FortiGate-5.4-5.6:FAQ

FortiGate-5.4:FAQ

 24 X 7 PROMOTION bis 31. März 2016
 
                        Weitere Informationen finden Sie hier!

Vorwort

Diese FAQ's sind für Fortinet Systeme basierend auf OS 5.4. Zu Test-Zwecken stand eine Fortigate 60D zur Verfügung!

Datenschutz

        *********************************************************************
        *                                                                   *
        *  THIS FILE MAY CONTAIN CONFIDENTIAL, PRIVILEGED OR OTHER LEGALLY  *
        *      PROTECTED INFORMATION. YOU ARE PROHIBITED FROM COPYING,      *
        *    DISTRIBUTING OR OTHERWISE USING IT WITHOUT PERMISSION FROM     *
        *                   ALSO SCHWEIZ SWITZERLAND.                       *
        *                                                                   *
        *********************************************************************

"Die in diesen Artikeln enthaltenen Informationen sind vertraulich und dürfen ohne
  schriftliche Zustimmung von der Schweiz AG gegenüber Dritt-Unternehmen nicht 
                         bekannt gemacht werden"

Documentation

Wo findet ich die Dokumente wie Datasheets, Quick Start Guide, User Guide etc. ?

Ueber folgenden internen Link findet man Datasheets und Quick Start Guide betreffend Fortigate Devices:

       Fortinet:ProduktInfo

Ebenfalls lohnt es sich folgenden Link anzuschauen der "Cookbook" ähnliche Dokumente und Video's beinhaltet:

       http://community.fortinet.com/

Auf folgender Seite findet man alle orginal Dokumente betreffend Fortigate:

       http://docs.fortinet.com/fortigate/admin-guides

       FortiOS 5.4
       Datei:Fortigate-Whats-New-54.pdf                                                        (FortiOS 5.4 Handbook - What's New)
       Datei:Fortigate-CLI-Ref-54.pdf                                                          (FortiOS 5.4 CLI Reference)
       Datei:FortiOS-Log-Reference-54.pdf                                                      (FortiOS 5.4 FortiOS Log Reference)

       Datei:FortiOS-Upgradepath-54.pdf                                                        (FortiOS 5.4 Supported Upgrade Paths for Firmware)
       Datei:FortiOS-Software-Platform-Matrix-54.pdf                                           (FortiOS 5.4 Feature / Platform Matrix)
       Datei:Fortios-v5.4.0-release-notes.pdf                                                  (FortiOS 5.4 Release Notes 5.4.0)

       Datei:FortiGate Managed FortiSwitch Matrix.pdf                                          (Managed FortiSwitch Compatibility Matrix)
       Datei:FortiOS-Compatibility-FMG-FAZ.pdf                                                 (Managed FortiManager/FortiAnalyzer Compatibility Matrix)

       Datei:Fortigate-Authentication-54.pdf                                                   (FortiOS 5.4 Handbook - Authentication)
       Datei:Fortigate-Carrier-54.pdf                                                          (FortiOS 5.4 Handbook - Carrier)
       Datei:Fortigate-HA-54.pdf                                                               (FortiOS 5.4 Handbook - High Availability)
       Datei:Fortigate-IPSec-VPN-54.pdf                                                        (FortiOS 5.4 Handbook - IPsec VPN)
       Datei:Fortigate-IPv6-54.pdf                                                             (FortiOS 5.4 Handbook - IPv6)
       Datei:Fortigate-Load-Balancing-54.pdf                                                   (FortiOS 5.4 Handbook - Load Balancing)
       Datei:Fortigate-Managing-Devices-54.pdf                                                 (FortiOS 5.4 Handbook - Managing Devices)
       Datei:Fortigate-Managing-Switch-54.pdf                                                  (FortiOS 5.4 Handbook - Managing FortiSwitch from FortiGate)
       Datei:Fortigate-Optimal-Life-54.pdf                                                     (FortiOS 5.4 Handbook - Optimal Path Processing "Life of a Packet")
       Datei:Fortigate-SSL-VPN-54.pdf                                                          (FortiOS 5.4 Handbook - SSL VPN)
       Datei:Fortigate-WANopt-Cache-Proxy-54.pdf                                               (FortiOS 5.4 Handbook - WAN Optimization, Web Cache, Explicit Proxy, and WCCP)
       Datei:Fortigate-Wireless-54.pdf                                                         (FortiOS 5.4 Handbook - Deploying Wireless Networks)

Gibt es einen direkten Link auf die "Fortinet Knowledgebase" auf der die "KB Artikel" alle aufgelistet sind?

Die Fortinet "Knowledgebase" Artikel sind über den folgenden Link erreichbar:

       http://kb.fortinet.com/

Ueber diesen Link sieht man die verschiedenen Fortinet Produkte die man anwählen und über eine Suchfunktion für das entsprechende Produkt einen entsprechenden "KB Artikel" suchen kann. Möchte man jedoch sämtliche "KB Artikel" auflisten - vorallem die Neusten - ist dies über den Link nicht möglich. Nachfolgender Link bietet diese Möglichkeit dh. sämtliche "KB Artikel" werden aufgelistet (die Neusten zu oberst):

       http://pub.kb.fortinet.com/index/

Hardware

Wo finde ich die Hardware Revision und Hardware Generation Informationen eines FortiGate Devices?

