Fortigateについて語ろう4

FortiGateシリーズは、ネットワーク全体を総合的に保護するハードウェアベースの
ネットワーク・プロテクション・ゲートウェイ（NPG）です。
Fortinet社独自開発のABACASTM(Accelerated Behavior and Content Analysis System)
テクノロジと独自のASIC（FortiAsic）ベースアーキテクチャを採用した、次世代
ネットワークプロテクション・アプライアンスです。
ファイアウォール、不正侵入、VPN、トラフィックシェーピングなどネットワークレベル
のサービスに加え、ウィルスプロテクションやコンテンツフィルタリングなどの
アプリケーションレベルのサービス機能も搭載しており、効果的にネットワークを保護します。
FortiGateは、4種類のICSA認定取得をしています。
アンチウイルス、ファイアウォール、IPSec、IDS

セールスポイントは非常に魅力的ですばらしいのですが、
非常に個性的な製品ですので、皆さん助け合って安定稼働に努めましょう。

フォーティネットジャパン
http://www.fortinet.co.jp/
FortiProtect Center
http://www.fortinet.com/FortiProtectCenter/

質問する際には必ずFortiGateの機種、FortiOSのバージョン、 ネットワーク構成・環境を報告してください。

>>152
自己レスになりますが、
DHCPモニタで一覧したときに、ホスト情報に「VCI」が含まれていない端末が60Dを通過出来ない様子。
依然対応方法はわからずです。

Fortigate100D(固定ip)とSi-R G100(動的IP)をipsecで接続したことのある人はいないだろうか…

どんどん新しいFortiOSリリースするのを悪いとまでは言わないけど、
既存のOSを安定化させて欲しい。
リリース前に基本動作の確認をしっかりやって欲しいな。
誰と競争してるのか知らんけど、自分の製品の土台をしっかり作り上げて欲しいです。

>>154
FortiGateとScreenOS、YAMAHAあとなんだっけ忘れたけど繋いだことある
YAMAHAとSi-Rも繋いだことあるけどFortiとSi-Rはないな
多分、徹底的にプロポーザル合わせれば行ける雰囲気だけど

確かFortiOS5.2から対向が動的IPだとルーティングべ―スIPsecできないクソ仕様になった
詳細は覚えてないけどもポリシーベースじゃないと無理だと思った方がいい

>>155
ほんそれ
GUIやら細かい仕様やらコロコロ変え過ぎ、SSL-VPNとかUTM使う分には問題なさそうだけど
SIerとしては価格含めてまともな競合製品があったらFortigateなんて速攻捨ててる
一応今色々新しいの検証はしているが・・・。

>>156
そんな仕様があったのは(なったのは？)知らなかったデス…
まぁ、無理とわかっていても単純に無理ですってのは納得はしてくれないと思うんで、試せるだけ試して無理ですって方向に持って行きたいと思います。

だから異機種間のVPNって嫌なんだ…

>>156
なんじゃそのクソ仕様はと思ったけど、冷静に考えたら当たり前の仕様だよな。理由が分からないならこの仕事やめた方が良い。

>>158
今までたいていの機械で出来てきたことだと思うけど
ルーティングベースNGでポリシーベースはOKが当たり前ってどういう理由で？

６０Ｄでハマってます。
拠点aに60Dを新規設置しました。拠点a.拠点b.拠点cはルータでvpnトンネルを張っています。
拠点bと拠点cのインターネットの通信は一旦拠点aの60Dを通って外に出て行きます。
拠点aは問題ないのですが、拠点b、拠点cはインターネット使用した場合httpのみかなり表示が遅くなります。なのでGoogleは問題ないですがヤフーはかなり表示がら遅くなります。60Dのポリシー、UTM機能を切っても駄目でした。
メーカーに問い合わせたんですがありえない事象だと言われました…
なにかご教授いただきたいです。

