Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

时间:2024-04-06 12:11:29

  【简介】在中、大型企业或数据中心,为了保护重要设备和服务器,都会配置内网隔离防火墙(ISFW FortiGate),这里我们看看怎么将ISFW FortiGate加入Security Fabric。


Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙  ISFW FortiGate

  ISFW FortiGate(内网隔离防火墙)可以是任何型号,通常布署在内网与服务器之间,用来单独保护服务器的安全。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ① 这里我们使用FortiWiFi 90D作为内网隔离防火墙,Wan2口接入FortiSwitch,内网口接入需要保护的服务器。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ② 内网隔离防火墙的固件版本必须和根防火墙的固件版本一致。这里都是v6.07。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ③ 选择菜单【网络】-【接口】,选择wan2口,点击【编辑】。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ④ 默认情况下wan2口的地址模式是DHCP,因为连接了FortiSwitch交换机,而且交换机的默认VLAN启用了DHCP,因此这里可以看到已经获取了IP地址、DNS和网关等。但是我们不希望防火墙的wan接口地址是动态获得的,这里点击【自定义】。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ⑤ 给wan2口配置一个固定的IP地址,访问方式启用FortiTelemetry。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ⑥ 由于是自定义,因此还要设置一个默认网关,选择菜单【网络】-【静态路由】,点击【新建】。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ⑦ 目的默认为0.0.0.0/0.0.0.0,接口选择wan2,网关地址为FortiSwitch的VLAN地址。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ⑧ 外网接口配置好后,需要配置内网接口,选择菜单【网络】-【接口】,选择lan接口,点击【编辑】。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ⑨ 输入接口别名,由于是给服务器使用,接口成员去掉了WiFi,IP地址设置服务器使用的172.16.8.X网段,由于服务器都是固定IP,这里关闭了DHCP服务。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ⑩ 内网接口IP一修改,就登录不到防火墙了,需要将电脑手动设置172.168.8.X网段的地址。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ⑾ 用新的内网接口IP地址登录防火墙。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ⑿ 下面要设置访问策略, 选择菜单【策略&对象】-【IPv4策略】,默认已经有一条上网策略,选择这条策略,点击【编辑】。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ⒀ 根据现在情况,设置lan到wan2口的设备,启用NAT。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ⒁ 由于是内网隔离防火墙,同样再建一条允许访问服务器的策略,不启用NAT。这里只是初步的全开放,具体限制根据实际情况修改。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ⒂ 电脑(服务器)可以通过ISFW FortiGate—FortiSwitch—Root FortiGate。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ⒃ 还可以通过ISFW FortiGate—FortiSwitch—Root FortiGate—FortiAnalyzer。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙   ISFW FortiGate 加入 Security Fabric

  ISFW FortiGate 要加入 Security Fabric,Root FortiGate和ISFW FortiGate都要配置。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ① 登录Root FortiGate,选择菜单【网络】-【接口】,选择FortiSwitch默认VLAN,点击【编辑】。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ② 由于ISFW FortiGate是接入这个VLAN接口,因此需要启用接口FortiTelemetry专用协议,并启用设备探测,用来查找设备。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ③ 选择菜单【Security Fabric】-【设置】,可以看到开启FortiTelemetry的接口选项自动出现了启用FortiTelemetry的接口,点击【编辑】。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ④ 输入ISFW FortiGate的***,点击【确认】。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ⑤ 拓朴里加入了指定序号的FortiGate,只是由于没有通过认证,显示红色标记。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ⑥ 回到ISFW FortiGate,选择菜单【Security Fabric】-【设置】,启用【FortiGate Telemetry】。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ⑦ 启用【连接到上行FortiGate】,将自动出现其它选项,默认启动FortiAnalyzer Logging。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ⑧ 稍等片刻,就会显示拓朴信息,并提示根FortiGate授权成功。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ⑨ 回到Root FortiGate,在【Securtiy Fabric】-【设置】菜单下,可以看到ISFW FortiGate已经加入拓朴。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ⑩ 选择菜单【Security Fabric】-【物理拓朴】,可以看到90D接入拓扑情况。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ⑾ 在拓扑中单击90D,可以看到防火墙的基本信息。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ⑿ 鼠标右击90D,可以对防火墙进行登录及取消授权操作。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙    ISFW FortiGate 接入 FortiAnalyzer

  ISFW FortiGate接入Securtiy Fabric后,就自动加入FortiAnalyzer了。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ① 登录FortiAnalzyer,在设备管理器,可以看到新发现了一个未注册的设备,点击未注册设备图标。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ② 可以看到未注册的设备是90D,选择设备,点击【添加】。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ③ 指定新设备名称,这里保持默认,点击【确认】。

Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙

  ④ 新添加的设备日志状态刚开始显示红色,稍等一会儿显示绿色,表示日志同步成功。设备是以Security Fabric里拓朴结构排列,有星号的表示根FortiGate。

 

                                                                               飞塔老梅子   QQ: 57389522


Fabric篇(6.0) 04. Fabric 与 ISFW FortiGate ❀ 飞塔 (Fortinet) 防火墙