FortiGate Next-Generation Firewall: Konsep Pengaturan dari Antarmuka sampai Pemecahan Masalah

FortiGate adalah next-generation firewall dari Fortinet. Ia memeriksa lalu lintas berdasarkan kebijakan, menerapkan profil keamanan seperti antivirus, web filtering, dan intrusion prevention, serta mengakhiri terowongan VPN. Artikel ini membahas pengaturan lengkap sesuai urutan yang akan Anda temui: apa yang dilakukan perangkat, cara merencanakan jaringan, akses pertama, antarmuka dan routing, kebijakan firewall, publikasi virtual IP, profil keamanan, VPN site-to-site, serta high availability dan pemecahan masalah. Setiap bagian menyertakan diagram atau daftar periksa, dan contoh konfigurasi perangkat menunjukkan perintah FortiOS untuk setiap langkah.

Yang Anda butuhkan

Anda sebaiknya memahami pengalamatan IP dan subnetting, serta fungsi router dan switch. Akan membantu jika Anda sudah membaca artikel CCNA dan artikel Palo Alto NGFW di situs ini, karena gagasan zona, kebijakan, dan NAT yang sama juga berlaku di sini. Untuk berlatih, gunakan unit lab, FortiGate VM di lab, atau image evaluasi dari vendor. Kerjakan hanya pada perangkat yang Anda miliki atau yang Anda berwenang untuk mengonfigurasinya, dan jangan pernah mengubah firewall produksi tanpa rencana tertulis dan jalur pengembalian.

Ilustrasi

Topik 1: Apa yang dilakukan FortiGate

FortiGate menggabungkan firewall stateful dengan inspeksi keamanan, VPN, dan routing dalam satu perangkat. Fortinet menyebutnya pendekatan unified threat management (UTM) ketika beberapa mesin inspeksi berjalan pada lalu lintas yang sama. Antarmuka, zona, dan kebijakannya menentukan apa yang boleh lewat, dan profilnya menentukan apa yang diperiksa.

Firewall, UTM, dan Security Fabric

Firewall stateful melacak setiap koneksi dan secara otomatis mengizinkan lalu lintas balasan. Di atasnya, fitur UTM memeriksa isi: antivirus memindai berkas, web filter mengelompokkan situs web ke dalam kategori, dan intrusion prevention system (IPS) mendeteksi serangan. Banyak FortiGate juga bergabung dengan Security Fabric, tempat mereka berbagi informasi ancaman dengan perangkat Fortinet lainnya.

Kebijakan memutuskan, profil memeriksa

Kebijakan firewall mencocokkan antarmuka sumber, antarmuka tujuan, alamat sumber dan tujuan, layanan, dan jadwal. Jika kebijakan menerima lalu lintas, profil yang dilampirkan pada kebijakan itu akan memeriksanya. Kebijakan tanpa profil hanya memeriksa alamat dan port, jadi profillah yang memberi FortiGate fitur next-generation-nya.

Posisinya dan apa yang dilihatnya

FortiGate biasanya berada di antara router internet dan jaringan internal. Setiap paket yang melintas antarmuka akan dilihat oleh firewall. Jika ia berada di belakang perangkat yang menyembunyikan alamat sumber asli, kebijakan berbasis pengguna dan log menjadi jauh kurang berguna.

Topik 2: Merencanakan pengaturan sebelum mengonfigurasi

Sebagian besar masalah firewall berasal dari desain yang tidak jelas, bukan dari perangkatnya. Tuliskan jaringan yang Anda lindungi, lalu lintas yang ingin Anda izinkan, dan urutan saat Anda membangun konfigurasinya.

Gambar konsepnya

Gambar tautan internet, FortiGate, LAN kantor, dan DMZ dengan server publik. Beri label setiap port dengan namanya (port1, port2, port3), perannya (WAN, LAN, DMZ), dan alamat IP-nya. Diagram ini memberi tahu Anda di mana setiap kebijakan seharusnya berada, jadi simpan bersama konfigurasinya.

Tulis rencana antarmuka dan alamat

Untuk setiap port, catat perannya, alamat IP dan mask, tujuannya, dan subnet di baliknya. Tambahkan objek alamat yang Anda perlukan, seperti subnet sales dan server web. Rencana tertulis memudahkan perubahan alamat di kemudian hari, karena Anda bisa melihat kebijakan mana yang bergantung padanya.