mtu

全二重になってないとか・・・

60D でアンチウィルスのプロファイルが新規作成できない・・・・
ライセンスがないからとか？
それとも CLI で何かを有効化する必要があるのか？

フューチャーで複数プロファイルのやつ有効にしてる？

HA構成したときに、スイッチポートをモニタポートにすることってできますか？

[拡散希望！]
参考になりそうなURL送っておきます
電磁波による拷問と性犯罪
http://denjiha.main.jp/higai/archives/category/%E6%9C%AA%E5%88%86%E9%A1%9E
公共問題市民調査委員会
http://masaru-kunimoto.com/
この方たちは集団訴訟の会を立ち上げてマスコミに記事にしてもらう事を目的に集団訴訟を被害者でしようという試みを持っている方達です
訴訟は50人集めてしようという事なのですが50人で訴訟をすると記事に書けるそうです
記事には原発問題を取り上げてテク犯被害を受ける様になった大沼安史さんらが取り上げて下さるそうです
大沼安史さんがテク犯に遭っているという記事
http://ameblo.jp/hilooooooooooooo/entry-11526674165.html
大沼安史の個人新聞
http://onuma.cocolog-nifty.com/blog1/4/index.html
この方たちは電話相談等も受け付けている様で電話番号を載せている方達は電話かけ放題の契約をしていますのでこちらから電話して本人にかけ直してくれと頼むとかけ直してくれます
音声送信被害等を受けている「電磁波による拷問と性犯罪」の記事の水上さんは年金暮らしなので時間には余裕があるそうで被害内容の話等を聞いてくださると思います
もう一人の電磁波犯罪には遭っていない国本さんという方は電磁波犯罪をしっかり理解されている方で年金暮らしの方なので長電話も大丈夫です
大沼さんはこちらのページからメールを受け付けておられる様です
http://onuma.cocolog-nifty.com/about.html
電話をかけたい場合は人によってはメールで電話番号を訊くと教えてくれると思います
この文章を見られた方は全文コピーをしてできるだけ多くの知り合いの被害者の方等にメールを送るなり被害者ブログに書き込むなりしていただければ大変有難いです
もし大勢の方に送る事が出来なければまだこの文章に触れていない知り合いの被害者に少しでも全文コピーで送っていただけるとその方が次の何人かの方に繋いで頂ける場合があり結果として大勢の方に見て頂く事が出来るはずです
ご協力よろしくお願い致します 👀
Rock54: Caution(BBR-MD5:f70dfdc711a7c6ae6accccb939f27fbf)

MTU1438

お客さんところのHA構成のFortgate200Bをファームウェアのアップデートした
1アップグレードに20分取ってたら5分ぐらいで終わっちゃってちょっと驚いた

検証用に購入した1台放出しようかな
200Bは5.4台にできないし、

>>165
マスター側のスイッチポートは色々できたと思う

FortiExplorerでUSB MGMTに繋げると
PCとFortigateはIPアドレスなくても通信できるのでしょうか？

>>169
設定が出来るって意味なら出来るよ

4.0MR3でHA(Act-Passive)構成した時にDevicePriority同じ値にしないと
2台のFortigateのHBIF接続した時に片方が落ちるんだけど
Act-Passiveの時はDevicePriority揃えないとダメとかある？

FortiGate ファーム　5.2.3
Forti AP ファーム　5.2

ブリッジモード接続で、SSIDステルスの設定は出来ないのでしょうか？

>>171
4.0MR3台のコンフィグみたけど同じになってるな
揃えるべきかも

怪奇現象が発生しており、お知恵を拝借したく書き込ませていただきました。


＜やりたいこと＞
・Forigate 300Dを2台でHA構成
・社内の2つのネットワークの間に設置する
・もともとはルータ1台が置いてあって、ファイウォールに置き換える
（IPは同じものを使用。）
・AV機能のみ稼動

＜今の状態＞
2つのネットワークのうち、片方にFTPサーバ(1)があり、5分間隔くらいで、
もう片方のサーバ(2)から、ルータを経由して、ファイルのアップロードを行っている。


＜発生していること＞
・ルータからファイアウォールに切り替えた後、最初は問題なくFTP通信している。
・数時間経つと、突然サーバ(2)が、FTPサーバ(1)を見失い、通信できなくなる
・2回切り替えを行ったが、1回目は4時間、2回目は2時間くらいで、通信できなくなる。
（再現性あり）
・ルータに構成を戻すと、最初は同じく見失ったままだが、1時間くらいすると復旧する。
・ファイアウォールでパケットキャプチャ確認しても、サーバ(2)側のポートに該当パケットの通過なし。

サポートに問い合わせても、原因不明とのことで、お手上げ状態です。

「この辺が怪しんじゃね？」というのでもあったら、アドバイスいただけると助かります。

>>174
正直サポートがお手上げだとどうしようもなさそうだけど
L2レベルから疑ってみたらどうかな。
スイッチングHUBのMACテーブルとかサーバーのarpとか・・・

