Connected 0 0
wan1:
10.0.1.0/24
wan2:
10.0.2.0/24
port1:
10.0.3.0/24
User A
any IP
User B
any IP
User C
10.0.4.1/24

Surveiller et analyser
le routage
Une formation
Mohamed Anass EDDIK

Une formation
Health Monitor
Routage actif et Routage inactif
Policy Routes et ISDB Routes
Capture des paquets
LAB
Plan

Une formation
Health Monitor
Mécanisme pour détecter quand un routeur le long du chemin est
injoignable : Sonde périodiquement un serveur au-delà de la
passerelle
Si FortiGate ne reçoit pas de réponses dans le seuil de
basculement, tous les itinéraires statiques à l’aide de la passerelle
sont supprimés de la table de routage
Si les itinéraires de secours sont disponibles, FortiGate s’activent et
les utilise à la place

Une formation
Routage actif et inactif
• get router info routing-table database
Codes: K - kernel, C - connected, S - static, R - RIP, B - BGP
O - OSPF, IA - OSPF inter area
N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
E1 - OSPF external type 1, E2 - OSPF external type 2
i - IS-IS, L1 - IS-IS level-1, L2 - IS-IS level-2, ia - IS-IS inter area
> - selected route, * - FIB route, p - stale info
S 0.0.0.0/0 [20/0] via 10.200.2.254, port2
S *> 0.0.0.0/0 [10/0] via 10.200.1.254, port1
C *> 10.0.1.0/24 is directly connected, port3
Route inactive
Routes activesRoutes actives

Une formation
Policy Routes et ISDB Routes

Une formation
Capture des paquets
Peut être utilisée pour vérifier si un paquet arrive à la
FortiGate, et quelle interface est utilisée pour le Router
<interface> peut être any
<filter> suit le format tcpdump
<level> indique la quantité d’informations à capturer
#diagnose sniffer packet <interface>
'<filter>' [verbosity]

Une formation
Capture des paquets
Level IP
headers
IP
payload
Ethernet
headers
Interface
names
1 √
2 √ √
3 √ √ √
4 √ √
5 √ √ √
6 √ √ √ √
Les niveaux les plus courants sont :
4 : pour vérifier comment le trafic est acheminé ou si FortiGate abandonne
des paquets
3, 6 : pour exporter la sortie vers un fichier de capture de paquets (PCAP) (à
l’aide d’un script perl) qui peut être ouvert avec un analyseur de paquets

Comprendre le SD-WAN
Une formation
Mohamed Anass EDDIK

Une formation
SD-WAN ?
Cas d’usage de SD-WAN
Méthodes de load balancing
SD-WAN dans la table de routage
LAB
Plan

Une formation
SD-WAN ?
Interface virtuelle composée d’un groupe d’interfaces membres
pouvant être connectées à différents types de liaisons
Permet une utilisation WAN efficace avec divers algorithmes
d’équilibrage de charge
Prend en charge la mesure de qualité de liaison
Sélection de liens dynamiques en fonction de la qualité des liens
Assure une disponibilité élevée des applications critiques pour les
entreprises

Une formation
MPLS
IPSEC VPN

Une formation
IPSEC VPN
IPSEC VPN

Une formation
Méthodes de load balancing
Source IP (default)
Les sessions de la même adresse IP source utilisent la même
interface
Source-destination IP
Les sessions avec la même source et la même paire IP de
destination utilisent la même interface
Spillover
Utilisez l’interface jusqu’à ce que le seuil soit atteint; Ensuite,
utilisez la prochaine interface.
Sessions
Le nombre de sessions distribuées est déterminé par les
pondérations d’interface
Volume
Les sessions sont distribuées de tel sorte que le volume de trafic
soit distribué par les pondérations d’interface.

Une formation
La table de routage

Découvrir SD-WAN règles
et performance
Une formation
Mohamed Anass EDDIK

Une formation
Performance SLA-LINK
Mesures de qualité de liaison
Configuration CLI
Règles de la SD-WAN
LAB
Plan

Une formation
Performance SLA-LINK
La vérification d’État est renommée SLA de
performance
Vous pouvez utiliser deux serveurs pour tester la
qualité d’un lien
Vous pouvez spécifier les membres SD-WAN que ce
SLA applique à l’interface
Le moniteur de santé de lien est un moyen pour
détecter quand un routeur le long du chemin est
arrêté ou dégradé

Une formation
Mesures de qualité de liaison
Le SLA de performance mesure la qualité des liens
connectés à l’interface membre participant à un
contrat SLA de performance
Trois critères différents sont utilisés pour cette
mesure : latence, gigue et perte de paquets
Les critères affichés sont basés sur les réponses du
serveur que le SLA de performance utilisé

Une formation
Règles de la SD-WAN
Acheminez le trafic à travers les interfaces membres avec la
meilleure qualité de lien :
Qualité de liaison mesurée en fonction de la latence, de la gigue ou du
pourcentage de perte de paquets
Les règles peuvent correspondre au trafic en fonction de :
Adresse IP source, adresse IP de destination ou, numéro de PortObjet de
l’adresse de base de données des services Internet (ISDB) Les utilisateurs ou
groupes d’utilisateurs Type de service (ToS)

Analyser le SD-WAN
Une formation
Mohamed Anass EDDIK

Une formation
Surveiller la SD-WAN
Surveiller l’état des liens SD-WAN
LAB
Plan

Une formation
Surveiller la SD-WAN
Surveiller l’utilisation en temps réel de la SD-WAN
Afficher la distribution du trafic SD-WAN par bande
passante ou volume

Une formation
SD-WAN link status monitor
La surveillance de la qualité des liaisons des interfaces des
membres du SD-WAN est une bonne pratique
Tout problème prolongé avec perte de paquets et latence
doit être étudié afin de s’assurer que le trafic réseau ne
présente pas de panne ou de dégradation des
performances

Comprendre les différents
concepts du VDOM
Une formation
Mohamed Anass EDDIK

Une formation
Les différents concepts des VDOMS
Administration VDOM
Plan

Une formation
VDOM
Les VDOM divisent un FortiGate physique en plusieurs
périphériques virtuels
Les paquets sont configurés pour le même VDOM
Par défaut, FortiGate prend en charge jusqu’à 10 VDOM

Une formation
VDOM indépendant
Plusieurs VDOM sont complètement séparés
Il n’y a pas de communication entre les VDOM
Chaque VDOM a son propre interface physique à Internet

Une formation
Routage via un seul VDOM
Le trafic destiné à l’Internet sera toujours acheminé par le
VDOM désigné
Seul le «vers VDOM Internet» est physiquement connecté à
Internet

Une formation
VDOM maillé
Les VDOM se connectent à d’autres réseaux virtuels via des
liens inter-virtuels
Seul le trafic Internet doit passer par le «vers VDOM
Internet»

Une formation
Administration VDOM
Juste le compte admin ou bien un compte avec les droits de
super_admin ont le droit de voir tous les VDOMs et les
configurer
Domain A Domain B Domain C

Une formation
Administration VDOM
Les autres administrateurs peuvent accéder uniquement à
leurs VDOM attribués
Ils ne peuvent pas accéder au global settings

Configurer les VDOMS
Une formation
Mohamed Anass EDDIK

Une formation
Plan
Activation et création de VDOM
Paramètres VDOM

Une formation
Activation et création
Pour activer les VDOMs
Après activation des VDOMs.
Le seul VDOM par défaut c’est le Root
Pour créer un VDOM
#config system global
set vdom-admin enable
end
#config vdom
Edit <vdom>
config system settings
set opmode [nat | trasparent]
end

Une formation
Paramètres VDOM
Acme Co. ABC Inc. XYZ Ltd.
Affectent toutes les VDOM configurées :
Hostname
Paramètres HA
Paramètres FortiGuard
Heure système
Comptes administratifs

Une formation
Paramètres VDOM
Configuré séparément, dans chaque VDOM:
Mode de fonctionnement (transparent, NAT/route)
Mode d’inspection (basé sur le flux, basé sur Proxy)
Itinéraires et interfaces réseau
Stratégies de pare-feu
Profils de sécurité
Acme Co. ABC Inc. XYZ Ltd.