Ein FortiGate Device verfügt über eine entsprechende "Hardware Revision" und "Hardware Generation". Ueber diese Information wird ein entsprechender FortiGate Device identifiziert. Möchte man die "Hardware Revision" herausfinden einer FortiGate kann dies folgendermassen bewerkstelligt werden:

       Variante Device Label
       
       Die "Hardware Revision" wird als "label" auf der Rückseite eines FortiGate Devices aufgeführt in
       nachfolgender Form und als Strich-Code:
       
       PN: P15968-01

       Variante FortiOS
       
       Wenn man über CLI folgenden Befehl absetzt erhält man die "Hardware Revision" Information:
       
       # get system status | grep Part-Number
       System Part-Number: P15968-01

Wie schon zu Beginn erklärt wird ein Device über die "Hardware Revision" und "Hardware Generation" identifiziert. Die "Hardware Generation" kann jedoch nicht erruiert werden sei es über ein "label" noch über CLI. Wenn diese Informatione dennoch benötigt wird kann über ein Ticket die entsprechende Information der "Hardware Generation" angefragt werden. Wie ein Ticket für Fortinet eröffnet wird siehe nachfolgender Artikel:

       Fortinet:Support-Case
       
       NOTE Bei dieser "Hardware Revision" wie in unserem Beispiel gezeigt (P15968-01) handelt es sich zB um eine FG-70D. Das bedeutet: 
            Wenn eine neue "Hardware Revision" für diesen Device released wird so kann diese über eine PN Nr "P15968-01" verfügen jedoch
            als "Hardware Generation" die "2". Es kann jedoch auch sein, dass ein neue "Hardware Revision" über eine PN Nummer verfügt 
            zB "P15978-02". Somit kann anhand der PN Nummer keine Rückschlüsse gezogen werden über die nötige Information von:
            
            PN Nummer (Hardware Revision) + Hardware Generation
            
            Diese Information der "Hardware Revison" sowie "Hardware Generation" sind dann wichtig wenn es sich um einen Cluster handelt.
            Bei einem RMA Austausch achtet Fortinet darauf und übermittelt der zuständigen Stelle für den Austausch diese Informationen
            damit diese exakt die gleiche "Hardware Revision" und "Hardware Generation" dem Kunden zustellt!

Wo finde ich eine Uebersicht welcher FortiGate Device zB über wieviel "Memory" verfügt, ein "SOC" und/oder "NP" verbaut ist?

Nachfolgend eine Aufstellung die zeigt über welche Komponenten wie "SOC, NP, Memory, Storage ein FortiGate Device verfügt:

       NOTE Diese Informationen stammen aus einem Post im "Fortinet Forum" da Fortinet diese Informationen nicht komuniziert:
            
            https://forum.fortinet.com/tm.aspx?m=100451#100451

       LEGENDE
       FA = FA526id(wb) rev 1 (v4l) FortiSOC (Fortinet)
       I2 = Intel Core 2 Duo
       I3 = Intel Pentium III
       I4 = Intel Pentium 4
       IA = Intel Atom
       IC = Intel Celeron (Covington)
       II3 = Intel Core i3
       II5 = Intel Core i5
       IM = Intel Mobile
       IX = Intel Xeon
       
       CP: Content Processor
       NP: Network Processor
       SoC: System on a Chip

Was für FortiGate Devices stehen in den verschiedenen Verfügung und welche ist die Richtige?

Wenn für einen Kunden ein FortiGate Device installiert werden soll stellt sich die Frage welcher Device ist der Richtige? Dabei sind verschiedenen Informationen wichtig wie zB:

       - Ueber was für eine Internet Anbindung verfügt der Kunde an der ein FortiGate Device installiert werden soll?
       - Ist ein Ausbau/Wechsel der Internet Anbindung geplant und wenn ja wir diese vergrössert (Dowstream/Upstream)?
       - Wieviele User werden durch den FortiGate Device geschützt?
       - Welche UTM Features werden auf dem FortiGate Device eingesetzt (Antivirus, WebFilter, IPS usw)
       - Wird "deep inspection" eingesetzt (Aufbrechen von verschlüsseltem Traffic)?
       - Werden spezielle Interface's benötigt zB SFP+
       - Wird ein spezieller Durchsatz in einem Bereich benötigt?
       - Wo wird "logging" durchgeführt zB Disk, FortiAnalyzer usw.?

Zusätzlich stellt Fortinet die sogenannte "Produkte Matrix" zur Verfügung in der die verschiedenen Devices gegenüber gestellt werden und die verschiedenen "Durchsätze" in verschiedenen Kategorieren wie SSL-VPN, IPSec, UTM Antivirus usw. aufgelistet und gegenüber gestellt werden. Dabei ist zu beachten, dass diese "Durchsätze" als "Feature Only" Durchsatz zu verstehen sind. Dies bedeutet: Wird Antivirus mit 35 Mbps Durchsatz aufgeführt, versteht sich dieser Wert in dem Sinne, dass wenn dieser Device "nur" Antivirus Traffic erhalten würde, der Durchsatz 35 Mbps ist. Aus diesem Grund ist es unerlässlich die Produkte Matrix zu konsultieren um den richtigen Device für den Kunden auszuwählen:

       Fortinet:ProduktInfo#Fortinet_Produkt-Matrix

Zu den verschiedenen FortiGate Devices stehen jeweils die "Datasheet" zur Verfügung die nochmals detailliert über den jeweiligen FortiGate Device Auskunft gibt. Desweiteren stehen zu den "Datasheet" ebenso die "Quickstart" Guide zur Verfügung die zeigen "was" zum jeweiligen Device mitgeliefert wird sowie das Aussehen:

       Fortinet:ProduktInfo#FortiGate

Desweiteren steht für die Produkte Information der Produkt Guide zur Verfügung der jeden FortiGate Device in einer Kurzübersicht darstellt:

       Fortinet:ProduktInfo#Fortinet_Produkt-Guide

Nachfolgend als Anhaltspunkt eine Uebersicht der FortiGate Devices in den verschiedenen Kategorieren wie "Entry Level, Midsize usw.":

Gibt es für FortiGate Device's eine Uebersicht wie die Luftzirkulation (Airflow) in den Device's aufgebaut ist?