HAをやめてみる

両系アクティブの事象に似てる気がする
シングルで動かしてみて上手くいったらa-pで動作見たら？

>>174
AV止めて状況確認してみな。

HAて必要ですか？

FortiOS 5.2.8アップデートがWebGUIに出てるのにいざアップデートしようとしたらダウンロードで失敗する
正常にアップデートできた兄貴いる？

HAしたいけどUTMライセンス2本はつらい

200D なんで、DMZがSPFなの？

INTの定義なんて自由にやれるんだし、RJ-45のポート使えばいいんじゃない？

>>180
Fortiはあそこからのアップグレード成功するほうが珍しい
代理店なり保守契約結んでるところからDLしてアップグレードするよろし

HAのアクアクとリンクアグリの違いがわからねぇよ

>>113
もう見てないと思うけど、サポートしているハードでも透過モードの時はDNSサーバの項目は表示されないみたい

なぜかポート開放できん
DMZのインターフェースではできてるのに
なんでやろ？

>>186
初期化してコンフィグリストアしてみな

fortigateのVMライセンスで運用するのは、
何かデメリットとかあるのでしょうか？
適当に増設出来るKVMクラウド基盤に載せるんで、
マシンスペックが足りないという事は絶対無いんですが、
皆物理マシン買ってるみたいで、避けられてる理由でも
あるのかなと勘繰ってしまう…

同じ処理能力出そうとすると実機より高くつく
ってかASICじゃないから遅い

200Dと60D発注した。
支店に60D置くんだ。

AHやESPなとIPプロトコルをポートフォワードするのとって可能ですか？

GUIみてるのですが、TCPとかUDPはあるのにIPがない…

forti配下のCiscoにVPNを処理させたいのです

ポートフォワードの意味を勘違いしているような気がする

>>192
すいません。この場合はNATと表現すべきですかね…

>>193
君の知識だったら金払ってプロにお願いした方が良いね。

ポート番号がなきゃ変換できないよ。

勉強のために60Dをオクしようかと思ってるんだけど
契約切れてると制限されてる機能とかってありますかね？

>>196
パターンファイルの更新とかファームのアップデートとか。

>>197
ありがとうございます
評価や勉強としては十分な感じですね

会社でのUTM導入を考えてスペックとにらめっこしてます
90Dいいなー、と思ったのですが、アンチウィルスのスループットが
フローで65Mbps/プロキシで35Mbpsと書かれてますけど
アンチウィルス機能をオンにするとそんなに遅くなりますか？

UTM導入は初経験なので、そこまで遅くなるのか実感が無いです

UTMは単純捜査じゃないからASICとか効かないし
どこもそんなもん

>>200
そんなもんですかー
実効速度がフローでも50Mbpsになりそうですけど
もう一段高い100Dを検討しようかな…

Sophosとかで評価版のソフトがあるから空きPCとかに入れて試してみたら？
UTMの感覚は掴めると思う

>>202
このスレの趣旨と反してしまうかもだけど、面白い製品を紹介してくれて助かります
PCをUTMとして使えないのかとも考えていたので、これは是非試してみたい

支社に60D.本社に200Dを想定して、回線使わず接続テストしてるんだ
支社からは外に出ず、本社経由で出てるっぽいけど、支社のPCからTracertすると、本社から外のgatewayのIPの前に200DのMGMTのIPが見える
なんだこりゃ
60Dと200Dの間には、インターネットの代わりにルーターを置いてる

>>204
tracerouteはどのIPアドレスで返さなきゃいけないというような決まりはないじゃん。
だからそれは仕様なんだよ(藁

200D自身ってことですか
納得

5.2からNAT64使えるみたいだけど使ってる人いる？
スループットどれくらいでるのか知りたい

>>204
IPsecだと思うけど、トンネルにIPふってないなら、そうなるかもね

ここは勉強になるわ

100dで質問です。

新しいセグメント追加のためvlan追加したいのです。
すべて使用のポートを倫理で切っている為、元のvlanを切って新たに作る流れになると思いますがその場合、その切ったvlanは通信断等発生するでしょうか？

もう少し具体的に書いてくれ。何がやりたいのかよくわからない

倫理で切るって、ポリシーってことですか？
vlan切ったら、通信も斷かな
人のいない時に試してみたら？

論理かと思えば倫理wwww

>>200
ASICがきかない？きくよ。
どのチップが入ってるかはモデルで
変わってくるから確認してください。

エントリーモデルクラスだとsoc
ある程度ミッドレンジになってくると
CP、NPが入ってるからパフォーマンス
があがってくる。

ポリシーのセクションビューができない
デフォの暗黙のanyがあるから？

>>215
ポリシーのコンフィグ貼ってみな

すみません。
解決しました。
申し訳ない。

一部のGoogleサービスのみ利用を許可する制限を掛けたくて、
FortiGateの導入を検討しています(60D or 50E)。

規模的には60Dでも十分かと思ったのですが、NGFWスループットが
23Mbpsと低いのが気になっています。
※アプリケーションコントロール機能での制御を考えているため。

逆に、50EはNGFWスループットが220Mbpsと60Dより高く、
その他のスループットも60Dより高いのですが、ファイアウォール
レイテンシが180マイクロs(60Dは4マイクロs)と大きいのが
気になります。


NGFWスループットとファイアウォールレイテンシの間には、相反する関係があるのでしょうか？
※NGFW関連の機能を無効にしていても。

また、50Eの180マイクロsというレイテンシは、一般的なWeb閲覧や
Web会議のような使い方であれば、十分な値なのでしょうか？

50E
チャレンジャーだな

そなの？うち50人ぐらいの製造業だけど30D使ってるよ
どうせアンチウィルスでスループットそんなに出ないでしょ？

Eシリーズは5.4系だからじゃね

どのクラスからが、新のFortigate?

