Grundkonfiguration - Versionsgeschichte

4Tinu: /* TEST */

2025-06-02T09:51:00Z

TEST

← Nächstältere Version		Version vom 2. Juni 2025, 11:51 Uhr
Zeile 630:		Zeile 630:
	*F: Wird Smart-1 Cloud in R81 auch MAESTRO unterstützen?		*F: Wird Smart-1 Cloud in R81 auch MAESTRO unterstützen?
	*A: Ist geplant aber noch kein Datum für den Release		*A: Ist geplant aber noch kein Datum für den Release

	~~=== TEST ===~~
	~~<syntaxhighlight lang="bash">~~
	~~config firewall vip~~
	~~edit <VIP_Name>~~
	~~set nat-source-vip [ enable \| disable ] # Standard: disable~~
	~~next~~
	~~end~~
	~~</syntaxhighlight>~~

4Tinu: /* Q/A R81 GA */

2025-06-02T09:50:41Z

Q/A R81 GA

← Nächstältere Version		Version vom 2. Juni 2025, 11:50 Uhr
Zeile 630:		Zeile 630:
	*F: Wird Smart-1 Cloud in R81 auch MAESTRO unterstützen?		*F: Wird Smart-1 Cloud in R81 auch MAESTRO unterstützen?
	*A: Ist geplant aber noch kein Datum für den Release		*A: Ist geplant aber noch kein Datum für den Release

			=== TEST ===
			<syntaxhighlight lang="bash">
			config firewall vip
			edit <VIP_Name>
			set nat-source-vip [ enable \| disable ] # Standard: disable
			next
			end
			</syntaxhighlight>

4Tinu: /* Datenschutz */

2024-10-23T06:03:17Z

Datenschutz

← Nächstältere Version		Version vom 23. Oktober 2024, 08:03 Uhr
Zeile 25:		Zeile 25:

	</pre>		</pre>





Zeile 42:		Zeile 39:
	das von einem Fortinet-Gerät oder einer VM extrahiert wurde, ermöglichen, beliebigen Code oder Befehle über speziell gestaltete Anfragen		das von einem Fortinet-Gerät oder einer VM extrahiert wurde, ermöglichen, beliebigen Code oder Befehle über speziell gestaltete Anfragen
	auszuführen.</br>		auszuführen.</br>
	'''Auswirkung:'''</br> Unautorisierte Ausführung von Code oder Befehlen		'''Auswirkung:'''</br> Unautorisierte Ausführung von Code oder Befehlen</br>
	'''Details:'''</br> Ein entfernter, nicht authentifizierter Angreifer kann Berechtigungen umgehen und unautorisierte Befehle ausführen, was den Download von FortiManager-Konfigurationen ermöglichen kann, einschliesslich derjenigen der verwalteten FortiGate-Geräte.		'''Details:'''</br> Ein entfernter, nicht authentifizierter Angreifer kann Berechtigungen umgehen und unautorisierte Befehle ausführen, was den Download von FortiManager-Konfigurationen ermöglichen kann, einschliesslich derjenigen der verwalteten FortiGate-Geräte.

Zeile 55:		Zeile 52:
	* FortiManager Versionen 7.0.12 und älter		* FortiManager Versionen 7.0.12 und älter
	* FortiManager Versionen 6.4.14 und älter		* FortiManager Versionen 6.4.14 und älter
			<big>'''Lösung:'''</big></br>
	<big>'''Lösung:'''</big>

