Firewall de Próxima Geração FortiGate: Conceitos de Configuração, de Interfaces à Solução de Problemas

O FortiGate é o firewall de próxima geração da Fortinet. Ele inspeciona o tráfego com base em políticas, aplica perfis de segurança como antivírus, filtro web e prevenção de intrusões, e encerra túneis VPN. Este artigo cobre a configuração completa na ordem em que você vai encontrá-la: o que o equipamento faz, como planejar a rede, primeiro acesso, interfaces e roteamento, políticas de firewall, publicação com IP virtual, perfis de segurança, VPN site-to-site e alta disponibilidade com solução de problemas. Cada seção inclui um diagrama ou uma lista de verificação, e os exemplos de configuração mostram os comandos do FortiOS em cada passo.

O que você precisa

Você deve entender endereçamento IP e sub-redes, além das funções de roteador e switch. Ajuda ter lido o artigo de CCNA e o artigo do Palo Alto NGFW deste site, porque os conceitos de zonas, políticas e NAT também se aplicam aqui. Para praticar, use uma unidade de laboratório, uma FortiGate VM no laboratório ou uma imagem de avaliação do fabricante. Trabalhe apenas em equipamentos que você possui ou está autorizado a configurar, e nunca altere um firewall de produção sem um plano por escrito e um caminho de reversão.

Ilustração

Tópico 1: O que o FortiGate faz

O FortiGate reúne em um único equipamento um firewall com estado, inspeção de segurança, VPN e roteamento. A Fortinet chama essa abordagem de gerenciamento unificado de ameaças (UTM) quando vários mecanismos de inspeção funcionam sobre o mesmo tráfego. Suas interfaces, zonas e políticas determinam o que pode passar, e seus perfis determinam o que é inspecionado.

Firewall, UTM e Security Fabric

Um firewall com estado acompanha cada conexão e permite automaticamente o tráfego de resposta. Por cima disso, os recursos de UTM inspecionam o conteúdo: o antivírus verifica arquivos, o filtro web agrupa sites em categorias, e o sistema de prevenção de intrusões (IPS) detecta ataques. Muitos FortiGates também fazem parte da Security Fabric, em que compartilham informações sobre ameaças com outros equipamentos Fortinet.

A política decide, o perfil inspeciona

Uma política de firewall combina interface de origem, interface de destino, endereços de origem e destino, serviço e agenda. Se a política aceita o tráfego, os perfis anexados a ela o inspecionam. Uma política sem perfil só verifica endereços e portas, por isso são os perfis que dão ao FortiGate sua capacidade de próxima geração.

Posição e o que ele enxerga

O FortiGate costuma ficar entre o roteador da internet e a rede interna. Todo pacote que atravessa uma interface é visto pelo firewall. Se ele estiver atrás de um equipamento que oculta o endereço de origem real, políticas baseadas em usuário e logs ficam muito menos úteis.

Tópico 2: Planejando a configuração antes de configurar

A maioria dos problemas de firewall vem de um projeto pouco claro, não do equipamento. Escreva a rede que você está protegendo, o tráfego que quer permitir e a ordem em que vai montar a configuração.

Desenhe o conceito

Desenhe o link da internet, o FortiGate, a LAN do escritório e a DMZ com servidores públicos. Identifique cada porta com seu nome (port1, port2, port3), sua função (WAN, LAN, DMZ) e seu endereço IP. Esse diagrama mostra onde cada política deve estar, então guarde-o junto com a configuração.

Escreva o plano de interfaces e endereços

Para cada porta, anote a função, o endereço IP e a máscara, a finalidade e as sub-redes atrás dela. Adicione os objetos de endereço que você vai precisar, como a sub-rede de vendas e o servidor web. Um plano escrito facilita mudar um endereço no futuro, porque você consegue ver quais políticas dependem dele.

Liste o tráfego necessário

Escreva cada fluxo necessário em linguagem comum: a sub-rede de vendas pode navegar na internet por HTTP e HTTPS; a internet pode acessar o servidor web da DMZ somente por HTTPS; o escritório filial se conecta à matriz por IPsec. Cada frase vira uma política, e qualquer tráfego que não esteja na lista será bloqueado pela negação implícita no final.

Planeje a reversão

Antes da primeira alteração, faça backup da configuração e anote como restaurá-la. Planeje uma janela de manutenção para mudanças que afetem o tráfego ativo, e avise os usuários que serão afetados.

Tópico 3: Primeiro acesso e configuração inicial

Um FortiGate novo precisa de nome de host, uma conta de administrador segura, DNS, endereços de interface e licenças com atualizações antes de proteger qualquer coisa. Os menus da interface gráfica variam entre versões do FortiOS, então os comandos deste artigo são apenas um guia. Confira sempre a documentação da sua versão.

