FortiGate „Cannot allocate memory“ Fehler beheben

Wir haben in den letzten Monaten einige FortiGates gesehen, welche regelmässig den Fehler

2018-01-01 10:10:10 [__cmdb_bg_fork:670] fork( ) failed: 12(Cannot allocate memory)

auf der seriellen und der SSH Konsole ausgeben. Teilweise erscheint der Fehler immer, teilweise erst nach einem „diag debug enable“. Auf der seriellen Konsole erscheint der Fehler immer, in der SSH Konsole teilweise nicht. Mit dem Fehler einher geht noch das Symptom, dass keine Anpassungen an der Konfiguration mehr übernommen werden. Die Änderungen werden im GUI und CLI angezeigt, werden jedoch nicht angewendet. Eine gelöschte Firewall Policy kann so zum Beispiel weiterhin Traffic zulassen, obwohl die Policy nicht mehr existiert.

Kurzfristig kann das Problem mit einem Reboot behoben werden. Nach einigen Tagen tritt der Fehler jedoch wieder auf. Die Änderungen an der Konfiguration werden nach dem Reboot übernommen, es gehen keine Konfigurationen verloren.

„FortiGate „Cannot allocate memory“ Fehler beheben“ weiterlesen

FortiGate Routing mit Distanz 255

Wir haben von unseren Resellern in letzter Zeit vermehrt Anfragen erhalten, dass die konfigurierten Blackhole Routen scheinbar nicht funktionieren.

Nach einer genaueren Analyse des Problems haben wir festgestellt, dass nur Blackhole Routen mit konfigurierter Distanz 255 betroffen sind. Sobald die Distanz auf 254 gesetzt wurde, erschienen die Routen in der Routing-Tabelle und wurden aktiv. Entsprechend der Konfiguration wurde der betreffende Traffic verworfen.

„FortiGate Routing mit Distanz 255“ weiterlesen

Die Fortigate Cluster ID und allfällige Probleme mit dem ISP

Das proprietäre FortiGate Clustering Protocol (FGCP) ist ein effektives und pragmatisches Clustering-Protokoll. Fortinet verzichtet dabei auf die Verwendung von dedizierten Interface-IPs und einer zusätzlichen Cluster IP pro Interface. Stattdessen wird pro Cluster-Interface mit nur einer IP gearbeitet und dafür aber mit einer eigenen virtuellen MAC-Adresse pro Cluster-Interface. Nur der Cluster-Master darf diese virt. MAC-Adresse nutzen, um produktiven Traffic zu senden (oder zu empfangen). Die phys. MAC-Adressen werden (ausser für spezielle Kommunikation im A/A-Cluster) nicht genutzt.

Folgendes Bild veranschaulicht das Prinzip:

„Die Fortigate Cluster ID und allfällige Probleme mit dem ISP“ weiterlesen

Update: Boll USB RJ45 Serial Konsolen Kabel. Auch als USB-C Variante verfügbar!

Unser Boll Serial Konsolen Kabel gibt es ab sofort auch als USB-C Variante. Administratoren mit modernen USB-C Notebooks benötigen somit keinen Adapter mehr. Einfach direkt einstecken. Den Artikel finden sie in unserem Partner Shop in der Kategorie Boll Accessoires. Oder einfach in der  Suchmaske mit dem Artikelnamen ‚UCON90C‘ eingeben. Für weitere Infos siehe Original Betrag weiter unten

„Update: Boll USB RJ45 Serial Konsolen Kabel. Auch als USB-C Variante verfügbar!“ weiterlesen

FortiOS aktualisieren: Tipps & Tricks

Es gibt bereits unzählige und es werden immer mehr: Versionen des FortiOS. Das FortiOS ist das Betriebssystem der Fortinet Produkte und wird vom Hersteller selbst liebevoll „Firmware“ genannt. Jede neue Version bringt entweder neue Funktionen, behebt erkannte Probleme oder optimiert vorhandene Funktionen. An sich also eine gute Sache, solch ein Update.

Im Falle des FortiOS ist ein Update aber meistens nicht mit einem Klick erledigt. Aufgrund der Komplexität des Vorgangs entscheiden meistens die Vorbereitungen über Erfolg oder Misserfolg eines Updates. Auch wir kennen die Freitag-Abend-Update-Wartungsfenster und das Schlagwort, auf welches alle Administratoren empfindlich reagieren – „Uptime“. Mit diesem Artikel möchten wir einen Beitrag dazu leisten, Ihnen die Firmware Updates zu erleichtern und Ihnen einen Leitfaden zur Seite zu stellen. So machen Freitag-Abend-Update-Wartungsfenster wieder Spass und enden nach Plan.