	Auf folgende Versionen kann upgedatet werden, damit diese Sicherheitslücke geschlossen wird:		Auf folgende Versionen kann upgedatet werden, damit diese Sicherheitslücke geschlossen wird:
	* Upgraden auf die FortiManager Version 7.6.1 oder höher		* Upgraden auf die FortiManager Version 7.6.1 oder höher → [[FortiManager:FAQ#Wo_finde_ich_die_Release_Notes_für_den_FortiManager?\|Release Notes auf dem Wiki]]
	* Upgraden auf die FortiManager Version 7.4.5 oder höher		* Upgraden auf die FortiManager Version 7.4.5 oder höher → [[FortiManager:FAQ#Wo_finde_ich_die_Release_Notes_für_den_FortiManager?\|Release Notes auf dem Wiki]]
	* Upgraden auf die FortiManager Version 7.2.8 oder höher		* Upgraden auf die FortiManager Version 7.2.8 oder höher → [[FortiManager:FAQ#Wo_finde_ich_die_Release_Notes_für_den_FortiManager?\|Release Notes auf dem Wiki]]
	* Upgraden auf die FortiManager Version 7.0.13 oder höher		* Upgraden auf die FortiManager Version 7.0.13 oder höher → [[FortiManager:FAQ#Wo_finde_ich_die_Release_Notes_für_den_FortiManager?\|Release Notes auf dem Wiki]]
	* Upgraden auf die FortiManager Version 6.4.15 oder höher		* Upgraden auf die FortiManager Version 6.4.15 oder höher → [[FortiManager:FAQ#Wo_finde_ich_die_Release_Notes_für_den_FortiManager?\|Release Notes auf dem Wiki]]
			Diese Versionen wurden kürzlich ausgerollt.
	Diese Versionen ~~werden in den kommenden Tagen veröffentlicht~~.

	<big>'''Workarounds:</big></br>		<big>'''Workarounds:</big></br>

4Tinu: /* Datenschutz */

2024-10-23T05:54:09Z

Datenschutz

← Nächstältere Version		Version vom 23. Oktober 2024, 07:54 Uhr
Zeile 25:		Zeile 25:

	</pre>		</pre>



Zeile 68:		Zeile 69:
	<big>'''Workarounds:</big></br>		<big>'''Workarounds:</big></br>
	Auf dem FortiManager der Versionen <=7.0.12, <=7.2.5 oder <=7.4.3 (ausser 7.6.0) kann mit folgender Konfiguration verhindert werden, dass unbekannte Geräte sich versuchen zu registrieren:		Auf dem FortiManager der Versionen <=7.0.12, <=7.2.5 oder <=7.4.3 (ausser 7.6.0) kann mit folgender Konfiguration verhindert werden, dass unbekannte Geräte sich versuchen zu registrieren:
	~~Für FortiManager-Versionen 7.0.12 oder höher, 7.2.5 oder höher, 7.4.3 oder höher (ausser 7.6.0),~~
	{\| class="wikitable" style="width:550px"		{\| class="wikitable" style="width:550px"
	\|- style="background:#89E871"		\|- style="background:#89E871"
Zeile 87:		Zeile 87:
	\|}		\|}

	Für alle FortiManager-Versionen kannst du ~~Abhilfemaßnahmen~~ ergreifen, indem du lokale Firewallregeln (Local-In-Regeln) erstellst, um die IP-Adressen der FortiGate-Geräte, die eine Verbindung herstellen dürfen, auf eine ~~Whitelist~~ zu setzen. Alternativ kann dies auch über eine externe Firewall erfolgen.		Für alle FortiManager-Versionen kannst du Abhilfemassnahmen ergreifen, indem du lokale Firewallregeln (Local-In-Regeln) erstellst, um die IP-Adressen der FortiGate-Geräte, die eine Verbindung herstellen dürfen, auf eine Freigabeliste zu setzen.
			Alternativ kann dies auch über eine externe Firewall erfolgen.

