Fortigate labo1-forse system

【Fortigate】初心者ネットワーク勉強会
＠秋葉原UDX
2020/10/03（土）9時30分、10/04（日）9時30分
FORSE 1

【 Fortigate 】初心者ネットワーク勉強会＠秋葉原UDX
FORSE
アジェンダ
0930～0945 今日出来るようになる事、自己紹介
0945～1000 Fortigate実機に電源投入
シリアルコンソールで接続する。
1000～1015 Web管理画面接続
インターフェイスWAN1アドレス設定
1015～1045 ファイアウォールポリシー投入(WAN1⇒LAN)
疎通確認
1045～1100 管理者アクセス許可
参加いただきありがとうございます!!!
鈴木メモ
持ち物:Fotigate×４、PC×４、LAN線×１０、シリアルケーブル×４
Switch×１、Router×１
Webサーバ用PC
今日、出来るようになる事
ネットワーク機器Fortinetの初期設定、ファイアウォール機能の設定の一例を
説明します。
アンチウィルス、Webフィルタリング、VPNルータ/サーバなどの他機能につ
いてはここでは触れません。
自己紹介（鈴木）
CTCって会社で18年間SE。アプリケーション8年→インフラ10年。2019年に
起業して会社を設立
平日はインフラエンジニア。日曜日に予備校でLinux構築講座の講師
9月にトラブった事
・FireWallを切り替えたら、あるシステムだけが使えない?
→切り戻し。。。
原因調査 → クライアントのブラウザ! そんな事あるの?
お願い
現在の高校2年生で、IT業界に興味ある方がいれば紹介を
2021年4月からインターン、2022年4月に当社への入社を考えてます。
2

電源ON,コンソール接続
FORSE
今日、利用するモデルについて
60D 2018/9/23 に販売終了
50E 2016/5/26 に販売開始
モデルが違い、インターフェスの名前が違います
60D:internal
50E:lan
電源ON
電源入った事をLED（ランプ）で確認してください
コンソール接続
コンソールをつないで、確認してください。
3

Web管理画面接続1
FORSE
概要
・PCからLANに接続し、FortigateのWeb管理画面に接続する。
※インターフェイス「LAN:192.168.1.99」は初期状態で設定済み(工場出荷状態)
4
LAN１
192.168.1.99/24
管理PC
IP:192.168.1.100/24
httpsアクセス
IPアドレスを変更する。
「スタートメニュー」→「設定」(歯車マーク)→「ネットワークとインターネット」→
「イーサネット」→「アダプターのオプションを変更する」→「イーサネット」→
「インターネットプロトコルバージョン 4 (TCP/IPv4)」→「プロパティ」→
「次の IPアドレスを使う」→「IPアドレス」を「192.168.1.100」に設定
「サブネットマスク」を「255.255.255.0」に設定

FORSE
手順１
Teraterm画面から、adminユーザでログインする。
(パスワードはなにも入力しないで「Enterキー」)
メッセージが表示され、プロンプト「#」が表示されます。
手順２
管理用アドレスを確認する。（50E）
管理用アドレスを確認する。（60D）
初期設定の管理用アドレス「192.168.1.99」を確認する。
FGT50E XXXXXXXXXX login: admin
Password:
Welcome !
FGT50EXXXXXXXXXX #
FGT50EXXXXXXXXXX #show system interface lan
config system interface
edit "lan"
set vdom "root"
set ip 192.168.1.99 255.255.255.0
set allowaccess ping https ssh http fgfm capwap
set type hard-switch
set listen-forticlient-connection enable
set role lan
set snmp-index 5
next
end
5
FGT50EXXXXXXXXXX #show system interface internal

FORSE
手順 3
PCとFortinetのポートをケーブルで接続する
(LANポート 1～5どれでもよい)
GoogleChromeを開きURLに https://192.168.1.99/ を入力し
管理画面を開いてください。「詳細設定」をクリックし、
「192.168.1.99にアクセスする」をクリックして下さい。
※注意: https:// である事
手順 4
以下の内容を入力し、「Login」ボタンをクリックしてください。
User Name:admin
Password: 「入力しない」（空欄）
Web管理画面にログインすると、ダッシュボード画面が表示されます。
6

FORSE
手順 5
左ペインの「System 」-「 Settings」を選択し、
Language欄を「Japanese」をプルダウンから選択し、
「Apply」をクリックする。
7