Conecte-se e troque a senha padrão

Conecte o computador à porta de gerenciamento e abra a interface web no endereço indicado no guia do fabricante. Faça login com a conta padrão uma vez, depois troque a senha imediatamente e crie uma conta de administrador nominal para cada pessoa, com o menor privilégio necessário.

Limite quem pode gerenciar o equipamento

Defina hosts confiáveis em cada conta de administrador, para que o login só seja aceito a partir da sub-rede de administração. Remova o acesso de gerenciamento (ping, HTTPS, SSH) da porta WAN, e permita-o apenas na LAN ou em uma interface de gerenciamento dedicada. Ative a autenticação em dois fatores para o login de administrador, se o equipamento suportar.

Configure DNS, horário e nome do host

Dê à unidade um nome claro, como FGT-HQ-01. Configure os servidores DNS para que a unidade possa verificar licenças, atualizações e nomes. O horário preciso é importante para logs, certificados e VPN, então sincronize com uma fonte NTP confiável.

Licenças, atualizações FortiGuard e firmware

Ative as licenças que você comprou, que habilitam os serviços FortiGuard: antivírus, IPS, filtro web e controle de aplicações. Confirme que as bases de assinaturas estão atualizadas, e instale a versão de firmware recomendada pela Fortinet para o seu modelo. Leia primeiro as notas de versão, e guarde a imagem de firmware anterior para poder voltar.

Configuração do equipamento: nome do host, acesso administrativo, DNS e interfaces

Dê um nome ao FortiGate, configure os servidores DNS e limite as contas de administrador à sub-rede confiável. Atribua à porta WAN um endereço público e marque sua função, e atribua à porta LAN o endereço privado do gateway. Use get system interface physical para confirmar que cada porta está ativa.

# CLI FortiOS: nome do host, acesso administrativo, DNS e interfaces
config system global
    set hostname FGT-HQ-01
end
config system dns
    set primary 8.8.8.8
end
config system admin
    edit "netadmin"
        set accprofile "super_admin"
        set password <strong-password>
        set trusthost1 192.168.1.0 255.255.255.0
    next
end
config system interface
    edit "port1"
        set alias WAN
        set mode static
        set ip 203.0.113.2 255.255.255.252
        set role wan
        set allowaccess ping https ssh
    next
    edit "port2"
        set alias LAN
        set mode static
        set ip 10.10.10.1 255.255.255.0
        set role lan
        set allowaccess ping https ssh
    next
end
# Verificar
get system status
get system interface physical

Tópico 4: Interfaces, zonas, endereços e roteamento

Cada porta é uma interface com endereço. As zonas agrupam interfaces que têm o mesmo nível de confiança, para que uma política possa se referir a um único nome em vez de várias portas. Objetos de endereço dão nome a sub-redes e hosts. O roteamento diz à unidade para onde enviar o tráfego que não está nas redes diretamente conectadas.

Portas físicas e suas funções

Configure cada porta no modo static com um endereço IP e uma máscara, e atribua uma função (WAN, LAN ou DMZ). A função ajuda a interface gráfica e os padrões a fazerem sentido, mas são as políticas fixas que definem o que pode passar. Use um alias para mostrar um nome legível na lista de interfaces.

Zonas agrupam portas

Uma zona que contém port2 e port4 permite que uma única política cubra as duas portas LAN do escritório. A política pode então se referir ao nome da zona, que é mais fácil de ler e de alterar. Garanta que as zonas sejam consistentes com o diagrama de projeto.

Rotas estáticas e rota padrão

A rota padrão envia o tráfego para destinos desconhecidos ao gateway do provedor pela porta WAN. Rotas estáticas adicionam redes atrás de outros roteadores. Confira a tabela de roteamento com get router info routing-table all, e garanta que o caminho de volta exista, porque a unidade não consegue rotear tráfego para o qual não tem rota.

Objetos de endereço

Crie objetos de endereço para cada sub-rede e servidor, como SALES-NET ou WEB-SERVER, e use esses nomes nas políticas. Os objetos tornam as políticas fáceis de ler, e uma única alteração em um objeto atualiza todas as políticas que o utilizam.

Configuração do equipamento: zona, rota padrão e objetos de endereço

A zona agrupa as portas LAN para que as políticas possam se referir a um único nome. A rota estática envia o tráfego de saída da internet pela port1 para o gateway do provedor. O objeto de endereço dá nome à sub-rede para manter as políticas legíveis. Verifique as rotas com get router info routing-table all.

