جدار الحماية من الجيل التالي FortiGate: مفاهيم الإعداد من الواجهات إلى استكشاف الأخطاء

FortiGate هو جدار حماية من الجيل التالي من شركة Fortinet. يفحص الحركة وفق السياسات، ويطبّق ملفات تعريف أمان مثل مكافحة الفيروسات وتصفية الويب ومنع الاختراق، وينهي أنفاق VPN. يشرح هذا المقال إعدادًا كاملًا بالترتيب الذي ستواجهه فيه: وظيفة الجهاز، وتخطيط الشبكة، والوصول الأول، والواجهات والتوجيه، وسياسات جدار الحماية، ونشر الخوادم بعناوين IP افتراضية، وملفات تعريف الأمان، وVPN من موقع إلى موقع، والتوفر العالي واستكشاف الأخطاء. ولكل قسم رسم توضيحي أو قائمة تحقق، وتعرض أمثلة إعداد الجهاز أوامر FortiOS لكل خطوة.

ما الذي تحتاجه

ينبغي أن تعرف عناوين IP والشبكات الفرعية، وما الذي يفعله الموجّه والمفتاح. ويفيد كثيرًا أن تكون قد قرأت مقال CCNA ومقال Palo Alto NGFW على هذا الموقع، لأن أفكار المناطق والسياسات وNAT واحدة هنا. للتدرب استخدم جهاز اختبار أو FortiGate VM في مختبر، أو صورة التقييم التي يوفرها المصنّع. اعمل فقط على جهاز تملكه أو يُسمح لك بإعداده، ولا تغيّر جدار حماية في بيئة الإنتاج دون خطة مكتوبة وخطة للتراجع.

رسوم توضيحية

الموضوع 1: ماذا يفعل FortiGate

يجمع FortiGate بين جدار الحماية ذي الحالة (Stateful) وفحص الأمان وVPN والتوجيه في جهاز واحد. وتسمي Fortinet هذا النهج إدارة التهديدات الموحّدة (UTM) عندما تعمل عدة محركات فحص على الحركة نفسها. وتحدد الواجهات والمناطق والسياسات ما الذي يمر، وتحدد ملفات التعريف ما الذي يُفحص.

جدار الحماية وUTM وSecurity Fabric

يتتبع جدار الحماية ذو الحالة كل اتصال، ويسمح بالحركة العائدة تلقائيًا. وفوق ذلك، تفحص ميزات UTM المحتوى: يفحص مكافحة الفيروسات الملفات، ويصنّف تصفية الويب المواقع إلى فئات، ويكتشف نظام منع الاختراق (IPS) الهجمات. وينضم كثير من أجهزة FortiGate أيضًا إلى Security Fabric، فتتبادل معلومات التهديدات مع أجهزة Fortinet الأخرى.

السياسة تقرر، وملف التعريف يفحص

تطابق سياسة جدار الحماية واجهة المصدر، وواجهة الوجهة، وعناوين المصدر والوجهة، والخدمة، وجدول الزمن. وإذا سمحت السياسة بالحركة، فإن ملفات التعريف المرتبطة بها تفحص تلك الحركة. والسياسة بلا ملفات تعريف تفحص العناوين والمنافذ فقط، لذلك فإن ملفات التعريف هي ما يمنح FortiGate ميزاته من الجيل التالي.

مكانه وما يراه

يقع FortiGate عادةً بين موجّه الإنترنت والشبكة الداخلية. ويرى جدار الحماية كل حزمة تعبر بين الواجهات. وإذا كان خلف جهاز يخفي عنوان المصدر الحقيقي، فإن السياسات القائمة على المستخدم والسجلات تفقد كثيرًا من فائدتها.

الموضوع 2: التخطيط قبل الإعداد

معظم مشكلات جدران الحماية تأتي من تصميم غير واضح، لا من الجهاز نفسه. اكتب الشبكة التي تحميها، والحركة التي تريد السماح بها، والترتيب الذي ستبني به الإعداد.

