Grundkonfiguration: Unterschied zwischen den Versionen

Aus Fortinet Wiki
Zur Navigation springen Zur Suche springen
Keine Bearbeitungszusammenfassung
 
(24 dazwischenliegende Versionen von 2 Benutzern werden nicht angezeigt)
Zeile 1: Zeile 1:
FortiGate-6.0, FortiGate-6.2 und FortiGate-6.4:FAQ
Checkpoint FAQ


[[Category:Checkpoint]]
[[Category:Checkpoint]]
Zeile 25: Zeile 25:


</pre>
</pre>
{| class="wikitable" style="width:100%"
|-
| style="width:100px;background-color: #f2f79d;vertical-align:top"| <span style="color:#ffbb98">[[File:vulnerability.svg|100px|link=]]</span>
|
===FortiManager Issue===
[[Datei:new.svg|40px|link=]]
----
<big>'''Problembeschreibung:'''</big><br>
Eine fehlende Authentifizierung für eine kritische Funktion [CWE-306] im FortiManager <code> fgfmd Daemon </CODE> kann es einem entfernten,
nicht authentifizierten Angreifer mit einem gültigen Fortinet-Zertifikat,
das von einem Fortinet-Gerät oder einer VM extrahiert wurde, ermöglichen, beliebigen Code oder Befehle über speziell gestaltete Anfragen
auszuführen.</br>
'''Auswirkung:'''</br> Unautorisierte Ausführung von Code oder Befehlen</br>
'''Details:'''</br> Ein entfernter, nicht authentifizierter Angreifer kann Berechtigungen umgehen und unautorisierte Befehle ausführen, was den Download von FortiManager-Konfigurationen ermöglichen kann, einschliesslich derjenigen der verwalteten FortiGate-Geräte.
FG-IR: FG-IR-24-423</br>
<big>'''Bedrohungslevel:'''</big><br>
* Severity '''High'''
* Die Bedrohung wird mit einem CVssv3 Score von '''9.8''' eingestuft!
<big>'''Betroffene Systeme:'''</big><br>
* FortiManager Versionen 7.6.0 und älter
* FortiManager Versionen 7.4.4 und älter
* FortiManager Versionen 7.2.7 und älter
* FortiManager Versionen 7.0.12 und älter
* FortiManager Versionen 6.4.14 und älter
<big>'''Lösung:'''</big></br>
Auf folgende Versionen kann upgedatet werden, damit diese Sicherheitslücke geschlossen wird:
* Upgraden auf die FortiManager Version 7.6.1 oder höher &rarr; [[FortiManager:FAQ#Wo_finde_ich_die_Release_Notes_für_den_FortiManager?|Release Notes auf dem Wiki]]
* Upgraden auf die FortiManager Version 7.4.5 oder höher &rarr; [[FortiManager:FAQ#Wo_finde_ich_die_Release_Notes_für_den_FortiManager?|Release Notes auf dem Wiki]]
* Upgraden auf die FortiManager Version 7.2.8 oder höher &rarr; [[FortiManager:FAQ#Wo_finde_ich_die_Release_Notes_für_den_FortiManager?|Release Notes auf dem Wiki]]
* Upgraden auf die FortiManager Version 7.0.13 oder höher &rarr; [[FortiManager:FAQ#Wo_finde_ich_die_Release_Notes_für_den_FortiManager?|Release Notes auf dem Wiki]]
* Upgraden auf die FortiManager Version 6.4.15 oder höher &rarr; [[FortiManager:FAQ#Wo_finde_ich_die_Release_Notes_für_den_FortiManager?|Release Notes auf dem Wiki]]
Diese Versionen wurden kürzlich ausgerollt.
<big>'''Workarounds:</big></br>
Auf dem FortiManager der Versionen <=7.0.12, <=7.2.5 oder <=7.4.3 (ausser 7.6.0) kann mit folgender Konfiguration verhindert werden, dass unbekannte Geräte sich versuchen zu registrieren:
{| class="wikitable" style="width:550px"
|- style="background:#89E871"
| [[file:config_cli.png|25px|link=]] '''Konfiguration über die CLI:'''
|-
|
<pre style="background-color:#252269;color: #FFFFFF">
config system global
    set fgfm-deny-unknown enable
end
</pre>
|}
{| class="wikitable" style="width:550px"
|-
| style="width:50px;background-color: #FF7730;"| <span>[[File:wichtig.svg|50px|link=]]</span>
| style="background-color: #FFB991"|
Wenn du diese Einstellung aktivierst, verhindert FortiManager, dass sich ein FortiGate-Gerät registriert, falls dessen Seriennummer nicht in der Geräteliste hinterlegt ist, selbst wenn das Modellgerät und der vorab geteilte Schlüssel (PSK) übereinstimmen.
|}
Für alle FortiManager-Versionen kannst du Abhilfemassnahmen ergreifen, indem du lokale Firewallregeln (Local-In-Regeln) erstellst, um die IP-Adressen der FortiGate-Geräte, die eine Verbindung herstellen dürfen, auf eine Freigabeliste zu setzen.
Alternativ kann dies auch über eine externe Firewall erfolgen.
Um eine lokale Firewallregel auf dem FortiManager zu konfigurieren, die Verbindungen von einem bekannten Subnetz, z. B. 198.18.250.0/24 (Verwaltungsnetzwerk),
sowie der spezifischen IP-Adresse 10.250.17.2 (FortiGate-Gerät) zulässt, verwende folgende Regeln:
{| class="wikitable" style="width:850px"
|- style="background:#89E871"
| [[file:config_cli.png|25px|link=]] '''Konfiguration über die CLI:'''
|-
|
<pre style="background-color:#252269;color: #FFFFFF">
config system local-in-policy
    edit 1
        set action accept
        set src 198.18.250.0/24
        set dport 443  <--- WebGui Adminport
    next
    edit 2
        set action accept
        set src 198.18.250.0/24
        set dport 22  <--- SSH Adminport
        next
    edit 3
        set action accept
        set src 10.250.17.2/32
        set dport 541  <--- Erlaube nur TCP/541 von bekannten FortiGate-IP-Adressen.
      next
    edit 4
      next
end
</pre>
{| class="wikitable" style="width:750px"
|-
| style="width:50px;background-color: #276ef1;"| <span>[[File:info.svg|50px|link=]]</span>
| style="background-color: #A9C5F9"|
Es ist wichtig zu beachten, dass die Regel '''4''' im Beispiel alle Einstellungen auf "Standard" hat.</br>
Dadurch wird diese zu einer expliziten Drop-Regel, die den Zugriff von allen anderen IP-Adressen blockiert.
|}
|}
Weitere Informationen betreffend Local-In-Regeln auf dem FortiManager findet man im CLI Guide:
* https://docs.fortinet.com/document/fortimanager/7.6.0/cli-reference/68140/local-in-policy
----
'''Weitere Informationen findet man unter folgenden externen Artikeln:'''<br>
<small>
PSIRT - FortiGuard:
*
Informationen  CVE-
*
Informationen auf Heise.de:
* https://www.heise.de/news/FortiManager-Update-schliesst-offenbar-bereits-attackierte-Sicherheitsluecke-9990393.html
</small>
----
<small>add 14.10.2024 - 4Tinu</small>
|}
-->
=Checkpoint FAQ=
=Checkpoint FAQ=
==VPN==
=== Wie kann ich den Port für das SSL-VPN ändern? ===
Default mässig ist für das SSL VPN der Port TCP 443 von der Checkpoint vor konfiguriert. Wenn man nur eine Public IP Adresse hat und ein eingehendes NAT auf einen HTTPS Dienst konfigurieren will, kommt man natürlich vor ein Problem, da wir den TCP Port 443 bereits für das SSL-VPN benutzen. Wir können dieses Problem folgendermassen lösen. Wir müssen in den SSL- VPN Settings den Listen Port auf einen anderen Wert setzen:
* Dafür müssen wir im Menu ''DEVICE --> Advanced --> Advanced Settings'' navigieren.
* Nun kann man im Suchfeld mit ''ssl vpn'' den richtigen Parameter finden : ''VPN Remote Access - Remote Access port'' Dieses Attribut kann mit doppelklick editiert werden:
[[File:Checkpoint-0001.png|750px|link=]]
[[File:Checkpoint-0002.png|750px|link=]]
# Den Remote Access Port auf einen nicht benutzen Port ändern (default Wert 443)
# Wenn man den TCP443 Port für ein Einkommendes NAT (Destinations NAT) verwenden muss, ist diese Option zwingend einzuschalten.
Jetzt kann in der Übersicht die Konfigurationsänderung angeschaut werden:
[[File:Checkpoint-0003.png|750px|link=]]
Wir sehen, der Port ist nun für 10443 konfiguriert, und das VPN wird über diesen Port verbinden.
Dafür müssen wir aber noch den VPN Client entsprechend anpassen:
[[File:Checkpoint-0004.png|750px|link=]]
=== Wie kann ich auf einer Check Point ein Remote Client VPN einrichten? ===
[[File:Checkpoint-0005.png|750px|link=]]
# Menu VPN anwählen
# unter ''Remote Access'' Blade Control anwählen
# Remote Access muss eingeschalten sein, ansonsten wird der Remote VPN Zugriff nicht funktionieren
# im User Menu können die User definiert werden, welche über das Remote VPN Zugreifen dürfen. Dafür einfach auf den blauen ''user'' link klicken
# Damit wir im Log sehen was passiert, empfehlen wir das Log komplett einzuschalten
# im ''VPN Remote Access users can connct via:'' kann die VPN Methode ausgewählt werden, wie man auf die Check Point ein Remote VPN aufbauen kann. für das Klassische client VPN den Punkt ''Check Point VPN clients'' anwählen.
[[File:Checkpoint-0006.png|750px|link=]]
[[File:Checkpoint-0007.png|750px|link=]]
[[File:Checkpoint-0008.png|750px|link=]]
[[File:Checkpoint-0009.png|750px|link=]]
[[File:Checkpoint-0010.png|750px|link=]]
=== Wie konfiguriere ich ein VPN zwischen einer Check Point und einer FortiGate Firewall? ===
====Ausgangslage:====
{| class="wikitable" style="width:1000px"
|- style="vertical-align:top;"
!
! scope="col" style=background:#00b050| Seite FortiGate
! scope="col" style=background:#ffff00| Seite Checkpoint
|-
|
'''Netzplan'''
|colspan="2" style="text-align:center"|[[File:Fortinet-2777.jpg|750px|link=]]
|-
| '''Hardware'''
|style="text-align:center"|FortiGate 60F
|style="text-align:center"|Checkpoint 1550
|-
| '''Software'''
|style="text-align:center"|6.4.2 build1723
|style="text-align:center"|R80.20.05 (992001134)
|-
| '''Lokal Netzwerk'''
|style="text-align:center"|10.10.161.0/24
|style="text-align:center"|10.10.151/24
|-
| '''Public IP'''
|style="text-align:center"|198.18.0.161
|style="text-align:center"|198.18.0.151
|-
|
'''Authentication'''
|colspan="2" style="text-align:center"|
Pre-shared Key definieren
|-
|
'''IKE Version'''
|colspan="2" style="text-align:center"|
Version 2
|-
|
'''Phase 1 Proposal'''
|colspan="2" style="text-align:center"| 
Alogrithms: AES256-SHA256 DH-Group 15
|-
|
'''Phase 1 Key Lifetime'''
|colspan="2" style="text-align:center"| 
86400 Sekunden
|-
|
'''Phase 2 Proposal'''
|colspan="2" style="text-align:center"|
Alogrithms: AES256-SHA512 / PFS-DH-Group 15
|-
|
'''Phase 2 Key Lifetime'''
|colspan="2" style="text-align:center"| 
3600 Sekunden
|-
|}
====Konfiguration Checkpoint 1550====
{| class="wikitable" style="width:1000px"
|- style="background:#c4dc92"
| [[file:config_webgui.png|25px|link=]] '''Konfiguration über das WebGUI:'''
|-
|
'''Konfigurieren des VPN-Tunnels:'''<br>
Um auf der Checkpoint einen VPN-Tunnel zu konfigurieren kann auf folgendes Menü angewählt werden:
''VPN -> VPN Sites -> [[file:cp_new.jpg|link=]]''
[[File:Fortinet-2646.jpg|750px|link=]]
'''Netzwerk-Parameter:'''
# Auf das TAB ''Remote Site'' gehen
# ''Site name:'' Hier wird der Name des VPN-Tunnels definiert
# Bei ''Conection type'' auf ''Host Name or IP address'' setzen
# ''IP address'' anwählen und im Feld die public IP-Adresse der FortiGate eingeben (198.18.0.153)
# ''Behind static NAT'' ist die NAT Traversal-Einstellung
[[Datei:Fortinet-2640.jpg|750px]]
'''Authentication konfigurieren:'''<br>
# ''Pre-shared secret'' anwählen (entspricht der Option Pre-shared KEY auf der Fortigate)
# im Feld ''Password'' den selben Key eingeben, welcher bereits auf der FortiGate definiert wurde
# mittels ''confirm'' den Key nochmals eingeben
[[Datei:Fortinet-2641.jpg|750px|link=]]
'''Remote Site Encryption Domain konfigurieren'''<br>
Die Remote Site Encryption Domain entspricht dem lokalen Netz auf der FortiGate bei den Selektoren.<br>
Zuerst muss das Netz oder der Host definiert werden. Dafür auf den [[file:cp_new.jpg|link=]]'' klicken.<br>
Es öffnet sich folgendes Fenster:
[[Datei:Fortinet-2642.jpg|750px|link=]]
# den ''Type'' auf Network stellen
# ''Network address'' Die Netzadresse angeben (ohne Subnetzmaske), was in unserem Fall das Netzwerk auf der FortiGate 10.10.161.0 ist
# ''Subnetmask'' Die Subnetzmaske des Netzes angeben: 255.255.255.0
# ''Object name'' Hier wird der Name definiert, wie das Objekt dann angewählt werden kann
# mit [[file:cp_apply.jpg|link=]] das Objekt erstellen
Mit [[file:cp_select.jpg|link=]] kann das Adress-Objekt zu der Encryption ''Domain'' hinzugefügt werden.
[[Datei:Fortinet-2643.jpg|750px|link=]]
'''Encryption für Phase 1 und Phase 2 konfigurieren:'''<br>
# das TAB ''Encryption'' anwählen
# ''Encryption settings'' auf ''custom'' stellen
# IKE (Phase 1)
## ''Encryption'' auf AES-256 konfigurieren, alle anderen Parameter deaktivieren
## ''Authentication'' auf SHA256 konfigurieren - alle anderen Parameter ebenfalls deaktivieren
## '' Diffie-Hellmann group support'' setzen wir auf Group 14 (2048 bit)
## ''Renegotiate every:'' wird auf 1440 Minuten gesetzt (auf der FortiGate ist 86400 Sekunden eingestellt, was 1440 Minuten entspricht)
# IPSec (Phase2)
## ''Encryption'' auf AES-256 konfigurieren, alle anderen Parameter deaktivieren
## ''Authentication'' auf SHA256 konfigurieren, alle anderen Parameter ebenfalls deaktivieren
## ''Enable Perfect Forward Secrecy'' (PFS) aktivieren
## '' Diffie-Hellmann group support'' setzen wir auf Group 14 (2048 bit)
## ''Renegotiate every:'' wird auf 3600 Sekunden gesetzt (auf der FortiGate haben wir diesen Parameter auf 3600s konfiguriert)
[[Datei:Fortinet-2644.jpg|750px|link=]]
'''Advanced Optionen konfigurieren:'''<br>
# TAB ''Advanced'' anwählen
# Bei den Settings die Option ''Remote Gateway is a Check Point Security Gateway'' deaktivieren
# unter ''Encryption method'' den Parameter auf IKEv2 stellen.
[[Datei:Fortinet-2645.jpg|750px|link=]]
|-
|
'''Konfigurieren eines Netzwerk Objektes:'''<br>
# User & Objects anwählen
# Network Objects auswählen
[[Datei:Fortinet-2648.jpg|550px|link=]]
Im Editor-Fenster folgendes konfigurieren:<br>
# ''Type'' auf Network einstellen
# ''Network address'': Die Netzwerk-Adresse ohne Netzmaske eintragen
# ''Subnet mask'': Die Subnetzmaske des Netzes eintragen
# '' Object name'': Name des Adress-Objektes eintragen
# mit dem Button [[file:cp_apply.jpg|link=]] wird das Objekt erstellt
[[Datei:Fortinet-2647.jpg|750px|link=]]
'''Konfigurieren der Policy:''' <br>
Nun gilt es noch die Firewall Regeln zu konfigurieren:  <br>
# Menu ''Access Policy'' anwählen
# ''Policy'' auswählen
# unter dem Menu ''Incoming, Internal and VPN traffic'' mit [[file:cp_new.jpg|link=]] wird eine neue VPN-Regel erstellt
[[Datei:Fortinet-2656.jpg|750px|link=]]
