FortiAP:FAQ: Unterschied zwischen den Versionen

Aus Fortinet Wiki
Zur Navigation springen Zur Suche springen
Keine Bearbeitungszusammenfassung
Zeile 51: Zeile 51:


         '''FortiOS 4 MR3'''
         '''FortiOS 4 MR3'''
         [[Datei:fortigate-wireless-40-mr3.pdf]]                                        (FortiOS Handbook v3 for FortiOS 4.0 MR3 "Deploying Wireless Networks")
         [[Datei:fortigate-wireless-40-mr3.pdf]]                                        (FortiOS 4.0 MR3 Handbook - Deploying Wireless Networks
          
          
         [[Datei:FortiOS_4MR3_Wireless_Controller_Overview_v4.pdf]]                      (FortiOS 4.0 MR3 Wireless Controller Overview)
         [[Datei:FortiOS_4MR3_Wireless_Controller_Overview_v4.pdf]]                      (FortiOS 4.0 MR3 Wireless Controller Overview)


         '''FortiOS 5.0'''
         '''FortiOS 5.0'''
         [[Datei:fortigate-wireless-50.pdf]]                                            (FortiOS Handbook "Deploying Wireless Networks" for FortiOS 5.0)
         [[Datei:fortigate-wireless-50.pdf]]                                            (FortiOS 5.0 Handbook - Deploying Wireless Networks)
          
          
         [[Datei:wirless-technical-training-FOS-5.0-update-v2.pptx]]                    (FortiOS 5.0 "Wireless Technical Training")
         [[Datei:wirless-technical-training-FOS-5.0-update-v2.pptx]]                    (FortiOS 5.0 "Wireless Technical Training")


         '''FortiOS 5.2'''
         '''FortiOS 5.2'''
         [[Datei:fortigate-wireless-52.pdf]]                                            (FortiOS Handbook "Deploying Wireless Networks" for FortiOS 5.2)
         [[Datei:fortigate-wireless-52.pdf]]                                            (FortiOS 5.2 Handbook - Deploying Wireless Networks)


         '''FortiOS 5.4'''
         '''FortiOS 5.4'''
         [[Datei:fortiap-release-notes-54.pdf]]                                         (FortiAP Release Notes Version 5.4.0)
         [[Datei:Fortigate-Wireless-54.pdf]]                                             (FortiOS 5.4 Handbook - Deploying Wireless Networks)


         '''Cookbook Supplementary Recipes FortiOS 5.0 / 5.2:'''
         '''Cookbook Supplementary Recipes FortiOS 5.0 / 5.2:'''
Zeile 91: Zeile 91:
== Hardware ==
== Hardware ==


=== Wo finde ich eine Uebersicht über die FortiAP Produkte? ===
=== Welche Forti Access Point Produkte Linien existieren und was sind die Unterschiede? ===


Die beste Uerbsicht der FortiAP Produkte bietet die folgenden Dokumente/Links:
Fortinet verfügt heute über drei Produkt Linien betreffend Forti Access Point (exkl. Meru) dh.:
 
        • Light Forti Access Point
         
          Forti Access Point wie FAP-11c | FAP-21D | FAP-24D | FAP-220B | FAP-221B/C | FAP-320B/C usw.
          Diese Access Points müssen zwingen mit einem FortiGate Wireless Controller oder FortiCloud
          Wireless Controller betrieben werden. Diese Forti Access Points verfügen über keine UTM 
          Features lokal auf den Forti Access Points sondern die UTM Features werden über die FortiGate
          betrieben resp. bereitgestellt und verwaltet.
 
        • Thick Forti Access Point
         
          Forti Access Point integriert in einer FortiGate FWF-30D | FWF-60D | FWF-90/2D. Dies bedeutet:
          FortiGate Devices mit integriertem Radio (2.4 GHz / 5 GHz). Zusätzlich können diese Devices
          (Thick Forti Access Points) mit Light Forti Access Points erweitert werden. Die UTM Features
          werden wie bei den Light Forti Access Points über die FortiGate (FWF) zur Verfügung gestellt
          sowie verwaltet.
 