Nachfolgende Dokument zeigen für die jeweiligen FortiGate Devices wie die Luftzirkulation/Kühlung in den Devices aufgebaut ist und wie diese funktionieren. Diese Dokumente stehen jedoch nur für FortiGate Devices 100D und höher zur Verfügung.

       Datei:FG-100D Airflow.pdf
       Datei:FG-200D Airflow.pdf
       Datei:FG-300C Airflow.pdf
       Datei:FG-600C 800C Airflow.pdf
       Datei:FG-1000C Airflow.pdf
       Datei:FG-1500D Airflow.pdf
       Datei:Fg-3700D Airflow.pdf

Disk

Wie kann ich auf einer FortiGate die auf der Disk enthaltenen Daten (inkl. Boot Device) vollumfänglich (low level) löschen?

Ab FortiOS 5.0.5 gibt es die Möglichkeit die "Disk" (Internal) und/oder den "System Boot Device" über "low level" zu formatieren. Dies ist dann Wichtig wenn ein Device entsorgt wird oder dem Hersteller im RMA Fall zurückgesendet werden soll um so zu gewährleisen, dass sämtliche enthaltenen Daten auf der Disk gelöscht werden sollen. Bei der "low level" Formatierung werden die Spuren und Sektoren der "Disk" resp. des "System Boot Device's" mit zufälligen Daten 3 X überschrieben um so zu gewährleisten das die vorhandenen Daten komplett gelöscht werden. Ab FortiOS 5.0.5 steht für diesn Vorgang folgender Befehl zur Verfügung:

       # execute erase-disk [SYSTEM | Internal]

Wenn ein Device aus Gründen der "Security Gründen" bei einem RMA Austausch nicht dem Hersteller zurückgesendet werden kann obwohl die Möglichkeit einer "low level" Formatierung zur Verfügung steht bietet Fortinet innerhalb des "FortiCare" einen speziellen Vertrag an der es ermöglicht bei einem RMA Austausch den Device selber zu entsorgen anstelle diesen dem Hersteller zurück zu senden. Dieser Service wird "FortiCare RMA Secure Service" genannt. Weitere Informationen dazu siehe nachfolgenden Artikel:

       Fortinet:Support-RMA#Gibt_es_von_Fortinet_einen_.22FortiCare_Secure_RMA_Service.22.3F

Wie kann ich die Disk (Flash, SSD) eines FortiGate Device testen um zu überprüfen ob diese Fehler enthält?

Anhand des Befehls "diagnose disktest" kann auf einer FortiGate ab FortiOS 5.2.1 die Disk getestet werden. Dazu sollte berücksichtigt werden, dass dieser Test in einem Maitenance Fenster durchgeführt wird und nicht bei hoher Last. Um diesen Test zu benutzen muss anhand des Befehls zuerst die entsprechende Disk gewählt werden. Um die Disk's aufzulisten benutze folgenden Befehl:

       NOTE Der Test kann seine Zeit dauern dh. bei einer 60D ohne zusätzlichen Optionen dh. no Limit läuft der Test für 
            7728M ca 45 Minuten! Dies gilt für "Round 1" denn sobald diese beendet ist beginnt der Test erneut dh. "Round 2".
            Der Test kann anhand "Ctrl + C" abgebrochen werden. Wenn dies durchgeführt wird erscheint folgendes:
           
            "User interrupt! Restoring data back to disk....".

Wie schon erwähnt muss für einen Test die entsprechende Disk zuerst gewählt werden. Daraus ergiebt sich folgendes Vorgehen:

       Liste die vorhandenen Device's auf:
       
       # diagnose disktest device 
       1    /dev/sda, size 3864MB, boot device
       2    /dev/sdb, size 7728MB

       Selektieren die gewünschte Disk zB /dev/sdb dh. "2":
       
       # diagnose disktest device 2
       Current Test Device: /dev/sdb

       Setze für den Test verschiedene Optionen dh.:
       
       # diagnose disktest [bllock | time | size]
       
       NOTE Die Optionen haben folgende Bedeutung:
            
            block       Die Blocksize für jede Lese- sowie Schreiboperation.
            time        Die Limite der Testzeit für jeden Zyklus. Standard "keine Limite".
            size        Die Limite der Testgrösse für jeden Zyklus. Standard "keine Limite".

Wenn der gewünschte Device gesetzt/gewählt wurde/ist sowie sofern notwendig die Optionen konfiguriert wurden führe den Test aus:

       # diagnose disktest run
       
       Round 1 started.
       Current Test Device: /dev/sdb
       Total size: 7728M
       Current Test Block: 4M.
       Current Time Limit: No limit
       Current Size Limit: No limit
       Time(Sec)    Size(MB)                                                 Read(MB/s) Write(MB/s)
         0.0        0(0.00%):  ..................................................  15.0   8.6
        76.0      200(2.59%):  ..................................................  15.1   8.9
       150.2      400(5.18%):  ..................................................  15.0   9.0
       224.3      600(7.76%):  ..................................................  15.0   8.9
       298.8      800(10.35%): ..................................................  15.1   8.9
       372.9     1000(12.94%): ..................................................  15.1   9.0
       446.9     1200(15.53%): ..................................................  15.1   9.0
       520.7     1400(18.12%): ..................................................  15.2   9.0
       594.4     1600(20.70%): ..................................................  15.1   9.0
       668.4     1800(23.29%): ..................................................  15.2   9.0
       742.1     2000(25.88%): ..................................................  15.3   9.0
       815.8     2200(28.47%): ..................................................  15.3   9.0
       889.5     2400(31.06%): ..................................................  15.3   8.9
       963.1     2600(33.64%): ..................................................  15.4   9.0
       1036.7    2800(36.23%): ..................................................  15.3   9.0
       1110.3    3000(38.82%): ..................................................  15.3   9.0
       1183.9    3200(41.41%): ..................................................  15.3   9.0
       1257.6    3400(44.00%): ..................................................  15.3   9.0
       1331.2    3600(46.58%): ..................................................  15.3   9.0
       1404.7    3800(49.17%): ..................................................  15.3   9.0
       1478.3    4000(51.76%): ..................................................  15.3   9.0
       1551.9    4200(54.35%): ..................................................  15.2   8.9
       1625.8    4400(56.94%): ..................................................  14.5   8.6
       1702.5    4600(59.52%): ..................................................  15.0   8.8
       1777.3    4800(62.11%): ..................................................  15.2   8.9
       1851.6    5000(64.70%): ..................................................  15.1   8.9
       1925.9    5200(67.29%): ..................................................  15.1   8.9
       2000.3    5400(69.88%): ..................................................  15.1   8.9
       2074.7    5600(72.46%): ..................................................  15.1   8.9
       2148.9    5800(75.05%): ..................................................  15.2   8.9
       2223.2    6000(77.64%): ..................................................  15.2   8.8
       2297.5    6200(80.23%): ..................................................  15.1   8.9
       2371.9    6400(82.82%): ..................................................  15.2   8.9
       2446.2    6600(85.40%): ..................................................  15.1   8.9
       2520.5    6800(87.99%): ..................................................  15.3   8.9
       2594.6    7000(90.58%): ..................................................  14.6   8.6
       2671.4    7200(93.17%): ..................................................  15.1   8.4
       2748.0    7400(95.76%): ..................................................  15.3   5.4
       2851.2    7600(98.34%): ................................
       Test Result: Passed
       Tested size: 7728MB (100.00% Coverage of whole disk)
       Time used: 2901.5 sec
       Read Speed:  15.2MB/s
       Write Speed:   8.7MB/s
       Round 1 Finished!
       
       Round 2 started.
       Current Test Device: /dev/sdb
       Total size: 7728M
       Current Test Block: 4M.
       Current Time Limit: No limit
       Current Size Limit: No limit
       Time(Sec)    Size(MB)                                                 Read(MB/s) Write(MB/s)
         0.0        0(0.00%):  ..................................................  14.7   8.4
        77.9      200(2.59%):  .............User interrupt! Restoring data back to disk...
       
       Test Result: Interrupted
       Tested size: 256MB (3.31% Coverage of whole disk)
       Time used:  99.3 sec
       Read Speed:  14.7MB/s
       Write Speed:   8.4MB/s
       Round 2 Finished!

Wird bei einem "unclean shutdown" auf einem FortiGate Device beim Systemstart ein "filesystem check" durchgeführt?

Ab der Version 5.2.x wurde diese Funktion integriert sowie zusätzlich die Möglichkeit die Disk explizit manuell zu testen. Weitere Informationen wie man einen "expliziten" Disk Test Manuell ausführt siehe nachfolgenden Artikel:

       FortiGate-5.4:FAQ#Wie_kann_ich_die_Disk_.28Flash.2C_SSD.29_eines_FortiGate_Device_testen_um_zu_.C3.BCberpr.C3.BCfen_ob_diese_Fehler_enth.C3.A4lt.3F

Wie erwähnt wurde für ein "unclean shutdown" (zB Stromunterbruch) im FortiOS 5.2.x die Funktion eingebaut, dass nach einem "unclean shutdwown" während dem Start Prozess dies erkannt wird und automatisch ein "filesystem check" ausgeführt wird. Diese wird "nicht" anhand eines "expliziten" Disk Tst aufgeführt sondern ähnelt einem "fsck" das auf einem Linux System ausgeführt wird. In diesem Vorgang wird durch das System bemerkt das ein "unclean shutdown" stattgefunden hat. Dies wird ebenfalls indiziert in dem beim Start auf der Console folgendes erscheint:

       System is starting...
       Starting system maintenance...
       scanning /dev/sda2... (100%)

In vorhergehenden Versionen des FortiOS dh. zB 5.0 wurde dieser "filesystem check" beim Start des Devices durchgeführt. Solch ein "filesystem check" kann einige Zeit in Anspruch nehmen und deshalb wurde die Vorgehensweise ab der FortiOS Version 5.2.3 geändert. Dies bedeutet: Wenn ein "unclean shutdown" stattfindet ab FortiOS Version 5.2.3 wird kein "filesystem check" mehr direkt beim Neustart des Device ausgeführt sondern nur ein "system maintenace" indiziert. Sobald sich der Administrator auf dem Web Mgmt. Interface einloggt wird ein entsprechender Dialog angezeigt der durch den "unclean shutdown" ausgelöst wurde:

Durch diesen Dialog hat der Administrator die Möglichkeit den "filesystem check" auszuführen oder diesen auf einen späteren Zeitpunkt zu verschieben. Wird der "filesystem check" nach dem einloggen des Administrators ausgeführt so wird ein Neustart des Devices ausgeführt und dieser "filesystem check" beim Neustart ausgeführt. Wie schon erwähnt kann dieser "filesystem check" durchaus mehrere Minuten in Anspruch nehmen und der Vorgang sollte auf keinen Fall unterbrochen werden! Wird diese "filesystem check" Meldung beim einloggen auf das Web Mgmt. Interface anhand "Remind me later" auf einen späteren Zeitpunkt verschoben, wird die Meldung nach jedem Einloggen angezeigt bis dieser "filesystem check" ausgeführt wird!

PowerSupply

Kann man für FortiGate's seperate Spare und/oder Redundante PowerSupply (RPS) beziehen?