# Source und Destination, wie auch die Services anwählen.
# Das Feld ''Match only for encrypted traffic'' auswählen, so wird sichergestellt, dass diese Regel für den verschlüsselten Traffic gilt.
# mit [[file:cp_apply.jpg|link=]] wird die Regel erstellt und aktiv
[[Datei:Fortinet-2654.jpg|750px|link=]]
# das Selbe in grün noch für die Gegenrichtung falls dies vom Setup erforderlich ist
[[Datei:Fortinet-2653.jpg|750px|link=]]
[[Datei:Fortinet-2655.jpg|750px|link=]]
|}
====Konfiguration FortiGate 60F:====
{| class="wikitable" style="width:1000px"
|- style="background:#c4dc92"
| [[file:config_webgui.png|25px|link=]] '''Konfiguration über das WebGUI:'''
|-
|
'''Konfigurieren des VPN-Tunnels:'''
'''Netzwerkeinstellungen:'''
# Name des VPN-Tunnels definieren (es wird ein Tunnel-Interface mit diesem Namen gebildet)
# Bei ''Remote Gateway'' den Typ auf ''Static IP Address'' stellen
# Im Feld ''IP Address'' wird die public IP-Adresse der Checkpoint eingetragen (198.18.0.151)
# Bei ''Interface'' wird das ausgehende Interface (meistens WAN) angegeben. Auf diesem Interface wird das Tunnel-Interface dann als Subinterface gebildet
# ''NAT Traversal'' ist zu definieren, falls noch ein NAT Device zwischen der FortiGate und der Checkpoint vorhanden ist.
[[File:Fortinet-2634.jpg|750px|link=]]
'''Authentication konfigurieren:'''
# ''Method'' Auf Pr-shared Key einstellen
# Im Feld ''Pre-shared Key'' einen komplexen, nicht nachvollziehbaren Key konfigurieren (dieser Key wird auf der Checkpoint dann auch benötigt)
# In unserem Beispiel werden wir mit IKE Version 2 arbeiten. Dementsprechend den Parameter auf 2 einstellen
[[File:Fortinet-2635.jpg|750px|link=]]
'''Phase 1 Parameter konfigurieren:'''
# ''Encryption'' auf AES256 und ''Authentication'' auf SHA256 konfigurieren
# Alle anderen Encryption- und Authentications-Parameter entfernen
# Die ''Diffie-Hellmann Group'' wird auf 14 eingestellt
# Der Parameter ''Key Lifetime'' (seconds) auf 86400 (1440 Minuten) stellen
[[File:Fortinet-2636.jpg|750px|link=]]
'''Phase 2 Selektoren konfigurieren:'''
In diesem Beispiel zeigen wir, wie man den Selektor für 10.10.161.0/24 zu 10.10.151.0/24 konfiguriert:
# ''Name'' in diesem Feld kann ein Name für den Selektor definiert werden
# ''Local Address'' Das Netz welches bei der Fortigate erreicht werden soll. Typ auf Subnet stellen und Adresse: 10.10.161.0/24 konfigurieren
# ''Remote Address'' Das Netz welches wir hinter der Checkpoint erreichen wollen. Typ auf Subnet stellen und Adresse 10.10.151.0/24 konfigurieren
# Unter dem Menüpunkt ''Advanced'' können die Phase 2 Proposal konfiguriert werden
# ''Encryption'' auf AES256 und ''Authentication'' auf SHA256 stellen. Alle anderen Encryption- und Authentications-Parameter entfernen
# ''Perfect Forward Secrecy (PFS)'' aktivieren
# Die ''Difie-Hellman Group'' auf 14 stellen
# ''Key Lifetime'' auf Second stellen und dann 3600 Sekunden einstellen (dies ist nicht der default Wert auf der FortiGate)
[[File:Fortinet-2637.jpg|750px|link=]]
|-
|
'''Konfigurieren der Routen:'''<br>
Auf der FortiGate muss das Netz der Remote Seite(10.10.151.0/24) in den IPSec-Tunnel geroutet werden. Dabei zeigt die Route auf das Tunnel-Interface (vpn_to_CP_151). Damit bei einem Unterbruch des Tunnels der Traffic nicht über die default Route ins Internet geroutet wird, sollte eine Blackhole Route konfiguriert werden. Mehr Details dazu im Artikel : [[FortiGate:FAQ#Was_ist_eine_Blackhole-Route.3F|Was ist eine Blackhole Route?]]
Die Routen werden wie folgt konfiguriert:
Menu: Network -> Static Routes -> [[File:Createnew.jpg|link=]]<br>
[[File:Fortinet-2651.jpg|750px|link=]]
Blackhole Route mit Distanz 254:
[[File:Fortinet-2807.jpg|750px|link=]]
|-
|
'''Konfigurieren der Policies:'''<br>
Es braucht mindestens eine Policy auf der FortiGate. Damit der Traffic bidirektional durch den Tunnel geht, empfiehlt es sich eine Regel in jede Richtung zu konfigurieren. Dabei ist die Kommunikation zwischen dem VPN-Tunnel Interface (vpn_cp-forti) und dem internen Interface (internal2).
Menu : Policy & Objects -> IPv4 Policy -> [[File:Createnew.jpg|link=]]<br>
[[File:Fortinet-2652.jpg|550px|link=]]
Die ganze Policy noch bei bedarf gegengleich konfigurieren (Source Interface / Netz und Destinations Interface / Netz)
Dabei kann die ''Clone Reverse'' Funktion benutzt werden.
[[File:Fortinet-2808.jpg|link=]]
Komplettes Regelsetup:
[[File:Fortinet-2638.jpg|950px|link=]]
|- style="background:#c4dc92"
| [[file:config_cli.png|25px|link=]] '''Konfiguration via CLI:'''
|-
|
'''VPN Phase 1 konfigurieren:'''<br>
<pre>
config vpn ipsec phase1-interface
edit "vpn_to_CP_151"
        set interface "wan1"
        set ike-version 2
        set peertype any
        set net-device disable
        set proposal aes256-sha256
        set dhgrp 14
        set remote-gw 198.18.0.151
        set psksecret "Hier_einen_komplexen_Key_eingeben"
    next
end
</pre>
----
'''VPN Phase 2 konfigurieren:'''<br>
<pre>
config vpn ipsec phase2-interface
    edit "p2-vpn_to_lab-0062-10.10.162.0-24"
        set phase1name "vpn_to_lab-0062"
        set proposal aes256-sha256
        set dhgrp 14
        set auto-negotiate enable
        set src-subnet 10.10.161.0 255.255.255.0
        set dst-subnet 10.10.162.0 255.255.255.0
    next
end
</pre>
----
'''Routen konfigurieren:'''<br>
<pre>
config router static
    edit 2
        set dst 10.10.151.0 255.255.255.0
        set device "vpn_to_CP_151"
    next
    edit 3
        set dst 10.10.151.0 255.255.255.0
        set distance 254
        set comment "blackhole Route - CP Remote Netz"
        set blackhole enable
    next
end
</pre>
----
'''Adress Objekte für Policies konfigurieren:'''
<pre>
config firewall address
    edit "net_remoteVPN-10.10.151.0-24"
        set comment "Remote Netz -VPN Checkpoint"
        set color 10
        set subnet 10.10.151.0 255.255.255.0
    next
    edit "net_ul-10.10.161.0-24"
        set color 3
        set subnet 10.10.161.0 255.255.255.0
    next
end
</pre>
----
'''Policy konfigurieren:'''
<pre>
config firewall policy
    edit 5
        set name "I_vpn_CP_151->10.0.161.0-24"
        set srcintf "vpn_to_CP_151"
        set dstintf "internal2"
        set srcaddr "net_remoteVPN-10.10.151.0-24"
        set dstaddr "net_ul-10.10.161.0-24"
        set action accept
        set schedule "always"
        set service "ALL"
        set logtraffic all
    next
    edit 6
        set name "O_vpn_10.10.161.0-24->CP_151"
        set srcintf "internal2"
        set dstintf "vpn_to_CP_151"
        set srcaddr "net_ul-10.10.161.0-24"
        set dstaddr "net_remoteVPN-10.10.151.0-24"
        set action accept
        set schedule "always"
        set service "ALL"
        set logtraffic all
    next
end
</pre>
|}
==== Erfolgskontrolle ====
'''FortiGate Monitor:'''
  [[File:Fortinet-2639.jpg|1000px|link=]]
----
'''Checkpoint Monitor:'''
[[File:Fortinet-2658.jpg|1000px|link=]]
----
'''Traffic generieren und im Debug auf den beiden Geräten prüfen:'''<br>
Ping von der FortiGate aus generiert:
