The BOLL Tech Team has updated the FortiOS CheatSheet to v5.6:
Happy troubleshooting!
Tag Archive for 'FortiOS'
Es gibt bereits unzählige und es werden immer mehr: Versionen des FortiOS. Das FortiOS ist das Betriebssystem der Fortinet Produkte und wird vom Hersteller selbst liebevoll „Firmware“ genannt. Jede neue Version bringt entweder neue Funktionen, behebt erkannte Probleme oder optimiert vorhandene Funktionen. An sich also eine gute Sache, solch ein Update.
Im Falle des FortiOS ist ein Update aber meistens nicht mit einem Klick erledigt. Aufgrund der Komplexität des Vorgangs entscheiden meistens die Vorbereitungen über Erfolg oder Misserfolg eines Updates. Auch wir kennen die Freitag-Abend-Update-Wartungsfenster und das Schlagwort, auf welches alle Administratoren empfindlich reagieren – „Uptime“. Mit diesem Artikel möchten wir einen Beitrag dazu leisten, Ihnen die Firmware Updates zu erleichtern und Ihnen einen Leitfaden zur Seite zu stellen. So machen Freitag-Abend-Update-Wartungsfenster wieder Spass und enden nach Plan.
Firmware Test Update:
An dieser Stelle listen wir uns bekannte FortiOS/FortiExtender Testresultate auf. Haben sie andere Kombinationen getestet? Bitte melden sie uns diese unter Kommentare. Danke.
FortiOS: 5.4.4 FortiExtender: 3.0.1: FUNKTIONIERT
FortiOS: 5.6.2 FortiExtender: 3.1.2: FUNKTIONIERT
FortiOS: 5.6.3 FortiExtender: Noch kein kompatibler Extender Release verfügbar (Stand 2.02.2018). Benötigt FEX 3.2.1 oder grösser laut Release Notes durch ein OpenSSL Issue
Original Post:
WAN Verbindungen mittels 3G/4G werden immer populärer. Sei es als Backup oder aber auch als primäre Internet Leitung für Niederlassungen, die keine oder schlechte kabelgebundene Internet Verbindungen haben. FortiGate Firewalls unterstützen schon seit Jahren USB 3G/4G Modems, welche direkt an eine FortiGate oder einen FortiExtender angeschlossen werden können. Dafür unterstützt FortiOS auch eine stattliche Anzahl Modems mittels entsprechenden Treiber. Da viele Provider aber häufig angepasste 3G/4G Modems mit entsprechend eigener Firmware ausliefern, kann es durchaus vorkommen, dass es zu Inkompatibilitäten führt. Zwar konnte dies teilweise umgangen werden indem vom Modem Hersteller eine entsprechende nicht angepasste Firmware auf das Modem installiert wurde, doch dies ist häufig ein mühsames, respektive zeitraubendes Unterfangen. Mit der Veröffentlichung der neuen 3G/4G FortiGate/FortiWifi oder FortiExtender Modelle gibt es nun einen einfacheren Weg. Diese Modelle haben ein direkt integriertes Modem. Es benötigt also nur noch eine SIM Karte, was das ganze stark vereinfacht. Dies hat uns motiviert den FortiExtender 40D mit aktuellen Schweizer 3G/4G Mobile Abos zu testen. Die FortiExtender haben den entscheidenden Vorteil dass sie dort positioniert werden können wo der 3G/4G Empfang ideal ist. Ähnlich wie die FortiAP’s (Wifi Access Points) werden die FortiExtender per Ethernet Kabel mit der FortiGate verbunden und können über PoE mit Strom versorgt werden. Im Gegensatz zu 3G/4G Router von Dritthersteller ist die WAN IP bei diesem Setup direkt auf der Fortigate Firewall auf einem virtuellen Interface was diverse Vorteile mit sich bringt.
