pteuz Wiki

This page is read only. You can view the source, but not change it. Ask your administrator if you think this is wrong.
======Fortigate======

Fortigate est la gamme de firewall++ de Fortinet ; ils font du routage, du firewalling, concentrateur VPN, VPN SSL, antivirus, IPS, etc... bref pas mal de fonctions qui s'implémentent au fil du temps.

=====Processeurs=====

Comparatif informel et non-contractuel des CPUs de certains modèles de Fortigate :
<code bash>
# MODEL		CORE/HT		MODEL NAME
3810A		2c		AMD / cpu family 15 / model 33 / model name 02/21 /
                                stepping 2 / 1795 MHz / 1024 KB cache
3000D		2x 10c/20t	Intel(R) Xeon(R) CPU E5-2650 v3 @ 2.30GHz
3040B		4c/8t		Intel(R) Xeon(R) CPU           E5540  @ 2.53GHz
1240B		4c		Intel(R) Xeon(R) CPU           E5504  @ 2.00GHz
1101E		6c/12t		Intel(R) Xeon(R) E-2186G CPU @ 3.80GHz
800C		4c		Intel(R) Core(TM) i5 CPU         750  @ 2.67GHz
800		1c		Mobile Genuine Intel(R) processor       1600MHz
600E		6c/12t		Intel(R) Core(TM) i7-8700 CPU @ 3.20GHz
600D		4c/8t		Intel(R) Core(TM) i7-3770 CPU @ 3.40GHz
600C		2c/4t		Intel(R) Core(TM) i3 CPU         540  @ 3.07GHz
310B		1c		Intel(R) Celeron(R) CPU          440  @ 2.00GHz
300A		1c		Intel(R) Celeron(R) CPU 2.00GHz
200		1c		Celeron (Coppermine) @300MHz
100F		8c		ARMv8 Processor rev 4 (v8l) @ 1400 MHZ
60		1c		VIA Samuel 2 @ 400 MHz
</code>

<WRAP center round tip 60%>
On peut récupérer les infos CPU avec la commande :
''diagnose hardware sysinfo cpu''
</WRAP>


=====Architecture interne=====

L'architecture interne (simplifiée) des Fortigate varie selon les modèles, et interconnecte les composants suivants :
  * **CPU**
  * **CPx** : **C**ontent **P**rocessor, permet d'offloader (décharger le processeur principal de) certaines tâches de sécurité (comme les signatures IPS ou la gestion protocolaire IKE/IPSec dans le cas de la génération 8 = CP8)
  * **NPx** : FortiASIC **N**etwork **P**rocessor, permet d'offloader certaines tâche réseau (principalement les trafics IPv4 et les trafics des tunnels VPN IPSec)
  * **SPx** : **S**ecurity **P**rocessor permet d'offloader certaines tâches de sécurité notamment l'intégralité des fonctions d'IPS
  * **ISF** : Integrated Switch Fabric : permet d'interconnecter les NPs. L'ISF lève les restrictions qui font que, par exemple, un flux ne peut être accéléré que si les 2 ports d'entrée et de sortie du flux sont connectés physiquement sur le même NP6.
  * les ports physiques

Il existe souvent des restrictions de prise en charge de l'offloading (par exemple dans le cas de paquets fragmentés, jumbo frames ou autre..) ; dans ce cas lesdits trafics seront traités par le processeur central. Pour en avoir une liste plus exhaustive je vous recommande la consultation du document **FortiOS Handbook - Hardware Acceleration** trouvable ici : http://docs.fortinet.com/fortigate/admin-guides .

Comparaison indicative des NPx : les différences concernent 1) la capacité de traitement de la puce, 2) sa connectivité, et 3) les fonctions gérées par celle-ci.
  * **NP1** : firewalling IPv4 et chiffrement des VPN IPSec ; capacité de traitement de 2 Gbps (2x 1 Gbps)
  * **NP2** : idem ; capacité de traitement de 2 Gbps (1x 10 Gbps ou 4x 1Gbps)
  * **NP4** : idem ; capacité de traitement de 20 Gbps (2x 10 Gbps)
  * **NP6** : idem + IPv6 + CAPWAP + trafic Mcast ; capacité de traitement de 40 Gbps (4x 10 Gbps ou 3x 10 Gbps + 16x 1 Gbps)
  * **NP7** (introduit avec la génération F, à partir du modèle 400F) : idem + GTP, accélération VxLAN, NAT ; capacité de 200 Gbps (2x 100)

__Exemple d'architecture interne pour les Fortigate 800C__ ([[https://help.fortinet.com/fos50hlp/54/Content/FortiOS/fortigate-hardware-acceleration-52/NP4-diagrams.htm|source]]) :
{{ :informatique:fortinet:fg-800c-acdc-ports.jpg?nolink |}}
Ce modèle est doté de 1x CP8 et 1x NP4 (gérant les ports via une ISF).