# mit dem Befehl <code> execute ping-option source 10.10.161.2</code> können wir der FortiGate angeben, mit welcher Adresse diese den Ping ausführen soll
# mit dem Befehl <code> execute ping 10.10.151.2 </code> können wir die IP Adresse auf der Checkpoint vom LAN Interface anpingen
[[File:Fortinet-2657.jpg|750px|link=]]
Im Flow sieht das so aus:
# diag debug flow filter clear
# diag debug flow filter sadd 10.10.161.2
# diag debug flow filter dadd 10.10.151.2
# diag debug flow trace start 9000
# diag debug enable
# id=20085 trace_id=6 func=print_pkt_detail line=5639 msg="vd-root:0 received a packet(proto=1, 10.10.161.2:3584->10.10.151.2:2048) from local. type=8, code=0, id=3584, seq=0."
id=20085 trace_id=6 func=init_ip_session_common line=5810 msg="allocate a new session-00087e78"
id=20085 trace_id=6 func=ipd_post_route_handler line=439 <span style="background-color: #ddb6dd;">msg="out vpn_to_CP_151 vwl_zone_id 0,</span> state2 0x0, quality 0.
"
id=20085 trace_id=6 func=ipsecdev_hard_start_xmit line=789 msg="enter IPsec interface-vpn_to_CP_151"
id=20085 trace_id=6 func=_ipsecdev_hard_start_xmit line=666 msg="IPsec tunnel-vpn_to_CP_151"
id=20085 trace_id=6 func=esp_output4 line=907 msg="IPsec encrypt/auth"
id=20085 trace_id=6 func=ipsec_output_finish line=622 msg="send to 198.18.0.151 via intf-wan1"
id=20085 trace_id=7 func=print_pkt_detail line=5639 msg="vd-root:0 received a packet(proto=1, 10.10.161.2:3584->10.10.151.2:2048) from local. type=8, code=0, id=3584, seq=1."
id=20085 trace_id=7 func=resolve_ip_tuple_fast line=5720 msg="Find an existing session, id-00087e78, original direction"
id=20085 trace_id=7 func=ipd_post_route_handler line=439 msg="out vpn_to_CP_151 vwl_zone_id 0, state2 0x0, quality 0.
# diag debug reset
# diag debug disable
----
'''fw monitor auf der Checkpoint: '''
<pre>
fwalem-lab-0151> expert  in den Expert Modus wechseln
Enter expert password:
You are in expert mode now.
FW Monitor:
[Expert@fwalem-lab-0151]# fw monitor -e 'accept host(10.10.161.2);'
fw: getting filter (from command line)
fw: compiling
monitorfilter:
Compiled OK.
fw: loading
fw: monitoring (control-C to stop)
[vs_0][fw_2] WAN:id[84]: 10.10.161.2 -> 10.10.151.2 (ICMP) len=84 id=53344
ICMP: type=8 code=0 echo request id=3840 seq=1
[vs_0][fw_2] WAN:ID[84]: 10.10.161.2 -> 10.10.151.2 (ICMP) len=84 id=53344
ICMP: type=8 code=0 echo request id=3840 seq=1
[vs_0][fw_2] WAN:o[84]: 10.10.151.2 -> 10.10.161.2 (ICMP) len=84 id=7498
ICMP: type=0 code=0 echo reply id=3840 seq=1
[vs_0][fw_2] WAN:O[84]: 10.10.151.2 -> 10.10.161.2 (ICMP) len=84 id=7498
ICMP: type=0 code=0 echo reply id=3840 seq=1
[vs_0][fw_2] WAN:O[84]: 10.10.151.2 -> 10.10.161.2 (ICMP) len=84 id=7498
ICMP: type=0 code=0 echo reply id=3840 seq=1
[vs_0][fw_2] WAN:id[84]: 10.10.161.2 -> 10.10.151.2 (ICMP) len=84 id=53345
ICMP: type=8 code=0 echo request id=3840 seq=2
[vs_0][fw_2] WAN:ID[84]: 10.10.161.2 -> 10.10.151.2 (ICMP) len=84 id=53345
ICMP: type=8 code=0 echo request id=3840 seq=2
[vs_0][fw_2] WAN:o[84]: 10.10.151.2 -> 10.10.161.2 (ICMP) len=84 id=7720
ICMP: type=0 code=0 echo reply id=3840 seq=2
[vs_0][fw_2] WAN:O[84]: 10.10.151.2 -> 10.10.161.2 (ICMP) len=84 id=7720
ICMP: type=0 code=0 echo reply id=3840 seq=2
[vs_0][fw_2] WAN:O[84]: 10.10.151.2 -> 10.10.161.2 (ICMP) len=84 id=7720
……
Mit ctrl+c kann der Output abgebrochen werden
</pre>
Guide als PDF Herunterladen:
* [[Datei:HowTo_VPN_FortiGate-Checkpoint_SNB.pdf]]
=== Q/A R81 GA ===
» Hier finden Sie die Präsentation zum Webinar als PDF:                                                                                                                                                                                                                                 
https://pages.checkpoint.com/rs/750-DQH-528/images/2020.11.13_Webinar_R81-overview.pdf
» Weiterführende Webinare zum Thema:
* R81 Deep Dive – Infinity Total Protection
* Datum: 20. November um 13 Uhr
* Anmeldung: https://pages.checkpoint.com/webinar-r81-deep-dive-infinity-nov2020.html
* R81 Deep Dive - Policy Installation Acceleration und mehr
* Datum: 27. November um 11 Uhr
* Anmeldung: https://pages.checkpoint.com/webinar-r81-deep-dive-policies-nov2020.html
----
'''Fragen aus dem R81 Webinar inkl. Antworten & weiterführenden Links:'''
*F: Ist R81 GA
*A: Seit 22.10.2020 - https://supportcenter.checkpoint.com/supportcenter/portal?eventSubmit_doGoviewsolutiondetails=&solutionid=sk166715&partition=Basic&product=All
----
*F: Was passiert wenn man einige Blades wie z.B. Sandboxing nicht lizenziert hat? Wird das Blade dann trotzdem mit der Inifinite Protection aktiviert?
*A: Blades, die nicht lizensiert sind, werden hierdurch auch nicht aktiviert.
----
*F: SmartEvent: Reicht es für die neuen Features das Management auf R81 zu haben oder müssen auch die Gateways R81 sein?
*A: Teilsteils, manche Feature werden vom Management alleine bewältigt und andere brauchen ein R81 Gateway
----
*F: Werden die 1500er Appliances R81 unterstützen? was ist mit 1400er Branch Office Appliances?
*A: Es werden aktuelle 1500er und 1400 unterstützt siehe : https://sc1.checkpoint.com/documents/R81/WebAdminGuides/EN/CP_R81_RN/Topics-RN/Backward-Compatibility.htm?tocpath=Supported%20Backward%20Compatibility%20Gateways%7C_____0#Supported_Backward_Compatibility_Gateways
----
*F: Wie schaut es mit OpenServer Support für R81 aus ?
*A : Ja, siehe https://www.checkpoint.com/support-services/hcl/
----
*F: Benötigt die Erkennung/Klassifizierung dieser IoT Geräte ein R81 Gateway?
*A: IoT Funktionen sind ab der R80.40 verfügbar. Für die Klassifizierung & Risiko Analyse werden zusätzliche Systeme benötigt. Um die vollen Funktionen der IoT Policy zu Nutzen müssen auch R81 GW vorhanden sein.
----
*F: Ist R81 für OpenServer bereits offiziell "Recommended"?
*A: R80.40 ist derzeit wird derzeit Empfohlen: https://supportcenter.checkpoint.com/supportcenter/portal?eventSubmit_doGoviewsolutiondetails=&solutionid=sk95746&partition=Basic&product=Other
----
*F: Dynamic Balancing auch auf Open Server?
*A: Nein, siehe https://supportcenter.checkpoint.com/supportcenter/portal?eventSubmit_doGoviewsolutiondetails=&solutionid=sk164155&partition=Basic&product=Data
----
*F: Werden 2012 Appliances von R81 unterstützt.
*A: Nein, letzte Version für 2012 Appliances ist derzeit R80.40 plus Hotfix
----
*F: Kann ich von EA auf GA upgraden?
*A: Unseres Wissen ja . Upgrade Guide bitte beachten. https://sc1.checkpoint.com/documents/R81/WebAdminGuides/EN/CP_R81_Installation_and_Upgrade_Guide/Default.htm
----
*F: Könnt Ihr die Liste der unterstützen devices nochmal gesondert zur Verfügung stellen
*A: Release Notes : https://sc1.checkpoint.com/documents/R81/WebAdminGuides/EN/CP_R81_RN/Topics-RN/Supported-Environments.htm?tocpath=Supported%20Environments%7C_____0#Check_Point_Appliances
----
*F: Wird Smart-1 Cloud in R81 auch MAESTRO unterstützen?
*A: Ist geplant aber noch kein Datum für den Release