„FortiOS aktualisieren: Tipps & Tricks“ weiterlesen

UDP Idle-timer für VoIP anpassen

Manche VoIP Provider verlangen auf den Firewalls, die den SIP Traffic routen, eine Anpassung des UDP Idle-timers.

Theoretisch gibt es im UDP (User Datagram Protocol) keine Sessions, da es sich um ein verbindungsloses Protokoll handelt. Der Absender eines UDP Pakets versendet dieses, ohne eine Rückmeldung über dessen Verbleib zu erhalten. Der Empfänger des Pakets wird dem Absender – im Gegensatz zu TCP – keine Empfangsbestätigung zukommen lassen.

„UDP Idle-timer für VoIP anpassen“ weiterlesen

„Finger weg von HTTPS?“ – Ist SSL Interception fahrlässig?

Kürzlich wurden wir von einem Reseller zu unserer Meinung zu folgendem Heise-Artikel gefragt: Sicherheitsforscher an AV-Hersteller: „Finger weg von HTTPS“.

Der Artikel klingt zugegebenermassen wirklich nicht gerade vertrauenserweckend. Die Fortigates sind im Artikel namentlich nicht benannt. Und eine Konfigurationsmöglichkeit haben wir auf der Fortigate hierfür auch nicht gefunden. So stellt sich natürlich die Frage, wie die Fortigate sich bei der SSL Interception genau verhält. Ist es „fahrlässig“ die SSL Interception („deep inspection“) der Fortigate zu aktivieren? Führt diese Konfiguration zu „dramatischen Sicherheitsproblemen“?

Uns blieb nichts anderes übrig, als den guten alten Packetsniffer hervor zu kramen, eine Fortigate mit dem SSL-Profile „Deep Inspection“ zu versehen und dann die SSL Negotiation sowohl beim Client als auch auf dem WAN-Interface der Fortigate (also da, wo die Fortigate die eigene SSL Verbindung aufbaut) mitzusniffen.

„„Finger weg von HTTPS?“ – Ist SSL Interception fahrlässig?“ weiterlesen

Mehrsprachige Nutzungsbedingungen für das FortiGate Captive-Portal realisieren

Administratoren von Landes- und Sprachgrenzen überschreitenden Infrastrukturen kennen das Problem, dass die Sprachen von Webseiten je nach Standort und Sprache des Benutzers dessen Präferenzen angepasst werden müssen.

Je nach System gestaltet sich dies sehr einfach. Beispielsweise könnte auf einem Webserver mit PHP Integration die Sprache des Systems ausgelesen und die Sprache der Seite auf die jeweilige Sprache angepasst werden. In sicherheitsrelevanten Umgebungen wie der FortiGate oder anderen Firewalls gestaltet sich diese Herausforderung ein bisschen schwierig. Aufgrund der fehlenden serverseitigen Scriptsprachen Integration kann keine solche Lösung integriert werden.

„Mehrsprachige Nutzungsbedingungen für das FortiGate Captive-Portal realisieren“ weiterlesen

Hypervisor von Fortinet: FortiHypervisor-90E

Mit dem FortiHypervisor-90E erweitert Fortinet ihre Hypervisor Produkte-Linie, heute bestehend aus FHV-500D und FHV-2500E, um ein kostengünstiges Einstiegsmodell.

Frontanschlüsse, LED’s, Logdisk, CPU, ASIC’s, Memory

Auf der Vorderseite stehen zwei USB 3.0 Anschlüsse für Backup und Log-Transfer, sowie ein serieller Konsolen Anschluss zur Verfügung. Neben den 16 Ethernet-Status LEDs, gibt es weitere für Power, Appliance Status (STA)/Alarm und Harddisk Zugriff. Der atypische Form-Faktor ist dem einfachen Austausch der Harddisk, welche im unteren Teil des Gehäuses verbaut wurde, geschuldet. Der Harddisk Schacht ist frontseitig mit einer Blende abgedeckt. Diese kann durch lösen von 2 Schrauben auf der Gehäuseunterseite entfernt werden.

Bild 1: Frontseite – FHV-90E

„Hypervisor von Fortinet: FortiHypervisor-90E“ weiterlesen