Archive for the 'Firmware / Software' Category

FortiGate: Nur Default UTM Profile sichtbar / Only default UTM profiles visible

Wir kriegen öfters Supportfälle, bei welchen FortiGate Administratoren nur die Default UTM Profile in Firewall Policies auswählen können.
Some FortiGate admins report problems with missing UTM profiles in firewall policies. They can only see and choose default profiles.

Continue reading ‘FortiGate: Nur Default UTM Profile sichtbar / Only default UTM profiles visible’

FortiOS 5.4.1 Upgrade / Boot Issue with FortiGate 60D

Several customers reported problems while upgrading to FortiOS 5.4.1. FortGate 60D models did not boot up correctly after the upgrade. Fortinet is aware of the issue and mentioned it in the release notes:

The following 60D models have an issue upon upgrading to FortiOS 5.4.1. The second disk (flash) is unformatted and results in the /var/log/ directory being mounted to an incorrect partition  used exclusively for storing the firmware image and booting.

  • l FG-60D-POE
  • l FG-60D
  • l FWF-60D-POE
  • l FWF-60D

To fix the problem, follow these steps. If you have not upgraded yet, you only need to perform step 6, otherwise start with step 1.

  1. Backup your configuration.
  2. Connect to the console port of the FortiGate device.
  3. Reboot the system and enter the BIOS menu.
  4. Format the boot device.
  5. Burn the firmware image to the primary boot device.
  6. Once the system finishes rebooting, from the CLI run “execute disk format 16”. This will format the second flash disk.
  7. Restore your configuration.

Link to release notes:
http://docs.fortinet.com/d/fortios-5.4.1-release-notes

WatchGuard Feature: FQDN in Firewall Policies

Mit dem Fireware Release 11.10 ist es möglich, FQDN Objekte in Firewall Policies (im From oder To) zu verwenden. Dieses Feature kann dazu genutzt werden, Policies für einzelne Domains zu erstellen und entsprechende Einstellungen nur für diese Domäne anzuwenden. Zudem kann man diese FQDN Objekte in Policies für Updates von Microsoft, AntiViren Programmen oder weiteren CDN Netzwerken nutzen, um zum Beispiel die Bandbreite zu limitieren.

Nebst der Angabe eines einzelnen Hostnamen sind auch Wildcard Einträge erlaubt:

WatchGuard_Feature_FQDN_1

Continue reading ‘WatchGuard Feature: FQDN in Firewall Policies’

FortiGate Service ALL nach Firmware Upgrade verändert

Update: Fortinet hat das Problem erkannt und in einem Customer Support Bulletin beschrieben.

In FortiOS v5.0.8 and v5.0.9 and v5.2.0 through v5.2.2, the default value of the firewall service protocol number was changed from a value of 0 to 6.

The most commonly observed impact of this change is that after upgrading to the affected firmware, the “ALL” service matches only TCP traffic.

Executing a factory-reset on the FortiGate device does NOT change the default value to 6.

Affected Products:

All FortiGate models.

Resolution:

FortiOS v5.0.10 and v5.2.3 has fixed the issue.  Upon upgrading the FortiGate device, the firewall service protocol number is restored to 0.

Workaround:

Those wishing not to upgrade the firmware can modify the affected firewall services to explicitly set the protocol-number to 0.  For example:

config firewall service custom

edit “ALL”

set protocol-number 0

next

Das Bulletin ist hier zu finden: https://support.fortinet.com/Information/Bulletin.aspx (Login benötigt)

—————————————————————————————————————————-

Ursprünglicher Artikel:

Wir haben vermehrt festgestellt, dass nach nicht supporteten FortiOS Upgrades auf 5.2.2 der Service ALL nicht mehr ANY als Service beinhaltet, sondern nur noch IP/6, was dem TCP Protokoll entspricht. Damit gehen zum Beispiel ICMP oder auch UDP Pakete nicht mehr durch diese Firewall Policy, welche vor dem Upgrade alles durchgelassen hat.

ALL_Service

Bestätigen können wir dieses Problem aktuell für folgende Upgrades, welche von Fortinet aber nicht supported sind.