ラボ全体概要図
FORSE
概要
8
PC1
192.168.10.2/24
PC2
192.168.20.2/24
PC3
192.168.30.2/24
PC4
192.168.40.2/24
webサーバ
192.168.100.2/24
172.16.10.2/30
172.16.20.2/30
172.16.30.2/30
172.16.40.2/30 192.168.100.1/24
WAN1
172.16.10.1/30
WAN1
172.16.20.1/30
WAN1
172.16.30.1/30
WAN1
172.16.40.1/30
192.168.10.1/24
192.168.20.1/24
192.168.30.1/24
192.168.40.1/24
#1
#2
#3
#4
#9 #8 #0

概要
192.168.10.1 → 参加者毎に違います。（赤字部分が「20,30,40」になります）
・インターフェイス「lan2」をハードウェアスイッチグループから登録を削除し、IPアドレスを設定する。
・インターフェイス「WAN1」にIPアドレスを設定する。
・PCのIPアドレスとゲートウェイを設定する。
インターフェイスアドレス設定1
FORSE
WAN1
172.16.10.1/30
9
LAN2
192.168.10.1/24
設定
PC
IP:192.168.10.2
GW:192.168.10.1
LAN
192.168.99.1/24
設定
設定

FORSE
手順 1
左ペインの「ネットワーク」-「インターフェイス」を選択し、
「lan」（50E）「internal」（60D）を選択し、「編集」をクリックする。
※「lan」の行のダブルクリックでも可
手順 2
物理インターフェイスメンバーから「lan2」をクリックし、
メンバーから解除し、「OK」をクリックする。
10

FORSE
手順 3
「lan2」を選択し、「編集」をクリックする。
※「lan2」の行のダブルクリックでも可
手順 4
アドレッシングモード「マニュアル」を選択し、
IP/ネットワークマスクに以下の値を設定し、「OK」をクリックする。
192.168.10.1/24 参加者毎に違います（20,30,40）
管理者アクセスに「https」「ping」「ssh」にチェックを付ける
11

インターフェイスアドレス設定4（WAN側）
FORSE
手順５
VLANインターフェースの作成
「新規作成」→「インターフェース」
インターフェース名:vlanid 10（参加者毎に違います。20,30,40）
インターフェース:wan1
VALNID:10(参加者)
IP/ネットワークマスク
172.16.10.1/30
管理アクセス
HTTP、HTTPS、PING、FMG
SSHをチェック
手順６
設定確認
fortigateにおけるトランクポート
https://nwengblog.com/fortigate-trunk/
12

インターフェース設定の検証をお願いします
FORSE
手順７
「lan2」「internal2」インターフェースの設定を検証します
参加者毎に違います
showコマンド、検索を結合してます。「|」パイプ、「-f」は階層表示
キーワードはここに「 <--- 」
192.168.10.1になっている事を確認します
手順８
WAN１、vlan10を検証します
172.16.10.1 255.255.255.252 になっている事を確認します
13
FGT60D4614079145 # show system interface | grep -f internal2
edit "internal2" <---
set vdom "root"
set ip 192.168.10.1 255.255.255.0
set allowaccess ping https ssh http
set type physical
set snmp-index 7
next
end
FGT60D4614079145 # show system interface | grep -f "vlanid 10"
edit "VALN10"
set vdom "root"
set ip 172.16.10.1 255.255.255.252
set allowaccess ping https ssh http fgfm
set device-identification enable
set role lan
set snmp-index 8
set interface "wan1"
set vlanid 10 <---
next
end
FGT60D4614079145 #
50Eモデルは
「lan2」

疎通確認
FORSE
手順９
PC1とLAN2をLANケーブルで接続する。
SwitchとWAN1をLANケーブルで接続する。
SwitchとルーターをLANケーブルで接続する。
手順１０
FortiGateからの疎通確認を実施します（表示がない場合は、admin配下）
14
FGT60D4614079145 # execute ping 172.16.10.2
PING 172.16.10.2 (172.16.10.2): 56 data bytes
64 bytes from 172.16.10.2: icmp_seq=0 ttl=255 time=14.1 ms
--- 172.16.10.2 ping statistics ---
5 packets transmitted, 5 packets received, 0% packet loss
round-trip min/avg/max = 0.7/3.4/14.1 ms
FGT60D4614079145 #
FGT60D4614079145 # execute ping 192.168.10.2
PING 192.168.10.2 (192.168.10.2): 56 data bytes
--- 192.168.10.2 ping statistics ---
5 packets transmitted, 5 packets received, 0% packet loss
round-trip min/avg/max = 0.4/0.7/1.4 ms

