meta data de esta página
  •  

Diferencias

Muestra las diferencias entre dos versiones de la página.

Enlace a la vista de comparación

Ambos lados, revisión anteriorRevisión previa
Próxima revisión		Revisión previa
hardware:fortigate:faq [2018/06/08 08:35] – lchardware:fortigate:faq [2023/01/18 14:36] (actual) – editor externo 127.0.0.1
Línea 1: Línea 1:
 {{tag>fortigate faq}} {{tag>fortigate faq}}
 ==== FAQ ==== ==== FAQ ====
 +=== Campo Action ===
 +Cuando estamos mirando los logs de un fortigate, en las columnas aparece denominado **Acción (Action)**, que indica que acción ha tomado el cortafuegos. 
 +Las acciones pueden ser :
 +  * **DENY** .  El firewall ha bloqueado este tráfico por una política de seguridad
 +  *  **START**  Si hemos activado la opción de registrar todas las sesiones en la política de seguridad  se generará un log en el inicio de su procesamiento, que implica además que el trafico está permitido.
 +   <note>Aparecerán dos logs para cada sesión, uno será el de start y otro con una acción permitida</note>
 +  *   **ACCEPT** Conexión establecida correctamente.
 +  *   **DNS**  Host desconocido. 
 +  *   ** IP-CONN** El host remoto no es alcanzable o no responde.
 +  * **TIMEOUT**  La conexión ha finalizado de forma anómala, porque ha sido reseteada o ha llegado al timeout.
 +  * **CLOSE**   Conexión finalizada
 + 
 +      * https://docs.fortinet.com/uploaded/files/2050/FortiOS_LogReference_v5.2.1.pdf
 +      * https://fortixpert.blogspot.com/2015/09/campo-action-de-los-logs-de-fortigate.html
 +=== Ver la configuración ===
 +<sxh>show</sxh>    
 +
 +=== Ver las ips asignadas por DHCP ===
 +Abrimos la consola CLI 
 +<sxh>
 +config system interface
 +edit ?
 +</sxh>
 +==== Reiniciar ====
 +<sxh>execute reboot</sxh>
 +
 +Si queremos buscar algo en la configuración usuaríamos **show | grep f texto_a_buscar**. Por ejemplo
 +<sxh>show | grep -f interface</sxh>
 === Recuperar contraseña === === Recuperar contraseña ===
 En caso de que necesitemos poner una nueva contraseña en nuestro fortigate: En caso de que necesitemos poner una nueva contraseña en nuestro fortigate:
Línea 6: Línea 34:
   * Nada más salir el login poner user: maintainer y password: bcpb<nºde serie>   * Nada más salir el login poner user: maintainer y password: bcpb<nºde serie>
   * Ya estaremos en modo admin FORTIGATE#   * Ya estaremos en modo admin FORTIGATE#
 +https://cookbook.fortinet.com/resetting-a-lost-admin-password/
 +
 === Cambiar velocidad de un interfaz === === Cambiar velocidad de un interfaz ===
 Para saber a que velocidad está trabajando un interfaz  Para saber a que velocidad está trabajando un interfaz 
Línea 28: Línea 58:
   - Ahora al pinchar sobre la columna Policy Id ponemos como valor el número de la política que queremos tracear   - Ahora al pinchar sobre la columna Policy Id ponemos como valor el número de la política que queremos tracear
  
-=== NTP === +=== Vdom === 
-Para configurar fortigate como servidor de ntp.  +Entrar en la vdom correcta antes de efecturar algún cambio  
- +<sxh>config global 
-En system information, aparece la información de hora del sistema , al final d edicha línea pulsamos sobre [change} +config vdom 
- +edit <nombre_vdom></sxh> 
-Marcamos la opción de **Enable NTP Server ** y añadimos en la lista inferior los interfaces en que habilitaremos la escucha de la peticiones. +=== VPN === 
- +Comandos para mostrar las conexiones de VPN 
-{{ :hardware:fortigate:ntpserver.jpg?nolink&600 |}} +<sxh> 
- +get vpn ike gateway <name> 
-Para comprobar si se está sincronizando ejecutamos en la consola <code bash>diag sys mtp status</sxh> el resultado será algo como +get vpn ipsec tunnel name <name> 
-<sxh bash> +get vpn ipsec tunnel details 
-synchronized: no, ntpsync: enabled, server-mode: disabled +diagnose vpn tunnel list 
-  +diagnose vpn ipsec status           
-ipv4 server(ntp2.fortiguard.com) unresolved -- unreachable(0xff) S:0 T:1236  +get router info routing-table all
-  no data +
-ipv4 server(ntp1.fortiguard.com) unresolved -- unreachable(0xff) S:0 T:1236  +
- no data+
 </sxh> </sxh>
 +Para resetear una conexión 
 +<sxh>diag vpn tunnel reset <nombre fase1></sxh>
  
-También podemos capturar los paquetes  generados por el tráfico ntp con el comando  +Comandos de debug para VPN 
-<code bash>diagnose sniffer packet any "port 12" 4 0 l</sxh> +<sxh> 
 +diagnose debug reset 
 +diagnose vpn ike log-filter clear 
 +diagnose vpn ike log-filter ? 
 +diagnose vpn ike log-filter dst-addr4 xxx.xxx.xxx.xxx 
 +diagnose debug app ike 255          #muestra la salida de la fase1 y fase2 
 +diagnose debug enable                
 +</sxh> 
 +Para deshabilitar el debug 
 +<sxh>diagnose debug disable</sxh>
 === Sflow === === Sflow ===
 http://www.soportejm.com.sv/kb/index.php/article/como-configurar-sflow-en-un-fortigate http://www.soportejm.com.sv/kb/index.php/article/como-configurar-sflow-en-un-fortigate
Línea 56: Línea 93:
 http://docs.fortinet.com/uploaded/files/1023/provision-certificates-to-ios-devices-technical-note.pdf http://docs.fortinet.com/uploaded/files/1023/provision-certificates-to-ios-devices-technical-note.pdf
  
 +=== Factory Reset  ===
 +<sxh>exec factoryreset </sxh>
 +  * https://kb.fortinet.com/kb/documentLink.do?externalID=FD37052
  
 +Desde la versión 6.0 tenemos un nuevo comando **factoryreset2**
 +
 +Resetea la configuración a los valores por defecto exceptuando los valores de VDOM, interfaces, y las rutas estáticas 
 +<sxh>execute factoryreset2 </sxh>
 +
 +=== Log ===
 +En los nuevos modelos de fortigate que no tienen el disco duro, no se puede ver ciertos logs relaciones con denegaciones de políticas. Esto es debido a que por defecto el nivel mínimo de aviso está configurado como **warning**. Si queremos ver en el propio fortigate esos logs de avisos sobre accesos denegados debemos de cambiar el nivel de log a **information** para ello:
 +<sxh>config log memory filter
 +set severity information
 +end
 +</sxh>
 +<sxh>
 +execute log filter reset
 +execute log filter category event
 +execute log filter field            #presionar enter para ver opciones
 +execute log filter field dstport 8001
 +execute log filter view-lines 1000
 +execute log filter start-line 1
 +execute log display
 +</sxh>
 +==== Referencias ====
 +  * https://blog.webernetz.net/cli-commands-for-troubleshooting-fortigate-firewalls/