הגדרת FortiGate NGFW: מדיניות, VPN ובדיקת SSL

הגדרת FortiGate NGFW: מדיניות, VPN ובדיקת SSL ללא פשרות

תארו לעצמכם: הגדרתם מדיניות, VPN עובד, אבל משתמשים מתלוננים על האטות. הסיבה היא בדיקת SSL שהופעלה ללא חריגים לשירותי סטרימינג. המהנדסים שלנו פרסו תצורות כאלה לעשרות חברות—מ-50 עד 5000 עובדים—ויודעים היכן מתחיל ייכשל. הניסיון מראה ש-80% מהבעיות נפתרות על ידי חלוקת תעבורה נכונה בין האצת חומרה של שבבי NP לבין CPU. בהגירה אחת, החלפנו מדיניות ישנות במדיניות מבוססת פרופילים, ועומס ה-CPU ירד מ-70% ל-15%—פשוט על ידי העברת בדיקות למעבד NP6.

למה מדיניות סטנדרטית לא עובדת? אבטחה ללא פרופילים היא רק פורט פתוח

ב-FortiOS, מדיניות חומת אש ללא פרופיל אבטחה מקושר היא למעשה permit any any, גם אם ציינתם IP ופורט. פרופיל מוסיף IPS, בקרת יישומים, סינון אתרים ואנטי-וירוס. בלעדיהם, 70% מהתעבורה הזדונית לא מתגלה. דוגמה למדיניות עם פרופילים דרך FortiCLI:

config firewall policy
    edit 100
        set name "LAN-to-Internet"
        set srcintf "LAN"
        set dstintf "WAN1"
        set srcaddr "LAN_SUBNET"
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "ALL"
        set utm-status enable
        set ssl-ssh-profile "certificate-inspection"
        set ips-sensor "default"
        set application-list "default"
        set webfilter-profile "default"
        set logtraffic all
        set nat enable
    next
end

config firewall policy edit 100 set name "LAN-to-Internet" set srcintf "LAN" set dstintf "WAN1" set srcaddr "LAN_SUBNET" set dstaddr "all" set action accept set schedule "always" set service "ALL" set utm-status enable set ssl-ssh-profile "certificate-inspection" set ips-sensor "default" set application-list "default" set webfilter-profile "default" set logtraffic all set nat enable next end מתעדת את כל הסשנים. בסביבת ייצור, זה יכול לייצר עד 50 GB של לוגים ביום עבור 500 משתמשים, ולכן לאחר ניפוי באגים אנו עוברים ל-logtraffic all.

איך להגדיר בדיקת SSL עמוקה מבלי לחסום תעבורה לגיטימית?

בדיקת SSL עמוקה הופכת את FortiGate ל-MiTM: המכשיר מפענח HTTPS, בודק, ומצפין מחדש. לקוחות חייבים לסמוך על תעודת ה-CA של FortiGate. בלעדיה, שגיאות תעודה יופיעו בכל דפדפן.

config vpn certificate local
    edit "fortigate-ca"
        set comments "FortiGate SSL Inspection CA"
    next
end
config firewall ssl-ssh-profile
    edit "deep-inspection"
        set comment "Full SSL/SSH inspection"
        config https
            set ports 443
            set status deep-inspection
        end
        set caname "fortigate-ca"
        set untrusted-caname "fortigate-ca"
    next
end

הפיצו את ה-CA דרך GPO (Windows) או MDM. חריגים לאתרי בנקים ומשאבים עם קיבוע תעודה הם חובה:

config firewall ssl-ssh-profile
  edit "deep-inspection"
    config ssl-exempt
      edit 1
        set type wildcard-fqdn
        set wildcard-fqdn "*.google.com"
      next
      edit 2
        set type wildcard-fqdn
        set wildcard-fqdn "*.apple.com"
      next
    end
  next
end

הגדרת IPsec VPN: מ-dial-up ל-site-to-site

FortiGate משמש כ-concentrator למשתמשים מרוחקים. אנו משתמשים ב-IKEv2 עם logtraffic utm וקבוצת DH 14. אימות מבוסס AD מפחית כרטיסי תמיכה ב-40%. IKEv2 מהיר פי 2 מ-IKEv1 בחידוש מנהרה לאחר ניתוק—אומת על יותר מ-20 פרויקטים.