__Exemple d'architecture interne pour les Fortigate 3000D__ ([[http://help.fortinet.com/fos50hlp/54/Content/FortiOS/fortigate-hardware-acceleration-52/np6-fgt-3000D.htm|source]]) :
{{ :informatique:fortinet:3000d-archi.png |}}
Celui-ci est équipé de 4x CP8, (une CPU), 2x NP6 et une ISF. On notera que le premier NP6 gère les 8 premiers ports alors que le second les 8 derniers. Ainsi, on prendra soin de répartir les interfaces à fort trafic sur des ports reliés aux différents NP6, afin de ne pas les saturer.

Comme indiqué dans la source, on peut vérifier la connectivité interne d'un Fortigate 3000D avec une des 2 commandes suivantes (exemple ici avec un 3000D) :
<code bash>
diagnose npu np6 port-list
# ou get hardware npu np6 port-list
Chip   XAUI Ports            Max   Cross-chip
                             Speed offloading
------ ---- -------          ----- ----------
np6_0  0    port1            10G   Yes
       0    port6            10G   Yes
       1    port2            10G   Yes
       1    port5            10G   Yes
       2    port3            10G   Yes
       2    port8            10G   Yes
       3    port4            10G   Yes
       3    port7            10G   Yes
------ ---- -------          ----- ----------
np6_1  0    port10           10G   Yes
       0    port13           10G   Yes
       1    port9            10G   Yes
       1    port14           10G   Yes
       2    port12           10G   Yes
       2    port15           10G   Yes
       3    port11           10G   Yes
       3    port16           10G   Yes
------ ---- -------          ----- ----------
</code>
On voit donc les 2 NP6 (np6_0 et np6_1) ainsi que leur connectivité avec les ports réels.

La colonne XAUI indique les connexions internes des NPs ; les liens utilisés peuvent être QSGMII (4x 1G), XAUI (10G). Sur ce 3000D par exemple, chaque NP6 est interconnecté par 4 liens internes XAUI (à 10Gbps), pour atteindre la capacité max de traitement d'un NP6 qui est de 40 Gbps. On voit que les ports 1 et 6 sont connectés au np6_0 via le même lien XAUI 0 ; or ces ports ont une capacité de 10Gbps chacun, ils ne pourront donc pas être pleinement accélérés s'ils sont saturés.

Pour créer un agrégat :
  * si le forti n'a pas d'ISF, il faut utiliser des ports connectés en interne sur le même NP6 ; de fait, l’agrégat ne pourra pas dépasser 40Gbps de débit accéléré, puisqu’il sera limité par le NP6.
  * si le forti possède une ISF qui interconnecte plusieurs NP6, on peut utiliser des ports connectés en interne sur les différents NPs, afin de répartir la charge et augmenter la capacité ; le débit accéléré max sera donc de N x 40Gbps (N = nombre de NP6)

Ces paramètres doivent être pris en compte pour choisir quels ports utiliser pour interconnecter le Fortigate à votre réseau.
=====Versions de FortiOS=====

Correspondance constatée entre les numéros de version et les numéros de build (ces derniers peuvent changer en fonction des modèles) :
<code bash>
# VER BUILD			RELEASE				DATE
5.4.1 Build 1064
5.2.7 Build 0718
5.2.6 Build 0711
5.2.5 Build 0701
5.2.3 Build 0670 ou 0350
5.0.6 Build 0271    		Latest 5.0 Patch Release 	Released 24 January 2014
5.0.5 Build 0252    		Latest 5.0 Patch Release 	Released 31 October 2013
5.0.4 Build 0228    		Latest 5.0 Patch Release 	Released 9 August 2013
5.0.3 Build 0208    		Latest 5.0 Patch Release 	Released 3 June 2013
v4.00 Build 0672 MR3 Patch 15   Latest MR3 Patch Release 	Released 4 September 2013
v4.00 Build 0665 MR3 Patch 14	Latest MR3 Patch Release	Released 17 May 2013
v4.00 Build 0656 MR3 Patch 12	Latest MR3 Patch Release	Released 13 Feb 2013
v4.00 Build 0646 MR3 Patch 11	Latest MR3 Patch Release	Released 22 Nov 2012
v4.00 Build 0639 MR3 Patch 10	Latest MR3 Patch Release	Released 10 Sep 2012
v4.00 Build 0637 MR3 Patch 9	Latest MR3 Patch Release	Released 21 Aug 2012
v4.00 Build 0632 MR3 Patch 8	Latest MR3 Patch Release	Released 06 Jul 2012
v4.00 Build 0535 MR3 Patch 7	Latest MR3 Patch Release	Released 11 May 2012
v4.00 Build 0521 MR3 Patch 6	Latest MR3 Patch Release	Released 15 Mar 2012
v4.00 Build 0513 MR3 Patch 5	Latest MR3 Patch Release	Released 01 Feb 2012
v4.00 Build 0511 MR3 Patch 4	Latest MR3 Patch Release	Released 12 Jan 2012
[..]
v4.00 Build 0441 MR3			Latest MR3 Patch Release	Released 19 Mar 2011
</code>