# CLI FortiOS: zona, rota padrão e objeto de endereço
config system zone
    edit "LAN"
        set interface "port2"
    next
end
config router static
    edit 1
        set device "port1"
        set gateway 203.0.113.1
    next
end
config firewall address
    edit "SALES-NET"
        set subnet 10.10.10.0 255.255.255.0
    next
end
# Verificar
get router info routing-table all
diagnose ip address list

Tópico 5: Políticas de firewall: ordem, negação implícita e registro

Uma política de firewall é uma lista de regras em sequência. A unidade verifica as políticas de cima para baixo e aplica a primeira que corresponde à interface de origem, à interface de destino, aos endereços, ao serviço e à agenda. Se nenhuma política corresponder, o tráfego é descartado pela negação implícita.

Campos importantes da política

Uma política tem um nome, interfaces de origem e destino, endereços de origem e destino, serviço (como HTTP ou HTTPS), agenda (sempre, ou uma faixa de horário), ação (accept ou deny), NAT ativado ou desativado, perfis de segurança e registro. Dê a cada política um nome para que os logs expliquem qual regra correspondeu.

Ordem e negação implícita

Coloque as políticas específicas acima das gerais, porque a primeira correspondência vence. Cada FortiGate termina com uma negação implícita invisível, então qualquer fluxo para o qual você não criou uma política será descartado. Teste cada nova política com um cliente e verifique os logs antes de passar para a próxima.

Registro e busca de política

Ative o registro para as políticas importantes, e use logtraffic all ou utm para ver os resultados da inspeção. O comando diagnose firewall iprope lookup mostra qual política corresponderia a um fluxo, o que economiza tempo quando um usuário diz que um site está bloqueado.

Comece restrito e amplie com evidências

Comece com políticas de negar e registrar para os fluxos novos, verifique os logs para ver o que realmente é usado, e então escreva políticas de accept para o tráfego que você confirmou. Isso evita permitir mais do que o necessário só porque uma política foi copiada de outra unidade.

Configuração do equipamento: política de saída com perfis de segurança

A política 10 permite que a sub-rede de vendas acesse a internet por HTTP e HTTPS, aplica NAT para a interface de saída e executa os perfis de antivírus, filtro web e IPS. O comando diagnose firewall iprope lookup mostra qual política corresponderia a um fluxo específico, o que é útil antes de testar com um cliente real.

# CLI FortiOS: política de saída para a rede de vendas com perfis de segurança
config firewall policy
    edit 10
        set name "allow-sales-web"
        set srcintf "port2"
        set dstintf "port1"
        set srcaddr "SALES-NET"
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "HTTP" "HTTPS"
        set nat enable
        set utm-status enable
        set av-profile "default"
        set webfilter-profile "default"
        set ips-sensor "default"
        set logtraffic all
    next
end
# Verificar qual política corresponderia a um fluxo
diagnose firewall iprope lookup 10.10.10.20 0 8.8.8.8 443 port2 6

Tópico 6: IP virtual: publicando servidores internos

O IP virtual (VIP) é um objeto de endereço que mapeia um endereço e uma porta externos para um servidor interno. A política então permite tráfego para o VIP, não para o endereço privado. É assim que usuários da internet alcançam o servidor web na DMZ.

Como a tradução funciona

O usuário se conecta ao endereço público 203.0.113.10 na porta 443. O FortiGate traduz o destino para 172.16.10.10 na mesma porta e encaminha o tráfego para a interface da DMZ. A resposta é traduzida de volta automaticamente, porque a sessão é rastreada.

Política que usa o VIP

A política da interface da internet para a interface da DMZ usa o VIP como destino. Lembre-se de que a política verifica o endereço após a tradução no sentido inverso. Um erro comum é permitir o endereço privado na política, que não corresponde ao tráfego que chega.

Verifique a sessão

Use diagnose sys session filter e diagnose sys session list para ver os endereços originais e os traduzidos de cada sessão. Se o cliente não receber resposta, verifique o VIP, a política e o próprio firewall do servidor, nessa ordem.

Configuração do equipamento: publicar o servidor com IP virtual e política

O IP virtual mapeia o endereço e a porta públicos para o servidor privado da DMZ. A política então precisa permitir o tráfego para o IP virtual e enviá-lo para a interface da DMZ. Verifique a sessão com diagnose sys session para confirmar que a tradução funciona.

