Differences

This shows you the differences between two versions of the page.

--- informatique:fortinet:start [2025/10/06 09:35] – [Tips] Supprimer des logs pteu
+++ informatique:fortinet:start [2025/10/31 11:01] (current) – [Interfaces] MSS tuning pteu
@@ Line 212: / Line 212: @@
 Rappel: la MTU IP est de 1500 octets par défaut. Pour la vérifier entre 2 machines, il faut lancer un PING en interdisant la fragmentation (bit "don't fragment" = 1) et en spécifiant sa taille. Pour une MTU par défaut on peut envoyer des PINGs de taille max 1472 (1500 moins les entêtes IP (20) et ICMP (8)), un seul octet de plus (1473) et on ne pourra plus l'envoyer sans fragmenter, donc cela génèrera une erreur.
 </WRAP>
+ref: [[https://community.fortinet.com/t5/FortiGate/Technical-Tip-Setting-TCP-MSS-value/ta-p/194518|Technical Tip: Setting TCP MSS value (Fortinet)]]
 <code bash>
@@ Line 1229: / Line 1231: @@
     set ha-mgmt-interface "mgmt2"
     set ha-mgmt-interface-gateway 10.0.7.254
-    set override disable
+    set override disable            # ce paramètre doit être aligné sur toutes les unités du cluster
     set priority 150
     set monitor "port23" "port24"
 end
 </code>
+Les critères de sélection du primaire, lors d'une élection d'un cluster configuré avec le paramètre ''set override disable'' :
+  - l'unité qui possède le moins d'interface monitorée en défaut devient le primaire
+  - l'unité ayant le plus long uptime (__uniquement si la différence dépasse 5min/300s__)
+  - l'unité ayant la plus forte priorité
+  - l'unité ayant le plus haut numéro de série
+NB: lorsqu'une interface monitorée passe en d"faut, cela reset le compteur d'uptime de l'unité.
 Normalement l'IP de management du master devient l'IP virtuelle d'admin du cluster et le backup n'est plus joignable ; pour se connecter dessus il fait se connecter au master d'abord, puis saisir :
@@ Line 2503: / Line 2513: @@
 </WRAP>
+=====Désactiver les upgrades automatiques=====
+Depuis la version 7.4.5 et si on les mets à jour (donc pas les //fresh install//) depuis des versions majeures antérieures (7.0, 7.2), les Fortigates se mettent à jour de leur propre chef s'ils détectent une nouvelle version de FortiOS disponible. Comme tout ce qui est forcé, masqué et impactant c'est assez malvenu ; mais on peut tout de même le désactiver :
+<code bash>
+# pour vérifier l'état de l'option
+diagnose test application forticldd 13
+Scheduled push image upgrade: no
+Scheduled Config Restore: no
+Scheduled Script Restore: no
+Automatic image upgrade: Enabled.       # <-------- l'option fautive est activée
+        New image information may be fetched.
+        Next new image info fetch scheduled at (local time) Tue Oct  7 01:34:49 2025
+        New image installation may be cancelled by the user.
+        Last new image info fetch executed at (local time) Mon Oct  6 03:36:21 2025
+# Pour la désactiver :
+c g
+config sys fortiguard
+set auto-firmware-upgrade disable
+end
+Any pending automatic patch-level firmware upgrade has been removed.
+</code>
+src: [[https://community.fortinet.com/t5/FortiGate/Technical-Tip-Auto-firmware-update-enabled-by-default-when/ta-p/306899|Auto-firmware-update enabled by default when upgrading from v7.0.X to v7.2.6]]
 ======Liens utiles======
   * [[http://docs-legacy.fortinet.com/cb/html/index.html#page/FOS_Cookbook/Install_advanced/cb_enhance_security.html|Enhancing FortiGate Security (fortinet.com)]]