Für die verschiedenen FortiGate Devices stellt Fortinet seperate "PowerSupplies" zur Verfügung. Für die grösseren Devices stehen zusätzlich für die Redundanz ebenfalls "RPS Devices" (Redundand PowerSupply) zur Verfügung. Welche Geräte kompatible sind zu den seperaten "RPS Devices" siehe nachfolgender Artikel:

       Fortinet:ProduktInfo#FortiRPS

Nachfolgende Tabelle zeigt für welchen FortiGate Device welches sperate zu beziehende "PowerSupply" bestellt werden kann:

Nachfolgend einige erfasste ALSO Schweiz Artikel betreffend "PowerSupply":

       ALSO Art Nr.    Hersteller SKU          Beschreibung
       16503530H       SP-FG20C-PA-EU          AC power adaptor with EU power plug for FG/FWF-20C series, FG/FWF-30D
       16502510H       SP-FG80-PDC             AC power adaptor - AC power adaptor for FG/FWF-80C/CM
       16501668H       SP-FG60C-PDC            AC power adaptor - AC power adaptor for FG/FWF-40C, FG/FWF-60C, FG/FWF-60D, FG-70D, FG/FWF-90D
       16502889H       SP-FG600C-PS            AC power supply - AC power supply for FG-600C, FG-600D, FG-800C, and FG-1000C
       16505060H       SP-FG1240B-PS           AC power supply - AC power supply for FG-1200D, FG-1240B, FG-1500D, FG-3040B and FG-3140B

Ebenso stehen für die FortiAP sowie FortiAP-S "PowerSupplies" zur Verfügung. Weitere Informationen dazu siehe nachfolgender Artikel:

       FortiAP:FAQ#Wo_finde_ich_eine_Uebersicht_ob_ein_FortiAP_mit_PowerAdapter_geliefert_wird_oder_PoE_unterst.C3.BCtzt.3F 
       FortiAP-S:FAQ#Wo_finde_ich_eine_Uebersicht_ob_ein_FortiAP-S_mit_PowerAdapter_geliefert_wird_oder_PoE_unterst.C3.BCtzt.3F

SFP Ports

Kann ich für die SFP Ports auf einer FortiGate ebenfalls Fremdprodukte wie Cisco oder Huawai einsetzen?

Dies ist möglich jedoch ausgiebig vorgängig zu testen! Von unserer Seite her haben wir Tests sowie Feedback das folgende Transceiver einwandfrei funktionieren:

       Copper GigaBit 10/100/1000
       
       GLC-T=746320861579     Cisco Catalyst GigaEthernet SFP Modul 1000Base T
       02314171               Huawayi Electrical Transceiver SFP Module 1000Base T
       
       NOTE Durch Fortinet werden ebenfalls nicht eigenen Transceiver eingesetzt sondern von Fremdherstellern dh. wird ein Transceiver 
            über Fortinet bestellt, wird ein Transceiver zB von Huaway geliefert! Weitere Informationen betreffend "offizielle" SFP/SFP+ 
            Module von Fortinet sowie den Gebrauch von "nicht offiziellen" siehe folgender Artikel:
            
            FortiGate-5.4:FAQ#Kann_ich_f.C3.BCr_die_SFP_Ports_auf_einer_FortiGate_ebenfalls_Fremdprodukte_wie_Cisco_oder_Huawai_einsetzen.3F

Welche FortiGate Device's unterstützen SFP's und bei welchen FortiGate Devices werden SFP's mitgeliefert?

Nachfolgende Tabelle zeigt welche FortiGate Devices wieviele SFP's unterstützen und bei welchem FortiGate Device bereits SFP Module mitgeliefert werden:

       NOTE NIL = Not Included!
       
       
       

Es können für die FortiGate Devices auch Fremdprodukte als SFP's eingesetzt werden jedoch gibt es keine Gewährleistung das diese einwandfrei funktionieren. Weitere Infos siehe nachfolgender Artikel:

       FortiGate-5.4:FAQ#Kann_ich_f.C3.BCr_die_SFP_Ports_auf_einer_FortiGate_ebenfalls_Fremdprodukte_wie_Cisco_oder_Huawai_einsetzen.3F)
       
       NOTE Desweiteren ist nachfolgendes Dokument zu beachten, wenn keine "offiziellen" Tranceiver von Fortinet eingesetzt
            werden (speziell Seite 2 "3rd Party Transceivers Support"):
            
            Datei:Tech Note-Transceivers FAQs-201407-R3.pdf 

Basierend auf den "offiziellen" Tranceiver von Fortinet gemäss Preisliste stehen folgende SFP/SFP+ Module zur Verfügung:

       Transceiver LX, Long Range; all FortiGate models with SFP interfaces                                              ALSO SKU 16500426H  (Hersteller SKU FG-TRAN-LX)
       Transceiver SX, Short Range; all FortiGate models with SFP interfaces                                             ALSO SKU 16500428H  (Hersteller SKU FG-TRAN-SX)
       Transceiver Base-T (Copper); all FortiGate models with SFP interfaces (supports 10/100/1000)                      ALSO SKU 16500427H  (Hersteller SKU FG-TRAN-GC)
       
       10-Gig transceiver, short range SFP+; all FortiGate models with SFP+ interfaces                                   ALSO SKU 16500429H  (Hersteller SKU FG-TRAN-SFP+SR)
       10-Gig transceiver, short range XFP; all FortiGate models with XFP interfaces                                     ALSO SKU 16500430H  (Hersteller SKU FG-TRAN-XFPSR)
       10-Gig transceiver, SFP+, Long Range; all FortiGate models with SFP+ interfaces                                   ALSO SKU 16500431H  (Hersteller SKU FG-TRAN-SFP+LR)
       10-Gig transceiver, XFP, Long Range; all FortiGate models with XFP interfaces                                     ALSO SKU 16500432H  (Hersteller SKU FG-TRAN-XFPLR)
       