# CLI FortiOS: IP virtual (DNAT) para o servidor web da DMZ e a política que o permite
config firewall vip
    edit "WEB-SERVER"
        set extintf "port1"
        set extip 203.0.113.10
        set mappedip "172.16.10.10"
        set portforward enable
        set extport 443
        set mappedport 443
    next
end
config firewall policy
    edit 20
        set name "allow-web-to-dmz"
        set srcintf "port1"
        set dstintf "port3"
        set srcaddr "all"
        set dstaddr "WEB-SERVER"
        set action accept
        set schedule "always"
        set service "HTTPS"
        set ips-sensor "default"
        set logtraffic all
    next
end
# Verificar sessões do servidor web
diagnose sys session filter dst 172.16.10.10
diagnose sys session list

Tópico 7: Perfis de segurança e inspeção SSL

Os perfis são onde o FortiGate olha para dentro do tráfego. Eles dão ao equipamento seus recursos de próxima geração, mas também exigem planejamento, porque o tráfego criptografado não pode ser inspecionado sem descriptografia, e a descriptografia afeta a privacidade e alguns aplicativos.

Principais perfis

O perfil de antivírus verifica arquivos em busca de malware. O perfil de filtro web bloqueia ou alerta sobre categorias de sites. O sensor IPS detecta e bloqueia padrões de ataque. O controle de aplicações identifica aplicativos como chat ou compartilhamento de arquivos. Comece com os perfis padrão e depois ajuste com base nos logs.

Tráfego criptografado e inspeção SSL

A maior parte do tráfego web usa TLS, então os perfis não conseguem lê-lo a não ser que a unidade o descriptografe. A inspeção SSL permite que o FortiGate apresente seu próprio certificado ao cliente, o que exige que o cliente confie na autoridade certificadora do FortiGate. A inspeção somente de certificado verifica apenas o certificado e não descriptografa o conteúdo, e é um primeiro passo mais seguro.

Exceções para bancos e saúde

Alguns sites, como serviços bancários e de saúde, quebram quando o certificado é substituído, e seus dados são muito sensíveis. Exclua-os da descriptografia e documente a decisão junto com o responsável pela rede.

Tópico 8: VPN IPsec site-to-site

Um túnel IPsec conecta dois escritórios pela internet com criptografia. A fase 1 estabelece um canal seguro entre os dois gateways. A fase 2 cria o túnel protegido para o tráfego entre as duas sub-redes. As duas pontas precisam coincidir, ou o túnel permanece inativo.

Fase 1 e fase 2

A fase 1 autentica os dois gateways com uma chave pré-compartilhada ou certificado, e negocia os métodos de criptografia e hash. A fase 2 negocia as sub-redes protegidas e o método para os dados em si. Uma incompatibilidade em qualquer uma das fases é a causa mais comum de túneis inativos.

Roteamento e política

Uma rota estática envia o tráfego para a sub-rede remota à interface do túnel. Depois a política precisa permitir o tráfego entre a LAN local e o túnel, e no sentido inverso. Um túnel ativo que não encaminha tráfego quase sempre está faltando uma rota ou uma política em um dos lados.

Verifique o túnel

Use get vpn ipsec tunnel summary para ver se o túnel está ativo, e diagnose vpn ike gateway list para ver o estado da fase 1. A saída de depuração do IKE mostra cada etapa da negociação quando algo falha, e você deve desativá-la depois dos testes.

Configuração do equipamento: criar um túnel IPsec site-to-site

As duas pontas precisam de configurações compatíveis de fase 1 e fase 2, da mesma chave pré-compartilhada, e de sub-redes que cubram as redes uma da outra. A rota estática envia o tráfego para a sub-rede remota pelo túnel, e a política então precisa permiti-lo. Verifique o túnel com get vpn ipsec tunnel summary.

# CLI FortiOS: túnel IPsec site-to-site para o escritório filial
config vpn ipsec phase1-interface
    edit "to-branch"
        set interface "port1"
        set peertype any
        set net-device disable
        set proposal aes256-sha256
        set remote-gw 198.51.100.20
        set psksecret <shared-secret>
    next
end
config vpn ipsec phase2-interface
    edit "to-branch-p2"
        set phase1name "to-branch"
        set proposal aes256-sha256
        set src-subnet 10.10.10.0 255.255.255.0
        set dst-subnet 10.20.0.0 255.255.0.0
    next
end
config router static
    edit 2
        set device "to-branch"
        set dst 10.20.0.0 255.255.0.0
    next
end
# Verificar o túnel
get vpn ipsec tunnel summary
diagnose vpn ike gateway list

Tópico 9: Alta disponibilidade e solução de problemas

Dois FortiGates podem trabalhar como cluster, para que a rede continue funcionando quando uma unidade falha. As mesmas habilidades ajudam a encontrar a causa de um problema rapidamente, o que economiza mais tempo do que qualquer alteração aleatória.

