نکات و ترفندهای اصلی پیکربندی FortiOS (فرمان ها) 2 – 51 امنیت

1. سیستم خود را عیب یابی و عیب یابی کنید

diag debug enable
diag debug console timestamp enable
diag sniffer packet wan 'host 8.8.8.8' 1
diag debug disable
diag debug reset

diag debug cli cmd “فرمان های cli” را برای اقداماتی که از رابط کاربری گرافیکی انجام می دهید به شما نشان می دهد.

diag debug enable
diag debug cli 8 

دستور diag sys flash list فایل های تصویری پارتیشن را در درایو فلش به شما نشان می دهد.

FWF60D # diag sys flash list 
Partition  Image                                     TotalSize(KB)  Used(KB)  Use%  Active
1          FWF60D-5.06-FW-build1486-170816                  253871     48877   19%  No    
2          FWF60D-6.00-FW-build0163-180725                  253871     53598   21%  Yes   
3          ETDB-1.00000                                    3368360     81632    2%  No    
Image build at Jul 25 2018 19:06:34 for b0163

دستور diag sys tcpsock پورت های باز فعال سیستم شما را به شما نشان می دهد.

FWF60D # diag sys tcpsock 
0.0.0.0:10400->0.0.0.0:0->state=listen err=0 sockflag=0x8 rma=0 wma=0 fma=0 tma=0
0.0.0.0:5060->0.0.0.0:0->state=listen err=0 sockflag=0x102 rma=0 wma=0 fma=0 tma=0
0.0.0.0:135->0.0.0.0:0->state=listen err=0 sockflag=0x2 rma=0 wma=0 fma=0 tma=0
0.0.0.0:1004->0.0.0.0:0->state=listen err=0 sockflag=0x8 rma=0 wma=0 fma=0 tma=0
0.0.0.0:1005->0.0.0.0:0->state=listen err=0 sockflag=0x2 rma=0 wma=0 fma=0 tma=0
0.0.0.0:7822->0.0.0.0:0->state=listen err=0 sockflag=0x1 rma=0 wma=0 fma=0 tma=0
0.0.0.0:910->0.0.0.0:0->state=listen err=0 sockflag=0x1 rma=0 wma=0 fma=0 tma=0
0.0.0.0:80->0.0.0.0:0->state=listen err=0 sockflag=0x1 rma=0 wma=0 fma=0 tma=0
0.0.0.0:80->0.0.0.0:0->state=listen err=0 sockflag=0x2 rma=0 wma=0 fma=0 tma=0
0.0.0.0:10000->0.0.0.0:0->state=listen err=0 sockflag=0x8 rma=0 wma=0 fma=0 tma=0
0.0.0.0:2000->0.0.0.0:0->state=listen err=0 sockflag=0x102 rma=0 wma=0 fma=0 tma=0
0.0.0.0:1010->0.0.0.0:0->state=listen err=0 sockflag=0x2 rma=0 wma=0 fma=0 tma=0
......

1.1 عیب یابی VPN
اشکال زدایی را فعال کنید

FWF60D #diag debug enable
FWF60D #diag debug console timestamp enable 

FWF60D #diag vpn ike log-filter dst-addr4 

FWF60D #diag debug application ike -1 

FWF60D # tree diag vpn ike gateway




-- gateway -- list -- name --   (0)




           |- clear -- name --   (0)




           +- flush -- name --   (0)




اشکال زدایی را غیرفعال کنید
FWF60D #diag debug disable
FWF60D #diag debug console timestamp disable
FWF60D #diag debug application ike 0

نمایش لیستی از تونل ها و دروازه های فعال
FWF60D #diag vpn tunnel list
FWF60D #diag vpn gw list


2. پیکربندی سیستم را دریافت کنید


دریافت سیستم arp // جدول ARP
dns سیستم را دریافت کنید  // پیکربندی DNS
سرور dhcp سیستم را دریافت کنید  // پیکربندی سرور DHCP