Aktuelle Version vom 23. Oktober 2024, 08:03 Uhr

Checkpoint FAQ

Vorwort


Datenschutz

        *********************************************************************
        *                                                                   *
        *  THIS FILE MAY CONTAIN CONFIDENTIAL, PRIVILEGED OR OTHER LEGALLY  *
        *      PROTECTED INFORMATION. YOU ARE PROHIBITED FROM COPYING,      *
        *    DISTRIBUTING OR OTHERWISE USING IT WITHOUT PERMISSION FROM     *
        *                   ALSO SCHWEIZ SWITZERLAND.                       *
        *                                                                   *
        *********************************************************************

"Die in diesen Artikeln enthaltenen Informationen sind vertraulich und dürfen ohne
  schriftliche Zustimmung der ALSO Schweiz AG gegenüber Dritt-Unternehmen nicht 
                         bekannt gemacht werden"


Vulnerability.svg

FortiManager Issue

New.svg

Problembeschreibung:
Eine fehlende Authentifizierung für eine kritische Funktion [CWE-306] im FortiManager fgfmd Daemon kann es einem entfernten, nicht authentifizierten Angreifer mit einem gültigen Fortinet-Zertifikat, das von einem Fortinet-Gerät oder einer VM extrahiert wurde, ermöglichen, beliebigen Code oder Befehle über speziell gestaltete Anfragen auszuführen.
Auswirkung:
Unautorisierte Ausführung von Code oder Befehlen
Details:
Ein entfernter, nicht authentifizierter Angreifer kann Berechtigungen umgehen und unautorisierte Befehle ausführen, was den Download von FortiManager-Konfigurationen ermöglichen kann, einschliesslich derjenigen der verwalteten FortiGate-Geräte.

FG-IR: FG-IR-24-423
Bedrohungslevel:

  • Severity High
  • Die Bedrohung wird mit einem CVssv3 Score von 9.8 eingestuft!

Betroffene Systeme:

  • FortiManager Versionen 7.6.0 und älter
  • FortiManager Versionen 7.4.4 und älter
  • FortiManager Versionen 7.2.7 und älter
  • FortiManager Versionen 7.0.12 und älter
  • FortiManager Versionen 6.4.14 und älter

Lösung:
Auf folgende Versionen kann upgedatet werden, damit diese Sicherheitslücke geschlossen wird:

Diese Versionen wurden kürzlich ausgerollt.

Workarounds:
 Auf dem FortiManager der Versionen <=7.0.12, <=7.2.5 oder <=7.4.3 (ausser 7.6.0) kann mit folgender Konfiguration verhindert werden, dass unbekannte Geräte sich versuchen zu registrieren:

Config cli.png Konfiguration über die CLI: 
 
config system global
    set fgfm-deny-unknown enable
end
Wichtig.svg

Wenn du diese Einstellung aktivierst, verhindert FortiManager, dass sich ein FortiGate-Gerät registriert, falls dessen Seriennummer nicht in der Geräteliste hinterlegt ist, selbst wenn das Modellgerät und der vorab geteilte Schlüssel (PSK) übereinstimmen.

Für alle FortiManager-Versionen kannst du Abhilfemassnahmen ergreifen, indem du lokale Firewallregeln (Local-In-Regeln) erstellst, um die IP-Adressen der FortiGate-Geräte, die eine Verbindung herstellen dürfen, auf eine Freigabeliste zu setzen. Alternativ kann dies auch über eine externe Firewall erfolgen.

