본문 바로가기

⋅ Solution

NAT, TP 모드 별 VLAN 설정, Forward-Domain 설정 2022. 6. 16. 몇몇의 고객사에서는 VLAN 구성을 사용하기에 포트별로 VLAN 태깅 ID를 설정해 주어야한다. ● VLAN 사용 목적 하단 스위치에서 올라오는 클라이언트들의 수가 100명이라고 하면 보안 장비 및 네트워크 장비에는 100명의 대역에 대한 로그가 찍혀 침해사고 및 장애가 났을 경우 좀 더 찾기 어려울 수 있고, 1개의 대역에 100명이 속한다면 그만큼 트래픽이 과부하가 될 것이기에 통신의 환경 및 장애 처리 등등 여러가지 이유에서 VLAN을 사용한다. ● VLAN 설정 방법 일반적인 네트워크 장비에서는 포트끼리 VLAN 태깅 ID만 맞추면 통신이 가능하지만, 그렇게 되면 이 글을 쓰는 의미가 없어지기에 Fortigate는 모드별로 세팅해야 할 값이 있다. 이 설정을 빼먹을 시 Broadcast Storm..
Fortigate 패킷 Sniifer 사용 방법 2022. 4. 14. Fortigate의 packet sniffer명령어의 형식은 아래와 같음 #diagnose sniffer packet 옵션 level은 아래 표 처럼 packet sniffer 사용 시 출력되는 내용에 차이가 있다. 일반적으로 가장 널리 쓰이는 옵션은 '4' 예시 #diagnose packet sniffer any 'host 1.1.1.1 and tcp' 모든 인터페이스에서 host IP 1.1.1.1 이며 tcp 패킷을 출력 #diagnose packet sniffer wan1 'net 192.168.0.0/16 and icmp or port 53' Wan1 인터페이스에서 192.168.0.0/16 에 해당되는 ICMP 패킷 또는 53번 port를 사용하는 패킷 출력
v5.x 버전에서 발생하는 Conserve Mode 이슈 2022. 3. 28. Fortigate 펌웨어 v5.6.8 이하 버전에서는 FortiGuard로 부터 IPS Signature나 AV Signature 등 여러 정보를 업데이트 한다. Auto Update가 실패할 경우에는 updated 데몬의 종료와 메모리 반환이 이루어져야 하는데 v5.6.8 이전 버전은 반환이 안되기 때문에 Memory 사용량이 급격히 증가함에 따라 Fortigate가 설정해둔 Threshold에 의해 일정 수준의 Memory가 사용되면 Conserver Mode(보존모드)에 진입한다. 위 처럼 Conserve Mode 진입 시 Crashlog를 보면 Memory conserve mode entered, exited 로그가 있다. 실제 서비스 중인 장비에서 Conserve Mode 진입 시 모든 서비스가..
커스텀 NTP 서버 사용하는 방법 2022. 2. 28. NTP는 시간동기화를 위해 사용하는 중요한 옵션이다. 로그 저장 시간, 침해 사고 분석 시에도 가장 시간이 중요할 수 있기에 필수 옵션이다. Fortigate는 초기에 NTP서버를 지정하려고 하면 아래와 같이 Custom 항목이 비활성화가 되어있다. Custom을 활성화 시키려면 CLI에서 명령어를 쳐야한다. config system ntp set type custom config ntpserver edit 1 set server 다시 돌아가보면 NTP Custom이 활성화 되어있다. 이제 Custom 설정으로 바꾸어주면 된다.
초기 lan 삭제, HardwareSwitch 삭제하기 2022. 2. 28. 가장 처음 GUI를 보면 lan이라는 Hardware Switch가 port1~12를 묶고 있는 것을 볼 수 있다. 만약 포트별로 다른 IP주소로 사용을 원한다면 위 Hardware Switch를 풀어야하는데 이게 그냥 바로 삭제는 안되어서 참조되어있는 설정들을 풀거나 삭제해야하는데 GUI상에서는 아주 쉽다. 먼저 lan 인터페이스 항목의 가장 오른쪽에 보면 "Ref"라는 항목의 컬럼이 있는데 이걸 클릭하고 전부 삭제하면 된다. Ref의 파란색 숫자를 누르면 참조된 설정들이 나온다. 전부 삭제하면 Delete 버튼이 활성화 된다. GUI에서는 간단하지만 CLI에서는 약간 복잡할 수 있다. 아래에 명령어를 순서대로 나열해 놓았다. config firewall policy show delete (lan 들어..
Fortigate의 CDP 기능 Device Dection 사용하기 2022. 2. 28. Cisco 장비에는 주변 장비의 MAC, IP 등등을 확인할 수 있는 프로토콜인 CDP가 있다. 위 기능처럼 Fortigate에는 Device Dection기능이 있는데 간단하게 설정할 수 있다. Network -> Intefaces 메뉴에서 연결 될 내부인터페이스(LAN)포트에 접속 아래로 내리다보면 이미지처럼 Device Dection이라는 메뉴가 보이는데 Enable 시켜준다. 위 기능은 Role가 WAN일 경우 활성화가 안되있으므로 참고 그 후 User & Device -> Device Inventory로 가면 아래 이미지 처럼 주변 장비의 정보들을 볼 수 있다.
VDOM 나누기 명령어 2022. 2. 28. Fortigate에는 타 벤더사 장비들과 다르게 VDOM이라는 기능, 개념이 존재합니다. 1개의 장비 안에 가상으로 2~3개 처럼 여러개로 나누어서 제 각각의 기능을 할 수 있는 기능입니다. 그렇다고 가상화는 아닙니다. 가상화용 Fortigate는 따로 있습니다. 예를 들면 1번 2번 포트는 NAT모드로, 3번 4번 포트는 TP모드로 쓸 수 있습니다. 다른 장비들도 이렇게 구성은 가능하지만 Fortigate의 VDOM은 완벽한 다른 장비처럼 보이게 하여 각각 부수적인 기능도 다르게 설정할 수 있습니다. 기준 장비는 Fortigate-80E , 펌웨어 v6.2.5 에서 진행했습니다. 명령어는 생각보다 간단합니다. config system global set vdmo-mode multi-vdom end 하면..
NAT <-> TransParent 모드 변경 하는 법 , 명령어 2022. 2. 28. Fortigate는 NAT모드와 TP모드를 따로따로 바꿀 수 있다. NAT모드는 내부 IP가 사설에서 공인 IP로 변경해야하는 경우 사용 TP모드는 내부를 공인IP로 사용할 경우 사용 이 외에도 여러가지 이유로 모드를 나눈다. NAT -> TP 모드 변경 시에는 CLI로만 가능하다. 반대로 TP -> NAT의 경우 GUI도 가능하다. NAT모드에서 -> TP모드로 변경 시 인터페이스를 지웠다가 다시 설정하는 순서기때문에 Console케이블로 연결을 해야한다 그렇지 않을 경우 설정 도중 IP가 사라져서 아예 접속을 못하는 경우가 생김 NAT -> TP TP모드로 변경하는 방법 config system settings로 들어가서 get명령어를 치면 바로 맨 위 현재의 opmode가 보인다. (장비 처음 시작..

티스토리툴바