	Um eine lokale Firewallregel auf dem FortiManager zu konfigurieren, die Verbindungen von einem bekannten Subnetz, z. B. 198.18.250.0/24 (Verwaltungsnetzwerk),		Um eine lokale Firewallregel auf dem FortiManager zu konfigurieren, die Verbindungen von einem bekannten Subnetz, z. B. 198.18.250.0/24 (Verwaltungsnetzwerk),
	sowie der spezifischen IP-Adresse 10.~~109~~.16.99 (FortiGate-Gerät) zulässt, verwende folgende Regeln:		sowie der spezifischen IP-Adresse 10.250.17.2 (FortiGate-Gerät) zulässt, verwende folgende Regeln:
	{\| class="wikitable" style="width:850px"		{\| class="wikitable" style="width:850px"
	\|- style="background:#89E871"		\|- style="background:#89E871"
Zeile 101:		Zeile 102:
	set action accept		set action accept
	set src 198.18.250.0/24		set src 198.18.250.0/24
	set dport 443		set dport 443 <--- WebGui Adminport
	next		next
	edit 2		edit 2
	set action accept		set action accept
	set src 198.18.250.0/24		set src 198.18.250.0/24
	set dport 22		set dport 22 <--- SSH Adminport
	next		next
	edit 3		edit 3
	set action accept		set action accept
	set src 10.~~109~~.16.99/32		set src 10.250.17.2/32
	set dport 541 <--- Erlaube nur TCP/541 von bekannten FortiGate-IP-Adressen.		set dport 541 <--- Erlaube nur TCP/541 von bekannten FortiGate-IP-Adressen.
	next		next
Zeile 117:		Zeile 118:
	end		end
	</pre>		</pre>
	{\| class="wikitable" style="width:~~550px~~"		{\| class="wikitable" style="width:750px"
	\|-		\|-
	\| style="width:50px;background-color: #276ef1;"\| <span>[[File:info.svg\|50px\|link=]]</span>		\| style="width:50px;background-color: #276ef1;"\| <span>[[File:info.svg\|50px\|link=]]</span>
	\| style="background-color: #A9C5F9"\|		\| style="background-color: #A9C5F9"\|
	Es ist wichtig zu beachten, dass die Regel '''4''' im Beispiel alle Einstellungen auf "Standard" hat.		Es ist wichtig zu beachten, dass die Regel '''4''' im Beispiel alle Einstellungen auf "Standard" hat.</br>
			Dadurch wird diese zu einer expliziten Drop-Regel, die den Zugriff von allen anderen IP-Adressen blockiert.
	\|}		\|}
	\|}		\|}
	~~Dadurch wird sie zu einer expliziten Drop~~-~~Regel, die den Zugriff von allen anderen IP~~-~~Adressen verweigert~~.
			Weitere Informationen betreffend Local-In-Regeln auf dem FortiManager findet man im CLI Guide:
			* https://docs.fortinet.com/document/fortimanager/7.6.0/cli-reference/68140/local-in-policy
	----		----
	'''Weitere Informationen findet man unter folgenden externen Artikeln:'''<br>		'''Weitere Informationen findet man unter folgenden externen Artikeln:'''<br>
Zeile 132:		Zeile 136:
	Informationen CVE-		Informationen CVE-
	*		*
			Informationen auf Heise.de:
			* https://www.heise.de/news/FortiManager-Update-schliesst-offenbar-bereits-attackierte-Sicherheitsluecke-9990393.html
	</small>		</small>
	----		----

4Tinu: /* Datenschutz */

2024-10-23T05:42:07Z

Datenschutz

← Nächstältere Version		Version vom 23. Oktober 2024, 07:42 Uhr
Zeile 25:		Zeile 25:

	</pre>		</pre>



Zeile 79:		Zeile 80:
	</pre>		</pre>
	\|}		\|}
	{\| class="wikitable" style="width:~~850px~~"		{\| class="wikitable" style="width:550px"
	\|-		\|-
	\| style="width:50px;background-color: #FF7730;"\| <span>[[File:wichtig.svg\|50px\|link=]]</span>		\| style="width:50px;background-color: #FF7730;"\| <span>[[File:wichtig.svg\|50px\|link=]]</span>
Zeile 90:		Zeile 91:
	Um eine lokale Firewallregel auf dem FortiManager zu konfigurieren, die Verbindungen von einem bekannten Subnetz, z. B. 198.18.250.0/24 (Verwaltungsnetzwerk),		Um eine lokale Firewallregel auf dem FortiManager zu konfigurieren, die Verbindungen von einem bekannten Subnetz, z. B. 198.18.250.0/24 (Verwaltungsnetzwerk),
	sowie der spezifischen IP-Adresse 10.109.16.99 (FortiGate-Gerät) zulässt, verwende folgende Regeln:		sowie der spezifischen IP-Adresse 10.109.16.99 (FortiGate-Gerät) zulässt, verwende folgende Regeln:
	{\| class="wikitable" style="width:~~550px~~"		{\| class="wikitable" style="width:850px"
	\|- style="background:#89E871"		\|- style="background:#89E871"
	\| [[file:config_cli.png\|25px\|link=]] '''Konfiguration über die CLI:'''		\| [[file:config_cli.png\|25px\|link=]] '''Konfiguration über die CLI:'''

