Fortigateについて語ろう4

FortiGuard.com | CVE-2014-8730 "Poodle for TLS" vulnerability

hhttp://www.fortiguard.com/advisory/CVE-2014-8730–Poodle-for-TLS–vulnerability/

の対策でvirtual-server-hardware-acceleration持ってる機種って何か分かる？

60Cと200Bは持ってなかった

現行のDとかは持ってんのかな

300Dは持ってそうだけど

しかし、

うちのサポートは使えないなあ

>>38

US公式のリファレンスマニュアルの下に、機種と使える機能のマトリクス表がある

SSL Offloadingの有無を調べるよろし

>>39

ありがとう

Feature/Platform Matrixってやつね

とりあえず4.3ではない？機能なのね

ていうかなんでうちのサポートは4.3も対象って言ってきたんだろう

調べないで言ってきてるなあ

5.0以上のFortiOSで60Cは無理で200Bは出来ると

200Bはアップグレードしたら防ぐ必要があるのか

まあ、次の更改まで止めらんねーとか

訳わからないこと言ってるからアップグレードはやらなそうだな

200Bは昔は8万ぐらいで中古が輸入できたんだがもう無理だしなあ

80Cでも出来るのか でもライセンスがなあ

オークションで起動ログでVer5書いてるやつ探すわ

>>40

そうとも言い切れないかもしれない

デバイス自身の管理画面へのログインもSSL/TLSを使う以上、SSLアクセラレータが使えない機種でもPOODLEに該当するって意味かもね

>>42

だからワークアラウンドなのかね

FortiOSもファームウェアがアップグレードしやすければいいんだけどなあ

fortigate60Cv4.0でvipでソースipレンジにwanインターフェイス（pppoe動的ip）を割り当てたいのですがどうしたら良いでしょうか

動的ipでvipでフォワーディングするにはその都度変動ipに変更しないと行けないですか?

>>54

何かおかしなこと言ってる気がする

多分一般的な動的IPアドレス環境でサーバ公開したいってことだよね？

出来ないわけないだろと思うんだけど手元にある検証機にFortiOS4.0入れるのまんどい

>>55

＞多分一般的な動的IPアドレス環境でサーバ公開したいってことだよね？

ですです

今のとこvipにpppoeで取ってきたグローバルIPを当てて公開しているのですが、再起動時などにIPが変わってしまったらまた設定し直さないといけないので、それをどうにか設定し直さずに運用できないかなと