ارسم المخطط

ارسم رابط الإنترنت وFortiGate وشبكة LAN للمكتب ومنطقة DMZ التي تضم الخوادم العامة. ضع على كل منفذ اسمه (port1 وport2 وport3) ودوره (WAN وLAN وDMZ) وعنوان IP الخاص به. يخبرك هذا المخطط بمكان كل سياسة، لذلك احتفظ به مع الإعداد.

اكتب خطة الواجهات والعناوين

لكل منفذ سجّل الدور، وعنوان IP والقناع، والغرض، والشبكة الفرعية خلفه. وأضف كائنات العناوين التي تحتاجها، مثل شبكة المبيعات وخادم الويب. تجعل الخطة المكتوبة تغيير العنوان لاحقًا أسهل، لأنك تعرف السياسات التي تعتمد عليه.

اسرد الحركة المطلوبة

اكتب كل تدفق مطلوب بلغة واضحة: يستطيع قسم المبيعات تصفح الإنترنت عبر HTTP وHTTPS، ويستطيع الإنترنت الوصول إلى خادم الويب في DMZ عبر HTTPS فقط، ويتصل فرع الشركة بالمقر الرئيسي عبر IPsec. تصبح كل جملة سياسة واحدة، وأي حركة ليست في القائمة تُرفض بواسطة الرفض الضمني (implicit deny) في النهاية.

خطط للتراجع

قبل أول تغيير، انسخ احتياطيًا للإعداد ودوّن كيفية استعادته. وخطط لنافذة صيانة للتغييرات التي تمس الحركة الحية، وأبلغ المستخدمين الذين سيتأثرون بها.

الموضوع 3: الوصول الأول والإعداد الأولي

يحتاج جهاز FortiGate الجديد إلى اسم مضيف، وحساب مسؤول آمن، وDNS، وعناوين IP للواجهات، وتراخيص وتحديثات قبل أن يتمكن من حماية أي شيء. وتختلف قوائم واجهة GUI بين إصدارات FortiOS، لذلك فالأوامر في هذا المقال إرشادية. تحقق منها مع وثائق الإصدار الذي تستخدمه.

الاتصال وتغيير كلمة المرور الافتراضية

وصّل حاسوبًا بمنفذ الإدارة، وافتح واجهة الويب على العنوان المذكور في دليل المصنّع. سجّل الدخول بالحساب الافتراضي مرة واحدة، ثم غيّر كلمة المرور فورًا، وأنشئ حسابات مسؤولين مسماة لكل شخص بأقل صلاحيات تحتاجها.

قيّد من يستطيع إدارة الجهاز

اضبط المضيفات الموثوقة (Trusted hosts) لكل حساب مسؤول، بحيث لا يسمح تسجيل الدخول إلا من شبكة المسؤولين. أزل الوصول الإداري (ping وHTTPS وSSH) من منفذ WAN، واسمح به فقط على LAN أو على واجهة إدارة مخصصة. وفعّل المصادقة الثنائية لتسجيل دخول المسؤولين إن كان الجهاز يدعمها.

اضبط DNS والوقت واسم المضيف

أعطِ الجهاز اسمًا واضحًا مثل FGT-HQ-01. واضبط خوادم DNS حتى يتمكن الجهاز من فحص التراخيص والتحديثات والأسماء. والوقت الدقيق مهم للسجلات والشهادات وVPN، لذلك اضبطه من مصدر NTP موثوق.

التراخيص وتحديثات FortiGuard والبرنامج الثابت

فعّل التراخيص التي اشتريتها، والتي تُفعّل خدمات FortiGuard: مكافحة الفيروسات ونظام منع الاختراق وتصفية الويب والتحكم بالتطبيقات. تحقق من أن قواعد التوقيعات محدثة، وثبّت إصدار البرنامج الثابت الذي توصي به Fortinet لطرازك. اقرأ ملاحظات الإصدار أولًا، واحتفظ بصورة البرنامج القديمة لتتمكن من الرجوع إليها.