Une formation
Paramètres VDOM
Réglage des paramètres globaux :
Accès par paramètres VDOM:
Exécution de commandes globales et par VDOM à partir de
n’importe quel contexte:
#config global
(global) #
#config vdom
(vdom) # edit <vdom-name>
(vdom-name) #
#sudo [global | vdom-name] [diagnose | execute | show | get]

Paramétrer l'inter-VDOM
Une formation
Mohamed Anass EDDIK

Une formation
Liens inter-VDOM
Accélération du lien inter-VDOM
Plan

Une formation
Liens inter-VDOM
Peut connecter différent VDOM
Le soutien varie selon les modes de fonctionnement des
VDOM
NAT à NAT
NAT à transparent/transparent à NAT
Transparent-transparent (pas de couche 3; boucles potentielles de la
couche 2)

Une formation
Accélération du lien
Les appareils FortiGate avec les processeurs NP4 ou
NP6 incluent des liens inter-VDOM qui peuvent être
utilisés pour accélérer le trafic de liaisons inter-VDOM
Pour un appareil FortiGate sans processeurs NP4 ou
NP6, il existe deux liaisons inter-VDOM accélérées,
chacune avec deux interfaces :
Npu0_vlink
Npu1_vlink

Découvrir les VLANs et
le mode transparent
Une formation
Mohamed Anass EDDIK

Une formation
VLANs
VLAN Tags
Mode de fonctionnement NAT
Mode de fonctionnement transparent
Fortigate avec un domaine de transfert
Fortigate avec multiple domaines de
transfert
LAB
Plan

Une formation
VLANs
Les VLANs partagent logiquement votre réseau
physique de couche 2 en segments plus petits
Les VLANs tags sont ajoutées aux trames pour
identifier leurs segments réseaux

Une formation
VLAN Tags
Les VLANs tags ajoutent une extension de
4 octets à une trame Ethernet
Les appareils de la couche 2 peuvent
ajouter ou supprimer des tags
Les appareils de la couche 3 peuvent
réécrire les tags avant le routage

Mode de fonctionnement NAT
Les ports ont
des adresses IP
Routage
basé sur IP
dmz
10.0.2.1/24
interne
10.0.1.1/24wan1
192.168.1.1/24
Passerelle par défaut
192.168.1.254/24
Server
10.0.2.2/24
Clients
10.0.1.0/24 subnet

Mode de fonctionnement transparent
Switching, not routing
adresses IP
Seuls les ports de
pulsation HA ont des
adresses IP
FortiGate a une adresse IP
de gestion
dmz
interne
wan1
Passerelle par défaut
10.0.2.1/24
Server
10.0.2.2/24
Clients
10.0.2.0/24 subnet

Un domaine de transfert
VLAN 103
VLAN103_interne
interne
dmz
FortiGate en mode transparent avec tous les VLANs sur le même domaine de transfert
Le trafic de diffusion
est transféré par tous
les VLANs
VLAN 101
VLAN101_dmz
VLAN 101
VLAN101_interne

Multiple domaines de transfert
FortiGate en mode transparent avec tous les VLAN sur différents domaines de transfert
Trafic de diffusion
confiné au domaine
de transfert
config sys interface
edit VLAN101_dmz
set forward-domain 101
end
config sys interface
edit VLAN101_internal
set forward-domain 101
end
Domaine de transfert 101
VLAN 103
VLAN103_interne
interne
dmz
VLAN 101
VLAN101_dmz
VLAN 101
VLAN101_interne

Configurer le Virtual
WirePairing
Une formation
Mohamed Anass EDDIK

Une formation
Virtual Wire Pair
Virtual Wire Pairing et le mode
transparent
Virtual Wire-Pairing et le mode NAT
LAB
Plan

Une formation
Virtual Wire Pair
Relie logiquement deux interfaces physiques
Habituellement une interface interne et une externe
Le trafic est capturé entre ces interfaces
Le trafic entrant vers une interface est toujours
expédié par l’autre interface
Aucun autre trafic ne peut entrer ou laisser une paire
de ports

Le mode transparent
wan1
port3
port2
port1
Port Pair Port Pair
All traffic confined to
the port pair
Tout le trafic confiné
au Port Pair

Une formation
La paire fonctionne de manière
similaire au mode transparent, à
l’intérieur d’une route/NAT VDOM
dmz
internal
10.0.1.1/24
wan1
192.168.1.1/24
192.168.1.254/24
Server
192.168.2.1/24
Clients
10.0.1.0/24 subnet
192.168.2.254/24
wan2
Virtual
wire pair
Impossible d’assigner
des adresses IP aux
membres de la paire
Virtual wire Pairing et le mode NAT

Paramétrer le commutateur
logiciel et le Spanning Three
Une formation
Mohamed Anass EDDIK

Une formation
Commutateur logiciel
Spanning Three
LAB
Plan

Une formation
Commutateur Logiciel
Regroupe plusieurs interfaces dans une seule interface
de commutation virtuelle
Uniquement pris en charge en mode NAT VDOM
Agit comme un commutateur de la couche matérielle 2
Les interfaces :
Partagent la même adresse IP
Appartiennent au même domaine de diffusion

Commutateur Logiciel
Commutateur logiciel
interface
192.168.1.254/24
wan1
dmz
10.0.1.254/24
10.0.1.1/24
port1
port2
Wireless interface
192.168.1.1/24
192.168.1.2/24
192.168.1.3/24
FortiGate
Même domaine de diffusion

Une formation
Spanning Three
Les commutateurs STP apprennent les uns sur les autres et
élisent la racine en échangeant des unités de données de
protocole de pont (BPDU)
FortiGate peut transférer, bloquer (par défaut) ou participer
Crée automatiquement une topologie efficace et sans boucle
pour les liens redondants
Structure arborescente couvrant tous les commutateurs
Si une branche devient inaccessible, les commutateurs
participants reconfiguraient la topologie de lien pour
permettre à une branche différente

Une formation
Configuration STP
config system stp
set config-revision <revision number>
set forward-delay <seconds>
set hello-time <seconds>
set max-age <seconds>
set region-name <region>
set status [enable | disable]
set switch-priority <priority>
end
Pour configurer FortiGate pour participer à STP :
Uniquement pris en charge sur les modèles avec interfaces
de commutation

Une formation
STP Forwarding
config system interface
edit <interface name>
set stpforward [enable | disable]
end
Configurez chaque interface en bloc (par défaut) ou en STP
Forwarding :

Comprendre la topologie
Une formation
Mohamed Anass EDDIK

Une formation
IKE and IPsEC review
Site-to-site
Hub-and-Spoke
Maillage complet et partiel
Auto Discover VPN(ADVPN)
LAB
Plan