        • Smart Forti Access Point
         
          Smart Forti Access Point verfügen über lokale UTM Features auf den Smart Forti Access Point
          (FortiAP-S) und können nur über FortiCloud Wirless Controller verwaltet werden! Weiter Infos
          siehe nachfolgender Artikel:
                                 
          [[FortiAP-S:FAQ#Was_ist_unter_einem_.22Forti_Smart_Access_Point.22_.28FortiAP-S.29_zu_verstehen_und_um_was_handelt_es_sich_dabei.3F]]
 
=== Wo finde ich eine Uebersicht über die verschiedenen FortiAP Hardware und Produkte? ===
 
Die beste Uerbsicht für FortiAP Produkte bieten die folgenden Dokumente sowie Links:


         [[Fortinet:ProduktInfo#Fortinet_Produkt-Guide]]
         [[Fortinet:ProduktInfo#Fortinet_Produkt-Guide]]
         [[Fortinet:ProduktInfo#Fortinet_Produkt-Matrix]]
         [[Fortinet:ProduktInfo#Fortinet_Produkt-Matrix]]


Desweiteren hat Fortinet eine Wireless Brochure Released die einen grobe Uebersicht bietet:
Desweiteren hat Fortinet eine Wireless Brochure Released, die eine generelle Uebersicht bietet:
          
          
         [[Datei:Wireless_Brochure.pdf]] (Unified Access LayerArchitecture)
         [[Datei:Wireless_Brochure.pdf]] (Unified Access LayerArchitecture)
Zeile 105: Zeile 133:
Weitere Informationen betreffend technischem Aufbau eines FortiAP Produktes siehe nachfolgender Artikel:
Weitere Informationen betreffend technischem Aufbau eines FortiAP Produktes siehe nachfolgender Artikel:


         [[FortiAP:FAQ#Wie_sieht_der_Hardware-Technische_Aufbau_.28block_diagram.29_eines_FortiAP_Produkts_aus.3F]]
         [[FortiAP:FAQ#Wie_sieht_der_Hardware-Technische_Aufbau_.28block_diagram.29_eines_Forti_Access_Point_Produkts_aus.3F]]


Nachfolgend eine kurze Uebersicht über die Produkte und wo deren empfohlener Einsatzbereich liegt (Technische Details siehe oben Produkt-Guide sowie Produkt-Matrix):
Nachfolgend eine kurze Uebersicht über die Produkte und wo deren empfohlener Einsatzbereich liegt:


         '''Hardware Overview – FortiAP (Indoor)'''
         '''Hardware Overview – FortiAP (Indoor)'''
Zeile 121: Zeile 149:
         [[Datei:Fortinet-1364.jpg]]
         [[Datei:Fortinet-1364.jpg]]


=== Wo finde ich Informationen betreffend der FortiAP-S? ===
=== Wo finde ich eine Uebersicht über die verschiedenen FortiAP-S Hardware und Produkte? ===


Die Features sowie Konfigurationen auf dieser Seite betreffen die "Light Forti Access Point" sowie die "Thick Forti Access Point". Da die "Smart Forti Access Point" nicht über die FortiGate verwaltet werden können sind die hier gezeigten Features sowie Konfigurationen für "Smart Forti Access Point" nicht anwendbar. Siehe auch folgender Artikel:
Die Features sowie Konfigurationen auf dieser Seite betreffen die "Light Forti Access Point" sowie die "Thick Forti Access Point". Da die "Smart Forti Access Point" nicht über einen FortiGate Wireless Controller verwaltet werden können sind die hier gezeigten Features sowie Konfigurationen für "Smart Forti Access Point" (FortiAP-S) nicht anwendbar. Siehe auch folgender Artikel:


         [[FortiAP:FAQ#Welche_FortiAP_Produkte_Linien_existieren_und_was_sind_die_Unterschiede.3F]]
         [[FortiAP:FAQ#Welche_Forti_Access_Point_Produkte_Linien_existieren_und_was_sind_die_Unterschiede.3F]]


Weitere Informationen zu den Details sowie Konfiguration der "Smart Forti Access Point" siehe nachfolgender Artikel:
Weitere Informationen zu den Details sowie Konfiguration der "Smart Forti Access Point" (FortiAP-S) siehe nachfolgender Artikel:


         [[FortiAP-S:FAQ]]
         [[FortiAP-S:FAQ]]


=== Welche FortiAP Produkte Linien existieren und was sind die Unterschiede? ===
=== Verfügen alle FortiGate Devices über einen Wireless Controller für Forti Access Points? ===


Fortinet verfügt heute über drei Produkt Linien betreffend Forti Access Point (exkl. Meru) dh.:
Grundsätzlich verfügen alle FortiGate Devices über einen Wireless Controller mit Aussnahme von:


         '''Light Forti Access Point''' = Forti Access Point wie FAP-11c | FAP-21D | FAP-24D | FAP-220B | FAP-221B/C | FAP-320B/C usw.
         FortiGate 20C
                                  Diese Access Points müssen zwingen mit einem FortiGate Wireless Controller oder FortiCloud
         FortiGate 30D
                                  Wireless Controller betrieben werden. Diese Forti Access Points verfügen über KEINE UTM
                                  Features "auf" den Forti Access Points sondern die UTM Features werden über die FortiGate
                                  betrieben sowei verwaltet.
          