300D

>>219
ネットで調べても、取り扱っているサイトが少ないように
思うのですが、あまり実績のない機器なのでしょうか？

>>221
5.4系はまだ安定していないのでしょうか？

>>224
一般には5.2系が安定版ってされてる
とりあえずFortiはサイジング含めて選定難しめの機器だから販社に検証機借りて試験導入する事を勧めるわ

5.4サポートしてる販社ってどこよ？

>>225
ありがとうございます。
試験機での検証を考えたいと思います。

FG300Dの導入を検討してて、相見積もりでウォッチガードの金額聞いたら安すぎてびっくり
スループットとかいいのになんで安いんだろ

>>228
本当に300Dが必要？

俺も昨日ウォッチガードってのを見つけて値段調べてたら本当に安かった
ネットで調べてたら情報まったく出てこなくてびびったけどｗ

昔アキバのOTTO（PC-server1）で扱ってたことあったけどな＞ウォッチガード

赤いやつってイメージしかない。
昔のは中身PCだったな。

winNTが入ってて酷い代物だった

ウォッチガードって今でも管理用PC用意しなきゃいけないの？

100dで質問した者です。
すいません、自分でもなんかへんな文章で申し訳ない

LANインターフェイスとして12ポートを物理できっています。それを半分の6ポートを今の物理グループより削除して新たにインターフェイスグループを作成しLANを2つにしたいのです。
今のLANには一本だけでL3が繋がっており半分のポートをグループから削除しても問題ないとフォーティーより回答あったので削除実行したらネットワークが止まりました。慌ててすぐコンフィグを戻して復旧しましたが原因がよくわかりません。
LAN側pcよりpingを打っていましたがL3までは通っておりました。
fotiとL3間の通信が取れていないようで、ポリシーか物理インターフェイスを変更した為Macアドレス変化したのかのどちらかと思っているのですがどうでしょうか？
物理インターフェイスを分けるとMacアドレスって変化するでしょうか？
あとはポリシーを新たに分けたインターフェイスで適用し直しでしょうか？

5.2系5.2.3以前のだとハードウェアスイッチのメンバー編集すると不具合起こす

>>236
まじですか、、確認してみます。
その場合はやはり新たにポリシーの設定し直しですかね

再起動で直る。
てかファームウェア上げような？

>>238
そんなに古くなかったような気がしますが確認してみます。
ありがとうございます。
ちなみに5.2系5.2.3以前とありますが5.0系も対象でしょうか？

細かいこと聞いても、答えられないよ
自分で試しなよ

忘れてた。
5.0系はハードウェアスイッチの機能に制約が多くて、そのせいか不具合が少なかった。
たぶん5.0系は大丈夫だけど、メンバーの編集の自由度が低かった気がする

5.0系は初期化しないとスイッチの構成変更できなかったような

お前らさっさと5.2にあげろよ

5.4はチャレンジャー
5,2は常識人
5,0は⁇

5.4のGUIはもうネタの領域だわ・・

webフィルタの設定で教えていただきたいのですが、
www.yahoo.co.jpとyahoo.co.jpは許可とし、img.yahoo.co.jpなどのwww以外の文字列は禁止したい場合
正規表現でブロックをすれば良いと思うのですが、下記の記述でうまくいきません。
^(?!.*www).*(?=[0-9a-z]).*$\.yahoo\.co\.jp
設定教えていただけませんか。

正規表現じゃなくてそのまま2つ書けばできないの？

>>246
バージョンいくつ？正確にな！

エスケープ怪しい
正規表現チェッカーサイトなりでマッチするか確認してみたら？

>>247
なるべく1行ですませたいと考えました。
>>248
v5.4.1 build5447 です。機器は60Dです。

>>250

5.4.2出たけどまだまだ不具合多い。
リリースノートの既知の不具合がてんこ盛りｗ

出荷時から5.4.1？

>>251
出荷時は5.2系統以前でした。最近5.4に変えたのですが、かなり変わりました。
動作も前とすこし違うような気がします。