Une formation
IKE and IPSEC review
Suite de protocoles pour sécuriser les communications IP
Authentifie et/ou crypte les paquets :
Échange de clés Internet (IKE)
Charge utile de sécurité d’encapsulation (ESP)
Fournit à la fois l’intégrité des données et le cryptage
En-tête d’authentification (AH)
Fournit uniquement l’intégrité des données
Non utilisé par FortiGate
Pour le Traversal NAT, l’ESP est encapsulé par UDP

Hub-and-Spoke
Headquarters
(HQ)
Branch office
Branch officeBranch office
Branch office

Maillage complet et partiel
Maillage complet
Maillage partiel

Comparaison des topologies
Hub-and-Spoke Maillage partiel Maillage complet
Configuration facile Configur modérée Configuration complexe
Quelques tunnels Tunnels moyens De nombreux tunnels
Bande passante centrale élevée Bande passante moyenne dans les sites hub Faible bande passante
Pas tolérant aux pannes Une certaine tolérance de panne Tolérant aux pannes
Faible configuration requise (moyenne);
Haut pour le centre
Exigences moyennes du système Exigences système élevées
Extensible Peu évolutif Difficile à redimensionner
Pas de communication directe entre les
rayons
Communication directe entre certains sites Communication directe entre tous les
sites

ADVPN
auto-discovery-receiver enabled
auto-discovery-sender enabled
auto-discovery-psk enabled
Hub 1
Londres
Manchester LiverPool
Hub 2
Paris
auto-discovery-forwarder enabled
Nice
à Paris déclenchera la négociation dynamiqueLe trafic de Landres à Paris déclenchera la négociation dynamique
d’un VPN direct entre les deux sites

Déployer du site-to-site
VPN IPSec
Une formation
Mohamed Anass EDDIK

Une formation
Policy Based VS Route Based
VPN redondant
LAB
Plan

Routed-based (interface-based)
Le trafic doit être acheminé vers l’interface de réseau virtuel IPSec
Généralement, deux stratégies de pare-feu avec l’ACTION définie sur ACCEPT sont requises (une par
direction)
Policy-based (tunnel-based)
Une stratégie de pare-feu avec l’ACTION définie sur IPSec est requise
Policy Based VS Route Based

WAN1
WAN1
WAN2
WAN2 WAN2
WAN1 WAN1
Uniquement entièrement pris en charge par les VPN basés sur les itinéraires
Si le tunnel VPN principal échoue, FortiGate réachemine le trafic via le VPN de sauvegarde
Partiellement redondant : un pair a deux connexions
Entièrement redondant : les deux pairs ont deux connexions
VPN redondant

VPN redondant
Ajouter une configuration de phase 1 pour chaque tunnel. La détection des pairs morts (DPD)
doit être activée aux deux extrémités
Ajouter au moins une définition de phase 2 pour chaque phase 1
Ajouter un itinéraire statique pour chaque chemin. Utiliser la distance ou la priorité pour
sélectionner le principal sur les itinéraires de sauvegarde. Vous pouvez également utiliser le
routage dynamique ou les stratégies de pare-feu pour chaque interface IPSec
Primary VPN
Backup VPN
Distance=5
Distance=10 Distance=10
Distance=5

Configurer le FSSO avec l'AD
Une formation
Mohamed Anass EDDIK

Une formation
Flux en mode agent DC
Flux du mode d’interrogation basé sur
l’agent collecteur
Flux de mode d’interrogation sans agent
Comparaison des modes
LAB
Plan

Flux en mode agent DC
L’agent collecteur envoie :
• nom
• Nom d’hôte
• adresse
• Groupe (s) d’utilisateurs
1 2 3
4
TCP 8000
UDP 8002
L’utilisateur s’authentifie contre Windows DC
L’agent DC voit l’événement de connexion et le transmet à l’agent collecteur
L’agent de collecte reçoit l’événement des agents de DC, et le transmet à FortiGate
FortiGate connaît l’utilisateur, en fonction de son adresse IP. L’utilisateur n’a pas besoin de
s’authentifier
Contrôleur de domaine
avec agent DC
Agent collecteur
FortiGate
Internet
Utilisateur

Mode d’interrogation basé sur l’agent collecteur
L’agent collecteur envoie:
• nom
• Nom d’hôte
• adresse
• Groupe (s) d’utilisateurs
1 2 3
4
TCP 8000
UDP 8002
L’utilisateur s’authentifie avec le contrôleur de domaine (DC)
Les agents collecteurs interrogent fréquemment les contrôleurs de session pour obtenir des
événements de connexion utilisateur
L’agent collecteur transfère les ouvertures de session à FortiGate
L’utilisateur n’a pas besoin de s’authentifier
Utilisateur
Contrôleur de domaine
avec agent DC
Agent collecteur
FortiGate
Internet

Options du mode d’interrogation
NetAPI
Interroge la fonction
NetSessionEnum sur Windows
toutes les 9 secondes ou moins *
Table de session d’authentification
dans la RAM
Récupérer les sessions de connexion
y compris les événements de
connexion de DC
Plus rapide, mais...
Si le DC a une charge système
lourde, il peut manquer quelques
événements de connexion
WMI
Le DC renvoie tous les
événements de connexion
demandés - 3 secs *
Lit les journaux d’événements
sélectionnés
Améliore l’utilisation de la bande
passante WinSec
Réduit la charge réseau entre
l’agent collecteur et le DC
WinSecLog
Interroge tous les événements de
sécurité sur DC toutes les 10 secs ou
plus*
Latence du journal si le réseau est
de grande taille ou que le système
est lent
Nécessite des liaisons réseau
rapides
Plus lent, mais...
Voit tous les événements de
connexion
Analyse uniquement les eventIDs
connus par l’agent collecteur

Mode d’interrogation sans agent
FortiGate interroge fréquemment les contrôleurs de session pour obtenir des événements
de connexion utilisateur
L’utilisateur s’authentifie avec le contrôleur de domaine
FortiGate découvrira l’événement de connexion dans le prochain sondage
L’utilisateur n’a pas besoin de s’authentifier
12
4
There is no collector agent or DC agent
TCP 445
Domain Controller
FortiGateUtilisateur
Internet
3

Comparaison des modes
Mode agent DC Mode interrogation
Installation
Complexe — plusieurs installations (une par
DC). Redémarrage requis
Simple — Pas ou une installation. Pas de
redémarrage requis
Agent DC Requis Non requis
Ressources Actions avec des agents DC Dispose de ressources propres
Evolutivité Forte Faible
Redondance Oui Non
Niveau de confiance Capture toutes les ouvertures
Peut manquer une connexion (NetAPI), ou
avoir un délai (WinSecLog)

Découvrir l’authentification
NTLM
Une formation
Mohamed Anass EDDIK

Une formation
Domaine simple
Domaine multiple
LAB
Plan

Domaine simple
4
Collector agent
1
FortiGate
2
3
5
TCP 8000
1. L’utilisateur tente d’accéder à Internet avec le
navigateur
o Son adresse IP n’est pas dans la liste active
des utilisateurs FSSO
2. FortiGate demande des informations
d’identification
o domaine/nom d’utilisateur et mot de passe
Le navigateur de l’utilisateur envoie des
informations à FortiGate
3. FortiGate vérifie les informations d’identification
et l’appartenance au groupe avec l’agent
collecteur
4. Accès accordé en fonction de l’appartenance au
groupe