        '''Thick Forti Access Point''' = Forti Access Point integriert in einer FortiGate FWF-30D | FWF-60D | FWF-90/2D. Bedeutet diese
                                  Devices sind FortiGate's mit integriertem Radio (2.4 GHz / 5 GHz). Zusätzlich können diese
                                  Devices (Thick Forti Access Point's) mit Light Forti Access Points erweitert werden. Die UTM
                                  Features werden wie bei den Light Forti Access Points über die FortiGate (FWF) zur Verfügung
                                  gestellt sowie verwaltet.
       
        '''Smart Forti Access Point''' = Smart Forti Access Point verfügen über UTM Features auf den Smart Forti Access Point
                                  (FortiAP-S) und können nur über FortiCloud Wirless Controller verwaltet werden! Weiter 
                                  Informationen siehe nachfolgender Artikel:
                                 
                                  [[FortiAP-S:FAQ#Was_ist_unter_einem_.22Forti_Smart_Access_Point.22_.28FortiAP-S.29_zu_verstehen_und_um_was_handelt_es_sich_dabei.3F]]


=== Wie sieht der Hardware-Technische Aufbau (block diagram) eines FortiAP Produkts aus? ===
Ab FortiOS 5.0.6 / 5.2 wurde der FG-30D die Möglichkeit gegeben den FortiGate Wirless Controller zu verwenden. Ebenfalls kann die 30D ab dieser Version 2 FortiAPs managen! Somit ist jeder FortiGate Device limitiert in der Anzahl der FortiAPs die verwaltet resp. konfiguriert werden können. Folgender Artikel gibt Auskunft über die Anzahl FortiAPs die mit einem entsprechenden FortiGate Devices verwaltet/konfiguriert werden können sowie was dabei zu berücksichtigen ist:


In der nachfolgenden Abbildung wird anhand eines FortiAP-28C gezeigt wie der Hardware-Technische Aufbau eines FortiAP Produktes aussieht:
        [[FortiAP:FAQ#Wieviele_Forti_Access_Points_k.C3.B6nnen_.C3.BCber_eine_FortiGate_Wireless_Controller_konfiguriert_werden.3F]]


        [[Datei:Fortinet-1347.jpg]]
=== Wieviele Forti Access Points können über eine FortiGate Wireless Controller konfiguriert werden? ===


Wie aus dem "block diagram" ersichtlich ist wird ein "Atheros" Chip benutzt. Weitere Informationen zu diesem Chip siehe nachfolgender Link:
Ab FortiOS 5.0 gibt nachfolgendes Dokument Aufschluss über die max. Anzahl der FortiAPs die über eine FortiGate konfiguriert werden können:


         http://en.wikipedia.org/wiki/Qualcomm_Atheros
         [[Fortinet:ProduktInfo#Fortinet_Produkt-Matrix |Produkte Matrix]]


Desweiteren eine "Schematische" Uebersicht von FAP-221C, FAP-320C sowie FAP-321C:
Ab FortiOS 5.0.3 wurde die Anzahl der FortiAPs die über einen FortiGate Wireless Controller verwaltet resp. konfiguriert werden könnnen erweitert. Dies bedeutet: es wird unterschieden zwischen folgenden Mode:


         '''FAP-221C'''
         • SSID im "tunneling" Mode
          
         • SSID im "local bridging" Mode
        [[Datei:Fortinet-1359.jpg]]


        '''FAP-320C'''
Bedeutet wiederum: Wenn man einen FortiAP mit einer SSID konfiguriert auf "local bridging", zählt dieser FortiAP als "remote" (wtp-mode). Dies gilt jedoch nur wenn ausschliesslich nur diese Art einer SSID auf dem entsprechenden FortiAP benützt wird. Werden auf einem FortiAP SSID's gemischt dh. "tunneling" und "local bridging" gilt dieser FortiAP als "normal" (wtp-mode). Somit, wenn man einen FortiAP konfiguriert mit SSID im "local bridging" Mode kann dieser FortiAP explizit als "wtp-mode remote" gesetzt werden. Dies kann auf der CLI durchgeführt werden:
       
        [[Datei:Fortinet-1360.jpg]]