Um eine lokale Firewallregel auf dem FortiManager zu konfigurieren, die Verbindungen von einem bekannten Subnetz, z. B. 198.18.250.0/24 (Verwaltungsnetzwerk), sowie der spezifischen IP-Adresse 10.250.17.2 (FortiGate-Gerät) zulässt, verwende folgende Regeln:

Config cli.png Konfiguration über die CLI: 
 
config system local-in-policy
    edit 1
        set action accept
        set src 198.18.250.0/24
        set dport 443  <--- WebGui Adminport
    next
    edit 2
        set action accept
        set src 198.18.250.0/24
        set dport 22   <--- SSH Adminport
        next
    edit 3
        set action accept
        set src 10.250.17.2/32
        set dport 541  <--- Erlaube nur TCP/541 von bekannten FortiGate-IP-Adressen.
       next
    edit 4
       next
end
Info.svg

Es ist wichtig zu beachten, dass die Regel 4 im Beispiel alle Einstellungen auf "Standard" hat.
Dadurch wird diese zu einer expliziten Drop-Regel, die den Zugriff von allen anderen IP-Adressen blockiert.

Weitere Informationen betreffend Local-In-Regeln auf dem FortiManager findet man im CLI Guide:

Weitere Informationen findet man unter folgenden externen Artikeln:
PSIRT - FortiGuard:

Informationen CVE-

Informationen auf Heise.de:

add 14.10.2024 - 4Tinu

-->

Checkpoint FAQ

VPN

Wie kann ich den Port für das SSL-VPN ändern?

Default mässig ist für das SSL VPN der Port TCP 443 von der Checkpoint vor konfiguriert. Wenn man nur eine Public IP Adresse hat und ein eingehendes NAT auf einen HTTPS Dienst konfigurieren will, kommt man natürlich vor ein Problem, da wir den TCP Port 443 bereits für das SSL-VPN benutzen. Wir können dieses Problem folgendermassen lösen. Wir müssen in den SSL- VPN Settings den Listen Port auf einen anderen Wert setzen:

  • Dafür müssen wir im Menu DEVICE --> Advanced --> Advanced Settings navigieren.
  • Nun kann man im Suchfeld mit ssl vpn den richtigen Parameter finden : VPN Remote Access - Remote Access port Dieses Attribut kann mit doppelklick editiert werden:
Checkpoint-0001.png

Checkpoint-0002.png
  1. Den Remote Access Port auf einen nicht benutzen Port ändern (default Wert 443)
  2. Wenn man den TCP443 Port für ein Einkommendes NAT (Destinations NAT) verwenden muss, ist diese Option zwingend einzuschalten.

Jetzt kann in der Übersicht die Konfigurationsänderung angeschaut werden: 

Checkpoint-0003.png

Wir sehen, der Port ist nun für 10443 konfiguriert, und das VPN wird über diesen Port verbinden.

Dafür müssen wir aber noch den VPN Client entsprechend anpassen: 

Checkpoint-0004.png

Wie kann ich auf einer Check Point ein Remote Client VPN einrichten?

Checkpoint-0005.png
  1. Menu VPN anwählen
  2. unter Remote Access Blade Control anwählen
  3. Remote Access muss eingeschalten sein, ansonsten wird der Remote VPN Zugriff nicht funktionieren
  4. im User Menu können die User definiert werden, welche über das Remote VPN Zugreifen dürfen. Dafür einfach auf den blauen user link klicken
  5. Damit wir im Log sehen was passiert, empfehlen wir das Log komplett einzuschalten
  6. im VPN Remote Access users can connct via: kann die VPN Methode ausgewählt werden, wie man auf die Check Point ein Remote VPN aufbauen kann. für das Klassische client VPN den Punkt Check Point VPN clients anwählen.
Checkpoint-0006.png

Checkpoint-0007.png

Checkpoint-0008.png

Checkpoint-0009.png

Checkpoint-0010.png

Wie konfiguriere ich ein VPN zwischen einer Check Point und einer FortiGate Firewall?

Ausgangslage:

Seite FortiGate Seite Checkpoint

Netzplan

Fortinet-2777.jpg
Hardware FortiGate 60F Checkpoint 1550
Software 6.4.2 build1723 R80.20.05 (992001134)
Lokal Netzwerk 10.10.161.0/24 10.10.151/24
Public IP 198.18.0.161 198.18.0.151

Authentication

Pre-shared Key definieren

IKE Version

Version 2

Phase 1 Proposal

Alogrithms: AES256-SHA256 DH-Group 15

Phase 1 Key Lifetime

86400 Sekunden

Phase 2 Proposal

Alogrithms: AES256-SHA512 / PFS-DH-Group 15

Phase 2 Key Lifetime

3600 Sekunden

Konfiguration Checkpoint 1550

Config webgui.png Konfiguration über das WebGUI:

Konfigurieren des VPN-Tunnels:
Um auf der Checkpoint einen VPN-Tunnel zu konfigurieren kann auf folgendes Menü angewählt werden:

VPN -> VPN Sites -> Cp new.jpg 

Fortinet-2646.jpg

Netzwerk-Parameter:

  1. Auf das TAB Remote Site gehen
  2. Site name: Hier wird der Name des VPN-Tunnels definiert
  3. Bei Conection type auf Host Name or IP address setzen
  4. IP address anwählen und im Feld die public IP-Adresse der FortiGate eingeben (198.18.0.153)
  5. Behind static NAT ist die NAT Traversal-Einstellung
Fortinet-2640.jpg


Authentication konfigurieren:

  1. Pre-shared secret anwählen (entspricht der Option Pre-shared KEY auf der Fortigate)
  2. im Feld Password den selben Key eingeben, welcher bereits auf der FortiGate definiert wurde
  3. mittels confirm den Key nochmals eingeben
Fortinet-2641.jpg

Remote Site Encryption Domain konfigurieren
Die Remote Site Encryption Domain entspricht dem lokalen Netz auf der FortiGate bei den Selektoren.
Zuerst muss das Netz oder der Host definiert werden. Dafür auf den Cp new.jpg klicken.
 Es öffnet sich folgendes Fenster: 

Fortinet-2642.jpg
  1. den Type auf Network stellen
  2. Network address Die Netzadresse angeben (ohne Subnetzmaske), was in unserem Fall das Netzwerk auf der FortiGate 10.10.161.0 ist
  3. Subnetmask Die Subnetzmaske des Netzes angeben: 255.255.255.0
  4. Object name Hier wird der Name definiert, wie das Objekt dann angewählt werden kann
  5. mit Cp apply.jpg das Objekt erstellen

Mit Cp select.jpg kann das Adress-Objekt zu der Encryption Domain hinzugefügt werden. 