Domaine multiple
 NTLM requiert une relation d’approbation entre les
domaines :
• Si les domaines sont dans une forêt AD, vous avez seulement besoin
d’un agent de contrôleur de domaine global.
• Si les domaines ne sont pas dans une forêt AD, vous devez installer un
agent DC sur chaque domaine (à DC)
 Flux d’authentification NTLM à plusieurs domaines :
• Les utilisateurs se connectent à leur DC local
• Les agents DC envoient les événements de connexion des utilisateurs à
l’agent collecteur
• Les utilisateurs tentent d’accéder à Internet
• FortiGate vérifie l’agent collecteur pour les informations de connexion.
• Accès accordé à Internet
Collector
Agent
DC Agent
DC Agent
Domain 2
Domain 1
1
2
3
4
5
Domain …n
DC Agent

Paramétrer le FSSO
Une formation
Mohamed Anass EDDIK

Une formation
Collect Agent Timers
Mode d’accès AD
Support du groupe AD
Troubleshooting
LAB
Plan

Une formation
Workstation verify interval
Vérifier si un utilisateur est toujours connecté
Par défaut – 5 minutes
Désactiver – définissez la valeur sur 0
Dead entry timeout
Appliquer lorsque l’État n’est pas vérifié uniquement
Utilisé pour purger les informations de connexion
Par défaut – 480 minutes (8h)
Désactiver – définissez la valeur sur 0
Statut rester connecté pour toujours

Une formation
IP address change
Important sur les environnements DHCP ou dynamiques
Par défaut – 60 seconds
Cache users group
L’agent Collector mémorise l’appartenance au groupe
d’utilisateurs

Une formation
Mode d’accès AD
Standard Access Mode
Windows convention: Domainusername
Profile UTM appliqué uniquement aux groupes d’utilisateurs
Nested group n’est pas supporté
Group filters at collector agent
Advanced Access Mode
LDAP convention user names: CN=User,OU=Name,DC=Domain
Profile UTM pour les utilisateurs et les groupes
nested et inhired groups sont supportés
Configuration:
FortiGate en tant que client LDAP ou filtre de groupe sur l’agent
collecteur

Une formation
Support du groupe AD
Type de groupe pris en charge
Groupes de sécurité
Groupes universels
Groupes à l’intérieur des unités organisationnelles (UO)
Groupe local/universel qui contient des groupes universels de
domaines enfants (uniquement avec GC)
Pour FSSO passif, l’utilisateur fait partie de SSO_guest_user
Pour passive et active, l’utilisateur est invité à se connecter
Si l’utilisateur ne fait pas partie d’un groupe FSSO

Troubleshooting
# diagnose debug authd fsso list
----FSSO logons----
IP: 192.168.1.1 User: ANNAH2 Groups: TRAININGAD/USERS
Workstation: WIN-INTERNAL MemberOf: Training
IP: 10.0.1.10 User: STUDENT Groups: TRAININGAD/USERS
Workstation: WIN-INTERNAL MemberOf: Training
Total number of logons listed: 2, filtered: 0
----end of FSSO logons----
groupe
Adresse IP
utilisateur
Nom du
poste de
travail
Groupe créé sur
FortiGate

Troubleshooting
# diagnose debug fsso-polling detail
AD Server Status:
ID=1, name(10.0.1.10),ip=10.0.1.10,source(security),users(0)
port=auto username=administrator
read log offset=251636, latest login timestamp: Wed Feb 4 09:47:31 2015
polling frequency: every 10 second(s) success(246), fail(0)
LDAP query: success(0), fail(0)
LDAP max group query period(seconds): 0
most recent connection status: connected
# diagnose debug fsso-polling refresh-user
refresh completes. All login users are obsolete. Please re-logon to make them
available.
# diagnose sniffer packet any 'host ip address and tcp port 445'
# diagnose debug application fssod -1
Statut des sondages par FortiGate à DC
Utilisateurs actifs de FSSO
Sniff polls

Découvrir les modes
d'opérations du HA
Une formation
Mohamed Anass EDDIK

Une formation
Mode actif-passif
Mode actif-actif
Fortigate Clustering Protocol (FGCP)
Élection principale FortiGate : remplacement
désactivé
Élection principale FortiGate : remplacement
activé
LAB
Plan

Mode actif-passif
Primaire
Seuls les principaux
processus de trafic
Seuls les principaux
processus de trafic
Tous les secondaires
sont en attente
Tous les secondaires
sont en attente
La configuration du primaire est
synchronisée avec un ou
plusieurs secondaires
La configuration du primaire est
synchronisée avec un ou
plusieurs secondaires
Secondaires
Si le primaire échoue,
un secondaire reprend
Si le primaire échoue,
un secondaire reprend
Internet

Mode actif-actif
Tous les FortiGates traitent le traficTous les FortiGates traitent le trafic
En cas de défaillance primaire, une
prend le travail d’équilibrage de charge
En cas de défaillance primaire, une
prend le travail d’équilibrage de charge
primaire
soldes de charge des
sessions pour le cluster
primaire
soldes de charge des
sessions pour le cluster
Internet

Une formation
Clustering Protocol(FGCP)
Le cluster utilise le protocole de clustering FortiGate (FGCP)
pour :
Découvrir d’autres FortiGates appartenant au même groupe HA
Élire le principal
Synchroniser la configuration et d’autres données
Détecter quand un FortiGate échoue
Runs only over the heartbeat links
Utilise le port TCP 703 avec différentes valeurs de type Ethernet
0x8890 – mode NAT
0x8891 – mode transparent
Uses TCP port 23 with Ethernet type 0x8893 for configuration
synchronization

Remplacement désactivé
Ignorer désactivé (par défaut)
Forcer un basculement
Plus moins
Plus moins
Plus moins
Plus moins
FortiGate primaire Secondaire FortiGate
Commencer la négociation
Ports
surveillés
Disponibilité
Priorité
Serial
Number
diagnose sys ha reset-uptime

Remplacement activé
Forcer un basculement
Plus moins
Plus moins
Plus moins
Plus moins
FortiGate primaire Secondaire FortiGate
Commencer la négociation
Ports
surveillés
Piorité
Disponibilité
Serial
Number
config system ha
set override enable
end
Remplacement activé
Change the HA priority

Mettre en œuvre la
synchronisation du cluster du HA
Une formation
Mohamed Anass EDDIK

Une formation
Tâches FortiGate primaires et secondaires
Synchronisation complète de la config HA
Synchronisation config incrémentielle HA
Qu’est-ce qui n’est pas synchronisé?
Synchronisation de session
LAB
Plan

Les tâches Fortigate
Tâches primaires
Échange Heartbeat Hello paquets
avec tous les secondaires
Synchronise sa table de routage et
une partie de sa configuration à tous
les secondaires
Peut synchroniser les informations de
certaines sessions de trafic pour un
basculement transparent
Distribue le trafic entre tous les
périphériques du cluster (En mode
actif-actif uniquement)
Tâches secondaires
Surveille le principal pour les signes
de défaillance à l’aide de la
surveillance Hello ou port
Si un problème est détecté avec le
primaire, les secondaires élisent un
nouveau
Traite le trafic distribué par le
principal (En mode actif-actif
uniquement)

Synchronisation la config HA
Primaire
Nouveau secondaire
Config
Config
1. Le nouveau secondaire
est ajouté au cluster.
1. Le nouveau secondaire
est ajouté au cluster.
2. Le primaire compare sa somme de contrôle de la
configuration avec la nouvelle somme de contrôle
secondaire. Si elle est différente, il envoie sa configuration.
2. Le primaire compare sa somme de contrôle de la
configuration avec la nouvelle somme de contrôle
secondaire. Si elle est différente, il envoie sa configuration.
Synchronisation complète

