Lorsque vous travaillez en télétravail, la protection de votre poste de travail peut être assurée par le FortiClient. En revanche, l’efficacité du filtrage web dans ce mode n’est pas de la meilleure expérience utilisateur.
Le filtrage web fonctionne sans plugin sur les protocole http & https
Attention il y aura une erreur de certificat sur le protocole https
La fonctionnalité « safe search » de google fonctionne sans le plugin
Le plugin pour chrome retire l’erreur de certificat.
À la place dans le champ du certificat/url : il génère une page d’extension
Le plugin se configure dans le profile web filter sur la console EMS
Enable web browser plugin
ci-dessous une capture sans plug in pour IE & avec plug
in pour chrome :
UltraNotes are just quick tech notes for reference. This UltraNote covers the FortiClient SSL VPN failure stages and what they mean. Big thanks to Kostas S. for sharing this.
If FortiClient fails as the following stages, the likely cause is as follows:
10% – Local Network/PC issue
31% – Certificate not trusted, warning sometimes hidden in background (move window)
40% – Application or the Fortigate causing the error, occasionally caused by the local machines/network setup
45% – MultiFactor Authentication
80% – Username/Password issue ; or trying to connect to wrong port number
98% – corruption of services/often resolved by reinstalling the client on the laptop.
This concludes this UltraNote, thank you for reading, I hope this was helpful.
En cette période difficile de CoronaVirus, une augmentation significative s’opère sur les accès vpn pour les télétravailleurs.
La méthode de licensing n’étant pas évidente, je pense qu’il est bon de récapituler les différents scenarii possibles.
Durant les 5-6 dernières années, Fortinet a apporté de
nombreuses évolutions sur les fonctionnalités du forticlient.
Au cours de la même période, le licensing du forticlient est devenu bien plus compliqué aussi. Voila de quoi cerner le besoin des partenaires/clients et leur proposer les bonnes solutions.
Voici les questions à se poser :
La version du Fortigate ?
5.6
6.0
6.2
Le nombre d’utilisateurs existants ? futurs ?
Les fonctionnalités souhaités
VPN uniquement
Vérification des postes de travails (host check)
Conformité (compliance)
Protection du poste (Endpoint protection : AntiVirus, Anti-Exploit, Web Filtering, Application Firewall)
Management centralisé des endpoints
1er
cas (Accès VPN Uniquement (version < 6.2)) :
Le
Fortigate est en version 5.6, 6.0 et
le client souhaite fournir un accès vpn pour 30 de
ses collaborateurs.
La partie VPN est inclus au boitier. Aucune licence est
nécessaire afin de fournir un accès remote.
Le
Fortigate est en version 6.2 et le client souhaite fournir un accès vpn pour
30 de ses collaborateurs.
La partie
VPN Only est comme dans les anciennes versions, Inclus au boitier. Aucune licence est
nécessaire si le besoin concerne uniquement un accès remote.
Des fonctionnalités VPN
réduite au stricte minimum (pas d’IKEv2,
pas d’autoconnections, pas de host check, pas de compliance)
Pas de support
3ème cas
(Accès VPN et vérification des postes ( version <6.2)
Le
Fortigate est en version 5.6, 6.0 et
le client souhaite fournir un accès vpn pour 50 de
ses collaborateurs tout en gardant
un contrôle des postes se
connectant en VPN.
Dans ce cas-là la
licence télémétrie est nécessaire (vendu
par pack de 100)( x2 si c’est
un cluster) :
FC1-10-C1100-151-02-DD
FortiClient Endpoint Telemetry & Compliance
License subscription for 100 clients. Includes 24×7 support.
Note1: Compatible with FortiOS 5.6 and 6.0
only;
Note2: Refer to the FortiGate documentation for platform restriction and
maximum license limit.
€
300 /year
Cependant :
Pas de management
centralisé (nécessite en plus la SKU : FC1-15-EMS01-158-02-DD)
4ème cas
(accès VPN et sécurisation des postes (version 6.2)
Le
fortigate est en version 6.2 et le client souhaite fournir un accès vpn pour
50 de ses collaborateurs tout en sécurisant
les postes des télétravailleurs.
Dans ce cas-là, la
licence suivante est nécessaire deux fois (vendu
par pack de 25)
FC1-15-EMS01-297-02-DD
FortiClient
Security Fabric
Agent with EPP license subscription for 25 endpoints. Includes Fabric
& Telemetry Agent, Anti-Malware, Remote Access, Web Filter,
Vulnerability Scan, Software Inventory, Application Firewall, SSOMA, Threat
Outbreak Detection, Sandbox Agent (On-Prem), Central Management and 24×7
Support.