Daftar lalu lintas yang dibutuhkan

Tulis setiap alur yang diperlukan dalam bahasa sehari-hari: subnet sales boleh menjelajah internet lewat HTTP dan HTTPS; internet boleh mengakses server web DMZ hanya lewat HTTPS; kantor cabang tersambung ke kantor pusat lewat IPsec. Setiap kalimat menjadi satu kebijakan, dan lalu lintas apa pun yang tidak ada dalam daftar akan ditolak oleh implicit deny di akhir.

Rencanakan pengembalian

Sebelum perubahan pertama, cadangkan konfigurasi dan catat cara memulihkannya. Rencanakan jendela pemeliharaan untuk perubahan yang menyentuh lalu lintas aktif, dan beri tahu pengguna yang akan terdampak.

Topik 3: Akses pertama dan pengaturan awal

FortiGate baru memerlukan hostname, akun admin yang aman, DNS, alamat antarmuka, serta lisensi dan pembaruan sebelum bisa melindungi apa pun. Menu GUI berbeda antarversi FortiOS, jadi perintah dalam artikel ini hanya panduan. Periksa dengan dokumentasi untuk versi Anda.

Terhubung dan ganti kata sandi default

Hubungkan komputer ke port manajemen dan buka antarmuka web di alamat yang tercantum di panduan vendor. Login dengan akun default sekali, lalu segera ganti kata sandinya dan buat akun admin bernama untuk setiap orang dengan hak akses seminimal mungkin.

Batasi siapa yang bisa mengelola unit

Atur trusted host pada setiap akun admin agar login hanya bisa dilakukan dari subnet admin. Hapus akses manajemen (ping, HTTPS, SSH) dari port WAN, dan izinkan hanya di LAN atau antarmuka manajemen khusus. Aktifkan autentikasi dua faktor untuk login admin jika unit mendukungnya.

Atur DNS, waktu, dan hostname

Beri unit nama yang jelas seperti FGT-HQ-01. Atur server DNS agar unit bisa memeriksa lisensi, pembaruan, dan nama. Waktu yang akurat penting untuk log, sertifikat, dan VPN, jadi atur waktu dari sumber NTP yang andal.

Lisensi, pembaruan FortiGuard, dan firmware

Aktifkan lisensi yang sudah Anda beli, yang mengaktifkan layanan FortiGuard: antivirus, IPS, web filtering, dan application control. Pastikan database signature sudah terbaru, dan pasang versi firmware yang direkomendasikan Fortinet untuk model Anda. Baca catatan rilisnya terlebih dulu, dan simpan image firmware lama agar Anda bisa kembali.

Konfigurasi perangkat: atur hostname, akses admin, DNS, dan antarmuka

Beri nama FortiGate, atur server DNS, dan batasi akun admin ke subnet tepercaya. Beri port WAN alamat publik dan tandai perannya, dan beri port LAN alamat gateway privatnya. Gunakan get system interface physical untuk memastikan setiap port aktif.

# CLI FortiOS: hostname, akses admin, DNS, dan antarmuka
config system global
    set hostname FGT-HQ-01
end
config system dns
    set primary 8.8.8.8
end
config system admin
    edit "netadmin"
        set accprofile "super_admin"
        set password <strong-password>
        set trusthost1 192.168.1.0 255.255.255.0
    next
end
config system interface
    edit "port1"
        set alias WAN
        set mode static
        set ip 203.0.113.2 255.255.255.252
        set role wan
        set allowaccess ping https ssh
    next
    edit "port2"
        set alias LAN
        set mode static
        set ip 10.10.10.1 255.255.255.0
        set role lan
        set allowaccess ping https ssh
    next
end
# Periksa
get system status
get system interface physical

Topik 4: Antarmuka, zona, alamat, dan routing

Setiap port adalah antarmuka dengan alamat. Zona mengelompokkan antarmuka yang memiliki tingkat kepercayaan yang sama, sehingga kebijakan bisa merujuk ke satu nama alih-alih beberapa port. Objek alamat memberi nama pada subnet dan host. Routing memberi tahu unit ke mana harus mengirim lalu lintas yang tidak berada di jaringan yang terhubung langsung.