FGT30D# راه اندازی سیستم را دریافت کنید
حالت عملکرد: nat
firewall-session-dirty: همه را بررسی کنید
bfd : غیر فعال کردن
utf8-spam-marking: فعال کردن
wccp-cache-engine: غیر فعال کردن
vpn-stats-log:
دوره آمار vpn: 0
v4-ecmp-mode: بر اساس IP منبع
gui-default-policy-columns:
asymroute : غیر فعال کردن
ses-denied-traffic: غیرفعال کردن
strict-src-check: غیر فعال کردن
asymroute6: غیر فعال کردن
پهنای باند در هر آی پی: غیرفعال کنید
sip-helper: فعال کردن
sip-nat-trace: فعال کردن
وضعیت: فعال سازی
sip-tcp-port: 5060
sip-udp-port: 5060
sccp-port: 2000
چندپخشی به جلو: فعال کردن
multicast-ttl-notchange: غیر فعال کردن
allow-subnet-overlap: غیرفعال کردن
deny-tcp-with-icmp : غیر فعال کنید
ecmp-max-paths: 10
منتظر باز شدن دستگاه باشید: 28
email-portal-check-dns: فعال کردن 



نمایش رابط سیستم wan1 | grep -A2 ip // نمایش WAN و اطلاعات رابط.
وضعیت مدیر اطلاعات سیستم را دریافت کنید // نمایش کاربران وارد شده
وضعیت سیستم را دریافت کنید // نمایش نسخه های به روز رسانی سخت افزار/نرم افزار سیستم
وضعیت سخت افزار را دریافت کنید // اطلاعات دقیق در مورد مدل سخت افزاری
دریافت وضعیت عملکرد سیستم // زمان کارکرد سیستم را بررسی کنید


FGT30D3X12001671 $ get system performance status 
CPU states: 0% user 0% system 0% nice 100% idle
CPU0 states: 0% user 0% system 0% nice 100% idle
Memory states: 21% used
Average network usage: 3 kbps in 1 minute, 0 kbps in 10 minutes, 0 kbps in 30 minutes
Average sessions: 14 sessions in 1 minute, 11 sessions in 10 minutes, 11 sessions in 30 minutes
Average session setup rate: 0 sessions per second in last 1 minute, 0 sessions per second in last 10 minutes, 0 sessions per second in last 30 minutes
Virus caught: 0 total in 1 minute
IPS attacks blocked: 0 total in 1 minute
Uptime: 106 days,  0 hours,  8 minutes



بالاترین عملکرد سیستم را دریافت کنید
رابط سیستم را نشان می دهد 
تشخیص اطلاعات دستگاه سخت افزار nic // آمار/تنظیمات رابط
تشخیص سخت افزار حافظه sysinfo
دیاگ اشکال زدایی crashlog خوانده شد
تشخیص سخت افزار sysinfo shm // دستگاه باید در 0 باشد اگر (> 0) سپس conservemode
دریافت سیستم جهانی | تایمر grep -i // نمایش تایمرهای tcp و udp نیمه باز و بیکار
دریافت سیستم session-ttl // زمان پایان جلسه tcp-idle پیش فرض سیستم
نیک سخت افزاری بگیرید
یک رابط سیستم فیزیکی دریافت کنید
تشخیص لیست آدرس IP



تشخیص لیست ip arp
تشخیص لیست جلسات سیستم
تشخیص پاکسازی جلسه سیستم
تشخیص سیستم کشتن 9 