         '''FAP-321C'''
         # config wireless-controller wtp
        # edit [Gebe die entsprechende Serial Nummer des FAP an]
        # set wtp-mode [Gebe an "remote"; Standard Einstellung "normal"]
        # end
          
          
         [[Datei:Fortinet-1361.jpg]]
Versucht man einen FortiAP auf "remote" zu setzen und die SSID ist nicht auf "local-bridging" gesetzt, erscheint folgende Meldung:
           
         Can't be remote mode because wtp-profile '[Name des entsprechendes Profile]' has local-bridging disabled SSID '[Name der entsprechenden SSID]'
           
Die Produkt Matrix gibt somit Auskunft über die möglichen "normal" Mode sowie "remote" Mode. Die Anzahl der möglichen FortiAPs die über einen FortiGate Wireless Controller verwaltet resp. konfiguriert werden können wird folgendermassen angegeben in der Produkt Matrix:


=== Was für ein Kabel benötige ich für den Consolen Anschluss (Seriell RS232) einer Fortinet?  ===
        FG-60D  10/5  (Total/Tunnel)


Das Consolen Kabel das für ein FortiAP Consolen Anschluss verwendet wird -sofern vorhanden- ist identisch mit dem Consolen Kabel das für eine Fortigate verwendet wird. Weitere Informationen siehe nachfolgender Artikel
Somit stehet zB für eine FG-60D folgendes zur Verfügung:


        [[FortiGate-5.0-5.2:FAQ#Was_f.C3.BCr_ein_Kabel_ben.C3.B6tige_ich_f.C3.BCr_den_Consolen_Anschluss_.28Seriell_RS232.29_einer_Fortinet.3F]]
      • 5 FortiAPs mit SSID im "tunneling" und/oder "local bridging" gemischt! (wtp-mode normal)
      • 5 FortiAPs mit SSID im "local bridging" Mode (wtp-mode remote)
     
      = 10 Total möglich wobei 5 im "local bridging" only! (10/5)


=== Verfügen alle FortiGate Devices über einen Wireless Controller? ===
Nachfolgend eine Kurzübersicht betreffend "tunneling" möglichen FortiAPs sowie "local bridging":


Grundsätzlich verfügen alle FortiGate Geräte über einen Wireless Controller mit Aussnahme von:
        [[Datei:Fortinet-844.jpg]]
 
        FortiGate 20C
        FortiGate 30D
          
          
        '''NOTE''' Ab FortiOS 5.0.6 / 5.2 wurde der 30D die Möglichkeit gegeben den Wirless Controller zu verwenden.
Die offizielle Information betreffend "tunneling" und/oder local bridging" möglichen FortiAPs auf einem FortiGate Device findet man im Dokument der "max-values". Dieses Dokument findet man unter folgenden Artikel:
            Ebenfalls kann die 30D ab dieser Version 2 FortiAP's managen! Weitere Informationen betreffend der
            Verwendung einer 30D siehe nachfolgender Artikel:
              
              
             [[FortiGate-5.0-5.2:FAQ#Was_ist_zu_ber.C3.BCcksichtigen_beim_Betrieb_einer_FortiGate_30D.3F]]
             [[FortiGate-5.0-5.2:FAQ#Wo_findet_ich_die_Dokumente_wie_Datasheets.2C_Quick_Start_Guide.2C_User_Guide_etc._.3F]]
 
Fortinet hat ein Dokument herausgegeben, in dem der Umstand dieser Aenderung erklärt wird und wieso dem so ist:


Diese FortiGate's die über einen Wireless Controller verfügen können für eine bestimmte Anzahl FortiAP's benützt werden. Folgender Artikel gibt Auskunft über die Anzahl FortiAP's die mit einem entsprechenden FortiGate Devices konfiguriert werden können sowie was zu berücksichtigen ist:
        [[Datei:Maximum_Number_of_Managed_FortiAPs_in_FortiOS_5_0_3_FAQ_-_August_2013_v1_r5.pdf]]


        [[FortiAP:FAQ#Wieviele_FortiAP_k.C3.B6nnen_.C3.BCber_eine_FortiGate_konfiguriert_werden.3F]]
=== Kann ich einen Forti Access Point Device ohne FortiGate Wireless Controller konfigurieren und betreiben? ===