Port fisik dan perannya

Atur setiap port ke mode static dengan alamat IP dan mask, dan beri peran (WAN, LAN, atau DMZ). Peran membantu GUI dan default masuk akal, sementara kebijakan tetap yang menentukan apa yang boleh lewat. Gunakan alias untuk menampilkan nama yang mudah dibaca di daftar antarmuka.

Zona mengelompokkan port

Zona yang berisi port2 dan port4 memungkinkan satu kebijakan mencakup kedua port LAN kantor. Kebijakan kemudian bisa merujuk ke nama zona, yang lebih mudah dibaca dan diubah. Pastikan zona konsisten dengan diagram desain Anda.

Rute statis dan rute default

Rute default mengirim lalu lintas untuk tujuan yang tidak dikenal ke gateway ISP melalui port WAN. Rute statis menambahkan jaringan di belakang router lain. Periksa tabel routing dengan get router info routing-table all, dan pastikan jalur balasannya ada, karena unit tidak bisa merutekan lalu lintas yang tidak memiliki rutenya.

Objek alamat

Buat objek alamat untuk setiap subnet dan server, seperti SALES-NET atau WEB-SERVER, dan gunakan namanya di kebijakan. Objek alamat membuat kebijakan mudah dibaca, dan satu perubahan pada objek akan memperbarui setiap kebijakan yang memakainya.

Konfigurasi perangkat: buat zona, rute default, dan objek alamat

Zona mengelompokkan port LAN agar kebijakan bisa merujuk ke satu nama. Rute statis mengirim lalu lintas internet keluar melalui port1 ke gateway ISP. Objek alamat memberi nama pada subnet agar kebijakan tetap mudah dibaca. Periksa rute dengan get router info routing-table all.

# CLI FortiOS: zona, rute default, dan objek alamat
config system zone
    edit "LAN"
        set interface "port2"
    next
end
config router static
    edit 1
        set device "port1"
        set gateway 203.0.113.1
    next
end
config firewall address
    edit "SALES-NET"
        set subnet 10.10.10.0 255.255.255.0
    next
end
# Periksa
get router info routing-table all
diagnose ip address list

Topik 5: Kebijakan firewall: urutan, implicit deny, dan logging

Kebijakan firewall adalah daftar aturan yang berurutan. Unit memeriksa kebijakan dari atas ke bawah dan menerapkan yang pertama cocok dengan antarmuka sumber, antarmuka tujuan, alamat, layanan, dan jadwal. Jika tidak ada kebijakan yang cocok, lalu lintas dibuang oleh implicit deny.

Kolom kebijakan yang penting

Sebuah kebijakan memiliki nama, antarmuka sumber dan tujuan, alamat sumber dan tujuan, layanan (seperti HTTP atau HTTPS), jadwal (always, atau rentang waktu), aksi (accept atau deny), NAT on atau off, profil keamanan, dan logging. Beri nama setiap kebijakan agar log menjelaskan aturan mana yang cocok.

Urutan dan implicit deny

Letakkan kebijakan yang spesifik di atas kebijakan yang umum, karena kecocokan pertama yang menang. Setiap FortiGate diakhiri dengan implicit deny yang tidak terlihat, jadi alur apa pun yang belum Anda buatkan kebijakannya akan dibuang. Uji setiap kebijakan baru dengan klien dan periksa log sebelum berpindah ke kebijakan berikutnya.

Logging dan pencarian kebijakan

Aktifkan logging untuk kebijakan yang penting, dan gunakan logging all atau utm untuk melihat hasil inspeksi. Perintah diagnose firewall iprope lookup menunjukkan kebijakan mana yang akan cocok dengan sebuah alur, dan ini menghemat waktu ketika pengguna mengatakan sebuah situs diblokir.

Mulai ketat, lalu longgarkan dengan bukti

Mulailah dengan kebijakan deny-and-log untuk alur baru, periksa log untuk melihat apa yang benar-benar dipakai, lalu tulis kebijakan accept untuk lalu lintas yang sudah Anda pastikan. Ini mencegah Anda mengizinkan lebih banyak dari yang dibutuhkan hanya karena kebijakan disalin dari unit lain.

Konfigurasi perangkat: tulis kebijakan outbound dengan profil keamanan

Kebijakan 10 mengizinkan subnet sales mengakses internet lewat HTTP dan HTTPS, menerapkan NAT ke antarmuka keluar, dan menjalankan profil antivirus, web filter, dan IPS. Perintah diagnose firewall iprope lookup menunjukkan kebijakan mana yang akan cocok dengan alur tertentu, dan ini berguna sebelum Anda menguji dengan klien sungguhan.

