Tag Archive for 'fortinet'

Page 2 of 2

Neue FortiGate Desktop Modelle: FortiGate 92D

Die FortiGate-92D ist eine kompakte, auf UTM/Next Generation Funktionen optimierte 16 Port Firewall mit einem hervorragenden Preis/Performanz Verhältnis. Zusammen mit der FG-80D steht somit ein weiteres Nachfolgemodell der häufig eingesetzten FG-80C zur Verfügung. Die ältere FG-80C Serie ist jedoch nach wie vor noch nicht End-of-Sales. Neben vielen KMU Kunden setzen auch Enterprise Kunden die Desktop Modelle gerne für kleinere Niederlassungen und Heimarbeitsplätze ein. Werfen wir einen näheren Blick auf das „grösste“ Desktop-Modell der FortiGate Entry-Level Serie:

FortiGate-92D:

Die FortiGate-92D gibt es sowohl als normale Firewall, als auch als WiFi Variante. Für POE gibt es die FG-94D-POE mit 200W PoE-Budget mit 24 Ports als 19’-Variante. Für die FG-92D gibt es für eine 19’-Montage das passende Rackmount Kit RM-FR-T7.

Continue reading ‚Neue FortiGate Desktop Modelle: FortiGate 92D‘

FortiGate Service ALL nach Firmware Upgrade verändert

Update: Fortinet hat das Problem erkannt und in einem Customer Support Bulletin beschrieben.

In FortiOS v5.0.8 and v5.0.9 and v5.2.0 through v5.2.2, the default value of the firewall service protocol number was changed from a value of 0 to 6.

The most commonly observed impact of this change is that after upgrading to the affected firmware, the “ALL” service matches only TCP traffic.

Executing a factory-reset on the FortiGate device does NOT change the default value to 6.

Affected Products:

All FortiGate models.

Resolution:

FortiOS v5.0.10 and v5.2.3 has fixed the issue.  Upon upgrading the FortiGate device, the firewall service protocol number is restored to 0.

Workaround:

Those wishing not to upgrade the firmware can modify the affected firewall services to explicitly set the protocol-number to 0.  For example:

config firewall service custom

edit „ALL“

set protocol-number 0

next

Das Bulletin ist hier zu finden: https://support.fortinet.com/Information/Bulletin.aspx (Login benötigt)

—————————————————————————————————————————-

Ursprünglicher Artikel:

Wir haben vermehrt festgestellt, dass nach nicht supporteten FortiOS Upgrades auf 5.2.2 der Service ALL nicht mehr ANY als Service beinhaltet, sondern nur noch IP/6, was dem TCP Protokoll entspricht. Damit gehen zum Beispiel ICMP oder auch UDP Pakete nicht mehr durch diese Firewall Policy, welche vor dem Upgrade alles durchgelassen hat.

ALL_Service

Bestätigen können wir dieses Problem aktuell für folgende Upgrades, welche von Fortinet aber nicht supported sind.

5.0.5 –> 5.2.2
5.0.6 –> 5.2.2
5.0.7 –> 5.2.2

Zusätzlich haben wir das Problem bei folgenden „supporteten“ Upgardes gesehen:

5.0.10 –> 5.2.2
5.0.11 –> 5.2.2

Als Lösung kann man im ALL Service die Protocol Number wieder auf 0 setzen.

ALL_Service_korrigiert

Offiziell supported ist der Upgrade ab 5.0.8 direkt auf 5.2.2. Bei den Upgrades von 5.0.8 und 5.0.9 haben wir das Problem bis jetzt nicht gesehen.

Trotz dieser Situation empfehlen wir im Normalfall, immer den supporteten Upgrade Pfad, wie in den Release Notes angegeben ist, zu befolgen. Für den Upgrade gibt es nebst den Release Notes auf ein eigenes Dokument für den unterstützten Upgrade.

Supported Upgrade Path für 5.2.2:
http://docs.fortinet.com/d/upgrade-paths-to-fortios-5.2.0

Für Neugeräte empfehlen wir, direkt den gewünschten Release per TFTP raufzuladen. Weiter ist auch möglich, per WebGUI direkt auf den gewünschten Release upzudaten ohne den Supported Upgrade Path zu beachten, dann aber die FortiGate per CLI  auf die Standardeinstellungen zurückzusetzen: exec factoryreset.

Fortigate Modelle mit NP4lite – Packetsniffer sieht nicht mehr alle Pakete!

Auf einigen der neuen Fortigate Modellen ist ein NP4lite enthalten. Dieser Prozessor sorgt insbesondere für eine schnellere Verarbeitung des Firewall- und VPN-Traffics.

Allerdings weisst dieser NP-Prozessor, wie auch die bereits existierenden NPs, einen kleinen Nachteil beim Troubleshooting auf. Da Pakete, die auf dem NP offloaded werden, nicht mehr zur CPU gesendet werden, sieht der Packetsniffer Befehl der Fortigate diese Pakete ebenfalls nicht mehr. D.h. wenn man  per Packetsniffer ein Ping mitsnifft, sieht man nur noch die ersten beiden Echo-Requests und -Replies, danach wird die ICMP Session offloaded und man sieht im Packetsniffer nichts mehr. Continue reading ‚Fortigate Modelle mit NP4lite – Packetsniffer sieht nicht mehr alle Pakete!‘

aktuelle SSLVPN Client für MacOS dropped „grosse“ Pakte

Ab der Version FortiOS v4.3.2 verwendet der SSLVPN Client (zumindest in der MacOS Version) TLSv1.2 und nicht mehr TLSv1. In diesem Zusammenhang scheint es auch eine andere „Änderung“ zu geben. Pakete, welche grösser sind als 996 Bytes, werden vom SSLVPN Client im Tunnel Mode nicht mehr aktzeptiert.

Dieses Situation tritt aber nur sehr selten auf. Für diesen Fall gibt es weiterhin einen einfachen Workaround, in dem die MTU size auf dem ssl.root Interface herunter gesetzt wird:

FG # conf sys int 
FG (interface) # edit ssl.root 
FG (ssl.root) # set mtu-override en 
FG (ssl.root) # set mtu 900 
FG (ssl.root) # end
FG (interface) # end
FG #

Vielen Dank an den Fortinet Support, der das Problem nachgestellt und uns den Workaround zur Verfügung gestellt hat.

Fortinet Visio Schablonen

Fortinet hat die Visio Schablone für die Erstellung von Netzwerkplänen und Präsentation überarbeitet und mit den neusten Modellen ergänzt.

Sie können die Schablone im Partner Account von Fortinet (Login nötig) oder bei uns auf unserem doc Server herunterladen:

https://partners.fortinet.com/FortiPartnerPortal/CMS/Download.do?oid=5492