FireWallポリシー
FORSE
概要
15
PC1
192.168.10.2/24
PC2
192.168.20.2/24
PC3
192.168.30.2/24
PC4
192.168.40.2/24
webサーバ
192.168.100.2/24
172.16.10.2/30
172.16.20.2/30
172.16.30.2/30
172.16.40.2/30 192.168.100.1/24
WAN1
172.16.10.1/30
WAN1
172.16.20.1/30
WAN1
172.16.30.1/30
WAN1
172.16.40.1/30
192.168.10.1/24
192.168.20.1/24
192.168.30.1/24
192.168.40.1/24
#1
#2
#3
#4
#9 #8 #0

スタティックルート
FORSE
FortiGateは、192.168.100.0/24のセグメントがどこにあるか判りません。
問題
スタティックルートを設定してください
16

FWポリシーの許可2
FORSE
手順１
作業PC1でコマンドプロンプトを開き、
ルータ(172.16.10.2)へpingコマンドを実行する。
タイムアウトで通信できない!
手順２
Web管理画面から、ポリシー＆オブジェクト – IPv4ポリシーを選択し、
右ペインの「lan-wan1」「implicit」の左の
「+」マークをクリックし表示を展開する。
17

FWポリシーの画面見方
FORSE
ポリシーの設定値について
lan-wan 名前[空白] ※初期出荷設定
①送信元:all
②宛先:all
オブジェクト(IPアドレス)を対象にできる。allは全て許可
③サービス:ALL
プロトコル単位で許可できる(icmp,httpなど) ALLは全て許可
④アクション:許可
通信を「許可」または「拒否」できる
Implicit Deny (暗黙の拒否)
ファイアーウォール機能の共通の設定として、許可した通信以外は許容しないという設定。
18
① ② ③ ④

FWポリシーの許可３
FORSE
手順３
Web管理画面から、ポリシー＆オブジェクト – アドレスを選択し、
新規作成のプルダウンから「アドレス」をクリックする。
手順４
PC1（PC2、PC3、PC4）のアドレス登録
以下の設定を入力し、「OK」をクリックする。
名前:Segment PC1（PC2、PC3、PC4）参加者毎に変えて下さい
サブネット/IP範囲:192.168.10.0/24
19

FORSE
手順５
VLAN10のアドレス登録
サブネット/IP範囲:172.16.10.0/30
インターフェース:vlan 10
手順６
ウェブサーバのアドレス登録
サブネット/IP範囲:192.168.100.0/24
20

FORSE
手順７
Web管理画面から、ポリシー＆オブジェクト – IPv4ポリシーを選択し、
「新規作成」をクリックする
21
手順８
「ポリシーの作成」に以下の設定を入力し「OK」をクリックする。
名前:LanToWan
入力インターフェイス:lan2（internal2）
出力インターフェイス:vlan 10
送信元: Segment PC1（参加者毎に違います、PC2、PC3、PC4）
宛先アドレス: VLAN10
サービス: ALL
アクション:ACCEPT
目的
PC側からルータ側へ

FWポリシーの許可６
FORSE
手順９
「新規作成」→
名前:WanToLan
入力インターフェイス: vlanid 10
出力インターフェイス:internal2
送信元: VLAN10
宛先アドレス: Segment PC1（参加者毎にPC2、PC3、PC4）
サービス: ALL
手順１０
「新規作成」→
名前:WebserverToLan
入力インターフェイス: vlanid 10
出力インターフェイス:internal2
送信元: webServer
宛先アドレス: Segment PC1 （参加者毎にPC2、PC3、PC4）
サービス: ALL
22

FWポリシーの許可６
FORSE
手順１１
同様に
名前:LanToWebServer を作成して下さい
入力インターフェイス:???
出力インターフェイス: vlanid 10
送信元: ???
宛先アドレス: webserver
サービス: ALL
23

FWポリシーの許可７
FORSE
手順１１
PC1でコマンドプロンプトを開き、
ルータ(172.16.10.2)へpingコマンドを実行する。
手順2でタイムアウトしていた通信が、正常に応答を返すことを確認する。
24
手順１２
ルーターとWebサーバをLANケーブルで接続する。
PC1のWebブラウザに「http://192.168.100.2」を入力し
アクセスできることを確認する。
表示例