# CLI FortiOS: kebijakan outbound untuk jaringan sales dengan profil keamanan
config firewall policy
    edit 10
        set name "allow-sales-web"
        set srcintf "port2"
        set dstintf "port1"
        set srcaddr "SALES-NET"
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "HTTP" "HTTPS"
        set nat enable
        set utm-status enable
        set av-profile "default"
        set webfilter-profile "default"
        set ips-sensor "default"
        set logtraffic all
    next
end
# Periksa kebijakan mana yang akan cocok dengan sebuah alur
diagnose firewall iprope lookup 10.10.10.20 0 8.8.8.8 443 port2 6

Topik 6: Virtual IP: mempublikasikan server internal

Virtual IP (VIP) adalah objek alamat yang memetakan alamat dan port eksternal ke server internal. Kebijakan kemudian mengizinkan lalu lintas ke VIP, bukan ke alamat privat. Begitulah pengguna internet mencapai server web di DMZ.

Cara terjemahannya bekerja

Pengguna terhubung ke alamat publik 203.0.113.10 pada port 443. FortiGate menerjemahkan tujuan menjadi 172.16.10.10 pada port yang sama dan meneruskan lalu lintas ke antarmuka DMZ. Balasannya diterjemahkan kembali secara otomatis, karena sesinya dilacak.

Kebijakan memakai VIP

Kebijakan dari antarmuka internet ke antarmuka DMZ memakai VIP sebagai tujuannya. Ingat bahwa kebijakan memeriksa alamat setelah terjemahan dalam arah sebaliknya. Kesalahan umum adalah mengizinkan alamat privat di kebijakan, yang tidak cocok dengan lalu lintas yang datang.

Periksa sesinya

Gunakan diagnose sys session filter dan diagnose sys session list untuk melihat alamat asli dan alamat hasil terjemahan untuk setiap sesi. Jika klien tidak mendapat jawaban, periksa VIP, kebijakan, dan firewall milik server itu sendiri, sesuai urutan tersebut.

Konfigurasi perangkat: publikasikan server dengan virtual IP dan kebijakan

Virtual IP memetakan alamat dan port publik ke server DMZ privat. Kebijakan kemudian harus mengizinkan lalu lintas ke virtual IP dan mengirimnya ke antarmuka DMZ. Periksa sesi dengan diagnose sys session untuk memastikan terjemahannya berfungsi.

# CLI FortiOS: virtual IP (DNAT) untuk server web DMZ dan kebijakan yang mengizinkannya
config firewall vip
    edit "WEB-SERVER"
        set extintf "port1"
        set extip 203.0.113.10
        set mappedip "172.16.10.10"
        set portforward enable
        set extport 443
        set mappedport 443
    next
end
config firewall policy
    edit 20
        set name "allow-web-to-dmz"
        set srcintf "port1"
        set dstintf "port3"
        set srcaddr "all"
        set dstaddr "WEB-SERVER"
        set action accept
        set schedule "always"
        set service "HTTPS"
        set ips-sensor "default"
        set logtraffic all
    next
end
# Periksa sesi untuk server web
diagnose sys session filter dst 172.16.10.10
diagnose sys session list

Topik 7: Profil keamanan dan inspeksi SSL

Profil adalah tempat FortiGate melihat ke dalam lalu lintas. Profil memberinya fitur next-generation, tetapi profil juga memerlukan perencanaan, karena lalu lintas terenkripsi tidak bisa diperiksa tanpa dekripsi, dan dekripsi memengaruhi privasi serta beberapa aplikasi.

Profil utama

Profil antivirus memindai berkas untuk malware. Profil web filter memblokir atau memberi peringatan pada kategori situs web. Sensor IPS mendeteksi dan memblokir pola serangan. Application control mengidentifikasi aplikasi seperti chat atau berbagi berkas. Mulailah dengan profil default, lalu ubah berdasarkan log.