3. سوئیچ داخلی داخلی را به حالت رابط تغییر دهید
در حالت سوئیچ، همه اینترفیس‌های داخلی بخشی از یک زیرشبکه هستند و بسته به مدل فورتی‌گیت، به‌صورت پیش‌فرض به‌عنوان یک رابط واحد به نام lan یا داخلی در نظر گرفته می‌شوند. حالت سوئیچ زمانی استفاده می‌شود که طرح‌بندی شبکه اولیه باشد و اکثر کاربران در یک زیرشبکه یکسان هستند.
در حالت رابط، رابط های فیزیکی واحد فورتی گیت به صورت جداگانه مدیریت می شوند و هر رابط دارای آدرس IP خاص خود است. رابط‌ها همچنین می‌توانند با پیکربندی به عنوان بخشی از سوئیچ‌های سخت‌افزاری یا نرم‌افزاری ترکیب شوند و به چندین رابط به‌عنوان یک رابط واحد در نظر گرفته شوند.

الف دستور تغییر حالت سوئیچینگ FortiGate:
   پیکربندی سیستم جهانی
         یک سوئیچ داخلی برای تغییر حالت تنظیم کنید
   پایان
ب دستور تغییر FortiGate به حالت رابط:
   پیکربندی سیستم جهانی
         تنظیم رابط برای حالت سوئیچینگ داخلی
   پایان
پس از تغییر سوئیچ داخلی از حالت سوئیچ به حالت رابط، می توانید برخی از اینترفیس ها را به خارج از سوئیچ داخلی منتقل کنید و آنها به رابط های مسیریابی برای انجام تنظیمات تبدیل می شوند.









اینجا یک مورد کاربری است. اجرای HA به دو پورت مسیریابی نیاز دارد. اگر سوئیچ خود را به حالت رابط تغییر دهید، می توانید از دو پورت LAN برای اهداف HA استفاده کنید.





توجه: نحوه تغییر حالت سوئیچ به حالت رابط در Fortigate FortiOS 5
4. راه اندازی مجدد سیستم برنامه ریزی شده روزانه
config system global
set daily-restart enable
set restart-time 05:06
end

توجه: برای راه اندازی مجدد هفتگی، به یک دستور انتظار اسکریپت شده نیاز دارید.
5. برخی از دستورات HA

خطای دستی HA
diagnose sys ha reset-uptime



Mange Cluster Member from Console

Test-1 # get system ha status 
Model: FortiGate-60D
Mode: a-p
Group: 0
Debug: 0
ses_pickup: disable
Master:250 Test-1    FGT60D4614041798 1
Slave : 50 Test-2    FGT60D4Q15005710 0
number of vcluster: 1
vcluster 1: work 169.254.0.2
Master:0 FGT60D4614041798
Slave :1 FGT60D4Q15005710

Test-1 # execute ha manage 0
 
Test-2 $ 

Test-2 $ execute reboot 
This operation will reboot the system !
Do you want to continue? (y/n)y
6. One to One Inbound NAT Configuration
WAN IP Address : 192.168.20.200
LAN IP Address: 192.168.2.200
Rule: Allow Any External IP Address to access LAN Server 1921.68.2.200 on SMB (TCP 445 – File Sharing Port), but not expose LAN IP Address.
6.1 Create VIP address



6.2 Create firewall Rule
Note: No NAT configuration. NAT will be taken care by VIP configuration in step 6.1
Destination will be External IP Address.



6. Tree command

Tree command can be used to display the command tree for a configuration section.

FWF60D # tree execute ping-option




-- ping-options -- data-size --   (0)




                |- df-bit --   (0)




                |- pattern --   (0)




                |- repeat-count --   (0)




                |- source --   (0)




                |- interface --   (0)




                |- timeout --   (0)




                |- adaptive-ping --   (0)




                |- interval --   (0)




                |- tos --   (0)




                |- ttl --   (0)




                |- validate-reply --   (0)




                |- view-settings 




                +- reset 


FWF60D # tree system ddns
-- [ddns] --*ddnsid  (0,4294967295)
          |- ddns-server 
          |- ddns-server-ip 
          |- ddns-zone  (65)
          |- ddns-ttl  (60,86400)
          |- ddns-auth 
          |- ddns-keyname  (65)
          |- ddns-key 
          |- ddns-domain  (65)
          |- ddns-username  (65)
          |- ddns-sn  (65)
          |- ddns-password 
          |- use-public-ip 
          |- update-interval  (60,2592000)
          |- clear-text 
          |- ssl-certificate  (36)
          |- bound-ip 
          +- [monitor-interface] --*interface-name  (65)
FWF60D #  























7. Disable Local Logs

If you donot want to log your local logs,  here is a way to disable it. But you may lose some view of local broadcasting noise.



