Настройка FortiGate NGFW: политики, VPN и SSL-инспекция без компромиссов

Настройка Fortinet FortiGate для файрвола и VPN

Представьте: вы настроили политики, VPN работает, но пользователи жалуются на тормоза. Причина — включённая SSL-инспекция без исключений для стриминговых сервисов. Наши инженеры разворачивали такие конфигурации для десятков компаний — от 50 до 5000 сотрудников — и знают, где споткнётся новичок. Опыт показывает: 80% проблем решаются правильным распределением трафика между аппаратным ускорением NP-чипов и CPU. В одной из миграций мы заменили старые политики на профильные, и нагрузка на CPU упала с 70% до 15% — просто за счёт выноса проверок на NP6-процессор.

Почему стандартные политики не работают? Безопасность без профилей — это просто открытый порт

В FortiOS политика файрвола без привязки Security Profile — это permit any any по факту, даже если вы указали IP и порт. Profile добавляет IPS, Application Control, Web Filter и Antivirus. Без них 70% вредоносного трафика проходит незамеченным. Пример политики с профилями через FortiCLI:

config firewall policy edit 100 set name "LAN-to-Internet" set srcintf "LAN" set dstintf "WAN1" set srcaddr "LAN_SUBNET" set dstaddr "all" set action accept set schedule "always" set service "ALL" set utm-status enable set ssl-ssh-profile "certificate-inspection" set ips-sensor "default" set application-list "default" set webfilter-profile "default" set logtraffic all set nat enable next end 

logtraffic all — логируем все сессии. В production это может генерировать до 50 ГБ логов в день на 500 пользователей, поэтому после отладки переключаем на logtraffic utm.

Как настроить SSL Deep Inspection без блокировки легитимного трафика?

SSL Deep Inspection превращает FortiGate в MiTM: устройство расшифровывает HTTPS, инспектирует и зашифровывает обратно. Клиенты должны доверять CA-сертификату FortiGate. Без этого — ошибки сертификата в каждом браузере.

config vpn certificate local
    edit "fortigate-ca"
        set comments "FortiGate SSL Inspection CA"
    next
end
config firewall ssl-ssh-profile
    edit "deep-inspection"
        set comment "Full SSL/SSH inspection"
        config https
            set ports 443
            set status deep-inspection
        end
        set caname "fortigate-ca"
        set untrusted-caname "fortigate-ca"
    next
end

Распространяем CA через GPO (Windows) или MDM. Исключения для banking-сайтов и pinned-ресурсов обязательны:

config firewall ssl-ssh-profile
  edit "deep-inspection"
    config ssl-exempt
      edit 1
        set type wildcard-fqdn
        set wildcard-fqdn "*.google.com"
      next
      edit 2
        set type wildcard-fqdn
        set wildcard-fqdn "*.apple.com"
      next
    end
  next
end

Настройка IPsec VPN: от dial-up до site-to-site

FortiGate выступает концентратором для удалённых пользователей. Используем IKEv2 с aes256-sha256 и DH group 14. Аутентификация через AD — снижает количество тикетов в поддержку на 40%. IKEv2 быстрее IKEv1 в 2 раза при переустановке туннеля после обрыва — проверено на 20+ проектах.

config vpn ipsec phase1-interface
    edit "client-vpn"
        set type dynamic
        set interface "WAN1"
        set ike-version 2
        set peertype any
        set net-device enable
        set proposal aes256-sha256
        set dhgrp 14
        set psksecret "<PSK>"
        set ipv4-start-ip 10.10.20.1
        set ipv4-end-ip 10.10.20.100
        set ipv4-netmask 255.255.255.0
        set split-include-service "INTERNAL_NETWORKS"
    next
end
config vpn ipsec phase2-interface
    edit "client-vpn-p2"
        set phase1name "client-vpn"
        set proposal aes256-sha256
        set dhgrp 14
        set keylifeseconds 3600
    next
end

Для AD-аутентификации настраиваем LDAP и группу пользователей:

config user ldap
    edit "corp-ad"
        set server "192.168.1.10"
        set cnid "sAMAccountName"
        set dn "dc=corp,dc=company,dc=com"
        set type regular
        set username "cn=fortigate-bind,..."
        set password "<bind_password>"
    next
end
config user group
    edit "VPN-Users"
        set member "corp-ad"
        config match
            edit 1
                set server-name "corp-ad"
                set group-name "CN=VPN-Access,..."
            next
        end
    next
end

Как автоматизировать управление политиками FortiGate?

Для инфраструктуры с десятками устройств ручное конфигурирование неэффективно. Мы используем Ansible collection fortinet.fortios или Terraform provider fortios. Конфигурация хранится в Git, проходит код-ревью и развёртывается через FortiManager. На одном проекте мы автоматизировали развёртывание политик для 12 FortiGate — время на обновление сократилось с 4 часов до 15 минут.

High Availability: Active-Passive кластер

Для критичных сетей обязательно настраиваем HA. Два FortiGate работают в режиме Active-Passive с синхронизацией сессий и конфигурации. При сбое активного устройства пассивный берёт управление за <1 секунды. Пример настройки через CLI:

config system ha
    set mode a-p
    set group-id 1
    set priority 200
    set override enable
    set monitor "port1" "port2"
end

Используем выделенный heartbeat-линк между устройствами. В продакшене тестировали на нагрузке 10 Гбит/c — разрыв сессии не превышал 3 пакетов.

Что входит в настройку FortiGate? Деливерабли

Типичные ошибки при настройке FortiGate

• Отсутствие исключений SSL: без исключений для banking и pinned-ресурсов пользователи не смогут зайти на сайты с Certificate Pinning.
• Порядок политик: в FortiOS первое совпадение определяет действие. Разместите более специфичные правила выше общих.
• Игнорирование NP-чипов: если не перенаправить трафик на аппаратное ускорение, CPU перегружается даже при 100 Мбит/c.

Сроки и опыт

Мы настраивали FortiGate для 50+ проектов — от маленьких офисов до распределённых сетей на 10 000 хостов. Полный цикл от аудита до сдачи в эксплуатацию — под ключ. Сроки зависят от объёма:

5+ лет опыта с FortiGate — мы видели все типовые ошибки: забытые исключения SSL, неправильный порядок политик, перегруженные CPU без использования NP-чипов. Получите консультацию — мы оценим вашу конфигурацию. Закажите аудит FortiGate — обнаружим слабые места и предложим оптимизацию.