ファイアウォール : ささの備忘録

2019年10月31日15:38

カテゴリ: IT; ファイアウォール

FortiGateで「deep-inspection」を使う-③

こんにちは、ささです

家で使っているのは、FortiGate60Dで「deep-inspection」試していて、最近気づいたのが・・たかが1~2台でも、60Dで「deep-inspection」は厳しい！！

先日、何気なく、deep-inspectionのテストをしている、ノートPCで、動画をみていたところ、
「なんか、カクカクするな・・」と思い、気のせいかなと思っていたのですが、

FortiGateのダッシュボードをみたところ、CPU負荷が高い！！

自宅で、しかもテストだからいいけど・・
職場では使えないな・・と思いました。まぁ、60Dなんて、もう売ってないから使わないかぁー
と思いつつ。。
今度は、ヤフオクでEシリーズを買おうと思いました

続きを読む

2019年10月26日14:15

カテゴリ: IT; ファイアウォール

FortiGateで「deep-inspection」を使う-②

こんにちは、ささです

前回、FortiGateで『deep-inspection』を使う-①で、WindowsPC1台で、deep-inspectionを試しました

使用して1週間くらい経ちますが、まったく違和感なく使えていて・・
最初の、証明書をインストール手間だけクリア出来れば、ある程度は何とかなるなという感じです

とは言っても、インターネット接続する機器は、WindowsPCだけではなく、iphone、android、その他いろいろです。証明書を入れることができない「その他いろいろ」はおいておいて、今回はまず、IOS端末を接続してみたいと思います

iPadのSSL通信をインスペクションする

iphoneでやってもいいのですが、何かとiPad(古い)の方が、画面が大きくて操作しやすので、今回はiPadで試してみたいと思います

１．FortiGateで前回作成した「deep-inspection」を適用したポリシーに、iPadを追加します
　①　まずiPadのアドレスオブジェクトを作成します
　　「ポリシー＆オブジェクト」－「アドレス」－「新規作成」
　

　②　ポリシーにiPadオブジェクトを追加します
　　前回作成した「deep-inspection TEST」ポリシーに、iPadを追加します
　

２．iPadでインターネット通信を確認します
　yahooを開こうとすると、識別情報確認画面が表示されます
　

　メールも開きません
　

iPadにFortiGateの証明書をインストールする

iPadへの証明書の受け渡しですが、今回はメールに添付します
※メールで受け渡しは、ポリシー設定前に実施します、そうしないと受け取れない・・

１．FortiGateの証明書（Fortinet_CA_SSL.cer）を添付しメールを送ります

２．iPadで受信したメールを開きます
　

２．添付された証明書ファイルをクリックすると、プロファイルのインストール画面が開きます
　「インストール」をクリック
　

３．自己証明書なので、警告はでますが、再度「インストール」をクリック
　

４．iPadのパスコードを入力
　

５．しつこいですが、「インストール」をクリック
　

６．インストールが完了しました。プロファイルに追加されている事がわかります
　

７．インターネットアクセスを確認します※再度deep-inspectionポリシーにiPadを追加します。警告なく閲覧可能になりました
　

　メールも問題なく送受信できるようになりました

　

2019年10月19日15:58

カテゴリ: IT; ファイアウォール

FortiGateで「deep-inspection」を使う-①

こんにちは、ささです

以前、「FortiGateのSSLインスペクションで『deep-inspection』を使う」で、「deep-inspection」を設定してみました。
ただ、その時は、試しただけで、その後は「certificate-inspection」を使っているので、
「使えるのか？」
「手間はどのくらいかかるか？」
がわかりません。

今時、WebはほとんどSSLなので、「deep-inspection」にしなかったら、FortiGateでAntiVirusなんて効かせても、意味ないですよーねー

「certificate-inspection」では、SSL通信を復号化しないので、SSL通信に含まれるマルウェアは検知できない！！

せっかく、自宅のゲートウェイは「FortiGate60D」なので・・
「実際に使って試せば、いいじゃん」
ということで、

全体に「deep-inspection」を効かせてしまうと、色々と問題が出てしまうので、
まずは、自分のPC1台で設定して・試してーー＞全体に設定、という流れにしたいと思います