       40-Gig transceiver, QSFP+, short range; all FortiGate models with QSFP+ interfaces                                ALSO SKU auf Anfrage (Hersteller SKU FG-TRAN-QSFP+SR)
       40-Gig transceiver, QSFP+, long range; all FortiGate models with QSFP+ interfaces                                 ALSO SKU auf Anfrage (Hersteller SKU FG-TRAN-QSFP+LR)
       
       100-Gig transceiver, CFP2, short Range; all FortiGate models with CFP2 interfaces (10 Channel parallel fiber)     ALSO SKU auf Anfrage (Hersteller SKU FG-TRAN-CFP2-SR10)
       100-Gig transceiver, CFP2, long Range; all FortiGate models with CFP2 interfaces (only singlemode)                ALSO SKU auf Anfrage (Hersteller SKU FG-TRAN-CFP2-LR4)
       

Für eine direkte Verbindung zweier Fortigates über ein "direct attach cable" steht folgender Artikel zu Verfügung:

       10-Gig transceiver, SFP+, 10m direct attach cable; all FortiGate models with SFP+ and SFP/SFP+ interfaces         ALSO SKU auf Anfrage (Hersteller SKU SP-Cable-ADASFP+)      

Eine detaillierte Beschreibung der Tranceivereigenschaften befindet sich im folgenden Dokument:

       Datei:TRAN-DAT-R2-201503 web.pdf

Was sind die genauen Spezifikationen der SFP's Module die von Fortinet für die FortiGate Devices geliefert werden?

Im nachfolgenden Artikel wird beschrieben ob ein SFP/SFP+ Module zu einer FortiGate mitgeliefert wird und welche SFP/SFP+ Module offiziell für die FortiGate's zur Verfügung stehen:

       FortiGate-5.4:FAQ#Welche_FortiGate_Device.27s_unterst.C3.BCtzen_SFP.27s_und_bei_welchen_FortiGate_Devices_werden_SFP.27s_mitgeliefert.3F

In der nachfolgenden Tabelle werden die technischen Spezifikationen aufgelistet der SFP Module die von Fortinet für die FortiGate Devices geliefert werden:

       NOTE Die Informationen stammen aus einem Fortinet "Knowledgebase Artikel" und über diesen sind weitere Informationen verfügbar:
            
            http://kb.fortinet.com/kb/dynamickc.do?cmd=show&forward=nonthreadedKC&docType=kc&externalId=13823&sliceId=1

Nachfolgend das offizielle "Regulatory Compliance Document" betreffend SFP SX Transceiver:

       Regulatory Doc   Datei:Regulatory-Compliance-Document FG-TRAN-SX Rev 1.03.pdf
       Regulatory Doc   Datei:Regulatory-Compliance-Document FG-TRAN-CFP2-LR4 Rev 1.00.pdf
       Regulatory Doc   Datei:Regulatory-Compliance-Document FG-TRAN-CFP2-SR10 Rev 1.00.pdf

Upgrade

Soll ich (Stand Dezember 2015) ein Upgrade auf FortiOS 5.4.0 durchführen?

Es ist bei der FortiOS 5.4.0 zu beachten, dass es sich um einen neuen "General Availlibility Release" handelt. Wie aus den "Release Notes" zu entnehmen ist existieren auf diesem "Release 5.4.0" noch etliche "known issues". Ebenso stehen momentan noch nicht alle Informationen zur Verfügung betreffend den neuen Features und Funktionen zur Verfügung. Aus diesem Grund empfehlen wir diesen Release nicht für einen "produktiven Einsatz" da dieser Release aus unsere Sicht nicht "stable" ist. Für Testgeräte oder Laborgeräte ist es aber eine gute Sache sich mit dem neuen Release vertraut zu machen und sich in den neuen Release einzuarbeiten. Man kann sich mit dem neuen Menudesign vertraut machen und die neuen Features auf Herz Niere testen. Dabei ist jedoch die Kompatibilität zu anderen Devices wie zB FortiAnalyzr, FortiManager sowie FortiAP's zu berücksichtigen die in den "Release Notes" von FortiOS 5.4.0 explizit erwähnt werden.

       Datei:Fortios-v5.4.0-release-notes.pdf

Es ist zu erwarten, dass neue Devices wie zB eine FG-30E, FG-50E mit dem neuen FortiOS 5.4.0 ausgeliefert werden. Speziell neue Devices wie FG-30E und FG-50E werden dann mit einem sogenannten "Brache Release" ausgeliefert was nicht dem "General Availibitliy Relase" entspricht. Aus diesem Grund und in jedem Fall empfehlen wir neue Devices von Grund auf neu zu "stagen". Wie dies durchzuführen ist siehe nachfolgender Artikel:

       FortiGate:KonfigExample#How_to_Staging.2FSetup_.22Konfigurations_Example.22.3F

Welche FortiGate Geräte/Devices werden vom neuen FortiOS 5.4 unterstützt?

Das neue FortiOS Unterstützt wie nachfolgend abgebildet folgende Geräte:

Dies bedeutet: Nur die hier abgebildeten Geräte können durch ein Upgrade mit FortiOS 5.4 betrieben werden.

Rules/Filter (Policy)

Gibt es für eine Firewall Policy Rule für FortiOS 5.4 betreffend benutzen Objekten eine Limite (Policy is too big for system)?