Cluster ativo-passivo

No modo ativo-passivo, a unidade primária processa o tráfego, e a secundária assume se a primária falhar. As duas unidades compartilham a configuração e o estado das sessões por um link de heartbeat dedicado. A unidade com maior prioridade se torna a primária, e a configuração de override determina se ela retoma essa função depois de se recuperar.

Teste o failover

Planeje os testes de failover em uma janela de tempo já conhecida pelos responsáveis do negócio. Verifique o estado do cluster com get system ha status antes e depois do teste, e confirme que os usuários mantêm suas conexões. Um cluster mal configurado pode causar interrupções que não aconteceriam com um único firewall.

Acompanhe um fluxo com depuração

Quando um fluxo falha, acompanhe-o passo a passo. Defina um filtro para o endereço do cliente, ative a depuração de fluxo, inicie um rastreamento de alguns pacotes e leia a saída: rota, correspondência de política e resultado do perfil. Desative a depuração assim que tiver a resposta, porque a saída de depuração consome muita CPU.

Logs, backup e monitoramento

Revise os logs de tráfego e de eventos regularmente, e não apenas quando algo quebra. Guarde um backup da configuração antes de cada alteração, e registre o que mudou e por quê. Painéis e alertas para falhas de VPN, expiração de licenças e erros de interface ajudam a identificar problemas mais cedo.

Configuração do equipamento: HA ativo-passivo e solução de problemas de fluxo

A unidade primária tem prioridade mais alta, e a porta de heartbeat conecta as duas unidades. Use diagnose debug flow para acompanhar uma conexão passo a passo: busca de rota, correspondência de política e depois perfil. Desative a depuração com diagnose debug disable assim que tiver a resposta, porque a saída de depuração consome muita CPU.

# CLI FortiOS: HA ativo-passivo e comandos básicos de diagnóstico para solução de problemas
config system ha
    set group-name "FGT-HA"
    set mode a-p
    set hbdev "port8" 50
    set priority 200
    set override disable
    set password <ha-password>
end
# Solução de problemas: acompanhe um fluxo e veja a saída de depuração
diagnose debug reset
diagnose debug flow filter addr 10.10.10.20
diagnose debug flow show console enable
diagnose debug enable
diagnose debug flow trace start 20
diagnose debug disable
get system ha status

Prática em laboratório

A habilidade com FortiGate vem da prática, então monte um pequeno laboratório com três redes: o lado da internet, a LAN do escritório e uma DMZ com um servidor web. Use uma FortiGate VM ou uma imagem de avaliação, e siga estes passos em ordem.

1. Desenhe o conceito e escreva o plano de interfaces e endereços para as três redes.

2. Configure o nome do host, o DNS e uma conta de administrador nominal, depois limite o acesso administrativo à sub-rede de administração.

3. Configure as três portas com suas funções e endereços, depois adicione uma rota padrão.

4. Verifique a conectividade de cada rede com ping antes de adicionar qualquer política.

5. Adicione uma política de saída para a sub-rede de vendas com NAT e o perfil padrão, depois teste a partir de um cliente.

6. Crie um IP virtual para o servidor web da DMZ e a política correspondente, depois verifique a sessão.

7. Configure um túnel IPsec site-to-site para uma segunda unidade de laboratório, adicione as rotas e políticas, depois verifique o estado do túnel.

8. Faça backup da configuração, faça uma alteração, acompanhe um fluxo com depuração e restaure o backup para confirmar que a reversão funciona.

Próximos passos

Depois da configuração, pratique encontrar um fluxo bloqueado em minutos usando a busca de políticas e os comandos de depuração. Em seguida estude o SSL VPN e o FortiClient para usuários remotos, e a Security Fabric para compartilhamento de informações sobre ameaças. Registre cada alteração que fizer. A maioria das interrupções vem de mudanças sem registro, e não de uma única política ruim.

Resumo

O FortiGate inspeciona o tráfego com base em políticas e aplica perfis de segurança a ele. Uma boa configuração começa com um diagrama conceitual, um plano de interfaces e endereços e a lista de fluxos necessários. Depois vêm o acesso inicial, as interfaces, zonas e rotas, as políticas em sequência com um accept explícito para cada fluxo, o IP virtual para os servidores, os perfis e a inspeção SSL, o túnel IPsec para os escritórios filiais e a alta disponibilidade. Faça backup antes de cada mudança, acompanhe o fluxo com depuração quando algo falhar e desative a depuração depois.