إعداد الجهاز: ضبط اسم الجهاز ووصول الإدارة وDNS والواجهات

أعطِ جهاز FortiGate اسمًا، واضبط خوادم DNS، وقصر حساب المسؤول على شبكة فرعية موثوقة. أعطِ منفذ WAN عنوانًا عامًا وحدد دوره، وأعطِ منفذ LAN عنوان البوابة الخاص. تحقق من أن كل منفذ يعمل بالأمر get system interface physical.

# FortiOS CLI: hostname, admin access, DNS and interfaces
config system global
    set hostname FGT-HQ-01
end
config system dns
    set primary 8.8.8.8
end
config system admin
    edit "netadmin"
        set accprofile "super_admin"
        set password <strong-password>
        set trusthost1 192.168.1.0 255.255.255.0
    next
end
config system interface
    edit "port1"
        set alias WAN
        set mode static
        set ip 203.0.113.2 255.255.255.252
        set role wan
        set allowaccess ping https ssh
    next
    edit "port2"
        set alias LAN
        set mode static
        set ip 10.10.10.1 255.255.255.0
        set role lan
        set allowaccess ping https ssh
    next
end
# Check
get system status
get system interface physical

الموضوع 4: الواجهات والمناطق والعناوين والتوجيه

كل منفذ واجهة لها عنوان. وتجمع المنطقة الواجهات التي تشترك في مستوى ثقة واحد، لتتمكن السياسة من الإشارة إلى اسم واحد بدلًا من عدة منافذ. وتسمّي كائنات العناوين الشبكات الفرعية والمضيفين. ويخبر التوجيه الجهاز إلى أين يرسل الحركة التي لا تقع في شبكة متصلة مباشرة به.

المنافذ الفعلية وأدوارها

اضبط كل منفذ على الوضع static مع عنوان IP وقناع، وأعطه دورًا (WAN أو LAN أو DMZ). يجعل الدور واجهة GUI والإعدادات الافتراضية منطقية، أما السياسات فما زالت تقرر ما الذي يمر. واستخدم alias لعرض اسم مقروء في قائمة الواجهات.

المناطق تجمع المنافذ

منطقة تضم port2 وport4 تتيح لسياسة واحدة أن تغطي المنفذين معًا في شبكة LAN للمكتب. ويمكن للسياسات بعد ذلك أن تشير إلى اسم المنطقة، وهذا أسهل في القراءة والتغيير. اجعل المناطق متوافقة مع مخطط التصميم.

المسارات الثابتة والمسار الافتراضي

يرسل المسار الافتراضي الحركة إلى الوجهات غير المعروفة عبر منفذ WAN إلى بوابة ISP. وتضيف المسارات الثابتة الشبكات الواقعة خلف موجّهات أخرى. تحقق من جدول التوجيه بالأمر get router info routing-table all، وتأكد من وجود مسار العودة، لأن الجهاز لا يستطيع توجيه حركة لا مسار لها.

كائنات العناوين

أنشئ كائن عنوان لكل شبكة فرعية وخادم، مثل SALES-NET أو WEB-SERVER، واستخدم الأسماء في السياسات. تجعل كائنات العناوين السياسات سهلة القراءة، وتغيير الكائن مرة واحدة يحدّث كل سياسة تستخدمه.

إعداد الجهاز: إنشاء المناطق والمسار الافتراضي وكائنات العناوين

تجمع المنطقة منافذ LAN حتى تشير السياسات إليها باسم واحد. ويرسل المسار الثابت حركة الإنترنت عبر port1 إلى بوابة ISP. وتعطي كائنات العناوين اسمًا للشبكة الفرعية، فتبقى السياسات سهلة القراءة. تحقق من المسارات بالأمر get router info routing-table all.

# FortiOS CLI: zones, a default route and an address object
config system zone
    edit "LAN"
        set interface "port2"
    next
end
config router static
    edit 1
        set device "port1"
        set gateway 203.0.113.1
    next
end
config firewall address
    edit "SALES-NET"
        set subnet 10.10.10.0 255.255.255.0
    next
end
# Check
get router info routing-table all
diagnose ip address list

الموضوع 5: سياسات جدار الحماية: الترتيب والرفض الضمني والتسجيل

سياسة جدار الحماية قائمة مرتبة من القواعد. يفحص الجهاز السياسات من الأعلى إلى الأسفل، ويطبق أول سياسة تطابق واجهة المصدر وواجهة الوجهة والعناوين والخدمة وجدول الزمن. وإذا لم تطابق أي سياسة، تُسقط الحركة بواسطة الرفض الضمني.

