Differences

This shows you the differences between two versions of the page.

--- informatique:fortinet:start [2019/07/08 12:41] – [Hardware] pteu
+++ informatique:fortinet:start [2019/09/19 08:28] – [sniffer packet] afficher les erreurs de fragmentation pteu
@@ Line 98: / Line 98: @@
 # partitionnement du disque dur (au sens Linux, càd bas niveau)
 diagnose hardware deviceinfo disk
-# lister les partitions au sens Forti (gestion des images de fortiOS)
+# lister les partitions (gestion des images de fortiOS)
 diagnose sys flash list
-# ensuite on peut configurer l'image à charger par défaut au prochain reboot :
-execute set-next-reboot [ primary | secondary ]
 # info sur les CPU (~ /proc/cpuinfo)
@@ Line 140: / Line 138: @@
       set mtu-override enable
       set mtu 9000
+</code>
+===Port d'admin dédié===
+Cette fonctionnalité, qui est pré-configurée pour les firewalls disposant de port nommés ''mgmt*'', permet de dédier une interface au management du Fortigate. Cela a pour effet d'interdire la création de règle de sécurité les incluant, de créer une route "connected" dans la table de routage, et d'ajouter un menu permettant de filtrer les IPs pouvant se connecter dessus (ce qui outrepasse les directives //trusted host// définies dans les comptes utilisateur).
+Il est conseillé de ne pas router de trafic utilisateur par ces interfaces.
+<code  bash>
+config system interface
+  edit "mgmt2"
+    set dedicated-to management
+  end
+end
 </code>
@@ Line 1340: / Line 1351: @@
 =====sniffer packet=====
-C'est une implémentation de tcpdump ; la syntaxe basique est : ''diagnose sniffer packet <interface> '<filter>' <verbose> <count> <time-format>'', par exemple pour sniffer TOUT le trafic :
+C'est une implémentation de tcpdump ; la syntaxe basique est : ''diagnose sniffer packet <interface> '<filter>' [ <verbose> <count> <time-format> ]'', par exemple pour sniffer TOUT le trafic :
 <code bash>
 diagnose sniffer packet any '' 4 0 l
@@ Line 1356: / Line 1367: @@
 <WRAP center round info 80%>
-Il est important de noter que les paquets accélérés par les Network Processors (NP1, 2 etc...)  __ne sont pas capturés__ par cette commande. Pour sniffer ces paquets, il faut au préalable [[informatique:fortinet:start#acceleration_hardware_np|désactiver l'accélération matérielle]] sur le flux qu'on veut sniffer.
+Il est important de noter que les paquets accélérés par les Network Processors (NP1, 2 etc...) ne sont pas capturés par cette commande, excepter les ouvertures de sessions. Pour sniffer tous ces paquets, il faut au préalable [[informatique:fortinet:start#acceleration_hardware_np|désactiver l'accélération matérielle]] sur le flux qu'on veut sniffer mais cela aura un impact sur les performances.
 </WRAP>
@@ Line 1395: / Line 1406: @@
 diagnose debug app hatalk 255
+# Afficher les paquets ICMP de type 3 code 4
+# (fragmentation nécessaire mais impossible à cause du drapeau (flag) DF)
+diagnose sniffer packet any 'icmp[0] = 3 and icmp[1] = 4' 4 0 l
+# alternative :
+diagnose sniffer packet any 'icmp[0:2] = 0x0304' 4 0 l
 </code>
@@ Line 1439: / Line 1456: @@
 execute backup config ftp <FILENAME> <ftp server>
 </code>
+NB : il n'est (à priori) pas/plus possible, dans les dernières versions de firmware (5.x et +), d'uploader une image sur le Fortigate sans l'activer : le coup le firewall reboot systématiquement à chaque upload de firmware.
+=====Rollback=====
+Si une version de firmware ne fonctionne pas comme prévu, on peut faire un rollback c'est-à-dire un retour sur la précédente version :
+<code bash>
+# lister les partitions (gestion des images de fortiOS)
+diagnose sys flash list
+ FGT800xxxxxxxxxx # diagnose sys flash list
+ Partition  Image                                     TotalSize(KB)  Used(KB)  Use%  Active
+          FGT800-4.00-FW-build694-161108                    27541     22537   82%  Yes
+          FGT800-4.00-FW-build689-140731                    27541     22537   82%  No
+ Image build at Aug  1 2014 02:49:11 for b0689
+# ensuite on peut configurer l'image (1 ou 2, primary ou secondary) à charger par défaut au prochain reboot :
+execute set-next-reboot secondary
+ Default image is changed to image# 2.
+# rebooter
+execute reboot
+ This operation will reboot the system !
+ Do you want to continue? (y/n)y
+</code>
 =====USB auto-install=====
 Une fonctionnalité intéressante des Fortigate est d'utiliser une clé USB pour faire booter le firewall dessus. Si ce dernier trouve :
-  * un ficheir **fgt_system.conf**, il chargera ce fichier de configuration au boot
+  * un fichier **fgt_system.conf**, il chargera ce fichier de configuration au boot
   * une image **image.out** il chargera ce firmware au boot
-Ces noms de fichiers sont configurables en webUI dans "System > Config > Advanced".
+Ces noms de fichiers sont configurables en webUI dans "System > Config > Advanced" ou en CLI :
+<code bash>
+config global
+  config system auto-install
+    set auto-install-config enable
+    set auto-install-image enable
+    set default-config-file "fgt_system.conf"
+    set default-image-file "image.out"
+  end
+end
+</code>
+La clé doit être formatée en FAT pour être lisible par le Fortigate ; pour le vérifier :
+<code bash>
+diagnose hardware deviceinfo disk
+ [..]
+ Disk USB-7(user-usb) ref:  32  28.8GiB    type: USB [Kingston DataTraveler 3.0] dev: /dev/sdc
+  partition ref:  33  28.8GiB,  28.8GiB free  mounted: Y  label:  dev: /dev/sdc1 start: 0
+execute usb-disk list
+-07-23 16:07:14	  43664535	image.out
+</code>
 ======Métrologie/supervision======
@@ Line 1657: / Line 1719: @@
 </code>
+Cela peut également se configurer en webUI dans System > Features Visibility, puis cocher "Allow unnamed policies"
 =====Configuration d'une CRL=====