Ja diese Limite existiert und zwar bei allen FortiOS Versionen. Dies bedeutet: wenn eine Firewall Policy Rule erstellt wird und in dieser Firewall Policy Rule wird zB eine Gruppe benutzt für Objekte und in dieser Gruppe exisiteren eine Vielzahl von Objekten kann es zu Fehlermeldungen kommen wie zB:

       "Policy is too big for system"

Dieser Umstand tritt auf wenn zB ein Upgrade durchgeführt wird und nachträglich eine neue Firewall Policy Rule erstellt werden möchte. Die Limite für eine Firewall Policy Rule betreffend enthaltenen Objekte ist die Folgende:

       Für FortiOS 5.4.0 oder höher 9000+ Objekte

       NOTE Für Informationen betreffend FortiOS 5.2.x siehe nachfolgender Artikel:
            
            FortiGate-5.0-5.2:FAQ#Gibt_es_f.C3.BCr_eine_Firewall_Policy_Rule_f.C3.BCr_FortiOS_5.2_betreffend_benutzen_Objekten_eine_Limite_.28Policy_is_too_big_for_system.29.3F

Der Grund für diese Limite ist realtiv einfach. Eine Firewall Policy Rule wird in den Kernel eines FortiOS geschrieben. In diesem Kernel existieren "memory limits" und diese verhindern das mehr Memory alloziert wird als gesetzt. Wenn dieser Umstand eintritt dh. zB für die Limite von 8000 Objekten (FortiOS 5.2.4 und tiefer) muss die Firewall Policy aufgeteilt werden in zwei Firewall Policy Rules.

NTP / Time / Date

Wie kann ich auf einer FortiGate die Zeit sowie das Datum überprüfe sowie konfigurieren?

Die Zeit sowie das Datum lassen sich über Web Mgmt. Interface überprüfen sowie über CLI. Um die Zeit sowie das Datum über Web Mgmt. zu überprüfen sowie zu konfigurieren wähle folgendes:

       Dashboard > [Widget Systeminformation] > System Time > Change
       
       

Unter dieser Position kann die Zeit und das Datum manuell überprüft sowie konfiguriert werden! Um die Zeit und das Datum über die CLI zu überprüfen kann folgendes Kommando benutzt werden:

       # execute time
       current time is: 19:23:51
       last ntp sync:Wed Dec 23 18:55:08 2015

       # execute date
       current date is: 2015-12-23

Um die Zeit sowie das Datum über CLI zu konfigurieren kann folgendes durchgeführt werden:

       # execute time hh:mm:ss

       # execute date yyyy-mm-dd

Wie kann ich auf einer FortiGate die Zeitzone konfigurieren?

Die Definition der Zeitzone auf einer FortiGate kommt eine "wichtige" Funktion zu dh. FortiGuard benützt die Zeitzone für verschiedenen Konfigurationen. Die Zeitzone auf einer FortiGate ist per Standard auf "US&Canada" gesetzt. Somit benützt "FortiGuard" für dessen Service Server aus dieser Zeitzone "US&Canada". Das gleiche gilt für den WebFilter dh. wenn die Zeitzone nicht angepasst wird so benützt FortiGuard die WebFilter Datenbank der Zeitzone "US&Canada". Um die Zeitzone über Web Mgmt. Interface zu konfigurieren benütze folgende Position:

       Dashboard > [Widget Systeminformation] > System Time > Change

Um die Zeitzone über CLI zu konfigurieren kann folgendes durchgeführt werden:

       # config system global
       # set timezone ?
       01    (GMT-11:00)Midway Island, Samoa
       02    (GMT-10:00)Hawaii
       03    (GMT-9:00)Alaska
       04    (GMT-8:00)Pacific Time(US&Canada)
       05    (GMT-7:00)Arizona
       81    (GMT-7:00)Baja California Sur, Chihuahua
       06    (GMT-7:00)Mountain Time(US&Canada)
       07    (GMT-6:00)Central America
       08    (GMT-6:00)Central Time(US&Canada)
       09    (GMT-6:00)Mexico City
       10    (GMT-6:00)Saskatchewan
       11    (GMT-5:00)Bogota,Lima,Quito
       12    (GMT-5:00)Eastern Time(US & Canada)
       13    (GMT-5:00)Indiana(East)
       74    (GMT-4:30)Caracas
       14    (GMT-4:00)Atlantic Time(Canada)
       77    (GMT-4:00)Georgetown
       15    (GMT-4:00)La Paz
       16    (GMT-3:00)Santiago
       17    (GMT-3:30)Newfoundland
       18    (GMT-3:00)Brasilia
       19    (GMT-3:00)Buenos Aires
       20    (GMT-3:00)Nuuk(Greenland)
       75    (GMT-3:00)Uruguay
       21    (GMT-2:00)Mid-Atlantic
       22    (GMT-1:00)Azores
       23    (GMT-1:00)Cape Verde Is.
       24    (GMT)Monrovia
       80    (GMT)Greenwich Mean Time
       79    (GMT)Casablanca
       25    (GMT)Dublin,Edinburgh,Lisbon,London
       26    (GMT+1:00)Amsterdam,Berlin,Bern,Rome,Stockholm,Vienna
       27    (GMT+1:00)Belgrade,Bratislava,Budapest,Ljubljana,Prague
       28    (GMT+1:00)Brussels,Copenhagen,Madrid,Paris
       78    (GMT+1:00)Namibia
       29    (GMT+1:00)Sarajevo,Skopje,Warsaw,Zagreb
       30    (GMT+1:00)West Central Africa
       31    (GMT+2:00)Athens,Sofia
       85    (GMT+2:00)Istanbul
       32    (GMT+2:00)Bucharest
       33    (GMT+2:00)Cairo
       34    (GMT+2:00)Harare,Pretoria
       35    (GMT+2:00)Helsinki,Riga,Tallinn
       36    (GMT+2:00)Jerusalem
       37    (GMT+3:00)Baghdad
       38    (GMT+3:00)Kuwait,Riyadh
       83    (GMT+3:00)Moscow
       84    (GMT+3:00)Minsk
       40    (GMT+3:00)Nairobi
       41    (GMT+3:30)Tehran
       42    (GMT+4:00)Abu Dhabi,Muscat
       43    (GMT+4:00)Baku
       39    (GMT+3:00)St.Petersburg,Volgograd
       44    (GMT+4:30)Kabul
       46    (GMT+5:00)Islamabad,Karachi,Tashkent
       47    (GMT+5:30)Kolkata,Chennai,Mumbai,New Delhi
       51    (GMT+5:30)Sri Jayawardenepara
       48    (GMT+5:45)Kathmandu
       45    (GMT+5:00)Ekaterinburg
       49    (GMT+6:00)Almaty,Novosibirsk
       50    (GMT+6:00)Astana,Dhaka
       52    (GMT+6:30)Rangoon
       53    (GMT+7:00)Bangkok,Hanoi,Jakarta
       54    (GMT+7:00)Krasnoyarsk
       55    (GMT+8:00)Beijing,ChongQing,HongKong,Urumgi,Irkutsk
       56    (GMT+8:00)Ulaan Bataar
       57    (GMT+8:00)Kuala Lumpur,Singapore
       58    (GMT+8:00)Perth
       59    (GMT+8:00)Taipei
       60    (GMT+9:00)Osaka,Sapporo,Tokyo,Seoul
       62    (GMT+9:30)Adelaide
       63    (GMT+9:30)Darwin
       61    (GMT+9:00)Yakutsk
       64    (GMT+10:00)Brisbane
       65    (GMT+10:00)Canberra,Melbourne,Sydney
       66    (GMT+10:00)Guam,Port Moresby
       67    (GMT+10:00)Hobart
       68    (GMT+10:00)Vladivostok
       69    (GMT+10:00)Magadan
       70    (GMT+11:00)Solomon Is.,New Caledonia
       71    (GMT+12:00)Auckland,Wellington
       72    (GMT+12:00)Fiji,Kamchatka,Marshall Is.
       00    (GMT+12:00)Eniwetok,Kwajalein
       82    (GMT+12:45)Chatham Islands
       73    (GMT+13:00)Nuku'alofa
       86    (GMT+13:00)Samoa
       76    (GMT+14:00)Kiritimati
       # set timezone 26
       # end