حقول السياسة المهمة

للسياسة اسم، وواجهات المصدر والوجهة، وعناوين المصدر والوجهة، وخدمة (مثل HTTP أو HTTPS)، وجدول زمني (always أو فترة زمنية)، وإجراء (accept أو deny)، وNAT مفعّل أو معطّل، وملفات تعريف الأمان، والتسجيل. سمِّ كل سياسة كي يوضح السجل أي قاعدة تطابقت.

الترتيب والرفض الضمني

ضع السياسات المحددة فوق السياسات العامة، لأن أول تطابق هو الذي يُطبَّق. ينتهي كل جهاز FortiGate بالرفض الضمني غير المرئي، لذلك تُسقط أي حركة لم تكتب لها سياسة. اختبر كل سياسة جديدة بعميل وتحقق من السجلات قبل الانتقال إلى التالية.

التسجيل وبحث السياسات

فعّل التسجيل للسياسات المهمة، واستخدم سجل all أو utm لمعرفة نتائج الفحص. يُظهر الأمر diagnose firewall iprope lookup السياسة التي ستطابقها حركة معينة، ويوفر وقتًا كبيرًا عندما يقول مستخدم إن موقعًا محظور.

ابدأ بصرامة، ثم خفّف بالدليل

ابدأ بسياسة رفض مع تسجيل لأي تدفق جديد، وراجع السجلات لترى ما يُستخدم فعلًا، ثم اكتب سياسة قبول للحركة التي تأكدت منها. هذا يمنعك من السماح بأكثر مما تحتاج لأن السياسة نُسخت من جهاز آخر.

إعداد الجهاز: كتابة سياسة خروج مع ملفات تعريف الأمان

تسمح السياسة رقم 10 للشبكة الفرعية للمبيعات بالوصول إلى الإنترنت عبر HTTP وHTTPS، وتطبّق NAT على الواجهة الخارجة، وتشغّل ملفات تعريف مكافحة الفيروسات وتصفية الويب وIPS. ويُظهر الأمر diagnose firewall iprope lookup السياسة التي ستطابقها حركة معينة، وهو مفيد قبل الاختبار بعميل حقيقي.

# FortiOS CLI: outbound policy for the sales network with security profiles
config firewall policy
    edit 10
        set name "allow-sales-web"
        set srcintf "port2"
        set dstintf "port1"
        set srcaddr "SALES-NET"
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "HTTP" "HTTPS"
        set nat enable
        set utm-status enable
        set av-profile "default"
        set webfilter-profile "default"
        set ips-sensor "default"
        set logtraffic all
    next
end
# Check which policy a flow would match
diagnose firewall iprope lookup 10.10.10.20 0 8.8.8.8 443 port2 6

الموضوع 6: عناوين IP الافتراضية: نشر خادم داخلي

عنوان IP الافتراضي (VIP) هو كائن عنوان يربط عنوانًا خارجيًا ومنفذًا بخادم داخلي. ثم تسمح السياسة بالحركة إلى عنوان VIP، لا إلى العنوان الخاص. وبهذه الطريقة يصل مستخدم الإنترنت إلى خادم الويب في DMZ.

كيف تعمل الترجمة

يتصل المستخدم بالعنوان العام 203.0.113.10 على المنفذ 443. يترجم FortiGate الوجهة إلى 172.16.10.10 على المنفذ نفسه، ويعيد توجيه الحركة إلى واجهة DMZ. وتُترجم الاستجابة عكسيًا تلقائيًا لأن الجلسة مُتتبعة.

السياسة تستخدم VIP

تستخدم السياسة من واجهة الإنترنت إلى واجهة DMZ عنوان VIP كوجهة. تذكّر أن السياسة تفحص العنوان بعد الترجمة في الاتجاه العكسي. والخطأ الشائع أن تسمح السياسة بالعنوان الخاص، وهذا لا يطابق الحركة القادمة.

