Step by step configure fortigate

Fortigate

Configuration de base

• [x] Connexion par défaut admin:
• [x] Changement mdp : admin
• [x] Réinitialiser les logs :execute fomatlogdisk

  Le reboot qui suivra permettra de prendre en compte les nouvelles interfaces réseaux, et dans le bon ordre (1 → 6)

• [x] Interface ADMIN :
  Text Only

  config system interface
      edit port6
      set ip 10.5.5.254 255.255.255.0
      set allowaccess ping http https ssh
      end
  

  port 6 étant l'interface de notre LAN ADMIN dans laquelle se trouve notre VM admin

• [x] Interface WAN :
  Text Only

  config system interface
      edit port1
      set ip 192.168.1.105 255.255.255.0
      set allowaccess ping
      end
  

• [x] Route par défaut :
  Text Only

  config router static
      edit 1
      set dst 0.0.0.0 0.0.0.0
      set device port1
      set gateway 192.168.1.254
      end
  

• [x] Serveur DNS :

  Text Only

  config system dns
      set primary 172.16.1.1
      end
  

• [x] Test sur FW :

  Text Only

  execute ping 192.168.1.254 (connectivité vers INTERCO C4)
  execute ping www.free.fr (résoltution DNS)
  

Configuration des règles Fortinet depuis le poste ADMIN

• [x] Test sur la machine du VLAN-ADMIN

  1. connecter la machine au LAN
  2. déactiver l'interface réseau par défaut et n'utiliser que la seconde que l'on vient de créer : ip link set dev ens192 down
  3. tester la connectivité vers le FW
     Text Only

     ping 10.5.5.254
     

• [x] Transférer le fichier de licence (depuis notre hôte) sur la machine ADMIN dans /tmp :

  1. right click on Debian ADMIN machine
  2. File sharing > Upload file on host
  3. Select file : FGVM01TM19003425.lic

     présent dans nos ressources Teams

  4. Destination folder : /tmp

Désormais on utilisera l'interface web : http://10.5.5.254/ - [x] Upload la licence du FW : Fortigate va redémarrer automatiquement - [x] Se connecter au FW sur https://10.5.5.254/ HOSTNAME : FORTIGATE05 Dashboard Setup : Optimal

• [x] Changement des interfaces de chaque port dans Network > Interfaces

• [x] Changement des numéros de ports, l'heure et le timeout dans System > settings > 80:8080 et 443:4343 > GMT +1 > Idle Timeout : 480

Attention le changement de port va modifier notre accès à l'interface d'admin web qui sera désormais sur https://10.5.5.254:4343/

• [x] Ajout et suppression de features dans System > Feature Visibility

• [x] Configuration du firewall en indiquant les port autorisés de chaque interface dans Network > Interfaces

• [x] Configuration du SMTP avec du NAT (serveur mail) dans Policy & Objects > Virtual IPs

Il faut pour cela créer une Virtual IP, qui relie 192.168.1.105 (interface de sortie) vers 10.5.1.1 (serveur relai en DMZ)

• [x] Création des HOSTS correspondants aux machines en place dans Policy & Objects > Addresses

  • [x] HOST_ADMIN
  • [x] HOST_SRV-DNS-C4
  • [x] HOST_SPLUNK
  • [x] HOST_DC01
  • [x] HOST_DC02
  • [x] HOST_EXCH
  • [x] HOST_FILER
  • [x] HOST_WEB1
  • [x] HOST_WEB2
  • [x] HOST_WEB3
  • [x] HOST_USR
  • [x] HOST_MTA
  • [x] HOST_RODC
  • [x] HOST_GLPI
  • [x] HOST_ADMINSITE

• [x] Création de serveur virtuel dans Policy & Objects > Virtual Servers

  • [x] iis.corp05.com
  • [x] apache.corp05.com
  • [x] shop.corp05.com

• [x] Création des politiques firewall dans Policy & Objects > Firewall Policy

Voici les profils de sécurité que nous ajoutons pour les connexions vers les serveurs WEB en DMZ.

pensez à passez l'inspection mode en Proxy-based