Lalu lintas terenkripsi dan inspeksi SSL

Sebagian besar lalu lintas web memakai TLS, sehingga profil tidak bisa membacanya kecuali unit mendekripsinya. Inspeksi SSL memungkinkan FortiGate menyajikan sertifikatnya sendiri kepada klien, yang mengharuskan klien mempercayai certificate authority FortiGate. Inspeksi sertifikat hanya memeriksa sertifikat dan tidak mendekripsi isinya, dan ini adalah langkah awal yang lebih aman.

Pengecualian untuk perbankan dan kesehatan

Beberapa situs, seperti layanan perbankan dan kesehatan, rusak ketika sertifikatnya diganti, dan datanya sangat sensitif. Kecualikan dari dekripsi, lalu dokumentasikan keputusan itu bersama pemilik jaringan.

Topik 8: VPN IPsec site-to-site

Terowongan IPsec menghubungkan dua kantor melalui internet dengan enkripsi. Fase 1 membangun saluran aman antara dua gateway. Fase 2 membuat terowongan yang dilindungi untuk lalu lintas di antara kedua subnet. Kedua ujung harus cocok, atau terowongan tetap tidak aktif.

Fase 1 dan Fase 2

Fase 1 mengautentikasi kedua gateway dengan pre-shared key atau sertifikat, lalu menyepakati metode enkripsi dan hashing. Fase 2 menyepakati subnet yang dilindungi dan metode untuk data itu sendiri. Ketidakcocokan di salah satu fase adalah penyebab paling umum terowongan tidak aktif.

Routing dan kebijakan

Rute statis mengirim lalu lintas untuk subnet jarak jauh ke antarmuka terowongan. Kemudian kebijakan harus mengizinkan lalu lintas antara LAN lokal dan terowongan, serta arah sebaliknya. Terowongan yang aktif tetapi tidak melewatkan lalu lintas hampir selalu kekurangan rute atau kebijakan di salah satu sisi.

Periksa terowongan

Gunakan get vpn ipsec tunnel summary untuk melihat apakah terowongan aktif, dan diagnose vpn ike gateway list untuk melihat status Fase 1. Output debug IKE menampilkan setiap langkah negosiasi ketika ada yang gagal, dan Anda harus mematikannya setelah pengujian.

Konfigurasi perangkat: bangun terowongan IPsec site-to-site

Kedua ujung memerlukan pengaturan Fase 1 dan Fase 2 yang cocok, secret pra-bagi yang sama, serta subnet yang mencakup jaringan satu sama lain. Rute statis mengirim lalu lintas untuk subnet jarak jauh ke terowongan, dan kebijakan kemudian harus mengizinkannya. Periksa terowongan dengan get vpn ipsec tunnel summary.

# CLI FortiOS: terowongan IPsec site-to-site ke kantor cabang
config vpn ipsec phase1-interface
    edit "to-branch"
        set interface "port1"
        set peertype any
        set net-device disable
        set proposal aes256-sha256
        set remote-gw 198.51.100.20
        set psksecret <shared-secret>
    next
end
config vpn ipsec phase2-interface
    edit "to-branch-p2"
        set phase1name "to-branch"
        set proposal aes256-sha256
        set src-subnet 10.10.10.0 255.255.255.0
        set dst-subnet 10.20.0.0 255.255.0.0
    next
end
config router static
    edit 2
        set device "to-branch"
        set dst 10.20.0.0 255.255.0.0
    next
end
# Periksa terowongan
get vpn ipsec tunnel summary
diagnose vpn ike gateway list

Topik 9: High availability dan pemecahan masalah

Dua FortiGate bisa bekerja sebagai klaster sehingga jaringan tetap berjalan ketika salah satu unit gagal. Keterampilan yang sama juga membantu Anda menemukan penyebab masalah dengan cepat, yang lebih menghemat waktu daripada perubahan acak apa pun.

Klaster active-passive

Dalam mode active-passive, unit utama memproses lalu lintas, dan unit sekunder mengambil alih jika unit utama gagal. Kedua unit berbagi konfigurasi dan status sesi melalui tautan heartbeat khusus. Unit dengan prioritas lebih tinggi menjadi utama, dan pengaturan override menentukan apakah ia mengambil kembali peran itu setelah pulih.

Uji failover

Rencanakan uji failover dalam jendela waktu yang sudah diketahui pihak bisnis. Periksa status klaster dengan get system ha status sebelum dan sesudah uji, dan pastikan pengguna tetap mempertahankan koneksi mereka. Klaster yang dikonfigurasi dengan buruk bisa menyebabkan gangguan yang tidak akan terjadi pada satu firewall saja.