FWF60D # config log memory filter
FWF60D (filter) # set local-traffic disable
FWF60D (filter) # end
FWF60D #  

8. Configuration Example

Fortigate Device Information:
LAN : 192.168.200.1/24
WAN : 85.86.87.2/29
Default Gateway to ISP: 85.86.87.1






config system global
# Set the http admin port to 80/tcp
set admin-port 80
# Set the https admin port to 443/tcp
set admin-sport 443
# Set the ssh admin port to 22/tcp
set admin-ssh-port 22
# Set the telnet admin port to 23/tcp
set admin-telnet-port 23
# Set the hostname
set hostname “FW-Office-1”
# Set the ntp server to “0.ca.pool.ntp.org” and enable it
set ntpserver “0.ca.pool.ntp.org”
set ntpsync enable
# Set to 43200 seconds the tcp-halfclose timer
set tcp-halfclose-timer 43200
end
# Set the telnet 23/tcp port timeout to 43200 seconds.
config system session-ttl
set default 43200
config port
edit 23
set timeout 43200
next
end
# Set the IP address and administrative access options (ping https http) for lan interface.
config system interface
edit “lan”
set ip 192.168.200.1 255.255.255.0
set allowaccess ping https http
set type physical
next
# Set the IP address and administrative access options (ping https) for wan interface.
# Set “gateway Detect” option enable and set the “Ping Server” destination.
# Set the interface speed to 10 Mb/s Half Duplex, this is useful for some connections like radio bridge.
edit “wan1″
set ip 85.86.87.2 255.255.255.248
set allowaccess ping https
set gwdetect enable
set detectserver “85.86.87.23″
set type physical
set speed 10half
next
end
# Set DNS Servers and DNS options
config system dns
set primary 192.168.200.3
set secondary 8.8.8.8
set domain ”
set autosvr disable
set dns-cache-limit 5000
set cache-notfound-responses disable
end
# Set a firewall policy to enable traffic from lan TO WAN using NAT
# Set a protection profile (a default one) called “scan”
config firewall policy
edit 1
set srcintf “lan”
set dstintf “wan″
set srcaddr “all”
set dstaddr “all”
set action accept
set schedule “always”
set service “ANY”
set profile-status enable
set profile “scan”
set nat enable
next
end
# Set a default gateway on the WAN interface
config router static
edit 1
set device “wan″
set gateway 85.86.87.1
end





9. Proper shut down of FortiGate unit

To limit unnecessary logdisk or flash failure, Fortinet recommends that you always use the shutdown (or restart) commands when shutting down or rebooting any FortiGate unit.
Never shut off a FortiGate unit by removing power from the unit.
To power off a FortiGate unit correctly

Issue the Shutdown Command.
From the web-based manager, go to System> Maintenance> ShutDown, Select Shut Down and click on Apply.
From the CLI, enter execute shutdown


Disconnect the power supply.