FWポリシーの許可８
FORSE
手順１３
手順11で許可した「lan2-wan2」の通信から、
httpアクセスを拒否する設定を登録する。
名前:HTTPDeny
入力インターフェイス:lan2
出力インターフェイス:VLAN10（参加者によって違います）
送信元: Segment PC1（PC2、PC3、PC4）
宛先アドレス: webServer
サービス: HTTP
アクション:DENY
25
手順１４
PC1のWebブラウザに「http://192.168.100.2」を入力する。
正常にブラウザ画面が表示される!
拒否設定が効いていない。

FWポリシーの許可９
FORSE
ポリシーの順序について
①手順10で作成した、すべて許可する設定
②手順12で作成した、HTTPを拒否する設定
ファイアウォールのポリシーは上から順に評価されるため、①のすべて許可のポリシーに該当するHTTPアクセスは許可されてしまう。
HTTPアクセスを拒否するためには?
26
①
②

FWポリシーの許可１０
FORSE
ポリシーの順序について
HTTP拒否設定の順序を許可設定の上に持ってくることにより、拒否設定が先に評価され、
ファイアウォールによって通信ができなくなります。
再度、Webブラウザに「http://192.168.100.2」を入力し、今度はアクセスできなくなっていることを確認してください。
ポリシーの順序は「番号」をクリックし、ドラックドロップで変更できます。
27

【 Fortigate 】時間が余った人に。
FORSE
概要
管理者アクセス許可1
・PC2からssh接続できないことを確認する (LANインターフェイスは初期状態で接続可)
・WAN1インターフェイスにssh接続を許可する。
・PC2からssh接続できることを確認する。
WAN２
100.1.1.1/24
28
LAN
192.168.1.99/24
PC1 PC2
アクセス許可
PING
HTTPS
SSH
HTTP
アクセス許可
PING
SSH 設定
ssh

FORSE
手順１
FortigateのWAN２にIPアドレスを設定する
アドレッシングモード「マニュアル」を選択し、
IP/ネットワークマスクに以下の値を設定し、「OK」を
クリックする。
100.1.1.1/24
29
手順２
PC２のIPアドレスを設定する
IPアドレス 10.1.1.2/24

FORSE
手順 1
PC2でteratermを起動し、FortigateのWAN1インターフェイス
100.1.1.1にアクセスする。
アクセスがタイムアウトする。
手順 2
「wan1」を選択し、「編集」をクリックする。
※「wan1」の行のダブルクリックでも可
30

FORSE
手順 3
管理者アクセスの「SSH」にチェックして、「OK」をクリックする。
WAN1にSSHアクセスが追加されること
手順 4
手順1を再度実施し、ssh接続できることを確認する。
PC2でteraterm起動
Host:100.1.1.1
port:22
ユーザ:admin
パスワード:[なし]
31

Fortigateおまけ
FORSE
Fortigate初期化(工場初期出荷状態)
Teratermで以下コマンドを入力し初期化する。
ping疎通確認
FGT50E XXXXXXXXXX # execute factoryreset
This operation will reset the system to factory default!
Do you want to continue? (y/n)y
System is resetting to factory default...
The sysem is going down NOW !!
32
FGT50XXXXXXXXXXX # execute ping 192.168.1.99
PING 192.168.1.100 (192.168.1.100): 56 data bytes
64 bytes from 192.168.1.100: icmp_seq=1 ttl=128 time=1.3

スタティックルート答え
FORSE 33
左ペイン → 「ネットワーク」 → 「スタティックルート」 → 新規作成
宛先で「サブネット」→ 192.168.100.0/24
インターフェース:VLAN10
ゲートウェイアドレス:172.16.10.2
FGT50E3U16013737 # show router static
config router static
edit 1
set dst 192.168.100.0 255.255.255.0
set gateway 172.16.10.2
set device "vlanid 10"
next
end

