Configuring SSLVPN with FortiGate and FortiClient is pretty easy. Nevertheless problems may occur while establishing or using the SSLVPN connection.
„Troubleshooting FortiGate SSLVPN problems“ weiterlesenTroubleshooting FortiGate SSLVPN problems
FortiClient VPN: Download Mirror
Da die Server von www.forticlient.com gut ausgelastet sind, können unsere Reseller den FortiClient VPN temporär von unserem Mirror beziehen.
FortiClient VPN 6.2 (VPN Client only)
- http://mirror.boll.ch/FortiClientVPNSetup_6.2.6.0951_x64.exe
- http://mirror.boll.ch/FortiClientVPNSetup_6.2.6.0951_x64.exe.md5
- http://mirror.boll.ch/FortiClientVPNSetup_6.2.6.737_macosx.dmg
- http://mirror.boll.ch/FortiClientVPNSetup_6.2.6.737_macosx.dmg.md5
FortiClient 6.0 (Fabric Agent with Endpoint Protection)
- http://mirror.boll.ch/FortiClientSetup_6.0.9.0277_x64.exe
- http://mirror.boll.ch/FortiClientSetup_6.0.9.0277_x64.exe.md5
- http://mirror.boll.ch/FortiClient_6.0.9.162_macosx.dmg
- http://mirror.boll.ch/FortiClient_6.0.9.162_macosx.dmg.md5
Bitte pro Reseller nur einmal herunterladen und anschliessend intern verteilen.
Fortinet hat übrigens aufgrund der grossen Supportanfrage zum Thema eine eigene Seite für Home-Office/Remote-Office Thematiken erstellt. Darauf sind viele Anleitungen und Videos zum Thema zu finden. Der Artikel ist hier zu finden.
1,327 total views, 1 views today
FortiGate: Admin GUI mit Chrome Browser on Mac nicht erreichbar
Mit iOS 13 und macOS 10.15 (Catalina) hat Apple die Schraube bei den TLS Zertifikaten angezogen: https://support.apple.com/en-us/HT210176
Dies führt dazu, dass bei frisch aufgesetzten FortiGates das Admin GUI per Chrome Browser nicht mehr erreichbar ist. Als Fehlermeldung wird NET::ERR_CERT_REVOKED angezeigt.
Verantwortlich ist folgende Richtlinie: TLS server certificates [issued after July 1, 2019] must have a validity period of 825 days or fewer.
Um das Problem permanent zu lösen, braucht es ein SSL Zertifikat, welches den neuen Apple Richtlinien entspricht (Gültigkeit <= 825 Tage). Das Zertifikat fürs Admin GUI wird unter System > Settings konfiguriert.
Als Workaround kann man in Chrome auf der Fehlerseite den Text thisisunsafe eintippen. Anschliessend erfolgt die Weiterleitung auf die gewünschte Seite.
FortiClient VPN 6.2
Mit dem Release von FortiClient 6.2 wurde der bisherige Full Featured FortiClient lizenzpflichtig und setzt einen FortiClient EMS Server voraus. Im Gegenzug hat Fortinet einen separaten VPN-only Client veröffentlicht. Fortinet beschreibt den FortiClient VPN folgendermassen:
For FortiGate administrators, a free version of FortiClient VPN is available which supports basic IPsec and SSL VPN and does not require registration with EMS. This version does not include central management, technical support, or some advanced features.
Basic IPsec and SSL VPN bedeutet in diesem Zusammenhang, dass folgende Features nicht enthalten sind:
- IKEv2 support
- VPN auto-connect/always-up
- on-net/off-net
- host check features
- Central management
Ebenfalls gibt es für die Version 6.2 kein FortiClient Configuration Tool . Um benutzerdefinierte Installationspakete zu erstellen, wird zwingend ein FortiClient EMS Server benötigt.
Der FortiClient VPN ist unter https://www.forticlient.com/downloads erhältlich. Weitere Informationen dazu gibt es im KB Limitation and features on Forticlient.
FortiGate: 802.1x Authentication mit Windows NPS
Die Verbindung zum Windows NPS Server steht und die 802.1x-Authentication ist auf dem Hardware-Switch aktiviert. Obwohl scheinbar alles richtig konfiguriert ist, schlägt die 802.1x Authentication fehl.
What’s new with FortiOS 6.2: FortiGuard Requests
FortiOS v6.2 has been released in March this year and we are still gaining experience with this version. In this article we would like to draw you attention to the protocol which is used for FortiGuard service communication. Up to v6.0 udp has been used, with 6.2 the default protocol has changed to https.
New PSIRT-Advisory from Fortinet
Last week Fortinet has released a critical PSIRT-Advisory „Improper check for certificate revocation vulnerability“
Unfortunately the article does not give exact information regarding the background or the solution and we couldn’t find further information about the issue, either. Maybe you have more information?
„New PSIRT-Advisory from Fortinet“ weiterlesenMigrate Fortigate Configurations with FortiConverter
Fortinet has published a very nice and helpful tool for converting firewall configs from other vendors into a Fortigate configuration file. Also an old Fortigate config file can be used as the source file.
So if you are going to replace an old Fortigate model with a new one and you want use the old config file (instead of configuring the new Fortigate from the scratch) you can use the FortiConverter as an alternative to the procedure we have described in one of our former blog post „How to transfer a FortiGate configuration file to a new FortiGate unit of a different model“.
„Migrate Fortigate Configurations with FortiConverter“ weiterlesenFortiGate SSLVPN Update-Empfehlung
Auf dem FortiGate wurden einige Schwachstellen im SSLVPN Portal bekannt. Diese reichen von Weiterleitungen durch Cross-Site-Scripts (XSS) bis hin zum Download Systemdateien und das Zurücksetzen von Benutzerkennwörtern.
FortiGate SSL VPN web portal login redir XSS vulnerability (FG-IR-17-242, CVE-2017-14186)
Unauthenticated SSL VPN users password modification (FG-IR-18-389, CVE-2018-13382)
FortiOS system file leak through SSL VPN via specially crafted HTTP resource requests (FG-IR-18-384, CVE-2018-13379)
FGT: CA Zertifikat für Webfilter Block Pages
Problem
Wird eine Block Meldung der FortiGate zum Beispiel wegen dem Webfilter angezeigt und die aufgerufene Seite ist eine Seite mit HTTPS, wird auch die Block Seite in HTTPS angezeigt. Damit die Block Seite für HTTPS angezeigt werden kann, braucht es ein Zertifikat. Standardmässig nimmt die FortiGate das eigene CA Zertifikat und stellt damit ein neues für die aufgerufene Seite aus. Daher zeigt jeder Browser eine Zertifikats-Fehlermeldung an, da er diesem CA Zertifikat der FortiGate nicht vertraut.