Wie kann ich auf einer FortiGate die NTP Zeitsynchronisierung aktiviren und konfigurieren?

Um die NTP Zeitsynchronisierung über Web Mgmt. Interface zu aktivieren und zu konfigurieren wähle folgendes:

       Dashboard > [Widget Systeminformation] > System Time > Change

       NOTE Per Standard ist für die NTP Zeitsynchronisierung "FortiGuard" aktiviert. Dies ist nicht zu empfehlen. Es sollte
            ein "öffentlichen" NTP Server konfiguriert werden. Wir empfehlen "ch.pool.ntp.org" da dieser ein "öffentlicher"
            NTP Server ist und über mehrer "Stratum" Server verfügt! Wenn dennoch "FortiGuard" benutzt wird muss berücksichtig
            werden, dass diese NTP Server für "FortiGuard" nicht kostenlos zur Verfügung stehen sondern ein Service ist der unter
            der "FortiCare" Lizensierung zur Verfügung steht. Weitere Informationen dazu siehe nachfolgenden Artikel:
            
            Fortinet:FortiCare-FortiGuard#Wenn_ich_.22nur.22_DDNS_.28Dynamic_DNS.29.2C_GeoIP.2C_NTP_und_DNS_Service_von_FortiGuard_benutze_was_muss_ich_im_Minimum_lizensieren.3F

Wenn man die NTP Zeitsynchronisierung über CLI konfigurieren möcht kann folgendes durchgeführt werden:

       # config system ntp
       # set ntpsync enable
       # set type custom
       # set syncinterval 360
       # set server-mode enable
       # set interface "internal"
       # config ntpserver
       # edit 1
       # set server "ch.pool.ntp.org"
       # set ntpv3 disable
       # next
       # end
       # end

Bei diesem Beispiel wird zusätzlich zur NTP Synchronisierung über "ch.pool.ntp.org" die Option "server-mode" aktiviert sowie das "internal" Interface. Dies bedeutet: Auf dem "internal" Interface wird durch die Aktivierung von "server-mode" ein NTP Dienst aktiviert der in diesem Segment den Clients für eine NTP Zeitsynchronisierung zur Verfügung gestellt wird. Dabei ist zu beachten, dass diese Konfiguration keine zusätzliche "Firewall Policy Rule" benötigt da im Hintergrund eine automatische "Firewall Policy Rule" hinzugefügt wird durch das FortiOS (Local-In Policy). Diese erlaubt den Zugriff auf das definierte "Interface" aus diesem Segement. Diese "Local-In Policy" ist über Web Mgmt. Interface ersichtlich sofern das entsprechende Feature aktiviert ist:

       System > Feature Select > Additional Features > Local In Policy

Wenn dieses Feature aktiviert ist, sind die entsprechenden "Local In Policy" über folgende Position ersichtlich:

       Policy & Objects > Local In Policy

CLI

Wie kann ich auf einer FortiGate "sämtliche" zur Verfügung stehenden Befehle/Konfiguration aufzulisten?

Die CLI einer FortiGate ist umfassend und ist Hierachisch strukturiert. Diese Hierachie kann auf einer FortiGate anhand des nachfolgenden Befehls ausgegeben werden um einen Ueberblick zu erhalten:

       # tree

Wenn dieser Befehl abgesetzt wird sollte dieser innerhalb eine SSH Verbindung abgesetzt werden und nicht innerhalb einer RS-232 Verbindung über den Mgmt. Port. Nachfolgend ein Beispiel des Output:

       Output basierend auf FortiOS 5.4.0 tree-5.4.0