Labo環境用スイッチ設定
FORSE
VLAN作成する
ルータ側をトランクポートにする
Fortigate側をトランクにする
検証します
#1～5と9がaccessでない事
検証します
Switch>enable
Switch#configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
Switch(config)#vlan 10,20,30,40,50
Switch(config-vlan)#exit
Switch(config)#
34
Switch(config)#interface gigabitEthernet 0/9
Switch(config-if)#switchport mode trunk
Switch(config-if)#end
Switch(config)#interface range gigabitEthernet 0/1 – 5
Switch(config-if-range)#switchport mode trunk
Switch(config)#interface gigabitEthernet 0/1
Switch(config-if)#switchport trunk allowed vlan 10
Switch(config-if)#interface gigabitEthernet 0/2
Switch(config-if)#end
Switch#show vlan brief
VLAN Name Status Ports
---- -------------------------------- --------- -------------------------------
1 default active Gi0/6, Gi0/7, Gi0/8,Gi0/10
10 VLAN0010 active
20 VLAN0020 active
30 VLAN0030 active
40 VLAN0040 active
50 VLAN0050 active
Switch#show interfaces gigabitEthernet 0/9 switchport | include Trunking
Administrative Trunking Encapsulation: dot1q
Operational Trunking Encapsulation: dot1q
Negotiation of Trunking: On
Trunking Native Mode VLAN: 1 (default)
Trunking VLANs Enabled: ALL
Switch#show interfaces gigabitEthernet 0/1 switchport | include Trunking
Administrative Trunking Encapsulation: dot1q
Negotiation of Trunking: On
Trunking Native Mode VLAN: 1 (default)
Trunking VLANs Enabled: 10

Labo環境用スイッチ設定
FORSE
トランクポートを確認する
結線しないと表示されない
35
Switch#show interfaces trunk
Port Mode Encapsulation Status Native vlan
Gi0/1 on 802.1q trunking 1
Gi0/9 on 802.1q trunking 1
Port Vlans allowed on trunk
Gi0/1 10
Gi0/9 1-4094
Port Vlans allowed and active in management domain
Gi0/1 10
Gi0/2 20
Gi0/9 1,10,20,30,40,50
Port Vlans in spanning tree forwarding state and not pruned
Gi0/1 10
Gi0/2 20
Gi0/9 1,10,20,30,40,50
Switch#

Labo環境用ルータ設定
FORSE
#gi8に設定する gi0に設定する
スタティックルート作成
Router>enable
Router#configure terminal
Router# configure terminal
Router(config)# interface gigabitEthernet 8.1
Router(config-subif)#encapsulation dot1q 1
Router(config-subif)#ip address 192.168.1.1 255.255.255.0
Router(config)# interface gigabitEthernet 8
Router(config-if)#no shutdown
Router(config-if)#end
36
Router(config)#interface fastEthernet 0
Router(config-if)#ip address 192.168.100.1 255.255.255.0
Router(config-if)#no shutdown
Router(config-if)#end
Router#configure terminal
Router(config)#
Router(config)#ip route 192.168.10.0 255.255.255.0 172.16.10.1
Router(config)#end

Labo環境用ルータ設定
FORSE
#検証する #検証する
Router#sh ip route
172.16.0.0/16 is variably subnetted, 10 subnets, 2 masks
C 172.16.10.0/30 is directly connected, GigabitEthernet8.10
L 172.16.10.2/32 is directly connected, GigabitEthernet8.10
S 192.168.10.0/24 [1/0] via 172.16.10.1
S 192.168.20.0/24 [1/0] via 172.16.20.1
S 192.168.30.0/24 [1/0] via 172.16.30.1
S 192.168.40.0/24 [1/0] via 172.16.40.1
S 192.168.50.0/24 [1/0] via 172.16.50.1
C 192.168.100.0/24 is directly connected, FastEthernet0
L 192.168.100.1/32 is directly connected, FastEthernet0
Router#
37
Router#show ip int brief
Interface IP-Address OK? Method Status Protocol
Async3 unassigned YES unset down down
BRI0 unassigned YES NVRAM administratively down down
BRI0:1 unassigned YES unset administratively down down
BRI0:2 unassigned YES unset administratively down down
FastEthernet0 192.168.100.1 YES manual down down
GigabitEthernet0 unassigned YES unset down down
GigabitEthernet8 unassigned YES NVRAM up up
GigabitEthernet8.1 192.168.1.1 YES NVRAM up up
Vlan1 unassigned YES unset down down
Router#

Fortigate labo1-forse system

Recomendados

Recomendados

Mais conteúdo relacionado

Destaque

Destaque (20)

Fortigate labo1-forse system