Zpracování provozu
Rozhoduje o novém spojení a zpracovává další pakety stejné session.
- Session table
- Policy, NAT a Security Profiles
- Shaping a výstup
FortiGate od vstupu po výstup
Pochop celý firewall jako jeden systém
Nejdřív si otevři názorné síťové nákresy. Potom spusť paket, změň podmínky a sleduj každé rozhodnutí.
🌐Internet / WAN
🛡️FortiGaterozhodne a zkontroluje
🏢LAN / DMZ / VPN
Tři části, které pracují současně
FortiGate není jen seznam firewall pravidel.
Informace o síti
Vytváří tabulky, podle kterých se datová část rozhoduje.
- Routing, SD-WAN a ARP
- IKE/IPsec a dynamické protokoly
- HA synchronizace
Konfigurace a dohled
Tudy se firewall nastavuje, aktualizuje a kontroluje.
- GUI, CLI a API
- Logy a FortiAnalyzer
- Administrátorské účty
Mapa zpracování nového spojení
Kliknutím na krok jej otevřeš v simulátoru.
Vyber výukovou část
IP adresy, porty, route, policy, NAT, session a návratová cesta.
IPsec, SSL VPN, IKEv2, FAC, AD/LDAP a FortiToken.
SSL inspection a jednotlivé Security Profiles.
Rozhraní, VDOM, SD-WAN, HA, offload, logy a správa.
Interaktivní simulace
Tok paketu přes FortiGate
Změň IP adresu, port, rozhraní nebo výsledek kontroly. Cesta se sestaví znovu a ukáže, kde paket skončí.
💻Zdroj
P
🛡️FortiGatePřipraven
P
🌐Cíl
⏳
Simulace je připravena
Co se právě děje
Výsledek tohoto kroku
Technické podrobnosti
Co se vyhodnocuje
Kde se to nastavuje
Co se stane při chybě
Debug stopa
Zobrazit ukázkový debug flow
Řízená diagnostika
Troubleshooting krok za krokem
Vyber problém a postupuj od fyzické vrstvy ke konkrétní funkci. U každé kontroly uvidíš očekávaný výsledek, význam chyby a příkazy připravené s tvými IP adresami.
🔎
Vyber problém a začni první kontrolouDiagnostika zatím nebyla vyhodnocena.
Jak to ověřit
Jak číst výsledek
Výsledek je v pořádku
Výsledek ukazuje problém
Diagnostické příkazy
Debug příkazy mohou vytvářet velké množství výstupu. Použij co nejpřesnější filtr a po testu vždy spusť
diagnose debug disable a diagnose debug reset.Tento krok ještě nemá výsledek.
Čtyři základní nástroje
Nejdřív zjisti, zda paket vůbec přichází, potom proč se rozhodl tak, jak se rozhodl.
Ukáže rozhraní, směr, adresy, porty a to, zda odpověď přišla zpět.
Ukáže route, policy lookup, NAT a důvod zahození forwardovaného provozu.
Ukáže uloženou policy, stav spojení, NAT tuple a offload.
IKE, SSL VPN, fnbamd nebo další proces vysvětlí chybu konkrétní služby.
Ověřené postupy: otevři si oficiální návody Fortinet pro debug flow, packet sniffer, IPsec/IKE a RADIUS/FAC.
Šifrované tunely a identita
VPN, Security Profiles a Microsoft Teams
Vyber typ komunikace a projdi ji krok za krokem. Vždy odděluj navázání VPN, ověření uživatele a kontrolu dat, která tunelem skutečně procházejí.
1Navázání VPNIKE nebo TLS vytvoří zabezpečený tunel.
2Ověření identityFortiGate, FAC, AD a FortiToken ověří uživatele.
3Firewall policyPo dešifrování vnější VPN vrstvy se hledá datová route a ACCEPT policy.
4Security ProfilesSpustí se pouze profily připojené k nalezené ACCEPT policy a jen nad tím, co dokážou vidět.
Simulátor schůzky v Teams
Změň trasu, transport i adresy a spusť scénář znovu.
Zadané adresy slouží pouze pro názorný tok paketu.
Kde se kontrolují profily: ne během IKE/EAP/FAC přihlášení. Nejdřív se odstraní vnější VPN zapouzdření, vnitřní paket vstoupí z IPsec rozhraní nebo ssl.root, vybere se route a firewall policy a až profily připojené k její akci ACCEPT mohou provoz analyzovat. Odpověď stejného spojení se páruje s existující stateful session, provede se reverse NAT a příslušná obousměrná kontrola podle uložené policy/session před opětovným zašifrováním; běžně se pro ni nehledá nová samostatná policy v opačném směru.
Teams: Microsoft doporučuje pro Teams alternativní cestu mimo VPN (split tunnel), protože hairpin přes firemní síť přidává zpoždění a jitter. Aktuální cíle a porty je nutné udržovat podle síťových doporučení pro Teams a seznamu Microsoft 365 endpointů.
Ověření kvality: u konkrétní schůzky porovnej transport, směr zvuku, ztrátovost, jitter a odezvu v Teams Call Analytics; pro trendy více uživatelů použij Call Quality Dashboard. Tok SSL VPN tunnel mode se po vybalení předává na ssl.root; příklad konfigurace popisuje Fortinet SSL VPN tunnel mode.
VPN na loopbacku: schéma předpokládá VIP z veřejné WAN adresy na LOOPBACK-VPN a samostatnou policy WAN → loopback omezenou na skutečně používanou VPN službu. U SSL VPN musí VIP přesměrovat zvolený veřejný port na stejný port loopbacku a SSL VPN na tomto rozhraní naslouchat; viz postup Fortinet pro SSL VPN a VIP. U IPsec závisí hardwarová akcelerace na modelu a FortiOS; ověř ji přes diagnose vpn tunnel list a npu_flag podle technického článku Fortinet.
Kontrola obsahu a aplikací
Security Profiles – každý zvlášť
Zapni nebo vypni libovolnou kontrolu, vyber testovaný provoz a stiskni „Otestovat provoz“. Výsledek ukáže, který profil paket uvidí a zda jej propustí nebo zablokuje.
Předpoklad simulace: zapnutý profil je připojen k odpovídající ACCEPT policy a jeho nalezená hrozba má akci BLOCK. Ve skutečné konfiguraci může mít signatura nebo kategorie akci monitor, allow či jinou výjimku.
Profily a podpůrné databáze
Každý přepínač funguje samostatně. Po změně profilu test spusť znovu.
Obrázková výuka
Síťová schémata a nákresy
Každý nákres ukazuje jinou část firewallu. Vyber schéma, projdi očíslované kroky a sleduj konkrétní adresy, rozhraní a zprávy.
FortiGate nebo rozhodnutísíť / zařízeníslužbasměr komunikace
Co se děje krok za krokem
Proč je to důležité
Kde se to nastavuje
Co kontrolovat při chybě
Architektura FortiGate
Z čeho se firewall skládá
Klikni na část vlevo. Uvidíš její úlohu, vstupy, výstupy, nastavení, častou chybu a schéma vazeb.
Zapamatuj si
Vstupy a data
Výsledek
Typické nastavení
Častá chyba
Rychlá nápověda
Slovník pojmů
Vyhledej zkratku nebo výraz, který se na FortiGate objevuje.
Indy Packet LAB je zjednodušený výukový model. Přesné pořadí se může lišit podle verze FortiOS, flow/proxy režimu, central NAT, VDOM, policy typu a ASIC offloadu. Produkční konfiguraci ověř v dokumentaci FortiOS 7.4.