Fortinet-2643.jpg

Encryption für Phase 1 und Phase 2 konfigurieren:

  1. das TAB Encryption anwählen
  2. Encryption settings auf custom stellen
  3. IKE (Phase 1)
    1. Encryption auf AES-256 konfigurieren, alle anderen Parameter deaktivieren
    2. Authentication auf SHA256 konfigurieren - alle anderen Parameter ebenfalls deaktivieren
    3. Diffie-Hellmann group support setzen wir auf Group 14 (2048 bit)
    4. Renegotiate every: wird auf 1440 Minuten gesetzt (auf der FortiGate ist 86400 Sekunden eingestellt, was 1440 Minuten entspricht)
  4. IPSec (Phase2)
    1. Encryption auf AES-256 konfigurieren, alle anderen Parameter deaktivieren
    2. Authentication auf SHA256 konfigurieren, alle anderen Parameter ebenfalls deaktivieren
    3. Enable Perfect Forward Secrecy (PFS) aktivieren
    4. Diffie-Hellmann group support setzen wir auf Group 14 (2048 bit)
    5. Renegotiate every: wird auf 3600 Sekunden gesetzt (auf der FortiGate haben wir diesen Parameter auf 3600s konfiguriert)
Fortinet-2644.jpg

Advanced Optionen konfigurieren:

  1. TAB Advanced anwählen
  2. Bei den Settings die Option Remote Gateway is a Check Point Security Gateway deaktivieren
  3. unter Encryption method den Parameter auf IKEv2 stellen.
Fortinet-2645.jpg

Konfigurieren eines Netzwerk Objektes:

  1. User & Objects anwählen
  2. Network Objects auswählen
Fortinet-2648.jpg

Im Editor-Fenster folgendes konfigurieren:

  1. Type auf Network einstellen
  2. Network address: Die Netzwerk-Adresse ohne Netzmaske eintragen
  3. Subnet mask: Die Subnetzmaske des Netzes eintragen
  4. Object name: Name des Adress-Objektes eintragen
  5. mit dem Button Cp apply.jpg wird das Objekt erstellt
Fortinet-2647.jpg

Konfigurieren der Policy:
Nun gilt es noch die Firewall Regeln zu konfigurieren:

  1. Menu Access Policy anwählen
  2. Policy auswählen
  3. unter dem Menu Incoming, Internal and VPN traffic mit Cp new.jpg wird eine neue VPN-Regel erstellt
Fortinet-2656.jpg
  1. Source und Destination, wie auch die Services anwählen.
  2. Das Feld Match only for encrypted traffic auswählen, so wird sichergestellt, dass diese Regel für den verschlüsselten Traffic gilt.
  3. mit Cp apply.jpg wird die Regel erstellt und aktiv
Fortinet-2654.jpg
  1. das Selbe in grün noch für die Gegenrichtung falls dies vom Setup erforderlich ist
Fortinet-2653.jpg

Fortinet-2655.jpg

Konfiguration FortiGate 60F:

Config webgui.png Konfiguration über das WebGUI:

Konfigurieren des VPN-Tunnels:

Netzwerkeinstellungen:

  1. Name des VPN-Tunnels definieren (es wird ein Tunnel-Interface mit diesem Namen gebildet)
  2. Bei Remote Gateway den Typ auf Static IP Address stellen
  3. Im Feld IP Address wird die public IP-Adresse der Checkpoint eingetragen (198.18.0.151)
  4. Bei Interface wird das ausgehende Interface (meistens WAN) angegeben. Auf diesem Interface wird das Tunnel-Interface dann als Subinterface gebildet
  5. NAT Traversal ist zu definieren, falls noch ein NAT Device zwischen der FortiGate und der Checkpoint vorhanden ist.
Fortinet-2634.jpg

Authentication konfigurieren:

  1. Method Auf Pr-shared Key einstellen
  2. Im Feld Pre-shared Key einen komplexen, nicht nachvollziehbaren Key konfigurieren (dieser Key wird auf der Checkpoint dann auch benötigt)
  3. In unserem Beispiel werden wir mit IKE Version 2 arbeiten. Dementsprechend den Parameter auf 2 einstellen
Fortinet-2635.jpg

Phase 1 Parameter konfigurieren:

  1. Encryption auf AES256 und Authentication auf SHA256 konfigurieren
  2. Alle anderen Encryption- und Authentications-Parameter entfernen
  3. Die Diffie-Hellmann Group wird auf 14 eingestellt
  4. Der Parameter Key Lifetime (seconds) auf 86400 (1440 Minuten) stellen
Fortinet-2636.jpg

Phase 2 Selektoren konfigurieren:

In diesem Beispiel zeigen wir, wie man den Selektor für 10.10.161.0/24 zu 10.10.151.0/24 konfiguriert:

  1. Name in diesem Feld kann ein Name für den Selektor definiert werden
  2. Local Address Das Netz welches bei der Fortigate erreicht werden soll. Typ auf Subnet stellen und Adresse: 10.10.161.0/24 konfigurieren
  3. Remote Address Das Netz welches wir hinter der Checkpoint erreichen wollen. Typ auf Subnet stellen und Adresse 10.10.151.0/24 konfigurieren
  4. Unter dem Menüpunkt Advanced können die Phase 2 Proposal konfiguriert werden
  5. Encryption auf AES256 und Authentication auf SHA256 stellen. Alle anderen Encryption- und Authentications-Parameter entfernen
  6. Perfect Forward Secrecy (PFS) aktivieren
  7. Die Difie-Hellman Group auf 14 stellen
  8. Key Lifetime auf Second stellen und dann 3600 Sekunden einstellen (dies ist nicht der default Wert auf der FortiGate)
Fortinet-2637.jpg

Konfigurieren der Routen:
Auf der FortiGate muss das Netz der Remote Seite(10.10.151.0/24) in den IPSec-Tunnel geroutet werden. Dabei zeigt die Route auf das Tunnel-Interface (vpn_to_CP_151). Damit bei einem Unterbruch des Tunnels der Traffic nicht über die default Route ins Internet geroutet wird, sollte eine Blackhole Route konfiguriert werden. Mehr Details dazu im Artikel : Was ist eine Blackhole Route?

Die Routen werden wie folgt konfiguriert: Menu: Network -> Static Routes -> Createnew.jpg

Fortinet-2651.jpg

Blackhole Route mit Distanz 254: 

Fortinet-2807.jpg

Konfigurieren der Policies:
Es braucht mindestens eine Policy auf der FortiGate. Damit der Traffic bidirektional durch den Tunnel geht, empfiehlt es sich eine Regel in jede Richtung zu konfigurieren. Dabei ist die Kommunikation zwischen dem VPN-Tunnel Interface (vpn_cp-forti) und dem internen Interface (internal2).

Menu : Policy & Objects -> IPv4 Policy -> Createnew.jpg

Fortinet-2652.jpg

Die ganze Policy noch bei bedarf gegengleich konfigurieren (Source Interface / Netz und Destinations Interface / Netz) Dabei kann die Clone Reverse Funktion benutzt werden. 

Fortinet-2808.jpg

Komplettes Regelsetup: 

Fortinet-2638.jpg
Config cli.png Konfiguration via CLI:

VPN Phase 1 konfigurieren:

config vpn ipsec phase1-interface
edit "vpn_to_CP_151"
        set interface "wan1"
        set ike-version 2
        set peertype any
        set net-device disable
        set proposal aes256-sha256
        set dhgrp 14
        set remote-gw 198.18.0.151
        set psksecret "Hier_einen_komplexen_Key_eingeben"
    next
end

VPN Phase 2 konfigurieren:

config vpn ipsec phase2-interface
    edit "p2-vpn_to_lab-0062-10.10.162.0-24"
        set phase1name "vpn_to_lab-0062"
        set proposal aes256-sha256
        set dhgrp 14
        set auto-negotiate enable
        set src-subnet 10.10.161.0 255.255.255.0
        set dst-subnet 10.10.162.0 255.255.255.0
    next
end

Routen konfigurieren:

config router static
    edit 2
        set dst 10.10.151.0 255.255.255.0
        set device "vpn_to_CP_151"
    next
    edit 3
        set dst 10.10.151.0 255.255.255.0
        set distance 254
        set comment "blackhole Route - CP Remote Netz"
        set blackhole enable
    next
end