تحقق من الجلسات

استخدم diagnose sys session filter وdiagnose sys session list لرؤية العنوان الأصلي والعنوان المترجم لكل جلسة. وإذا لم يتلقَّ العميل ردًا، فتحقق من VIP ثم السياسة ثم جدار حماية الخادم نفسه، بهذا الترتيب.

إعداد الجهاز: نشر خادم بعنوان IP افتراضي وسياسة

يربط عنوان IP الافتراضي العنوان العام والمنفذ بخادم DMZ الخاص. ويجب أن تسمح السياسة بالحركة إلى عنوان IP الافتراضي وتوجيهها إلى واجهة DMZ. تحقق من الجلسات بالأمر diagnose sys session لتتأكد من أن الترجمة تعمل.

# FortiOS CLI: a virtual IP (DNAT) for the DMZ web server and the policy that allows it
config firewall vip
    edit "WEB-SERVER"
        set extintf "port1"
        set extip 203.0.113.10
        set mappedip "172.16.10.10"
        set portforward enable
        set extport 443
        set mappedport 443
    next
end
config firewall policy
    edit 20
        set name "allow-web-to-dmz"
        set srcintf "port1"
        set dstintf "port3"
        set srcaddr "all"
        set dstaddr "WEB-SERVER"
        set action accept
        set schedule "always"
        set service "HTTPS"
        set ips-sensor "default"
        set logtraffic all
    next
end
# Check the sessions for the web server
diagnose sys session filter dst 172.16.10.10
diagnose sys session list

الموضوع 7: ملفات تعريف الأمان وفحص SSL

ملفات التعريف هي المكان الذي ينظر فيه FortiGate إلى داخل الحركة. وهي تمنحه ميزاته من الجيل التالي، لكنها تحتاج أيضًا إلى تخطيط، لأن الحركة المشفرة لا يمكن فحصها دون فك تشفير، وفك التشفير يؤثر في الخصوصية وفي بعض التطبيقات.

الملفات الرئيسية

يفحص ملف مكافحة الفيروسات الملفات بحثًا عن البرمجيات الخبيثة. ويحظر ملف تصفية الويب فئات المواقع أو يحذّر منها. ويكتشف مستشعر IPS أنماط الهجوم ويحظرها. ويحدد التحكم بالتطبيقات تطبيقات مثل الدردشة أو مشاركة الملفات. ابدأ بالملفات الافتراضية، ثم عدّلها بالاعتماد على السجلات.

الحركة المشفرة وفحص SSL

تستخدم معظم حركة الويب TLS، لذلك لا تستطيع ملفات التعريف قراءتها إلا إذا فكّ الجهاز تشفيرها. يتيح فحص SSL لجهاز FortiGate أن يقدم شهادته الخاصة للعميل، وهذا يتطلب أن يثق العميل بجهة إصدار الشهادات الخاصة بـ FortiGate. أما فحص الشهادة فيتحقق من الشهادة فقط دون فك تشفير المحتوى، وهو خطوة أولى أكثر أمانًا.

استثناءات البنوك والخدمات الصحية

بعض المواقع، مثل البنوك وخدمات الصحة، تتعطل عند استبدال شهاداتها، كما أن بياناتها حساسة. استثنها من فك التشفير، ووثّق القرار مع مالكي الشبكة.

الموضوع 8: VPN من موقع إلى موقع عبر IPsec

يربط نفق IPsec مكتبين عبر الإنترنت مع تشفير. تُنشئ المرحلة الأولى قناة آمنة بين البوابتين. وتُنشئ المرحلة الثانية النفق المحمي للحركة بين الشبكتين الفرعيتين. ويجب أن يتطابق الطرفان، وإلا فلن يعمل النفق.

المرحلة الأولى والمرحلة الثانية

تُصادق المرحلة الأولى البوابتين بمفتاح مشترك مسبقًا أو بشهادة، وتتفقان على طرق التشفير والتجزئة. وتتفق المرحلة الثانية على الشبكات الفرعية المحمية وطرق حماية البيانات نفسها. وعدم التطابق في أي مرحلة هو السبب الأكثر شيوعًا لعدم عمل النفق.