4Tinu: /* Datenschutz */

2024-10-23T05:40:53Z

Datenschutz

← Nächstältere Version		Version vom 23. Oktober 2024, 07:40 Uhr
Zeile 27:		Zeile 27:


	~~{\| class="wikitable" style="width:100%"~~
	\|-
	~~\| style="width:100px;background-color: #f2f79d;vertical-align:top"\| <span style="color:#ffbb98">[[File:vulnerability.svg\|100px\|link=]]</span>~~
	\|

	{\| class="wikitable" style="width:100%"		{\| class="wikitable" style="width:100%"
Zeile 99:		Zeile 95:
	\|-		\|-
	\|		\|
			<pre style="background-color:#252269;color: #FFFFFF">
	config system local-in-policy		config system local-in-policy
	edit 1		edit 1

4Tinu: /* FortiManager Issue */

2024-10-23T05:39:40Z

FortiManager Issue

← Nächstältere Version		Version vom 23. Oktober 2024, 07:39 Uhr
Zeile 26:		Zeile 26:
	</pre>		</pre>


			{\| class="wikitable" style="width:100%"
			\|-
			\| style="width:100px;background-color: #f2f79d;vertical-align:top"\| <span style="color:#ffbb98">[[File:vulnerability.svg\|100px\|link=]]</span>
			\|

	{\| class="wikitable" style="width:100%"		{\| class="wikitable" style="width:100%"
Zeile 34:		Zeile 39:
	[[Datei:new.svg\|40px\|link=]]		[[Datei:new.svg\|40px\|link=]]
	----		----
	'''~~Zusammenfassung~~:'''</br>		<big>'''Problembeschreibung:'''</big><br>
	Eine fehlende Authentifizierung für eine kritische Funktion [CWE-306] im FortiManager <code> fgfmd Daemon </CODE> kann es einem entfernten,		Eine fehlende Authentifizierung für eine kritische Funktion [CWE-306] im FortiManager <code> fgfmd Daemon </CODE> kann es einem entfernten,
	nicht authentifizierten Angreifer mit einem gültigen Fortinet-Zertifikat,		nicht authentifizierten Angreifer mit einem gültigen Fortinet-Zertifikat,
	das von einem Fortinet-Gerät oder einer VM extrahiert wurde, ermöglichen, beliebigen Code oder Befehle über speziell gestaltete Anfragen		das von einem Fortinet-Gerät oder einer VM extrahiert wurde, ermöglichen, beliebigen Code oder Befehle über speziell gestaltete Anfragen
	auszuführen.		auszuführen.</br>
			'''Auswirkung:'''</br> Unautorisierte Ausführung von Code oder Befehlen
			'''Details:'''</br> Ein entfernter, nicht authentifizierter Angreifer kann Berechtigungen umgehen und unautorisierte Befehle ausführen, was den Download von FortiManager-Konfigurationen ermöglichen kann, einschliesslich derjenigen der verwalteten FortiGate-Geräte.