€
250 /year
Avantage :
Le client disposera de l’ensemble
des fonctionnalités disponible sur la partie forticlient (sauf sandbox cloud, dans ce cas préférez la sku :
FC1-15-EMS01-299-02-DD) :
Management centralisé
Protection des postes
(Antivirus, Filtrage Web, Vulnérabilité)
Vérifications des postes
Support
Upgrade
et renew
Si le client a l’intention de
faire une upgrade vers la version
FortiOS 6.2 dans les 12 prochains mois, il faut faire un COTERM (et nous
demander le détail)
Si le client a déjà des licences Telemetry (sans compter les
10 premères gratuites) et qu’il souhaite donc augmenter
l’existant (différent de 10), il faut faire un COTERM (et nous
demander le détail)
Antoine Boisjibault, Systems Engineer chez UCOPIA, société française spécialisée dans les portails captifs, nous fait part de son retour d’expérience sur ce sujet. Cela s’applique aux nombreux projets menés par UCOPIA mais aussi à toute technologie de portail captif. C’est un sujet récurrent chez nos clients et déjà abordé sur notre blog, dans l’article suivant.
QUELLES SONT LES PROBLÉMATIQUES UTILISATEURS VIS À VIS DU PORTAIL CAPTIF.
Pour pallier aux problématiques d’erreur « HSTS » remontées par les utilisateurs, les éditeurs d’OS/Hardware ont implémenté un assistant dit « CNA ». (Le « Captive Network Assistant » est propre aux produits Apple.) Cet assistant permet d’éviter à l’utilisateur de lancer un navigateur web afin de faire apparaître le portail captif.
De façon vulgarisée :
Les portails captifs sont un mécanisme qui intercepte le flux utilisateur et lui présente du contenu qu’il n’a pas sollicité par lui-même, pour le forcer à s’authentifier. Le protocole HTTPs (et la surcouche HSTS qui l’utilise), ont pour but de garantir que le contenu reçu par un client est bien celui qu’il demande. Il y a ici incompatibilité entre les deux technologies. Voici le détail de ce qu’il se passe : • Lorsqu’un utilisateur non authentifié sur UCOPIA (ou tout autre portails captifs) tente d’accéder à un site sécurisé (https://www.google.fr, ou https://www.mabanque.com ), le portail captif (lui aussi sécurisé, en HTTPS) est présenté. • Le navigateur utilisé récupère alors le certificat du portail captif et non celui du site demandé initialement, d’où cette alerte sécurité qui peut être simplement acceptée en HTTPS standard (et qui est bloquante en HSTS).
C’est pour cela que la plupart des éditeurs de systèmes d’exploitation (pour ordinateurs ou mobiles) implémentent depuis récemment des assistants de connexion aux portails captifs :
Apple CNA pour les appareils mobiles (et MAC) Apple : la fameuse page qui s’ouvre toute seule lorsque vous vous connectez au wifi.
Cela apparaît sous forme de notification pour les appareils Android (requête vers http://connectivitycheck.gstatic.com/generate_204 sous Marshmallow et http://clients3.google.com/generate_204 pour Kitkat).
Le Consistent Connection Handling pour Microsoft, – qui fonctionne comme pour les appareils de marque Apple sur mobile – qui propose l’ouverture d’un navigateur sur Windows 8.1 – qui affiche une notification dans le système tray sur Windows 7 – qui ouvre le navigateur sous Windows 10
Ainsi le problème de la première page en HTTPS ne se pose pas lorsque l’on utilise ces mécanismes : cela est pris en charge par le système d’exploitation.
Vous pourrez vérifier alors qu’une notification invitant l’utilisateur à ouvrir son navigateur est envoyée sur les smartphones et tablettes concernées.
Pour les équipements sous Windows 8 et 10 : vous pouvez passer par l’assistant Wi-Fi. Une fois authentifié sur UCOPIA, l’utilisateur ne verra plus cette alerte sécurité. Autre alternative possible : modifier la page d’accueil par défaut du navigateur sur une page HTTP permettra la non apparition du message d’alerte de certificat.
