Як налаштувати FortiGate NGFW: політики, VPN та SSL

Налаштування FortiGate NGFW: політики, VPN та SSL

Налаштування Fortinet FortiGate для файрвола та VPN

Уявіть: ви налаштували політики, VPN працює, але користувачі скаржаться на гальма. Причина — увімкнена SSL-інспекція без винятків для стрімінгових сервісів. Наші інженери розгортали такі конфігурації для десятків компаній — від 50 до 5000 співробітників — і знають, де спіткнеться новачок. Досвід показує: 80% проблем вирішуються правильним розподілом трафіку між апаратним прискоренням NP-чіпів та CPU. В одній з міграцій ми замінили старі політики на профільні, і навантаження на CPU впало з 70% до 15% — просто за рахунок виносу перевірок на NP6-процесор. Аудит конфігурації FortiGate — це перший крок до оптимізації.

Чому стандартні політики не працюють? Безпека без профілів — це просто відкритий порт

У FortiOS політика файрвола без прив'язки Security Profile — це permit any any по факту, навіть якщо ви вказали IP та порт. Profile додає IPS, Application Control, Web Filter та Antivirus. Без них 70% шкідливого трафіку проходить непоміченим. Приклад політики з профілями через FortiCLI:

config firewall policy
    edit 100
        set name "LAN-to-Internet"
        set srcintf "LAN"
        set dstintf "WAN1"
        set srcaddr "LAN_SUBNET"
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "ALL"
        set utm-status enable
        set ssl-ssh-profile "certificate-inspection"
        set ips-sensor "default"
        set application-list "default"
        set webfilter-profile "default"
        set logtraffic all
        set nat enable
    next
end

logtraffic all — логуємо всі сесії. У production це може генерувати до 50 ГБ логів на день на 500 користувачів, тому після налагодження перемикаємо на logtraffic utm.

Як налаштувати SSL Deep Inspection без блокування легітимного трафіку?

Крок 1: Створіть CA-сертифікат. SSL Deep Inspection перетворює FortiGate на MiTM: пристрій розшифровує HTTPS, інспектує та зашифровує назад. Клієнти повинні довіряти CA-сертифікату FortiGate. Без цього — помилки сертифіката в кожному браузері.

config vpn certificate local
    edit "fortigate-ca"
        set comments "FortiGate SSL Inspection CA"
    next
end

Крок 2: Налаштуйте профіль SSL.

config firewall ssl-ssh-profile
  edit "deep-inspection"
    set comment "Full SSL/SSH inspection"
    config https
      set ports 443
      set status deep-inspection
    end
    set caname "fortigate-ca"
    set untrusted-caname "fortigate-ca"
  next
end

Крок 3: Поширте CA через GPO (Windows) або MDM. Винятки для banking-сайтів та pinned-ресурсів обов'язкові:

config firewall ssl-ssh-profile
    edit "deep-inspection"
        config ssl-exempt
            edit 1
                set type wildcard-fqdn
                set wildcard-fqdn "*.google.com"
            next
            edit 2
                set type wildcard-fqdn
                set wildcard-fqdn "*.apple.com"
            next
        end
    next
end

Налаштування IPsec VPN: від dial-up до site-to-site

FortiGate виступає концентратором для віддалених користувачів. Використовуємо IKEv2 з aes256-sha256 та DH group 14. Аутентифікація через AD — знижує кількість тікетів у підтримку на 40%. IKEv2 швидше IKEv1 у 2 рази при перевстановленні тунелю після обриву — перевірено на 20+ проєктах.

Крок 1: Налаштуйте phase1-interface.

config vpn ipsec phase1-interface
    edit "client-vpn"
        set type dynamic
        set interface "WAN1"
        set ike-version 2
        set peertype any
        set net-device enable
        set proposal aes256-sha256
        set dhgrp 14
        set psksecret "<PSK>"
        set ipv4-start-ip 10.10.20.1
        set ipv4-end-ip 10.10.20.100
        set ipv4-netmask 255.255.255.0
        set split-include-service "INTERNAL_NETWORKS"
    next
end

Крок 2: Налаштуйте phase2-interface.

config vpn ipsec phase2-interface
    edit "client-vpn-p2"
        set phase1name "client-vpn"
        set proposal aes256-sha256
        set dhgrp 14
        set keylifeseconds 3600
    next
end

Для AD-аутентифікації налаштовуємо LDAP та групу користувачів:

config user ldap
    edit "corp-ad"
        set server "192.168.1.10"
        set cnid "sAMAccountName"
        set dn "dc=corp,dc=company,dc=com"
        set type regular
        set username "cn=fortigate-bind,..."
        set password "<bind_password>"
    next
end
config user group
    edit "VPN-Users"
        set member "corp-ad"
        config match
            edit 1
                set server-name "corp-ad"
                set group-name "CN=VPN-Access,..."
            next
        end
    next
end

Як автоматизувати управління політиками FortiGate?

Для інфраструктури з десятками пристроїв ручне конфігурування неефективне. Ми використовуємо Ansible collection fortinet.fortios або Terraform provider fortios. Конфігурація зберігається в Git, проходить код-рев'ю та розгортається через FortiManager. На одному проєкті ми автоматизували розгортання політик для 12 FortiGate — час на оновлення скоротився з 4 годин до 15 хвилин. Використання FortiManager пришвидшує розгортання у 4 рази порівняно з ручним налаштуванням.

High Availability: Active-Passive кластер

Для критичних мереж обов'язково налаштовуємо HA. Два FortiGate працюють у режимі Active-Passive з синхронізацією сесій та конфігурації. При збої активного пристрою пасивний бере управління за <1 секунди. Приклад налаштування через CLI:

config system ha set mode a-p set group-id 1 set priority 200 set override enable set monitor "port1" "port2" end 

Використовуємо виділений heartbeat-лінк між пристроями. У продакшні тестували на навантаженні 10 Гбіт/c — розрив сесії не перевищував 3 пакетів.

Що входить у налаштування FortiGate? Делівераблі

Типові помилки при налаштуванні FortiGate

• Відсутність винятків SSL: без винятків для banking та pinned-ресурсів користувачі не зможуть зайти на сайти з Certificate Pinning.
• Порядок політик: у FortiOS перший збіг визначає дію. Розмістіть більш специфічні правила вище загальних.
• Ігнорування NP-чіпів: якщо не перенаправити трафік на апаратне прискорення, CPU перевантажується навіть при 100 Мбіт/c. NP-чіпи обробляють трафік у 5 разів швидше, ніж CPU.

Терміни та досвід

Ми налаштовували FortiGate для 50+ проєктів — від маленьких офісів до розподілених мереж на 10 000 хостів. Повний цикл від аудиту до здачі в експлуатацію — під ключ. Терміни залежать від обсягу:

Середня вартість проєкту — від 5 000 до 50 000 грн залежно від обсягу.

5+ років досвіду з FortiGate — ми бачили всі типові помилки: забуті винятки SSL, неправильний порядок політик, перевантажені CPU без використання NP-чіпів. Гарантія на роботи — 12 місяців. Усі інженери мають сертифікацію Fortinet NSE 4+. Отримайте консультацію — ми оцінимо вашу конфігурацію. Замовте аудит FortiGate — виявимо слабкі місця та запропонуємо оптимізацію.