التوجيه والسياسات

يرسل المسار الثابت حركة الشبكة الفرعية البعيدة إلى واجهة النفق. ثم يجب أن تسمح السياسات بالحركة بين LAN المحلي والنفق في الاتجاهين. والنفق الذي يعمل لكنه لا ينقل الحركة ينقصه في الغالب مسار أو سياسة في أحد الطرفين.

تحقق من النفق

استخدم get vpn ipsec tunnel summary لمعرفة هل النفق يعمل، وdiagnose vpn ike gateway list لرؤية حالة المرحلة الأولى. وعند حدوث عطل، يُظهر خرج تصحيح IKE كل خطوة من خطوات التفاوض، ويجب إيقافه بعد انتهاء الاختبار.

إعداد الجهاز: بناء نفق IPsec من موقع إلى موقع

يحتاج الطرفان إلى إعدادات Phase 1 وPhase 2 متطابقة، وإلى السر المشترك نفسه، وإلى شبكات فرعية تغطي شبكة الطرف الآخر. يرسل المسار الثابت حركة الشبكة الفرعية البعيدة إلى النفق، ويجب أن تسمح السياسات بها. تحقق من النفق بالأمر get vpn ipsec tunnel summary.

# FortiOS CLI: site-to-site IPsec tunnel to the branch office
config vpn ipsec phase1-interface
    edit "to-branch"
        set interface "port1"
        set peertype any
        set net-device disable
        set proposal aes256-sha256
        set remote-gw 198.51.100.20
        set psksecret <shared-secret>
    next
end
config vpn ipsec phase2-interface
    edit "to-branch-p2"
        set phase1name "to-branch"
        set proposal aes256-sha256
        set src-subnet 10.10.10.0 255.255.255.0
        set dst-subnet 10.20.0.0 255.255.0.0
    next
end
config router static
    edit 2
        set device "to-branch"
        set dst 10.20.0.0 255.255.0.0
    next
end
# Check the tunnel
get vpn ipsec tunnel summary
diagnose vpn ike gateway list

الموضوع 9: التوفر العالي واستكشاف الأخطاء

يمكن أن يعمل جهازا FortiGate كمجموعة عنقودية، فتستمر الشبكة في العمل عند تعطل أحدهما. وتساعدك المهارات نفسها على إيجاد سبب المشكلة بسرعة، وهذا يوفر وقتًا أكثر من أي تغيير عشوائي.

مجموعة active-passive

في وضع active-passive، تعالج الوحدة الأساسية الحركة، وتتولى الوحدة الثانوية المهمة إذا تعطلت الأساسية. تشترك الوحدتان في الإعداد وحالة الجلسات عبر رابط heartbeat مخصص. وتصبح الوحدة ذات الأولوية الأعلى هي الأساسية، وتحدد إعدادات override ما إذا كانت ستستعيد الدور بعد التعافي.

اختبر التحويل عند الفشل

خطط لاختبار التحويل عند الفشل في نافذة زمنية يعرفها العمل. تحقق من حالة المجموعة بالأمر get system ha status قبل الاختبار وبعده، وتأكد من أن المستخدمين يحتفظون باتصالاتهم. فالمجموعة سيئة الإعداد قد تسبب انقطاعًا لم يكن جدار حماية واحد ليسببه.

تتبع حركة واحدة بالتصحيح

عندما تفشل حركة، تتبعها خطوة بخطوة. ضع مرشحًا لعنوان العميل، وفعّل تصحيح التدفق، وابدأ تتبعًا لعدد قليل من الحزم، واقرأ الخرج: المسار، ونتيجة مطابقة السياسة، ونتائج ملفات التعريف. أوقف التصحيح فور حصولك على الجواب، لأن خرجه يستهلك كثيرًا من المعالج.