FortiGate mit FEX 40D-INTL
Unsere aktuellsten Tests haben wir mit folgenden Releases durchgeführt:
FortiOS: 5.4.4
FortiExtender: 3.0.1 (build0084)
Spätere Releases wie 3.0.2 oder 3.1 haben wir mit den unten aufgeführten Mobile Abos nicht zum laufen gebracht. Entsprechende Support Cases sind bei Fortinet eröffnet worden.
Folgende SIM Karten, respektive Schweizer Mobile Abos haben wir getestet. Wir wollten dafür möglichst unlimitierte Abos testen um ein realistisches Szenario im Geschäftsumfeld zu testen.
Wir kriegen öfters Supportfälle, bei welchen FortiGate Administratoren nur die Default UTM Profile in Firewall Policies auswählen können.
Some FortiGate admins report problems with missing UTM profiles in firewall policies. They can only see and choose default profiles.
Continue reading ‚FortiGate: Nur Default UTM Profile sichtbar / Only default UTM profiles visible‘
Several customers reported problems while upgrading to FortiOS 5.4.1. FortGate 60D models did not boot up correctly after the upgrade. Fortinet is aware of the issue and mentioned it in the release notes:
The following 60D models have an issue upon upgrading to FortiOS 5.4.1. The second disk (flash) is unformatted and results in the /var/log/ directory being mounted to an incorrect partition used exclusively for storing the firmware image and booting.
- l FG-60D-POE
- l FG-60D
- l FWF-60D-POE
- l FWF-60D
To fix the problem, follow these steps. If you have not upgraded yet, you only need to perform step 6, otherwise start with step 1.
- Backup your configuration.
- Connect to the console port of the FortiGate device.
- Reboot the system and enter the BIOS menu.
- Format the boot device.
- Burn the firmware image to the primary boot device.
- Once the system finishes rebooting, from the CLI run „execute disk format 16“. This will format the second flash disk.
- Restore your configuration.
Link to release notes:
http://docs.fortinet.com/d/fortios-5.4.1-release-notes
Update: Fortinet hat das Problem erkannt und in einem Customer Support Bulletin beschrieben.
In FortiOS v5.0.8 and v5.0.9 and v5.2.0 through v5.2.2, the default value of the firewall service protocol number was changed from a value of 0 to 6.
The most commonly observed impact of this change is that after upgrading to the affected firmware, the “ALL” service matches only TCP traffic.
Executing a factory-reset on the FortiGate device does NOT change the default value to 6.
Affected Products:
All FortiGate models.
Resolution:
FortiOS v5.0.10 and v5.2.3 has fixed the issue. Upon upgrading the FortiGate device, the firewall service protocol number is restored to 0.
Workaround:
Those wishing not to upgrade the firmware can modify the affected firewall services to explicitly set the protocol-number to 0. For example:
config firewall service custom
edit „ALL“
set protocol-number 0
next
Das Bulletin ist hier zu finden: https://support.fortinet.com/Information/Bulletin.aspx (Login benötigt)
—————————————————————————————————————————-
Ursprünglicher Artikel:
Wir haben vermehrt festgestellt, dass nach nicht supporteten FortiOS Upgrades auf 5.2.2 der Service ALL nicht mehr ANY als Service beinhaltet, sondern nur noch IP/6, was dem TCP Protokoll entspricht. Damit gehen zum Beispiel ICMP oder auch UDP Pakete nicht mehr durch diese Firewall Policy, welche vor dem Upgrade alles durchgelassen hat.
Bestätigen können wir dieses Problem aktuell für folgende Upgrades, welche von Fortinet aber nicht supported sind.
5.0.5 –> 5.2.2
5.0.6 –> 5.2.2
5.0.7 –> 5.2.2
Zusätzlich haben wir das Problem bei folgenden „supporteten“ Upgardes gesehen:
5.0.10 –> 5.2.2
5.0.11 –> 5.2.2
Als Lösung kann man im ALL Service die Protocol Number wieder auf 0 setzen.