5.0.5 –> 5.2.2
5.0.6 –> 5.2.2
5.0.7 –> 5.2.2

Zusätzlich haben wir das Problem bei folgenden “supporteten” Upgardes gesehen:

5.0.10 –> 5.2.2
5.0.11 –> 5.2.2

Als Lösung kann man im ALL Service die Protocol Number wieder auf 0 setzen.

ALL_Service_korrigiert

Offiziell supported ist der Upgrade ab 5.0.8 direkt auf 5.2.2. Bei den Upgrades von 5.0.8 und 5.0.9 haben wir das Problem bis jetzt nicht gesehen.

Trotz dieser Situation empfehlen wir im Normalfall, immer den supporteten Upgrade Pfad, wie in den Release Notes angegeben ist, zu befolgen. Für den Upgrade gibt es nebst den Release Notes auf ein eigenes Dokument für den unterstützten Upgrade.

Supported Upgrade Path für 5.2.2:
http://docs.fortinet.com/d/upgrade-paths-to-fortios-5.2.0

Für Neugeräte empfehlen wir, direkt den gewünschten Release per TFTP raufzuladen. Weiter ist auch möglich, per WebGUI direkt auf den gewünschten Release upzudaten ohne den Supported Upgrade Path zu beachten, dann aber die FortiGate per CLI  auf die Standardeinstellungen zurückzusetzen: exec factoryreset.

WatchGuard Feature: Hotspot Guest User Authentication

Mit der Fireware Version 11.9.4 wurde ein vielfach gewünschtes Feature, vor allem im Wireless Bereich, implementiert. Es handelt sich dabei um ein Guest Ticket System. Dabei kann ein Guest Administrator selber Zugangs-Tickets mit definierter Laufzeit, Businessinformationen und Logo selbständig erstellen und ausdrucken.

Dieses Hotspot Feature wird vor allem im Wireless Bereich gewünscht. Die Hotspot Seite kann aber unabhänig auf allen gewünschten Interfaces genutzt werden, so zum Beispiel auch auf einem verkabelten Gästenetz.

Vorgehen

Als erstes wird auf einem beliebigen Interface (physikalische Interfaces, VLANs, Wireless SSIDs) der Hotspot aktiviert (Policy Manager –> Setup –> Authentication –> Hotspot und die Option gewählt, dass sich Benutzer anmelden müssen.  Dabei kann gewählt werden, ob der Gast sich mit Username und Passwort oder nur mit Passwort anmelden muss.

WatchGuard_Feature_Hotspot_01

Continue reading ‘WatchGuard Feature: Hotspot Guest User Authentication’

BOLL Morning Session Expert – SDN Talk

Thomas Graf von der Firma redHat war zum zweiten Mal bei uns zu Gast und zwar mit seinem spannenden Vortrag über ein aktuell viel diskutiertes Thema – dem Software Defined Networking.

Daher hier unser Mitschnitt für alle, die aus irgend einem Grund nicht teilnehmen konnten … Viel Spass beim zuschauen!

Konfiguration TwoFactor Authentication über AD-Credentials und dem FortiMobileToken für MUVPN

Wir haben einen neuen KnowledgeBase Artikel geschrieben, der eine Konfigurationsanleitung für eine TwoFactor Authentifizierung (über AD-Credentials und dem FortiMobileToken) für ein MUVPN beinhaltet.

nw-skizze

Insbesondere werden nebst der Fortigate ein Anwendungsbeispiel für den FortiAuthenticator aufgezeigt.

Unsere Partner können das Dokument direkt von unserem Dokumenteserver herunterladen. Alle anderen bitte einfach kurz melden, dann schicken wir es direkt per Mail.

Watchguard Dimension

Ende letzten Jahres hat Watchguard seine neue Log-und Report Lösung Dimension vorgestellt. Dabei verwandelt Dimension Rohdaten von XTM Fireboxen in wichtige Security Informationen. Der Dimension Server wird als virtuelle Appliance zur Verfügung gestellt und ermöglicht so eine schnelle und einfache Einrichtung.