	FG-IR: FG-IR-24-423</br>		FG-IR: FG-IR-24-423</br>
	~~Schweregrad: Kritisch~~ '''~~(CVss~~: ~~9.8)~~'''</br>		<big>'''Bedrohungslevel:'''</big><br>
	~~Auswirkung: Unautorisierte Ausführung von Code oder Befehlen~~		* Severity '''High'''
			* Die Bedrohung wird mit einem CVssv3 Score von '''9.8''' eingestuft!
	~~Details: Ein entfernter, nicht authentifizierter Angreifer kann Berechtigungen umgehen und unautorisierte Befehle ausführen, was den Download~~ von ~~FortiManager-Konfigurationen ermöglichen kann, einschliesslich derjenigen der verwalteten FortiGate-Geräte~~.		<big>'''Betroffene Systeme:'''</big><br>

	'''Betroffene ~~Produkte~~:'''
	* FortiManager Versionen 7.6.0 und älter		* FortiManager Versionen 7.6.0 und älter
	* FortiManager Versionen 7.4.4 und älter		* FortiManager Versionen 7.4.4 und älter
Zeile 53:		Zeile 58:
	* FortiManager Versionen 6.4.14 und älter		* FortiManager Versionen 6.4.14 und älter

	'''~~Lösungen~~:'''		<big>'''Lösung:'''</big>

			Auf folgende Versionen kann upgedatet werden, damit diese Sicherheitslücke geschlossen wird:
	* Upgraden auf die FortiManager Version 7.6.1 oder höher		* Upgraden auf die FortiManager Version 7.6.1 oder höher
	* Upgraden auf die FortiManager Version 7.4.5 oder höher		* Upgraden auf die FortiManager Version 7.4.5 oder höher
Zeile 62:		Zeile 69:
	Diese Versionen werden in den kommenden Tagen veröffentlicht.		Diese Versionen werden in den kommenden Tagen veröffentlicht.

	Workarounds:		<big>'''Workarounds:</big></br>
			Auf dem FortiManager der Versionen <=7.0.12, <=7.2.5 oder <=7.4.3 (ausser 7.6.0) kann mit folgender Konfiguration verhindert werden, dass unbekannte Geräte sich versuchen zu registrieren:
	Für FortiManager-Versionen 7.0.12 oder höher, 7.2.5 oder höher, 7.4.3 oder höher (ausser 7.6.0),		Für FortiManager-Versionen 7.0.12 oder höher, 7.2.5 oder höher, 7.4.3 oder höher (ausser 7.6.0),
	~~verhindere, dass unbekannte Geräte versuchen, sich zu registrieren~~:		{\| class="wikitable" style="width:550px"
	<pre>		\|- style="background:#89E871"
			\| [[file:config_cli.png\|25px\|link=]] '''Konfiguration über die CLI:'''
			\|-
			\|
			<pre style="background-color:#252269;color: #FFFFFF">
	config system global		config system global
	set fgfm-deny-unknown enable		set fgfm-deny-unknown enable
	end		end
	</pre>		</pre>
			\|}
			{\| class="wikitable" style="width:850px"
			\|-
			\| style="width:50px;background-color: #FF7730;"\| <span>[[File:wichtig.svg\|50px\|link=]]</span>
			\| style="background-color: #FFB991"\|
			Wenn du diese Einstellung aktivierst, verhindert FortiManager, dass sich ein FortiGate-Gerät registriert, falls dessen Seriennummer nicht in der Geräteliste hinterlegt ist, selbst wenn das Modellgerät und der vorab geteilte Schlüssel (PSK) übereinstimmen.
			\|}

			Für alle FortiManager-Versionen kannst du Abhilfemaßnahmen ergreifen, indem du lokale Firewallregeln (Local-In-Regeln) erstellst, um die IP-Adressen der FortiGate-Geräte, die eine Verbindung herstellen dürfen, auf eine Whitelist zu setzen. Alternativ kann dies auch über eine externe Firewall erfolgen.