Si l’utilisateur ne passe pas par ces mécanismes, (soit parce qu’il clique volontairement sur leur fermeture, soit parce que son système n’en n’est pas équipé), et que sa première requête est en HTTPs voire HSTS : • Il aura une erreur dans son navigateur lui indiquant qu’il a demandé https://www.google.com et que c’est https://controller.access.network/ (par défaut dans le cas d’UCOPIA) qui lui répond. • Cette erreur pourra être ignorée pour des sites en HTTPs. • Si le site initialement demandé supporte le HSTS, alors l’erreur ne pourra être ignorée et l’utilisateur ne pourra pas aller plus loin.
Pour obtenir la redirection vers le portail captif, l’utilisateur peut simplement solliciter une page en HTTP afin que la redirection puisse être réalisée.
Enfin, sachez que les nouvelles moutures des navigateurs web les plus courant commencent à bénéficier d’un Assistant dédié aux notions de portail captif, un exemple du rendu sur Firefox 52 : Un exemple du rendu de l’alerte obtenue (plus de blocage HSTS) ainsi qu’une ouverture du portail captif dans un nouvel onglet avec un appel à http://detectportail.firefox.com/success.txt qui permet la redirection vers le portail :
L’alerte obtenue en premier onglet :
En second onglet (ouvert par défaut) l’utilisateur verra apparaître le portail captif UCOPIA.
Cela devrait arriver prochainement chez les autres éditeur tels que Chrome ou IE, étant déjà disponible sous Chromium.
Un groupe de travail IETF à été ouvert afin de suivre les avancées et mettre en place des normes en réponse à ces problématiques liées aux portails captif : plus d’informations sur ce sujet à cette adresse.
Filter session table
List session
Clear these sessions
diag debug crashlog read
Show crashlog
diag deb en
diag deb app fnbamd -1
Debug authentication
diag debug report
Collect lots of info
diag sys top
<seconds> <nb_lines> shift+P for CPU ordering, shift+M for Mem ordering
Processes usage (CPU usage)
diag sys top-summary
‘-s mem’ ‘-h’ to show
options
Processes usage (Mem
usage)
Network
Packet Capture
diag
sniffer packet <interface> ‘<filter>’ <verbose>
<count> <a/l>
<interface>:
physical, virtual, vpn, any
<filter>: tcpdump
filter
<verbose>: there are
six verbose levels: 1print header of packets 2print header and data from the
IP header 3print header and data from the
Ethernet header (convert using fgt2eth) 4,5,6like 1,2,3, with
interface name
<count>
the number of packets, can be 0 to stop using ctrl+C
<a/l> to enable absolute/local
timestamp, nothing for relative timestamp
VPN
diag
vpn ike gateway list
Show phase 1
diag vpn tunnel list
Show phase 2
(shows npu flag)
diag vpn ike gateway
flush name <phase1>
Flush a phase 1
diag vpn tunnel up
<phase2>
Bring up a phase 2
diag debug
en
diag vpn ike log-filter daddr x.x.x.x
diag debug app ike 1
Troubleshoot VPN issue
FortiGuard
execute
update-now
Forces a download of the whole AV/IPS database, with
license check
Official documentation (handbook, cli guide, release
notes, hardware guides, etc…)
http://cookbook.fortinet.com/
Howtos, videos, etc…
http://forum.fortinet.com/
Official forum
http://fusecommunity.fortinet.com
User communiy, with groups
This document is distributed under the free license: Attribution-ShareAlike 4.0 International
Creative Commons BY-SA 4.0 https://creativecommons.org/licenses/by-sa/4.0/
You are
free to:
Share — copy and redistribute the material in any medium or format.
Adapt — remix, transform, and build upon the material for any purpose, even
commercially.
The licensor cannot revoke these freedoms as long as you follow the license
terms. Under the following terms: Attribution — You must give appropriate credit, provide a link to the license, and
indicate if changes were made. You may do so in any reasonable manner, but not
in any way that suggests the licensor endorses you or your use. ShareAlike
— If you remix, transform, or build upon the material,
you must distribute your contributions under the same license as the original.
No
additional restrictions — You may
not apply legal terms or technological measures that legally restrict others
from doing anything the license permits.
Il est impossible de s’engager sur le portée du signal radio. Cela dépend des types de matériaux utilisées dans le batiment.
Un article généraliste à ce sujet : https://www.tanaza.com/blog/network-capacity-planning/
En vue directe en 2,4 Ghz, on peut atteindre 60 mètres à puissance maximale avec des chipsets radios de bonne facture.
Mais avec des
sanitaires + une cloison, un signal peut devenir inutilisable au bout de 10
mètres en 5 GHz.