10. BGP

config router bgp

get router info bgp summary
get router info bgp neighbors  advertised-routes
get router info bgp neighbors  received-routes
get router info bgp neighbors  routes
get router info routing-table bgp



11. Restrick Access to Web and SSL VPN 
1. For FortiGate Web Portal 

Command line only : local-in-policy


sh full firewall local-in-policy 
config firewall local-in-policy
    edit 1
        set uuid d7f13336-22a0-51ef-ee79-444132007804
        set intf "port1"
        set srcaddr "Allowed_Countries"
        set srcaddr-negate enable
        set dstaddr "wan-10.254.3.5/32"
        set internet-service-src disable
        set dstaddr-negate disable
        set action deny
        set service "ALL"
        set service-negate disable
        set schedule "always"
        set status enable
        set comments ''
    next
end

یادداشت ها: https://docs.fortinet.com/document/fortigate/7.4.4/administration-guide/363127/local-in-policy
اگر Local-in-Policy به درستی کار نمی کند و ترافیکی که باید مسدود شود مجاز باشد، ممکن است مشکل این باشد که یک لغو ضمنی محلی در سیاست ایجاد نشده است. برخلاف قوانین IPv4، قوانین انکار پنهان پیش‌فرض وجود ندارد. خط مشی رد ضمنی باید در انتهای لیست سیاست های محلی قرار گیرد. خط‌مشی‌های محلی برای هر رابط ایجاد می‌شوند، اما اگر می‌خواهید یک قانون انکار ضمنی کلی برای همه رابط‌ها برای یک سرویس، منبع، آدرس یا آدرس مقصد خاص ایجاد کنید، از آن استفاده کنید. any  رابط.

سیاست های پیش فرض ورود به سیستم محلی را از رابط کاربری گرافیکی وب مشاهده کنید:


2. برای SSL VPN

استفاده از محدودیت جغرافیایی 



زمانی که کاربر با استفاده از ترکیب نام کاربری و رمز عبور وارد سیستم نشده است، زمان قفل را از 60 ثانیه به 600 ثانیه افزایش دهید. 

محدودیت پیش فرض تلاش برای ورود به سیستم برای کاربران SSL VPN 2 و زمان مسدود کردن ورود 60 ثانیه است.
این نشان می دهد که اگر کاربر ترکیب نام کاربری/رمز عبور نادرست را دو بار وارد کند، فایروال تلاش ها را مسدود می کند و پیامی مانند "تلاش های بسیار بد" را نمایش می دهد. لطفاً چند دقیقه دیگر دوباره امتحان کنید.




تنظیمات FGT # config vpn ssl
FGT (تنظیمات) # نمایش
تنظیمات ssl vpn
        مجموعه رمز ممنوع SHA1 SHA256 SHA384
        تنظیم سرور "Fortinet_Factory"
        مجموعه تونل-ip-pools "SSLVPN_TUNNEL_ADDR1"
        پورت 4443 را تنظیم کنید
        تنظیم رابط خروجی "port1"
        تنظیم آدرس منبع "همه"
        تنظیم منبع-آدرس 6 "همه"
        تنظیم دروازه پیش فرض "دسترسی تونل"
        قانون احراز هویت پیکربندی
                ویرایش 2
                        گروه های "کاربران راه دور" را تنظیم کنید
                        تنظیم پورتال "دسترسی به تونل"
                بعدی
        پایان
پایان
FGT (تنظیمات) # sh کامل است
تنظیمات ssl vpn
        فعال سازی حالت
        reqclientcert را غیرفعال کنید
        ssl-max-proto-ver tls1-3 را تنظیم کنید
        ssl-min-proto-ver tls1-2 را تنظیم کنید
        مجموعه رمز ممنوع SHA1 SHA256 SHA384
        مجموعه رمزهای TLS-AES-128-GCM-SHA256 TLS-AES-256-GCM-SHA384 TLS-CHACHA20-POLY1305-SHA256
        ssl-insert-empty-fragment را فعال کنید
        تغییر مسیر https را غیرفعال کنید
        x-content-type-Options را فعال کنید
        غیرفعال کردن مذاکره مجدد ssl-client را تنظیم کنید
        تنظیم کنید تا احراز هویت دو مرحله‌ای غیرفعال شود
        تنظیم سرور "Fortinet_Factory"
        تنظیم الگوریتم بالا
        زمان بیکار را 300 تنظیم کنید
        مهلت زمانی احراز هویت را 28800 تنظیم کنید
        تنظیم محدودیت تلاش برای ورود به سیستم 2
        زمان ورود به سیستم را 600 تنظیم کنید
        تنظیم زمان ورود به سیستم 30
        مجموعه تونل-ip-pools "SSLVPN_TUNNEL_ADDR1"
        تنظیم پسوند dns "