Watchguard Dimension stellt eine Fülle von Werkzeugen zur Visualisierung und Erstellung von Reports zur Verfügung. Gleichzeitig filtert es wichtige Security Information und beschleunigt die Umsetzung von Sicherheitsregeln im ganzen Netzwerk. Damit erhalten Sie einen echten Mehrwert beim Einsatz einer WatchGuard XTM Appliance. Einige der neuen Möglichkeiten sind:

  • Executive Dashboard: Bietet einen Überblick über die wichtigsten Sicherheitsrichtlinien und -aktivitäten. Per Mausklick können sich Anwender Protokolldaten detailliert anzeigen lassen, zu anderen relevanten Ansichten navigieren oder Daten zur umgehenden Berichterstellung exportieren.
  • ThreatMap: Diese individuell auf jede Kundenumgebung zugeschnittene Lösung bietet interaktiv konfigurierbare Ansichten auf einer Weltkarte. Zum Funktionsumfang zählen die Überwachung von Sicherheitsangriffen in Echtzeit, die Ermittlung der Quelle per Detailanalyse, die Erfassung der von Benutzern aufgerufenen Websites und die Verdichtung von Daten sowohl für ein bestimmtes XTM-Gerät als auch alle Geräte unter einem Benutzerkonto.
  • FireWatch: Ermöglicht eine benutzerfreundliche, interaktive Visualisierung (Baumdiagramm) zum Gruppieren, Verdichten und Filtern des Datenverkehrs der Firewall. Nutzer erhalten Optionen zum Drehen, Filtern und Anzeigen von Detailinformationen – so kann beispielsweise sofort dargestellt werden, welche Benutzer und Verbindungen am aktivsten sind und die meiste Bandbreite beanspruchen.

Continue reading ‘Watchguard Dimension’

FortiClient 5.0 – Lizenzierung & Customized Installation

Mit der Version 5.0 wird der FortiClient im Vergleich zu den Vorgänger Versionen unterschiedlich lizenziert und auch das Management hat sich grundlegend verändert. Dieser Artikel bezieht sich ausschliesslich auf FortiClient 5.0.x

Lizenzierung

Der FortiClient kann als Standalone oder Registered Client verwendet werden.

Standalone Client

Standalone-FC

Beim Standalone Betrieb wird der FortiClient nicht zentral von der FortiGate verwaltet. Es können beliebig viele Clients eingesetzt werden. VPN Verbindungen (IPSEC, SSL-Tunnel-Mode) werden bei dieser Variante auf der FortiGate nicht als Registered Clients (Zentrale Administration) gezählt. Somit kann der Client in diesem Modus kostenlos eingesetzt werden und benötigt keine zusätzlichen Lizenzen. Continue reading ‘FortiClient 5.0 – Lizenzierung & Customized Installation’

FortiPlanner zur Planung und Analyse von Wireless Netzwerken

Fortinet hat die Software FortiPlanner zur Planung und Analyse von Wireless Netzwerken veröffentlicht.

Mit dieser Software lässt sich ein Grundrissplan des Gebäudes laden und FortiAPs plazieren. Damit kann bereits eine Einschätzung zur Wireless Abdeckung vorgenommen werden. Die Software kann auch automatisch FortiAPs in vordefinierten Bereichen zur optimalen Abdeckung platzieren.

fortiplanner_fortiap

 

Mit einer Pro Upgrade Lizenz kann die Software zusätzlich nach der Installation eine grafische Auswertung der plazierten FortiAPs vornehmen (Site Survey). Dazu misst man die Abdeckung an beliebig vielen Orten innerhalb der gewünschten Zone um ein aussagekräftiges Bild der Abdeckung der SSIDs und Access Points zu erhalten.

fortiplanner_sitesurvey

Zudem gibt es auch die Möglichkeit, die Sendeleistung und die Anzahl verbundener Clients sowie aktive Channels pro Access Point anzeigen zu lassen (Real Time Heat Map). Diese Funktionalitäten benötigen eine Verbindung direkt auf die FortiGate.

Weitere Informationen sind hier zu finden:

FortiPlanner User Guide
http://docs.fortinet.com/fgt/fplanner/fortiplanner-user-guide-14-mr3.pdf

FortiPlanner Download
http://planner.fortinet.net/update/publish.htm