Par ailleurs, de nos jours, les terminaux mobiles disposent de peu de batterie. Les manufacturiers diminuent alors les gains d’antenne pour préserver l’autonomie des « smart-devices ».
De ce fait, afin
d’eviter le problème du « canal radio assymétrique », on recommande
de diminuer la puissance des bornes pour fiabiliser les connexions Wifi.
Pour couronner le tout, plus on augmente la portée du signal plus on dégrade le rendement de la cellule et on augmente les probabilités d’interférences et de collision.
Dans un openspace,
la distance inter-AP atteint souvent 20-25 mètres. Dans des batiments
haussmaniens, des hôtels ou des hôpitaux, nous sommes plus souvent sur une
inter-AP de 10-15 mètres
En général dans des
hotels, en raison de la densité de mobilier et la présence de sanitaires, nous
recommandons de se limiter à la traversée de 2 cloisons en 2,4 Ghz et 1 cloison
en 5 Ghz – pour de bonnes garanties de performances.
Si vous utilisez notepad+++ pour éditer les fichiers de configuration FortiGate, vous pouvez utiliser le fichier “langue” disponible ci-dessous, il vous permettra d’éditer les fichiers de façon plus ordonnée.
Cette image montre l’éditeur sans le plug-in “langage” lors de l’édition d’un fichier de configuration FortiGate :
Avec le plug-in “langage”, vous pouvez visualiser les différentes sections de manière plus ordonnée :
Et il vous permet même de compresser l’affichage de certaines sections pour faciliter l’édition du fichier :
Pour ajouter l’Add-on, aller dans “Langage > Definissez votre langage…” et cliquer sur Importer.
Ouvrez le fichier de configuration FortiGate, et dans Langage choisissez “FortiGate”
Enjoy 🙂
Il n’y a rien de pire que de configurer à distance un pare-feu et de perdre l’accès une fois que vous avez fait vos modifications.
Avoir un mécanisme de sécurité en place pour revenir automatiquement à une configuration précédente vous aidera à minimiser les problèmes potentiels et à vous épargner beaucoup de stress ! Heureusement, FortiOS vous donne quelques options sur la façon de sauvegarder votre configuration en cours d’exécution dont nous parlerons plus bas.
Nous passerons en revue chacune des trois options disponibles. Chacune est configurée en CLI :
• Automatic
• Manual
• Revert
1. Automatic
Il s’agit du mode par défaut. Le FortiGate enregistrera automatiquement sa configuration en cours d’exécution (running config) dans la configuration de démarrage (start-up config) chaque fois que vous effectuez un changement en tapant ‘end’ en CLI ou en cliquant sur “Ok/Apply” dans l’interface graphique.
config system global
set cfg-save automatic
end
2. Manual
En mode Manuel, vos changements prendront effet immédiatement (sauvegardés dans la configuration en cours d’exécution) mais seront perdus lors d’un redémarrage à moins qu’une commande spéciale de sauvegarde ne soit donnée (la configuration en cours d’exécution sera alors sauvegardée dans la configuration de démarrage).
config system global
set cfg-save manual
end
Pour enregistrer les modifications apportées à la configuration de démarrage, utilisez la commande suivante :
execute cfg save
3. Revert
Le mode Revert démarre un compte à rebours dès que vous avez effectué un changement. Si vous n’enregistrez pas la configuration avant la fin du compte à rebours, le FortiGate redémarrera automatiquement et chargera la configuration de démarrage (c’est-à-dire que tous vos changements seront perdus).
C’est parfait si vous faites de l’administration à distance. Si vous faites un changement qui vous bloque, attendez que le timeout se termine puis le pare-feu redémarrera avec votre configuration précédente.
config system global
set cfg-save revert
set cfg-revert-timeout 300
end
La variable cfg-revert-timeout est le compte à rebours en secondes. La valeur par défaut est 600 secondes (10 minutes).
Pour enregistrer les modifications apportées à la configuration de démarrage, utilisez la commande suivante :
execute cfg save
Attention : Vous ne verrez aucun compte à rebours via SSH/Telnet ou WebUI. Vous ne pouvez voir le timeout que si vous vous êtes connecté en console. Le compte à rebours commence à vous avertir à partir de 10 secondes, vous devez donc être rapide !
Ca y est, on se motive et on essaye de corriger nos propres erreurs.
Celles des administrations systèmes / réseaux… Nous sommes le maillon faible de la chaine de défense d’un SI. Le but de ce blog (sérieux, on dit encore ca) va etre un gros pense-bete et de petites astuces pour rendre notre monde numérique meilleur !