زمان قفل ورود پیش فرض از 60 به 600 (ثانیه) تغییر کرد



توجه: https://community.fortinet.com/t5/FortiGate/Technical-Tip-How-to-limit-SSL-VPN-login-attempts-and-block/ta-p/194229

پیکربندی فوق به جلوگیری از حملات brute force از طریق SSL VPN کمک می کند.
=============================

لطفاً توجه داشته باشید که فعال نگه داشتن https،http،تلنت یا ssh در واسط wan توصیه نمی شود، اما اگر باید آن را فعال کنید، لطفاً میزبان های مورد اعتماد را در قسمت System - Admins - Edit "admin" - Enable Trusted hosts قرار دهید تا اجازه دسترسی داده شود. از آدرس های IP خاص
# پیکربندی sysadmin
                trustedhost1 را تنظیم کنید  255.255.255.255
                trustedhost2 را تنظیم کنید  255.255.255.0
        پایان
یا می‌توانید به صورت محلی در خط‌مشی پیکربندی کنید تا دسترسی از برخی کشورها مجاز باشد.
https://community.fortinet.com/t5/FortiGate/Technical-Tip-Restrict-HTTPS-access-from-certain-countries-by/ta-p/199805
برای مسدود کردن خودکار IP هایی که حملات سیل انجام می دهند، می توانید یک سیاست DOS را پیکربندی کنید.
https://docs.fortinet.com/document/fortigate/7.4.4/administration-guide/771644/dos-policy
برای رابط sslvpn، می توانید همین کار را با محدود کردن دسترسی به برخی کشورها انجام دهید
https://community.fortinet.com/t5/FortiGate/Technical-Tip-Restricting-SSL-VPN-connectivity-from-certain/ta-p/191997
دوم، بازنشانی زمان قفل و تلاش برای ورود به سیستم به عنوان نیاز شما
https://community.fortinet.com/t5/FortiGate/Technical-Tip-How-to-limit-SSL-VPN-login-attempts-and-block/ta-p/194229#:~:text=FortiGate.&text =محدودیت%20%20%20%20%20%20%20%20%20%20%20SSL%20VPN%20%20،%20%20پس از%20%20%20 دوباره امتحان کنید.
همچنین صفحه ورود به پورتال وب را برای جلوگیری از تلاش های غیرمجاز حذف کنید
https://community.fortinet.com/t5/FortiGate/Tchnical-Tip-How-to-prevent-the-SSL-VPN-web-login-portal-from/ta-p/215905


12. هشدار اشکال زدایی ایمیل / تست


FGT # سرور ایمیل سیستم را دریافت کنید
نوع: سفارشی
سرور: fortinet-notifications.com
پورت: 465
منبع-ip: 0.0.0.0
source-ip6: ::
احراز هویت: غیر فعال کردن
اعتبار - سرور: غیر فعال کردن
امنیت: smtps
ssl-min-proto-version: پیش فرض
رابط-انتخاب-روش: خودکار


FGT # di de de de app alertmail -1
پیام های اشکال زدایی به مدت 30 دقیقه روشن خواهند بود.
FGT # را فعال کنید
FGT # تست ایمیل هشدار ثبت تشخیصی
FGT # پیام ورودی (نوع 4، 91 بایت): تست ایمیل هشدار
متن پیام (سطح گزارش = 1):
ردیف 1
ردیف 2
(2024-08-06 14:36:37)
وقتی پشتیبانی forticare نامعتبر است، نمی توان از fortinet-notifications.com استفاده کرد.

مراجع