Synchronisation la config HA
Primaire
Nouveau Secondaire
Config
Config
2. La modification est
synchronisée.
2. La modification est
synchronisée.
1 . La configuration principale est modifiée.1 . La configuration principale est modifiée.
Synchronisation incrémentielle

Une formation
Ce qui n’est pas synchronisé?
Paramètres de configuration qui ne sont pas synchronisés
entre les membres du cluster :
Paramètres de l’interface de gestion HA
Route par défaut HA pour l’interface de gestion réservée
Dépassement de la HA
Priorité de l’appareil HA
Priorité de cluster virtuel HA
FortiGate nom d’hôte
Priorités du serveur ping HA
Le FortiGate principal synchronise tous les autres
paramètres de configuration et autres détails de
configuration liés à HA settings

Une formation
Synchronisation de session
Les sessions UDP et ICMP peuvent également être synchronisées
Table de session synchronisée pour la plupart des sessions VPN TCP et
IPsec
Seules les sessions qui ne sont pas gérées par un proxy UTM peuvent
être synchronisées
config system ha
set session-pickup enable
end
La multidiffusion et la session VPN SSL ne sont pas synchronisées
config system ha
set session-pickup enable
set session-pickup-connectionless enable
end

Comprendre la charge du
travail du HA et le failover
Une formation
Mohamed Anass EDDIK

Une formation
Adresses MAC virtuelles et failover
Types de basculement
Charge de travail
Active-Active Traffic Flow
Virtual Clustering
Full Mesh HA
LAB
Plan

Une formation
Adresses MAC virtuelles et le
basculement
SecondaryNouveau primaire
Sur le primaire, chaque interface – à l’exception des interfaces de pulsation
HA – reçoit une adresse MAC virtuelle
Lors du basculement, le primaire nouvellement élu adopte les mêmes
adresses MAC virtuelles que l’ancien
Après le basculement, l’ARP informe le
réseau que l’adresse MAC virtuelle est
maintenant accessible via un autre
FortiGate
PrimaryAncien primaire
HA heartbeat
interfaces
HA heartbeat
interfaces
Interfaces de
pulsation HA
Interfaces de
pulsation HA
Virtual MAC addressesVirtual MAC addresses

Une formation
Types de basculement
Device Failover
Si le primaire cesse d’envoyer des paquets de pulsation, un
autre FortiGate prend automatiquement sa place
Link failover
Le cluster peut surveiller certaines interfaces pour déterminer
s’ils sont opérationnels et connectés
Si une interface surveillée sur le primaire échoue, le cluster élit
un nouveau
Session failover
Quand le ramassage de session est activé, le nouveau primaire
élu reprend le session actif évitant le besoin de redémarrer la
session active

Une formation
Charge de travail
Active-Passive
Le primaire reçoit et
traite tout le trafic
Les secondaires
attendent passivement
Active-Active
Le primaire reçoit tout le
trafic et le redirige vers
les secondaires

Une formation
primary
secondary
Virtual MAC: 09-01-01
Physical MAC: 0b-a1-c0
Physical MAC: 0b-a4-8c Physical MAC: 0b-a4-8e
1. dstMAC 09-01-01, srcMAC X, TCP SYN dport 80
2. dstMAC 0b-a4-8c, srcMAC 0b-a1-c0, TCP SYN dport 80
3a. dstMAC Y, srcMAC 0b-a4-8e, TCP SYN dport 80
3b. dstMAC X, srcMAC 0b-a4-8c, TCP SYN ACK sport 80 (from HTTP proxy)
1 - SYN
2 - SYN
3b – SYN/ACK
Client Server
HTTP Proxy
3a - SYN

Une formation
primary
secondary
Physical MAC: 0b-a4-8c
Client Server
HTTP Proxy
4 - ACK
5 - ACK
4. dstMAC 09-01-01, srcMAC X, TCP ACK dport 80
5. dstMAC 0b-a4-8c, srcMAC 0b-a1-c0, TCP ACK dport 80

Une formation
primary
secondary
Physical MAC: 0b-a4-8e
Client Server
HTTP Proxy
6. dstMAC 09-01-03, srcMAC Y, TCP SYN ACK sport 80
7. dstMAC 0b-a4-8e, srcMAC 0b-a1-c2, TCP SYN ACK sport 80
8. dstMAC Y, srcMAC 0b-a4-8e, TCP ACK dport 80
6 - SYN/ACK
7 - SYN/ACK
8 - ACK

Virtual Clustering
Extension de FGCP pour FortiGate avec plusieurs VDOM
Le cluster HA ne doit comporter que deux appareils FortiGate
Permet à un FortiGate d’être le principal pour certains VDOM et le secondaire pour les
autres VDOM
Une formation
Domain A
Active-Passive HA
Primary
Domain B
Primary
Domain C
Secondary
Domain A
Secondary
Domain B
Secondary
Domain C
Primary

Une formation
Full Mesh HA
FortiGate
FortiGate
HB 1
HB 2
Réduit le nombre de points de défaillance uniques
Disponible sur certains modèles FortiGate
Utilise des interfaces agrégées et redondantes pour des connexions robustes entre
tous les composants réseau

Surveiller et analyser le HA
Une formation
Mohamed Anass EDDIK

Une formation
Mise à jour du Firmware
Vérification de l’état du HA
Passage au secondaire
Vérification de la synchronisation de la
Configuration
LAB
Plan

Une formation
Mise à jour du Firmware
La mise à niveau non
interruptible est activée par
défaut
Si le cluster fonctionne en mode
actif-actif, l’équilibrage de la
charge du trafic est désactivé
Le cluster met à niveau le
Firmware sur tous les secondaires
d’abord
Un nouveau primaire est élu
Le cluster met à niveau le
micrologiciel dans l’ancien
primaire
Si le cluster fonctionne en mode
actif-actif, l’équilibrage de la
charge du trafic est retourné
PrimairePrimaire
Secondaire(s)Secondaire(s)
1
2
3

Vérification de l’état du HA
# diagnose sys ha status
HA information
Statistics
traffic.local = s:0 p:14211 b:5343415
traffic.total = s:951 p:14211 b:5343415
activity.fdb = c:0 q:0
Model=5, Mode=1 Group=0 Debug=0
nvcluster=1, ses_pickup=1, delay=0, load_balance=0, schedule=3, ldb_udp=0,
upgrade_mode=0.
[Debug_Zone HA information]
HA group member information: is_manage_master=1.
FGVM010000030273: Master, serialno_prio=0, usr_priority=200, hostname=Student
FGVM010000030272: Slave, serialno_prio=1, usr_priority=100, hostname=Remote
[Kernel HA information]
vcluster 1, state=work, master_ip=169.254.0.1, master_id=0:
FGVM010000030273: Master, ha_prio/o_ha_prio=0/0
FGVM010000030272: Slave, ha_prio/o_ha_prio=1/1 169.254.0.1 IP de l’interface Heartbeat:
assigné au numéro de série le plus élevé
169.254.0.1 IP de l’interface Heartbeat:
assigné au numéro de série le plus élevé
Informations sur les HA
primaires et secondaires
Informations sur les HA
primaires et secondaires