السجلات والنسخ الاحتياطية والمراقبة

راجع سجلات الحركة والأحداث بانتظام، لا عندما يحدث عطل فقط. احتفظ بنسخة احتياطية من الإعداد قبل كل تغيير، وسجّل التغيير وسببه. ولوحات المتابعة والتنبيهات لأعطال VPN وانتهاء التراخيص وأخطاء الواجهات تلتقط المشكلات مبكرًا.

إعداد الجهاز: ضبط HA من نوع active-passive واستكشاف مسار الحركة

للوحدة الأساسية أولوية أعلى، ومنفذ heartbeat يربط الوحدتين. استخدم diagnose debug flow لتتبع اتصال واحد خطوة بخطوة: البحث عن المسار، ومطابقة السياسة، ثم ملفات التعريف. وعندما تحصل على الإجابة أوقف التصحيح فورًا بالأمر diagnose debug disable، لأن مخرجاته تستهلك كثيرًا من المعالج.

# FortiOS CLI: active-passive HA, then the basic diagnose commands for troubleshooting
config system ha
    set group-name "FGT-HA"
    set mode a-p
    set hbdev "port8" 50
    set priority 200
    set override disable
    set password <ha-password>
end
# Troubleshooting: follow one flow and look at the debug output
diagnose debug reset
diagnose debug flow filter addr 10.10.10.20
diagnose debug flow show console enable
diagnose debug enable
diagnose debug flow trace start 20
diagnose debug disable
get system ha status

التدرب في المختبر

تأتي مهارات FortiGate من الممارسة، لذلك ابنِ مختبرًا صغيرًا فيه ثلاث شبكات: جانب الإنترنت، وشبكة المكتب المحلية، وDMZ فيه خادم ويب. استخدم FortiGate VM أو صورة التقييم، واتبع هذه الخطوات بالترتيب.

1. ارسم المخطط، واكتب خطة الواجهات والعناوين للشبكات الثلاث.

2. اضبط اسم الجهاز وDNS وحساب مسؤول مسمى، وقيّد الوصول الإداري بشبكة المسؤولين.

3. اضبط المنافذ الثلاثة بأدوارها وعناوينها، ثم أضف المسار الافتراضي.

4. تحقق من الاتصال من كل شبكة بالأمر ping قبل إضافة أي سياسة.

5. أضف سياسة الخروج لشبكة المبيعات مع NAT وملفات التعريف الافتراضية، ثم اختبر من عميل.

6. أنشئ عنوان IP افتراضيًا لخادم الويب في DMZ مع السياسة المطابقة، ثم تحقق من الجلسات.

7. أنشئ نفق IPsec من موقع إلى موقع مع جهاز مختبر ثانٍ، وأضف المسارات والسياسات، ثم تحقق من حالة النفق.

8. انسخ الإعداد احتياطيًا، وغيّر نقطة واحدة، وتتبع حركة بالتصحيح، ثم استعد النسخة الاحتياطية للتأكد من أن التراجع يعمل.

الخطوات التالية

بعد الإعداد، تدرّب على إيجاد الحركة المحظورة في دقائق باستخدام بحث السياسات وأوامر التصحيح. ثم ادرس SSL VPN وFortiClient للمستخدمين عن بُعد، وSecurity Fabric لمشاركة معلومات التهديدات. وسجّل كل تغيير تجريه، فمعظم الانقطاعات تأتي من تغيير لم يسجله أحد، لا من سياسة واحدة خاطئة.

الخلاصة

يفحص FortiGate الحركة وفق السياسات، ويطبّق عليها ملفات تعريف الأمان. يبدأ الإعداد الجيد بمخطط للمفهوم، وخطة للواجهات والعناوين، وقائمة بالحركة المطلوبة. ثم تأتي الوصول الأول، والواجهات والمناطق والمسارات، وسياسات مرتبة فيها سماح صريح لكل تدفق، وعناوين IP افتراضية للخوادم، وملفات التعريف وفحص SSL، ونفق IPsec للفروع، والتوفر العالي. انسخ الإعداد احتياطيًا قبل كل تغيير، وتتبع الحركة بالتصحيح عند وقوع عطل، وأوقف التصحيح بعد الانتهاء.