Adress Objekte für Policies konfigurieren: 

config firewall address
    edit "net_remoteVPN-10.10.151.0-24"
        set comment "Remote Netz -VPN Checkpoint"
        set color 10
        set subnet 10.10.151.0 255.255.255.0
    next
    edit "net_ul-10.10.161.0-24"
        set color 3
        set subnet 10.10.161.0 255.255.255.0
    next

end

Policy konfigurieren: 

config firewall policy
    edit 5
        set name "I_vpn_CP_151->10.0.161.0-24"
        set srcintf "vpn_to_CP_151"
        set dstintf "internal2"
        set srcaddr "net_remoteVPN-10.10.151.0-24"
        set dstaddr "net_ul-10.10.161.0-24"
        set action accept
        set schedule "always"
        set service "ALL"
        set logtraffic all
    next
    edit 6
        set name "O_vpn_10.10.161.0-24->CP_151"
        set srcintf "internal2"
        set dstintf "vpn_to_CP_151"
        set srcaddr "net_ul-10.10.161.0-24"
        set dstaddr "net_remoteVPN-10.10.151.0-24"
        set action accept
        set schedule "always"
        set service "ALL"
        set logtraffic all
    next
end

Erfolgskontrolle

FortiGate Monitor: 

 Fortinet-2639.jpg

Checkpoint Monitor: 

Fortinet-2658.jpg

Traffic generieren und im Debug auf den beiden Geräten prüfen:
Ping von der FortiGate aus generiert:

  1. mit dem Befehl execute ping-option source 10.10.161.2 können wir der FortiGate angeben, mit welcher Adresse diese den Ping ausführen soll
  2. mit dem Befehl execute ping 10.10.151.2 können wir die IP Adresse auf der Checkpoint vom LAN Interface anpingen
Fortinet-2657.jpg

Im Flow sieht das so aus: 

# diag debug flow filter clear
# diag debug flow filter sadd 10.10.161.2
# diag debug flow filter dadd 10.10.151.2
# diag debug flow trace start 9000
# diag debug enable

# id=20085 trace_id=6 func=print_pkt_detail line=5639 msg="vd-root:0 received a packet(proto=1, 10.10.161.2:3584->10.10.151.2:2048) from local. type=8, code=0, id=3584, seq=0."
id=20085 trace_id=6 func=init_ip_session_common line=5810 msg="allocate a new session-00087e78"
id=20085 trace_id=6 func=ipd_post_route_handler line=439 msg="out vpn_to_CP_151 vwl_zone_id 0, state2 0x0, quality 0.
"
id=20085 trace_id=6 func=ipsecdev_hard_start_xmit line=789 msg="enter IPsec interface-vpn_to_CP_151"
id=20085 trace_id=6 func=_ipsecdev_hard_start_xmit line=666 msg="IPsec tunnel-vpn_to_CP_151"
id=20085 trace_id=6 func=esp_output4 line=907 msg="IPsec encrypt/auth"
id=20085 trace_id=6 func=ipsec_output_finish line=622 msg="send to 198.18.0.151 via intf-wan1"
id=20085 trace_id=7 func=print_pkt_detail line=5639 msg="vd-root:0 received a packet(proto=1, 10.10.161.2:3584->10.10.151.2:2048) from local. type=8, code=0, id=3584, seq=1."
id=20085 trace_id=7 func=resolve_ip_tuple_fast line=5720 msg="Find an existing session, id-00087e78, original direction"
id=20085 trace_id=7 func=ipd_post_route_handler line=439 msg="out vpn_to_CP_151 vwl_zone_id 0, state2 0x0, quality 0.

# diag debug reset
# diag debug disable

fw monitor auf der Checkpoint: 

fwalem-lab-0151> expert  in den Expert Modus wechseln
Enter expert password:

You are in expert mode now.
FW Monitor:
[Expert@fwalem-lab-0151]# fw monitor -e 'accept host(10.10.161.2);'
 fw: getting filter (from command line)
 fw: compiling
monitorfilter:
Compiled OK.
 fw: loading
 fw: monitoring (control-C to stop)
[vs_0][fw_2] WAN:id[84]: 10.10.161.2 -> 10.10.151.2 (ICMP) len=84 id=53344
ICMP: type=8 code=0 echo request id=3840 seq=1
[vs_0][fw_2] WAN:ID[84]: 10.10.161.2 -> 10.10.151.2 (ICMP) len=84 id=53344
ICMP: type=8 code=0 echo request id=3840 seq=1
[vs_0][fw_2] WAN:o[84]: 10.10.151.2 -> 10.10.161.2 (ICMP) len=84 id=7498
ICMP: type=0 code=0 echo reply id=3840 seq=1
[vs_0][fw_2] WAN:O[84]: 10.10.151.2 -> 10.10.161.2 (ICMP) len=84 id=7498
ICMP: type=0 code=0 echo reply id=3840 seq=1
[vs_0][fw_2] WAN:O[84]: 10.10.151.2 -> 10.10.161.2 (ICMP) len=84 id=7498
ICMP: type=0 code=0 echo reply id=3840 seq=1
[vs_0][fw_2] WAN:id[84]: 10.10.161.2 -> 10.10.151.2 (ICMP) len=84 id=53345
ICMP: type=8 code=0 echo request id=3840 seq=2
[vs_0][fw_2] WAN:ID[84]: 10.10.161.2 -> 10.10.151.2 (ICMP) len=84 id=53345
ICMP: type=8 code=0 echo request id=3840 seq=2
[vs_0][fw_2] WAN:o[84]: 10.10.151.2 -> 10.10.161.2 (ICMP) len=84 id=7720
ICMP: type=0 code=0 echo reply id=3840 seq=2
[vs_0][fw_2] WAN:O[84]: 10.10.151.2 -> 10.10.161.2 (ICMP) len=84 id=7720
ICMP: type=0 code=0 echo reply id=3840 seq=2
[vs_0][fw_2] WAN:O[84]: 10.10.151.2 -> 10.10.161.2 (ICMP) len=84 id=7720
……
Mit ctrl+c kann der Output abgebrochen werden

Guide als PDF Herunterladen:

Q/A R81 GA

» Hier finden Sie die Präsentation zum Webinar als PDF: https://pages.checkpoint.com/rs/750-DQH-528/images/2020.11.13_Webinar_R81-overview.pdf

» Weiterführende Webinare zum Thema:

Fragen aus dem R81 Webinar inkl. Antworten & weiterführenden Links:

  • F: Was passiert wenn man einige Blades wie z.B. Sandboxing nicht lizenziert hat? Wird das Blade dann trotzdem mit der Inifinite Protection aktiviert?
  • A: Blades, die nicht lizensiert sind, werden hierdurch auch nicht aktiviert.
  • F: SmartEvent: Reicht es für die neuen Features das Management auf R81 zu haben oder müssen auch die Gateways R81 sein?
  • A: Teilsteils, manche Feature werden vom Management alleine bewältigt und andere brauchen ein R81 Gateway
  • F: Benötigt die Erkennung/Klassifizierung dieser IoT Geräte ein R81 Gateway?
  • A: IoT Funktionen sind ab der R80.40 verfügbar. Für die Klassifizierung & Risiko Analyse werden zusätzliche Systeme benötigt. Um die vollen Funktionen der IoT Policy zu Nutzen müssen auch R81 GW vorhanden sein.
  • F: Werden 2012 Appliances von R81 unterstützt.
  • A: Nein, letzte Version für 2012 Appliances ist derzeit R80.40 plus Hotfix
  • F: Wird Smart-1 Cloud in R81 auch MAESTRO unterstützen?
  • A: Ist geplant aber noch kein Datum für den Release
Abgerufen von „http://fortinet.also.ch/wiki/index.php?title=Grundkonfiguration&oldid=40555“