Une formation
Passage au secondaire
En utilisant le CLI du primaire, vous pouvez vous
connecter à n’importe quelle CLI secondaire :
# execute ha manage ?
<id> please input peer box index.
<1> Subsidary unit FGVM0100000xxxxx
Pour répertorier les numéros d’index de chaque
FortiGate, utilisez le point d’interrogation :
# execute ha manage <HA_device_index>

Une formation
Vérification de la synchro
Exécutez la commande suivante dans le ou les membres du
cluster :
Tous les pairs doivent avoir les mêmes séquences de numéros de
contrôle
# diagnose sys ha checksum
cluster Show HA cluster checksum
show Show HA checksum of logged
in FortiGate
recalculate Re-calculate HA checksum

Une formation
Exemple de Checksum du cluster

Comprendre les concepts
du proxy web
Une formation
Mohamed Anass EDDIK

Une formation
Proxy implicite (transparent)
Proxy explicite
Pac File
Méthode WPAD (DHCP)
Méthode WDAP(DNS)
LAB
Plan

Une formation
Proxy implicite (transparent)
10.0.0.50:80
Demande envoyée à
10.0.0.50:80
Demande envoyée à
10.0.0.50:80 au nom
de 192.168.0.2
Le client envoie la demande au port IP + de serveur, pas au proxy
Le proxy implicite intercepte les demandes
Aucune modification de la configuration du client requise pour
implémenter un proxy Web
Les demandes envoyées à l’adresse IP du serveur, et non le proxy
192.168.0.2 192.168.0.1:80
Client ServeurFortigate (Proxy
Web)

Proxy explicite
Les clients doivent être configurés pour utiliser un proxy Web explicite
Le client envoie les demandes à l’adresse IP et au port du proxy Web. Il
n’envoie rien directement au site Web
Le proxy Web écoute sur son (adresse IP, numéro de port) et intercepte ainsi
les les paquets envoyés par le client
Le proxy Web envoie les paquets reçus vers le serveur Web en utilisant son
adresse IP
Une formation
10.0.0.50:80
Demande envoyée à
192.168.0.1:8080
Demande envoyée à
10.0.0.50:80
192.168.0.2 192.168.0.1:8080
Client Fortigate (Proxy
Web)
Serveur
Web
Connexion 1 Connexion 2

Une formation
Pac File
Définit la façon dont les navigateurs choisissent un proxy
Prend en charge plus d’un proxy
Spécifie le trafic qui sera envoyé à quel proxy
Configurez chaque navigateur avec l’URL du fichier PAC
function FindProxyForURL(url, host) {
if (shExpMatch(url,"*.example.com/*")) {
return "DIRECT";}
if (shExpMatch(url, "*.example.com:*/*")) {
return "DIRECT";}
if (isInNet(host, "10.0.0.0", "255.255.255.0")) {
return "PROXY fastproxy.example.com:8080";
}
return "PROXY proxy.example.com:8080";
}
Les connexions à n’importe
quel sous-domaine
example.com n’utilisent
aucun proxy
Les connexions à n’importe
quel sous-domaine
example.com n’utilisent
aucun proxy
Connexions à 10.0.0.0/24 utilisation
fastproxy.example.com:8080
Connexions à 10.0.0.0/24 utilisation
fastproxy.example.com:8080Sinon, tout autre trafic utilise
proxy.example.com:8080
Sinon, tout autre trafic utilise
proxy.example.com:8080

Une formation
Méthode WPAD (DHCP)
1
2
3
4
Navigateur interroge le serveur DHCP
Le serveur DHCP répond avec l’URL du fichier PAC
Navigateur télécharge le fichier PAC
Le navigateur accède au Web via le proxy
Serveur DHCP
FortiGate w/ PAC File Web Server
Utilisateur
Client DHCP

Une formation
Méthode WDAP(DNS)
Le navigateur interroge le serveur DNS pour le nom de domaine
complet suivant:wpad.<local-domain>
Le serveur DNS répond avec l’adresse IP où le fichier PAC
Le navigateur construit l’URL en utilisant l’adresse IP, le port 80 et le
nom de fichier PAC WPAD. dat: http://<pac-server>:80/wpad.dat
Navigateur télécharge le fichier PAC
Le navigateur accède au Web via le proxy
1
2
3/4
5
Serveur DNS
FortiGate w/ PAC File
Web Server
Client DNS

Configurer le proxy web
Une formation
Mohamed Anass EDDIK

Une formation
Configurer le proxy Web
Web cache
Activer le cache Web
LAB
Plan

Une formation
Configurer le proxy Web
Explicite web proxy configuration :
Activer le proxy Web explicite
Indiquer les interfaces internes que le proxy Web explicite va
être en écoute
Créer des stratégies de proxy explicites pour autoriser et
inspecter le trafic
Configurer les navigateurs de chaque client pour se
connecter via le proxy
Transparent Web proxy configuration
Créer des stratégies régulières pour faire correspondre le
trafic, en appliquant un proxy avec le paramètre de
redirection de proxy HTTP activé
Créer des politiques de proxy pour autoriser ou inspecter le
trafic

Une formation
Web cache
Pour la première demande, la réponse n’est pas encore en
cache.
Proxy:
Obtient le contenu du serveur
Stocke en mémoire si le contenu n’est pas dynamique
Réponse en avant au client
First
Request
First
Request
Content Content
Response in cache? No.

Une formation
Web cache
Pour les demandes ultérieures, la réponse est généralement déjà
dans le cache
Proxy transfère une copie du cache au client
Ne télécharge pas le contenu du serveur à nouveau
Le contenu dynamique est une exception, donc proxy le traite
comme première demande à chaque fois
Content
Second
Request
Content
Response in cache? Yes.

Une formation
Activer le cache Web

Maitriser l'authentification et
l'autorisation du proxy web
Une formation
Mohamed Anass EDDIK

Une formation
Authentification par proxy Web
Schémas d’authentification et règles
Authentification basée sur IP et basée sur
une session
Authentification basée sur une session
LAB
Plan

Une formation
Authentification par proxy Web
Le proxy Web sépare l’authentification de l’utilisateur
de l’autorisation utilisateur
Les schémas d’authentification et les règles sont utilisés pour
identifier les utilisateurs
L’autorisation est ensuite appliquée dans les stratégies de proxy
Un schéma définit la méthode d’inscription et l’utilisateur d’authen
à utiliser
Les règles d’authentification définissent le schéma à utiliser pour
l’authentification active et passive (SSO), selon l’adresse IP et le
protocole de l’utilisateur (HTTP, FTP ou SOCKS)

Une formation
Schémas et règles
Règle
d’authentification
Schémas
d’authentification

Une formation
Authentification explicite
Basée sur IP
Les sessions IP à partir de la même adresse IP source sont
traitées comme un seul utilisateur
Déconseillé si plusieurs utilisateurs sont derrière la source NAT
Partage d’accès Internet, Citrix, serveurs Terminal Server, etc
Basée sur la session
Les sessions HTTP sont traitées comme un seul utilisateur
Peut différencier plusieurs clients derrière la même adresse IP
source
Après l’authentification, le navigateur stocke les informations
utilisateur dans un cookie de session
Chaque requête suivante contient le cookie de session
Nécessite plus de ressources

Authentification basée sur une session
1. L’utilisateur démarre une nouvelle session
2. Le navigateur Web démarre la nouvelle session avec le proxy explicite
4. Le navigateur Web invite l’utilisateur à s’authentifier
3. Authentification explicite des demandes de proxy Web
5. L’utilisateur saisit les informations d’identification
6. Le navigateur Web stocke les informations d’identification
7. Le navigateur Web envoie des informations d’identification
8. L’utilisateur démarre une nouvelle session
9. Le navigateur Web démarre la nouvelle session avec le proxy explicite
10. Authentification explicite des demandes de proxy Web
11. Le navigateur Web envoie des informations d’identification stockées