	Warnung: Wenn diese Einstellung aktiviert ist, beachte, dass FortiManager verhindert, dass sich ein FortiGate registriert, falls dessen Seriennummer nicht in der Geräteliste steht, selbst wenn ein Modellgerät mit PSK übereinstimmt.		Um eine lokale Firewallregel auf dem FortiManager zu konfigurieren, die Verbindungen von einem bekannten Subnetz, z. B. 198.18.250.0/24 (Verwaltungsnetzwerk),
			sowie der spezifischen IP-Adresse 10.109.16.99 (FortiGate-Gerät) zulässt, verwende folgende Regeln:
	~~Für alle FortiManager-Versionen sind Abhilfemaßnahmen möglich, indem~~ lokale ~~Richtlinien erstellt werden, um die IP-Adressen von FortiGates, die sich verbinden dürfen,~~ auf ~~eine Whitelist zu setzen (dies kann auch mit einer externen Firewall erreicht werden).~~		{\| class="wikitable" style="width:550px"
			\|- style="background:#89E871"
	~~Um eine Firewall-Richtlinie~~ zu konfigurieren, die Verbindungen von einem bekannten Subnetz, z. B. ~~172~~.30.12.0/24 (~~das~~ Verwaltungsnetzwerk),		\| [[file:config_cli.png\|25px\|link=]] '''Konfiguration über die CLI:'''
	~~und~~ der spezifischen IP 10.109.16.99 (FortiGate-Gerät) zulässt, verwende folgende ~~Richtlinie~~:		\|-
	~~<pre>~~		\|
	config system local-in-policy		config system local-in-policy
	edit 1		edit 1
	set action accept		set action accept
	set src ~~172~~.30.12.0/24		set src 198.18.250.0/24
	set dport 443		set dport 443
	next		next
	edit 2		edit 2
	set action accept		set action accept
	set src ~~172~~.30.12.0/24		set src 198.18.250.0/24
	set dport 22		set dport 22
	next		next
Zeile 93:		Zeile 113:
	set action accept		set action accept
	set src 10.109.16.99/32		set src 10.109.16.99/32
	set dport 541 <---~~---- Only allow~~ TCP/541 ~~from known~~ FortiGate IP		set dport 541 <--- Erlaube nur TCP/541 von bekannten FortiGate-IP-Adressen.
	next		next
	edit 4		edit 4
Zeile 99:		Zeile 119:
	end		end
	</pre>		</pre>
			{\| class="wikitable" style="width:550px"
	~~'''Hinweis~~:~~'''~~ Es ist wichtig zu beachten, dass ~~Richtlinie~~ 4 im Beispiel alle Einstellungen auf "Standard" hat.		\|-
			\| style="width:50px;background-color: #276ef1;"\| <span>[[File:info.svg\|50px\|link=]]</span>
			\| style="background-color: #A9C5F9"\|
			Es ist wichtig zu beachten, dass die Regel '''4''' im Beispiel alle Einstellungen auf "Standard" hat.
			\|}
			\|}
	Dadurch wird sie zu einer expliziten Drop-Regel, die den Zugriff von allen anderen IP-Adressen verweigert.		Dadurch wird sie zu einer expliziten Drop-Regel, die den Zugriff von allen anderen IP-Adressen verweigert.
	----		----

4Tinu: /* Checkpoint FAQ */

2024-10-23T05:16:36Z

Checkpoint FAQ

@@ Zeile 25: / Zeile 25: @@
 </pre>
 =Checkpoint FAQ=
 ==VPN==

Martin Ruesch: /* Wie kann ich auf einer Check Point ein Remote Client VPN einrichten? */

2020-11-24T10:32:57Z

Wie kann ich auf einer Check Point ein Remote Client VPN einrichten?

@@ Zeile 44: / Zeile 44: @@
   [[File:Checkpoint-0004.png|750px|link=]]
 === Wie kann ich auf einer Check Point ein Remote Client VPN einrichten? ===
-  [[File:Checkpoint-0004.png|750px|link=]]
 === Wie konfiguriere ich ein VPN zwischen einer Check Point und einer FortiGate Firewall? ===

Martin Ruesch: /* Wie konfiguriere ich ein VPN zwischen einer Check Point und einer FortiGate Firewall? */

2020-11-24T10:32:43Z

Wie konfiguriere ich ein VPN zwischen einer Check Point und einer FortiGate Firewall?

@@ Zeile 47: / Zeile 47: @@
 === Wie konfiguriere ich ein VPN zwischen einer Check Point und einer FortiGate Firewall? ===
 ====Ausgangslage:====
 {| class="wikitable" style="width:1000px"