Zuletzt aktualisiert am 06.06.2024
Es ist soweit. Swisscom hat den neuen Business Connect Anschluss, den Smart Business Connect lanciert.
Selbstverständlich gibt es auch bei diesem Anschluss wieder Neuerungen für die Kunden.
Uns wurde bereits von einigen Kunden, welche auf den neuen Anschluss gewechselt haben, gemeldet, dass die Anbindung an die FortiCloud nicht mehr funktioniert. Die Log-Pakete werden vom FortiGate an die FortiCloud versendet, es geht jedoch keine Antwort darauf ein.
Auch der Zugriff auf den FortiAnalyzer oder den FortiManager ist nicht möglich. Die FortiGates melden schlicht: “Connection refused, or not a valid FortiAnalyzer/FortiManager device.”.
Des Rätsel’s Lösung ist so simpel wie unlogisch: Auf dem DMZ Port des Swisscom Routers ist eine Firewall aktiv, welche das Senden der Logs verhindert.
Nachdem diese Firewall von “Balanced” auf “Off” umgeschaltet wurde, funktioniert es wieder wie gewohnt:
Das selbe gilt natürlich auch für FortiGates, welche über den LAN Port mit dem Swisscom Router verbunden werden.
Nachtrag: Wir mussten feststellen, dass diese Einstellung bei einzelnen Routern zurückgesetzt wurde. Möglicherweise durch ein Update oder einen Stromausfall bedingt. Bitte prüfen Sie die Einstellung daher nach, falls das Problem erneut auftreten sollte.
Aufgrund des erneut vermehrten Auftretens des Problems haben wir einen neuen Beitrag spezifisch zum Thema Cloud Logging mit dem FortiGate geschrieben:
Fortinet hat in folgendem KB einige Troubleshooting-Befehle dokumentiert: https://kb.fortinet.com/kb/documentLink.do?externalID=FD39292
würde gerne mehr details erhalten, was die Firewall blockiert hat und ob Fortinet einen alternative vorschlägt?
Guten Tag Ed
Im Firewall Profil “dynamic” auf dem Swisscom Router wird der TCP Port 514 als “Remote Shell” gedroppt. Das FortiGate verwendet den TCP Port 514 aber für die OFTP Transfers. (Zu finden unter http://help.fortinet.com/fos50hlp/54/Content/FortiOS/fortigate-ports-and-protocols-54/FortiCloud.htm)
Normalerweise sind die FortiGates als äusserster Knoten in Richtung Internet im Einsatz. An diesen Stellen ist meist keine Firewall aktiv, da das FortiGate genau diese Funktion übernehmen soll.
Grundsätzlich handelt es sich dabei also um kein Fortinet related Thema. Da aber viele unserer Kunden auf die Internetzugänge von Swisscom setzen war es uns doch einen Blog Eintrag Wert, da dies unseren Kunden einiges Troubleshooting ersparen kann.
Freundliche Grüsse
BOLL Engineering AG