Réaliser un diagnostique
Général
Une formation
Mohamed Anass EDDIK

Une formation
Informations système
Informations sur la couche physique
Table ARP
Dépannage de la couche réseau
LAB
Plan

Une formation
Informations système
# get system status
Version: FortiGate-VM64 v5.4.0,build1011,151221 (GA)
Virus-DB: 31.00050(2015-12-09 08:12)
Extended DB: 31.00050(2015-12-09 08:12)
IPS-DB: 6.00746(2015-12-08 01:57)
Serial-Number: FGVM010000051317
IPS Malicious URL Database: 1.00001(2015-01-01 01:01)
License Status: Valid
VM Resources: 1 CPU/1 allowed, 994 MB RAM/2048 MB allowed
Log hard disk: Available
Hostname: Student
Operation Mode: NAT
Current virtual domain: root
Virtual domains status: 1 in NAT mode, 0 in TP mode
Current HA mode: standalone
Branch point: 1011
Release Version Information: GA
FortiOS x86-64: Yes
System time: Wed Feb 3 18:18:29 2016

Une formation
La couche physique
# get hardware nic <port>
# Name: port1
# Driver: vmxnet3
# Version: 1.1.29.0-k-NAPI
# Hwaddr: 00:0c:29:04:60:1b
# Permanent Hwaddr:00:0c:29:04:60:1b
# State: up
# Link: up
# Mtu: 1500
# Supported: 1000full 10000full
# ...
# Auto: disabled
# Rx packets: 11827
# Rx bytes: 16243808
# Rx dropped: 0
# Rx errors: 0
# ...
# Tx packets: 7175
# Tx bytes: 761511
# Tx dropped: 0
# Tx errors: 0
# Multicasts: 34
# Collisions: 0

Une formation
Table ARP
# diagnose ip arp list
index=2 ifname=port1 192.168.1.99 state=00000001 use=174 confirm=916499 update=174
ref=17
index=2 ifname=port1 192.168.1.116 ac:72:89:56:aa:31 state=00000002 use=0 confirm=7
update=12141 ref=2
index=2 ifname=port1 224.0.1.140 01:00:5e:00:01:8c state=00000040 use=911087
confirm=917087 update=911087 ref=1

Une formation
Dépannage réseau
# execute ping-options
data-size Integer value to specify datagram size in bytes.
df-bit Set DF bit in IP header <yes | no>.
interval Integer value to specify seconds between two pings.
repeat-count Integer value to specify how many times to repeat PING.
source Auto | <source interface IP>.
timeout Integer value to specify timeout in seconds.
tos IP type-of-service option.
ttl Integer value to specify time-to-live.
# execute ping {<ipv4_address> | <host_fqdn>}
# execute traceroute {<ipv4_address> | <host_fqdn>}

Analyser le debug-low , CPU
et la mémoire
Une formation
Mohamed Anass EDDIK

Une formation
Debug flow
Utilisation de la CPU et de la mémoire
Résolution des problèmes de CPU et de mémoire
Utilisation des processus de cotation
Forked Processes et Mémoire partagée
Mode de conservation de la mémoire système
LAB
Plan

Une formation
Debug flow
Montre le traitement des paquets par le CPU étape par étape
Si un paquet est abandonné, il indique la raison
Effectuer via CLI à plusieurs étapes :
Activer la sortie de la console: diagnose debug flow show console
enable
Spécifiez le filtre: diagnose debug flow filter <filter>
Activer la sortie de débogage: diagnose debug enable
Démarrez la trace: diagnose debug flow trace start
[number_of_packets]
Arrêter la trace: diagnose debug flow trace stop

Debug flow
id=2 line=4677 msg="vd-root received a packet(proto=6,
66.171.121.44:80->10.200.1.1:49886) from port1. flag [S.],
seq 3567496940, ack 2176715502, win 5840"
id=2 line=4739 msg="Find an existing session, id-00007fc0,
reply direction"
id=2 line=2733 msg="DNAT 10.200.1.1:49886->10.0.1.10:49886"
id=2 line=2582 msg="find a route: flag=00000000 gw-10.0.1.10
via port3"
Adresses IP, numéros de port et
interface entrante
Utilisation d’une session existante
NAT de destination
un itinéraire correspondant. Affiche
l’adresse IP et l’interface sortante du
prochain saut

Une formation
CPU, RAM et réseau
# get system performance status
CPU states: 4% user 13% system 0% nice 83% idle
CPU0 states: 3% user 13% system 0% nice 84% idle
Memory states: 19% used
Average network usage: 12740 kbps in 1 minute,
3573 kbps in 10 minutes, 1077 kbps in 30
minutes
Average sessions: 118 sessions in 1 minute, 11
sessions in 10 minutes, 40 sessions in 30
minutes
Average session setup rate: 11 sessions per second
in last 1 minute, 0 sessions per second in last
10 minutes, 1 sessions per second in last 30
minutes
Virus caught: 3 total in 1 minute
IPS attacks blocked: 64 total in 1 minute
Uptime: 60 days, 9 hours, 58 minutes
Utilisation
du CPU
Utilisation
du réseau
Utilisation
de la RAM

Une formation
Résolution des problèmes
# diagnose sys top
Run Time: 0 days, 0 hours and 18 minutes
1U, 4N, 0S, 95I, 0WA, 0HI, 0SI, 0ST; 994T, 421F
pyfcgid 248 S 2.9 3.8
newcli 251 R 0.1 1.0
merged_daemons 185 S 0.1 0.7
miglogd 177 S 0.0 6.8
pyfcgid 249 S 0.0 3.0
pyfcgid 246 S 0.0 2.8
reportd 197 S 0.0 2.7
cmdbsvr 113 S 0.0 2.4
Trier par CPU: Shift + P ; Trier par RAM: Shift + M
Nom du processus ID du processus État du processus Utilisation du CPU (%)
Utilisation de
la mémoire
(%)

Utilisation des processus de cotation
# diagnose sys top
Run Time: 11 days, 3 hours and 29
minutes
0U, 0N, 0S, 100I, 0WA, 0HI, 0SI, 0ST;
994T, 429F
thttp 48 S 0.0 4.4
httpsd 74 S 0.0 0.5
httpsd 76 S 0.0 0.4
cmdbsvr 23 S 0.0 3.4
httpsd 18618 S 0.0 2.9
# diagnose sys top-summary
CPU [||||| ] 38.4%
Mem [|||||||||| ] 54.0% 1009M/1841M
Processes: 20 (running=1 sleeping=86)
PID RSS ^CPU% MEM% FDS TIME+ NAME
* 72 32M 34.2 1.7 11 00:03.39 httpclid [x5]
95 11M 1.9 0.6 20 53:07.83 cw_wtpd
40 23M 0.0 1.3 24 03:02.60 httpsd [x2]
1173 27M 0.0 1.5 10 00:02.82 pyfcgid [x4]
37 9M 0.0 0.5 9 00:00.23 uploadd
Forked processes sont
répertoriés individuellement
Nombre de fois où leNombre de fois où le
processus a forked
Forked processes
sont répertoriés
ensemble
Mémoire totale utilisée par tous les
forked processes, y compris la
mémoire partagée