config vpn ipsec phase1-interface
    edit "client-vpn"
        set type dynamic
        set interface "WAN1"
        set ike-version 2
        set peertype any
        set net-device enable
        set proposal aes256-sha256
        set dhgrp 14
        set psksecret "<PSK>"
        set ipv4-start-ip 10.10.20.1
        set ipv4-end-ip 10.10.20.100
        set ipv4-netmask 255.255.255.0
        set split-include-service "INTERNAL_NETWORKS"
    next
end
config vpn ipsec phase2-interface
    edit "client-vpn-p2"
        set phase1name "client-vpn"
        set proposal aes256-sha256
        set dhgrp 14
        set keylifeseconds 3600
    next
end

לאימות AD, הגדירו LDAP וקבוצת משתמשים:

config user ldap
    edit "corp-ad"
        set server "192.168.1.10"
        set cnid "sAMAccountName"
        set dn "dc=corp,dc=company,dc=com"
        set type regular
        set username "cn=fortigate-bind,..."
        set password "<bind_password>"
    next
end
config user group
    edit "VPN-Users"
        set member "corp-ad"
        config match
            edit 1
                set server-name "corp-ad"
                set group-name "CN=VPN-Access,..."
            next
        end
    next
end

איך להפוך את ניהול המדיניות של FortiGate לאוטומטי?

לתשתית עם עשרות מכשירים, הגדרה ידנית אינה יעילה. אנו משתמשים באוסף Ansible config vpn certificate local edit "fortigate-ca" set comments "FortiGate SSL Inspection CA" next end config firewall ssl-ssh-profile edit "deep-inspection" set comment "Full SSL/SSH inspection" config https set ports 443 set status deep-inspection end set caname "fortigate-ca" set untrusted-caname "fortigate-ca" next end או בספק Terraform config firewall ssl-ssh-profile edit "deep-inspection" config ssl-exempt edit 1 set type wildcard-fqdn set wildcard-fqdn "*.google.com" next edit 2 set type wildcard-fqdn set wildcard-fqdn "*.apple.com" next end next end . התצורה נשמרת ב-Git, עוברת בדיקת קוד, ונפרסת דרך FortiManager. בפרויקט אחד, הפכנו את פריסת המדיניות לאוטומטית עבור 12 FortiGates—זמן העדכון ירד מ-4 שעות ל-15 דקות.

זמינות גבוהה: אשכול Active-Passive

לרשתות קריטיות, תמיד הגדירו HA. שני FortiGates פועלים במצב Active-Passive עם סנכרון סשנים ותצורה. במקרה של תקלה, המכשיר הפסיבי תופס פיקוד תוך <1 שנייה. דוגמה לתצורת CLI:

config system ha
    set mode a-p
    set group-id 1
    set priority 200
    set override enable
    set monitor "port1" "port2"
end

אנו משתמשים בקישור heartbeat ייעודי בין המכשירים. בסביבת ייצור נבדק תחת עומס של 10 Gbps—הפרעת הסשן לא עלתה על 3 מנות.

מה כלול בהגדרת FortiGate? תוצרים

טעויות אופייניות בהגדרת FortiGate

• חריגי SSL חסרים: ללא חריגים לאתרי בנקים ומשאבים עם קיבוע תעודה, משתמשים לא יכולים לגשת לאתרים עם Certificate Pinning.
• סדר מדיניות: ב-FortiOS, ההתאמה הראשונה קובעת את הפעולה. שימו כללים ספציפיים יותר מעל כלליים.
• התעלמות משבבי NP: אם התעבורה לא מועברת להאצת חומרה, ה-CPU עמוס גם ב-100 Mbps.

לוחות זמנים וניסיון

הגדרנו FortiGates ליותר מ-50 פרויקטים—ממשרדים קטנים ועד רשתות מבוזרות עם 10,000 מארחים. מחזור מלא מביקורת ועד מסירה—מפתח ביד. לוחות הזמנים תלויים בהיקף:

5+ שנות ניסיון עם FortiGate—ראינו את כל הטעויות האופייניות: חריגי SSL שנשכחו, סדר מדיניות שגוי, CPUs עמוסים ללא שימוש בשבבי NP. קבלו ייעוץ—נעריך את התצורה שלכם. הזמינו ביקורת FortiGate—נמצא נקודות תורפה ונציע אופטימיזציה.