PC1台に「deep-inspection」を設定

まずは、対象PC（Panasonic CF-MX3）のアドレスオブジェクトを作成します

「ポリシー＆オブジェクト」－「アドレス」で、新しいアドレスオブジェクトを作成します

「ポリシー＆オブジェクト」－「IPv4ポリシー」で、新しいポリシーを作成します
　※SSLインスペクションを「deep-inspection」に

作成したポリシーを、デフォルトポリシー（対象LANすべて）の上に移動します

以上で、FortiGate側の設定は、ひとまず完了

クライアントPC側の設定

そのまま、インターネット（www.yahoo.co.jp）に接続してみると、
「証明書エラー」が表示されます
今時、yahooのサイトもSSLですよー

証明書エラーを出さないために、FortiGateの証明書をインストールします

「システム」－「証明書」－「ローカル証明書」－[Fortinet_CA_SSL]をダウンロードします

「deep-inspection」ポリシーを適用した、CF-MX3に証明書をインストールします
インストール手順は、以前の記事
「FortiGateのSSLインスペクションで『deep-inspection』を使う」
を参照してくださいね

インストールが完了すると、証明書エラー表示がでなくなります

これで、クライアントPC側の設定は、ひとまず完了

しばらく使ってみて、対応した事や、不具合等々でてくるかと思います
その②で、また報告させていただきます

続きを読む

2019年09月05日22:05

カテゴリ: IT; ファイアウォール

FortiGateのDynamic DNS設定

こんばんはささです。

最近、忙しく、ブログの更新さぼってました
涼しくなってきたことですし、まめに更新していきたいと思います

久々に、FortiGateについて

少し前になりますが、FortiGateの入れ替えの話があり、入れ替え対象はFortiOS4.Xと古く、
設定を確認していたところ・・

「Dynamic DNS」使っていました

あれっ、最近のFortiOSって「Dymamic DNS」なんてあったか？
確認してみましたが、「DNS設定」箇所にもみつかりませんでした

機能がなくなったのか～と、その時は終わってしまったのですが、
先日ふとした事で、機能があることに気づきました

Dynamic DNS設定

今まで、FortiGateに設定するDNSサーバーは、プロバイダーが良いと思ってました

何故かというと、デフォルトで設定されている
「FortiGuard DNS」って、何だか、動いているのか？動いていないのか？そもそも遅くないか？と思っていたからです

なので、自宅のFortiGate60Dも、導入設置後、ずっとプロバイダーDNSサーバーのアドレスを
設定していました

そんな中、Fortinet技術の方とお話するタイミングがあり、
「FortiGateのセキュリティ機能を活用するには、FortiGuard DNSを指定する必要があります」
といわれました。
具体的には、「DNSフィルタ」で設定する、Botネット・C&Cサーバーブロックには、FortiGuard DNSの指定が必須のようです

ならば、家のFortiGateの設定も変えようと思い、変更してみました
すると、「Dynamic DNS設定が出たーっ」

試しに、設定してみました

しっかり、名前解決も出来ました。

これから、FortiGateを設置する時、システムDNSサーバーは、FortiGurd DNSに設定しようと思います

2019年04月06日11:40

カテゴリ: IT; ファイアウォール

FortiGateの『deep-inspection』について

こんにちは
今日は天気も良くて、花見日和です
こんな日は、公園で花見しながら、ビールですよぉ
でも、年々面倒くなり、ゴロゴロしながら、漫画読んだり、YouTube見たりが、最近の定番です

以前「FortiGateのSSLインスペクションで『deep-inspection』を使う」で、お話の続きです、今回は、もう少し「SSLインスペクション」を掘り下げてみたいと思います

具体的には、HTTPSでアクセス時、ダウンロードしたファイルのウィルススキャンが実施されるか？実施されないか？を試してみたいと思います

調べる限りでは、

・『certificate-inspection』：スキャンが実施されない
・『deep-inspection』：スキャンが実施される

です。では、早速試してみました！

『certificate-inspection』ではどうか？

自宅で使用しているFortiGate60Dの、[internal]->[wan1]に、「AVプロファイル」と「certificate-inspection」を適用します