Offiziell supported ist der Upgrade ab 5.0.8 direkt auf 5.2.2. Bei den Upgrades von 5.0.8 und 5.0.9 haben wir das Problem bis jetzt nicht gesehen.
Trotz dieser Situation empfehlen wir im Normalfall, immer den supporteten Upgrade Pfad, wie in den Release Notes angegeben ist, zu befolgen. Für den Upgrade gibt es nebst den Release Notes auf ein eigenes Dokument für den unterstützten Upgrade.
Supported Upgrade Path für 5.2.2:
http://docs.fortinet.com/d/upgrade-paths-to-fortios-5.2.0
Für Neugeräte empfehlen wir, direkt den gewünschten Release per TFTP raufzuladen. Weiter ist auch möglich, per WebGUI direkt auf den gewünschten Release upzudaten ohne den Supported Upgrade Path zu beachten, dann aber die FortiGate per CLI auf die Standardeinstellungen zurückzusetzen: exec factoryreset.
Auf einigen der neuen Fortigate Modellen ist ein NP4lite enthalten. Dieser Prozessor sorgt insbesondere für eine schnellere Verarbeitung des Firewall- und VPN-Traffics.
Allerdings weisst dieser NP-Prozessor, wie auch die bereits existierenden NPs, einen kleinen Nachteil beim Troubleshooting auf. Da Pakete, die auf dem NP offloaded werden, nicht mehr zur CPU gesendet werden, sieht der Packetsniffer Befehl der Fortigate diese Pakete ebenfalls nicht mehr. D.h. wenn man per Packetsniffer ein Ping mitsnifft, sieht man nur noch die ersten beiden Echo-Requests und -Replies, danach wird die ICMP Session offloaded und man sieht im Packetsniffer nichts mehr. Continue reading ‚Fortigate Modelle mit NP4lite – Packetsniffer sieht nicht mehr alle Pakete!‘
Seit FortiOS 5.x hat Fortinet einen äusserst praktischen ‚DynamicDNS‚ Service direkt in FortiOS integriert. Mit diesem kann einem beliebigen Interface mit dynamischer IP Adresse (DHCP, PPOE) einen DNS Namen zugewiesen werden über welchen dann die aktuell zugewiesene IP Adresse aufgelöst wird. Das war bereits mit früheren FortiOS Versionen möglich, aber dafür musste immer einen externen Dienst in Anspruch genommen werden. Dieser musste denn auch bezahlt werden wenn er auch verlässlich funktionieren sollte über längere Zeit. Mit dem neuen 5er Release hat Fortinet nun einen eigenen FortiGuard Service dafür geschaffen und vereinfachte dadurch das Management stark. Um den Service benutzen zu können müssen keine Zusatzservices oder Lizenzen gekauft werden. Die Konfiguration könnte einfacher nicht sein:
- Unter System -> Network -> DNS den FortiGuard DDNS Service aktivieren
- Gewünschtes Interface wählen
- Einer der 3 Domänen selektieren
- Hostname eingeben und auf ‚Apply‘ drücken
Nach der Eingabe des Hostnamen wird gleich angezeigt ob dieser noch frei ist. So lassen sich schnell die Namen ausprobieren ohne das jedes mal auf ‚Apply‘ geklickt werden.
Deregistration
Muss ein bereits registrierter Name bei einem Hardware Austausch auf eine andere FortiGate migriert werden so kann dies über zwei Wege gemacht werden.
- Auf dem alten System Unter System -> Network -> DNS den FortiGuard DDNS Service deaktivieren und auf ‚apply‘ drücken. Damit wird der Name wieder frei gegeben und kann auf einem anderen Gerät wieder registriert werden
- Falls das Gerät nicht mehr zur Verfügung steht, beispielsweise durch einen Hardware Defekt so kann ein Support Ticket eröffnet werden. Der Support de-registriert dann den Namen. Dafür muss mindestens die Seriennummer des nicht mehr zur Verfügung stehenden Gerätes angegeben werden. Der DNS Name alleine reicht nicht