>>56

VIPじゃなくてstatic natで書くとか

VIPのexternalに0.0.0.0指定するとか何か方法あるんじゃないかな

cookbookかhabdbook調べてみな

始めて30DさわったんだけどDNSサーバ機能ないのな、キャッシュ機能も

普通にあると思ってたからびびるわ最近のファームもそうだけど細かいとこで仕様かえすぎでうざいわ最近

>>109

あるよ

インターフェースのとこで設定する

>>112

5.2系ならフィーチャーでDNSデータベースをONにすると出来ると思います。

ネットワーク＞DNSサーバでゾーン作成後にインタフェースでサービスを有効

>>117

データシート見るとDNS Database supportは60Dからだね

>>117

60Cだと出てくるDNS Databaseが

30Dでは出てこないって話？

いちおう60Cだとこういう手順だね

見つけにくい位置にあるけど30Dだと出ないんかな

hhttp://network-cisco.seesaa.net/s/article/393477605.html

>>123

そうでござる、無いのでござる

で、>>118の言う通りスペックシートには30Dと40DにはDNS Database機能が無い

ただ>>110はあると言ってるので、なんか裏技でもあるんかなと

もう引き渡しちゃったから試しようもないのですけどね

FortiOS 5.2.8アップデートがWebGUIに出てるのにいざアップデートしようとしたらダウンロードで失敗する

正常にアップデートできた兄貴いる？

INTの定義なんて自由にやれるんだし、RJ-45のポート使えばいいんじゃない？

>>180

Fortiはあそこからのアップグレード成功するほうが珍しい

代理店なり保守契約結んでるところからDLしてアップグレードするよろし

ポートフォワードの意味を勘違いしているような気がする

Fortigateは、VIPに対するあくせすで、Port443は、サーバAに、Port80はサーバBにみたいに、

プロコルごとに振り分け先を変えることはできないのですか？

vip をたとえば、 vip1 10.1.1.1—>192.168.1.1 vip2 10.1.1.1—>192.168.10.1

と定義しようとすると、重複アドレスエラーになるのですが。

（NAT元のアドレスが同じだとduplicateになります）

>>193

君の知識だったら金払ってプロにお願いした方が良いね。

勉強のために60Dをオクしようかと思ってるんだけど

契約切れてると制限されてる機能とかってありますかね？

>>196

パターンファイルの更新とかファームのアップデートとか。

50E

チャレンジャーだな

Eシリーズは5.4系だからじゃね

>>219

ネットで調べても、取り扱っているサイトが少ないように

思うのですが、あまり実績のない機器なのでしょうか？

>>221

5.4系はまだ安定していないのでしょうか？

>>224

一般には5.2系が安定版ってされてる

とりあえずFortiはサイジング含めて選定難しめの機器だから販社に検証機借りて試験導入する事を勧めるわ

webフィルタの設定で教えていただきたいのですが、

www.yahoo.co.jpとyahoo.co.jpは許可とし、img.yahoo.co.jpなどのwww以外の文字列は禁止したい場合

正規表現でブロックをすれば良いと思うのですが、下記の記述でうまくいきません。

^(?!.*www).*(?=[0-9a-z]).*$.yahoo.co.jp

設定教えていただけませんか。

>>246

バージョンいくつ？正確にな！

正規表現じゃなくてそのまま2つ書けばできないの？

>>247

なるべく1行ですませたいと考えました。

>>248

v5.4.1 build5447 です。機器は60Dです。

>>250

5.4.2出たけどまだまだ不具合多い。

リリースノートの既知の不具合がてんこ盛りｗ

出荷時から5.4.1？

>>251

出荷時は5.2系統以前でした。最近5.4に変えたのですが、かなり変わりました。

動作も前とすこし違うような気がします。

>>252

悪い事言わないから5.2系にもどした方がいいよ

5.4にしかない機能をどうしても使いたいとかあるの？

>>252

チャレンジャーやのぉ。機器モデルと使ってる機能晒してくれよ。

SCSKの出荷バージョンが5.4.1になっとる

>>268

50Eってオチじゃねーの？

>>269

60D

どんな回線で、どれくらいの転送速度ですか？

間違った

>278

>>285

家庭用なら 500Mbps、60D が 300Mbps です。

ちなみに別時間帯、何種類かの方法で何度も計測していますが、だいたい差は同じぐらいです。

なんとなくわかったのが、PPPoE を使っていない WAN2 配下のサーバと計測すると他機器を上回る十分な速度がでました。

セッション情報みると WAN2 は FortiAsic が機能しているけど WAN1 の場合は全セッション機能しておらず。

切れそうな UTM は全部切ってるけど、やっぱりどこかで動いてるのかなと。

(回線については問題ではないことはわかったので省略します)

>>286

本家のスレッド読み進めていくとどうやらPPPoEの

フレームタイプはオフロードされないみたい。

CPUが非力な下位モデルでは厳しいかも。

前にPPPoE用のルータ置いてFortigateはブリッジモードで

使いしかないのかも。

>>308

バーチャルIPの設定の中にポートフォワードのチェックボックスあるじゃん

転送先をip:ポートじゃなくてipだけにしたいとか言うならしらん

だれか助けて。

VPNのためにFortiClientをPCにインストールしてたが

ある時にインターネットができなくなった（昨年12月頃）。

OSはWindws10。

で、WEBからまた新しいFortiClientをインストールしようとしたが

hhttps://www.fortinet.com/support-and-training/support/product-downloads.html

今まではすぐにダウンロードできたが今度はメールアドレスなど細かい個人情報を

聞いてきた。これってなんで変わったの？それともおかしなサイトをオレが見てる？

で、適当に情報を入力して、FortiClientをダウンロードしてインストールすると

なんと勝手にアンチウイルスソフトまでインストールさせられた。前は

インストールしないのを選べた。それでFortiClientアンチウイルスがWin10の

Defenderとバッティングして、Defenderをオンにできない。

みんなどうしてるの？Defenderをオンにしたいんだけど。辛いわ。

>>318

hhttp://www.forticlient.com/#download

こっちのインストーラでvpn only選べる。

>>319

今のforticlientを一度アンインストールして、

vpn onlyのインストーラーで再インストールすればよいと

思うが、そもそも今のforticlientをアンイストールできない。

下記のエラーが出てアンイストールできない。

どうすればいいの？なんなんだろうこれ？

forticlient cannot be modified or removed while

it is registered to a remote management server

>>321

たぶんfortigateにクライアントが登録されてるんじゃね。

forticlientのコンソール開いてファイル→登録解除。

でどうかな。

FortiViewの送信元(またはすべてのセッション)にデバイスっていう項目があるけど、これを表示する方法はありますか？

WinやiOSで試しても出てこないのでOS依存ではなさそう。

ハンドブック読んでも書いてなく、DHCPサーバ予約設定のDiscriptionに文字列入れてみたけど表示されずで用途も使い方もわかりません。

>>323

ポリシーの送信元デバイスタイプをとりあえずAll

にすればデバイス検出が有効化される。

IP address is in same subnet as the othersのエラーが出た場合は

下記コマンドをcliで

config system settings

set allow-subnet-overlap enable

end