FortiOS v5.0 – Bug Liste

Hallo Forti Techies,

seit letztem Freitag ist die FortiOS v5.0 auf dem FTP Server zum Download erhältlich. In den Release Notes und dem What’s New-Dokument sind eine Unmenge an neuen Features gelistet. Schwerpunkte bilden das BYOD, Wireless, User Authentication aber auch viele andere Themen.

Kurz gesagt – es sind eine Fülle an neuen Features rausgekommen und ich persönlich freue mich schon darauf, diese alle zu entdecken ;-).

Wir wollen mit diesem Blogeintrag aber nicht noch einmal die Liste der neuen Features aufzählen, sondern informell über kleinere Bugs informieren, über welche wir oder Kunden von uns gestolpert sind.

Bitte nicht missverstehen: wir wollen mit dieser Liste – welche hoffentlich recht kurz bleibt – nicht herausstreichen, dass die neue Version eine Menge Bugs hätte. Es ist aus meiner Sicht ganz natürlich, dass eine Software, die so komplex und umfassend ist, nicht ohne Fehler sein kann. Je komplexer und funktionsreicher eine Software ist, umso höher ist die Wahrscheinlichkeit, dass sich ein Bug einschleicht und umso schwieriger ist es, wirklich alle Situationen durchzutesten. Alle die selber programmieren, können das wahrscheinlich bestätigen.

Vielmehr möchten wir, dass Ihr wertvolle Zeit spart und Eure Nerven schonen könnt. Wir selber sitzen oft stundenlang an einem Kundenproblem, reproduzieren es im Lab, dokumentieren es und eröffnen dann ein Supportticket bei Fortinet. Nur um fünf Minuten später von denen zu erfahren, dass es ein bekannter Bug sei…

Lasst und also starten – wir werden versuchen, die Liste regelmässig zu updaten.
(Gebt uns bitte bescheid, wenn Ihr weitere Bugs kennt.)

Bug-Liste:

• Webseite mit den Adressobjekten kann im WebGUI nicht mehr angezeigt, sobald ein “Wildcard”-Adressobjekt (z.B. “192.168.0.1/255.255.0.255, Type: wildcard) erstellt wurde. (FNT#760381)
  Workaround: Adressobjekte im CLI weiter konfigurieren, oder Wildcard-Objekt wieder löschen.
• Es ist über das WebUI nicht möglich, in einer User-Identity-based Firewall Policy eine Usergruppe vom Typ “Guest” auszuwählen. Dieses ist aber notwendig, um Guest Management über die Fortigate zu betreiben.
  Workaround: Unter bestimmten Umständen erscheint im Drop-down-Menu der Usergruppe ein “+ Create” auf. Erstellt man hierüber eine neue Usergruppe vom Typ “Guest”, so wird diese direkt in die Rule übernommen. Und für alle die keine Angst vorm CLI haben: hier kann man die Guest-Gruppe natürlich auch konfigurieren. (Vielen Dank für diese Info an Robert, Österreich.)
• In den Logs (z.B. beim Forward Log) funktioniert das Filtern nach Devices nur, wenn die MAC Adresse als Filterkriterium angegeben wird. Aliasnamen nutzen nicht als Filterkriterium, selbst wenn dieser in dem Log angezeigt wird (Danke an Robert, Österreich)
• Beim Ausdrucken eines Guest Vouchers im Guest Management Portal kommt bei einem Admin mit der Option “Restrict to Provision Guest Accounts” die Fehlermeldung “Permission denied. Insufficient privileges.”. Loggt sich ein Admin mit mehr Berechtigungen auf dem WebGUI ein und geht dann in das Guest Management, kann er den Voucher ausdrucken. Bug #188405.

Weitere “unschöne” Dinge:

• Per Default wird nur noch ein UTM-Profile und nur noch ein SSLVPN-Portal angezeigt. Und das obwohl man mehrere Profile konfiguriert hat. Der Trick ist hier im WebUI unter “System -> Admin -> Settings” die Checkbox “Multiple UTM Profiles” zu aktivieren. (Danke an Oliver)
• Einige Features sind bei kleinen Fortigates wie z.B. bei der FG40C nur noch im CLI zu konfigurieren, was z.B. bei der FG110C alles im WebGUI zu finden ist:
  • Relaying kann auf dem Interface unter config system interface konfiguriert werden:
    set dhcp-relay service enable
    set dhcp-realy ip
    set dhcp-relay type
  • LDAP richtet man unter config user ldap ein