Une formation
Forked Processes et Mémoire partagée
Les processus peuvent frayer ("fork") plusieurs copies
Exemple : l’analyse antivirus de chaque stratégie est distincte, bien
qu’ils utilisent les mêmes signatures chargées dans la mémoire vive
La mémoire partagée est affectée globalement au système (pas un
ID de processus)
Mémoire partagée
scanunitd scanunitd scanunitd

Une formation
Mode de conservation
FortiOS se protège lorsque l’utilisation de la mémoire est
élevée. Ainsi, il évite d’utiliser tant de mémoire que le
FortiGate ne pourra pas réagir
FortiOS offre trois seuils configurables :
# config system global
memory-use-threshold-green <percentage>
memory-use-threshold-red <percentage>
memory-use-threshold-extreme <percentage>
end

Gérer le Firmware
et le Hardware
Une formation
Mohamed Anass EDDIK

Une formation
BIOS
Installation du Firmware à partir de la console
Transfert du Firmware du BIOS
Test du matériel
Crash logs
LAB
Plan

Une formation
Accès au BIOS
FGT60D (18:34-05.06.2014)
Ver:04000005
Serial number:FG60DXXXXXXXX
RAM activation
Total RAM: 512MB
Enabling cache...Done.
Scanning PCI bus...Done.
Allocating PCI resources...Done.
Enabling PCI resources...Done.
Zeroing IRQ settings...Done.
Verifying PIRQ tables...Done.
Enabling Interrupts...Done.
Boot up, boot device capacity: 122MB.
Press any key to display configuration
menu.........
Reading boot image 1375833 bytes.
Initializing firewall...
System is started.
Appuyez sur n’importe
quelle touche à cette
invite pour entrer dans
le menu BIOS
Version du BIOS. Les
options dans le menu
du BIOS dépendent de
la version

Une formation
Firmware installation
Assurez-vous qu’une application de serveur
TFTP est installée sur votre PC
Configurez le répertoire du serveur TFTP et
copiez le Firmware FortiGate [image. Out]
Connectez votre carte réseau PC à
l’interface d’installation de FortiGate TFTP
Sélectionnez obtenir l’image du
micrologiciel dans le menu du BIOS

Une formation
Transfert du Firmware
Please connect TFTP server to Ethernet port "3".
Enter TFTP server address [192.168.1.168]: 192.168.1.110
Enter local address [192.168.1.188]:
Enter firmware image file name [image.out]:
MAC:00090FC371BE
######################
Total 23299683 bytes data downloaded.
Verifying the integrity of the firmware image.
Total 40000kB unzipped.
Save as Default firmware/Backup firmware/Run image without
saving:[D/B/R]?d
Programming the boot device now.
.......................................
Reading boot image 1375833 bytes.
Initializing firewall...
System is started.
Formatting shared data partition ... done!
AVERTISSEMENT: le
transfert d’une image du
Firmware supprime la
configuration et installe la
configuration usine par
défaut

Une formation
Test du matériel
Conçu pour les tests de fabrication et les utilisateurs finaux
pour vérifier les principaux composants matériels : CPU,
FLASH, RAM, Disque dur, interfaces réseaux, interface
USB, …
Dans certains modèles de la série E et de la série D, le test
matériel peut être exécuté directement à partir de FortiOS
Il est possible d’ exécuter un seul test ou plusieurs
Pour les autres modèles, une image HQIP spéciale doit être
chargée à l’aide d’un serveur TFTP et exécutée à partir du
menu du BIOS. La procédure est détaillée sur le lien suivant
: https://support.fortinet.com/Download/HQIPImages.aspx

Une formation
Test du matériel
# diagnose hardware test suite all
# - Please connect ethernet cables:
# [WAN - Any of PORT1...PORT4]
# To skip this test, please press 'N'.
# Do you want to continue? (y/n) (default is n) N
# Following tests will request you to check the colours of the
system LEDs.
# Following tests will request you to check the colours of the
NIC LEDs.
# - Please connect ethernet cables:
# [WAN - Any of PORT1...PORT4]
# Test Begin at UTC Time Tue Aug 25 21:08:53 2015.

Une formation
Crash logs
Inspecter les journaux de crash à des fins de débogage
Chaque fois qu’un processus se referme, il est enregistré
comme killed. Certains sont normaux (ex. fermeture de
scanunit pour mettre à jour les définitions)
Les événements de mode de conservation sont également
enregistrés
# diagnose debug crashlog read
36: 2015-11-25 17:20:02 the killed daemon is /bin/quard: status=0xf
37: 2015-11-25 17:20:02 the killed daemon is /bin/thmd: status=0x0
38: 2015-11-25 17:20:02 the killed daemon is /bin/snmpd: status=0x0
39: 2015-11-25 17:20:02 the killed daemon is /bin/proxyd: status=0x0
40: 2015-11-25 17:20:02 the killed daemon is /bin/fgfmd: status=0x0
41: 2015-11-25 17:20:02 the killed daemon is /bin/reportd: status=0x0
# diagnose debug crashlog read
36: 2015-11-25 17:20:02 the killed daemon is /bin/quard: status=0xf
37: 2015-11-25 17:20:02 the killed daemon is /bin/thmd: status=0x0
38: 2015-11-25 17:20:02 the killed daemon is /bin/snmpd: status=0x0
39: 2015-11-25 17:20:02 the killed daemon is /bin/proxyd: status=0x0
40: 2015-11-25 17:20:02 the killed daemon is /bin/fgfmd: status=0x0
41: 2015-11-25 17:20:02 the killed daemon is /bin/reportd: status=0x0

Une formation
Crash logs Conserve Mode
The Crash log enregistre également les événements de
mode de conservation
Entrée :
Sortie :
12: 2017-05-12 14:10:16 logdesc=“Kernel enters conserve mode”
Service=kernel conserve=on free=“127962
13: 2017-05-12 14:10:16 pages” red=128000 pages” msg=“Kernel enters
conserve mode”
12: 2017-05-12 14:10:16 logdesc=“Kernel enters conserve mode”
Service=kernel conserve=on free=“127962
13: 2017-05-12 14:10:16 pages” red=128000 pages” msg=“Kernel enters
conserve mode”
14: 2017-05-12 14:19:55 logdesc=“Kernel leaves conserve mode”
Service=kernel conserve=exit
15: 2017-05-12 14:19:55 free=“192987 pages” green=192000 pages”
msg=“Kernel leaves conserve mode”
14: 2017-05-12 14:19:55 logdesc=“Kernel leaves conserve mode”
Service=kernel conserve=exit
15: 2017-05-12 14:19:55 free=“192987 pages” green=192000 pages”
msg=“Kernel leaves conserve mode”

Conclusion
Une formation
Mohamed Anass EDDIK

Une formation
Configurer IPsec VPN
Configurer le DLP
Configurer Routage
Configurer SD-WAN
Configurer les domaines virtuels
Configurer le Switching
Configurer le VPN site-to-site IPsec
Configurer le Fortinet SSO
Configurer la HA
Configurer le Proxy Web
Effectuer les diagnostiques
Bilan

Une formation
Cursus Fortigate

Alphorm.com Formation Certification NSE4 - Fortinet Fortigate Infrastructure 6.x

Contenu connexe

Tendances (20)

Similaire à Alphorm.com Formation Certification NSE4 - Fortinet Fortigate Infrastructure 6.x (20)

Plus de Alphorm (20)

Dernier (7)

Alphorm.com Formation Certification NSE4 - Fortinet Fortigate Infrastructure 6.x