Ikuti satu alur dengan debug

Ketika sebuah alur gagal, ikuti langkah demi langkah. Atur filter untuk alamat klien, aktifkan flow debug, mulai trace untuk beberapa paket, lalu baca outputnya: rute, kecocokan kebijakan, hasil profil. Matikan debug segera setelah Anda mendapat jawabannya, karena output debug memakai banyak CPU.

Log, cadangan, dan pemantauan

Tinjau log lalu lintas dan log kejadian secara berkala, bukan hanya ketika ada yang rusak. Simpan cadangan konfigurasi sebelum setiap perubahan, dan catat perubahannya beserta alasannya. Dashboard dan peringatan untuk kegagalan VPN, masa berlaku lisensi, dan error antarmuka membantu menangkap masalah lebih awal.

Konfigurasi perangkat: atur HA active-passive dan pecahkan masalah alur

Unit utama memiliki prioritas lebih tinggi, dan port heartbeat menghubungkan kedua unit. Gunakan diagnose debug flow untuk mengikuti satu koneksi langkah demi langkah: pencarian rute, kecocokan kebijakan, lalu profil. Matikan debug dengan diagnose debug disable segera setelah Anda mendapat jawabannya, karena output debug memakai banyak CPU.

# CLI FortiOS: HA active-passive, lalu perintah diagnosis dasar untuk pemecahan masalah
config system ha
    set group-name "FGT-HA"
    set mode a-p
    set hbdev "port8" 50
    set priority 200
    set override disable
    set password <ha-password>
end
# Pemecahan masalah: ikuti satu alur dan lihat output debug
diagnose debug reset
diagnose debug flow filter addr 10.10.10.20
diagnose debug flow show console enable
diagnose debug enable
diagnose debug flow trace start 20
diagnose debug disable
get system ha status

Praktik di laboratorium

Keterampilan FortiGate datang dari praktik, jadi bangun lab kecil dengan tiga jaringan: sisi internet, LAN kantor, dan DMZ dengan server web. Gunakan FortiGate VM atau image evaluasi, dan kerjakan langkah-langkah ini secara berurutan.

1. Gambar konsepnya dan tulis rencana antarmuka dan alamat untuk ketiga jaringan.

2. Atur hostname, DNS, dan akun admin bernama, lalu batasi akses admin ke subnet admin.

3. Konfigurasikan ketiga port dengan peran dan alamatnya, lalu tambahkan rute default.

4. Periksa konektivitas dari setiap jaringan dengan ping sebelum menambahkan kebijakan apa pun.

5. Tambahkan kebijakan outbound untuk subnet sales dengan NAT dan profil default, lalu uji dari klien.

6. Buat virtual IP untuk server web DMZ dan kebijakan yang cocok, lalu periksa sesinya.

7. Bangun terowongan IPsec site-to-site ke unit lab kedua, tambahkan rute dan kebijakan, lalu periksa status terowongannya.

8. Cadangkan konfigurasi, buat satu perubahan, ikuti satu alur dengan debug, lalu pulihkan cadangan untuk memastikan pengembalian berfungsi.

Langkah berikutnya

Setelah pengaturan, berlatihlah menemukan alur yang diblokir dalam hitungan menit dengan pencarian kebijakan dan perintah debug. Setelah itu pelajari SSL VPN dan FortiClient untuk pengguna jarak jauh, serta Security Fabric untuk berbagi informasi ancaman. Simpan catatan perubahan untuk setiap perubahan yang Anda buat. Sebagian besar gangguan berasal dari perubahan yang tidak tercatat, bukan dari satu kebijakan yang buruk.

Ringkasan

FortiGate memeriksa lalu lintas berdasarkan kebijakan dan menerapkan profil keamanan padanya. Pengaturan yang baik dimulai dengan diagram konsep, rencana antarmuka dan alamat, serta daftar alur yang dibutuhkan. Setelah itu datang akses pertama, antarmuka, zona, dan rute, kebijakan yang berurutan dengan allow eksplisit untuk setiap alur, virtual IP untuk server, profil dan inspeksi SSL, terowongan IPsec untuk kantor cabang, serta high availability. Cadangkan sebelum setiap perubahan, ikuti alur dengan debug ketika ada yang gagal, lalu matikan debug setelahnya.