=== Wieso kann ein FAP-320B/C bis zu 450 Mbps Durchsatz verarbeiten? ===
Ein Forti Access Point hat zwar ein Mgmt. Web Interface über dieses bestimmte einfache Konfigurationen durchgeführt werden können wie zB die Vergabe einer fixen IPv4 Adresse jedoch benötigt ein Forti Access Point für den Betrieb und dessen Grundkonfiguration einen FortiGate Wireless Controller. Dies bedeutet: Die Logik resp. die Konfiguration wird dem Forti Acces Point vom FortiGate Wireless Controller übermittelt/zugewiesen und somit kann ein Forti Access Point nicht ohne FortiGate Wirless Controller betrieben werden. Ab FortiOS 5.2.2 (Build 222) kann ein Forti Access Point auch ohne FortiGate Wireless Controller betrieben werden da Fortinet neu einen entsprechenden Wireless Controller in der Cloud zur Verfügung stellt. Weitere Informationen zu dieser neuen Funktion in der FortiCloud siehe nachfolgenden Artikel:


Ein FAP-320B/C setzt die sogenannte "3x3:3 MIMO" Technology ein! Siehe für weitere Details folgender Artikel:
        [[FortiCloud(FAMS):FAQ#Ist_es_m.C3.B6glich_anhand_eines_FortiCloud_Accounts_FortiAccess_Points_zu_verwalten.2Fkonfigurieren.3F]]


        [[FortiAP:FAQ#Was_ist_mit_802.11AC_MU-MiMo_gemeint.3F]])
=== Was ist die max. Anzahl User die auf einem Forti Access Point verbunden werden können? ===


In kurzer Ausführung bedeutet dies, dass der FAP-320B/C durch die "3x3:3 MIMO" Technology für eine Uebermittlung der Daten resp. Komunikation 3 Streams einsetzt. Die Modulation sowie die Codierung für diese 3 Streams wird definiert durch den MCS Index. Dieser max. MCS Index kann mit folgenden Befehl ausgelesen werden:
Nun die FortiAPs unterliegen keinem Hardlimit! Wenn eine Limitierung konfiguriert werden möchte, kann dies über die jeweilige SSID im Mgmt. Web Interface über folgende Position konfiguriert werden:


         # cw_diag -c radio-cfg
         WiFi Controller > WiFi Network > SSID > [Wähle die entsprechende SSID] > Maximum Clients
 
Bei einem FortiAP 221/223/320 kann ca. von einer User Anzahl von 30 - 40 User ausgegangen werden. Dabei spielt jedoch die benützte Applikation wie zB "WebSurfing only" oder "VoIP" eine Rolle. Je nach benutztem Protokoll ist die Belastung höher oder niedriger (Packet Grösse)! Diesem Umstand ist Rechnung zu tragen bei der Planung von Projekten. Man kann ungefähr von folgender Tabelle ausgehen:
 
        3-7  - For a direct wire replacement.
        8-15  - In high VoIP environment, high performance enterprise, significant video, etc.
        16-25 - Average high bandwidth enterprise and schools with 1:1 deployments, some video.
        26-50 - Hot spots and events, where you need basic connectivity, email and web browsing.
        >50  - Low bandwidth applications, credit card transactions, barcode readers, telemetry, etc.
 
Diese Angaben stammen aus folgendem Dokument:
 
        [[Datei:FortiAP Technical FAQ - January 2014.pdf]])
 
=== Was ist die max. Anzahl SSID's die ich auf einem Forti Access Point konfigurieren und betreiben kann? ===
 
Grundsätzlich gelten die "maximum values" für das entsprechende FortiOS. Weitere Informationen betreffend "maximum values" siehe nachfolgenden Link:
 
        [[Datei:Fortigate-max-values-50.pdf]]
        [[Datei:Fortigate-max-values-52.pdf]]
        [http://help.fortinet.com/fgt/54/max-values/5-4-0/max-values.html Datei:Fortigate-Max-Values-54.pdf]
 
In diesen "maximum values" sind zwei Werte gelistet:
 
        • SSIDs                        Dieser Wert stellt das Maximum dar der SSID's die konfiguriert werden können!
        • SSID lists per FortiAP      Dieser Wert stellt das Maximum dar der SSID's die für einen Forti Access Point konfiguriert werden können!
 
Dabei ist folgendes zu beachten: Wenn auf einem Forti Access Point die volle Anzahl der SSID's konfiguriert wird so entsteht durch den Traffic der SSID's selber eine hohe Belastung (zusätzliche Broadcast Frames). Aus diesem Grund ist es nicht empfehlenswert mehr als 7 SSID's auf einem Forti Access Point zu konfigurieren da durch mehr SSID's die Performance durch die zusätzlichen Broadcast Frames beeinträchtigt wird. Die empfohlen Anzahl seitens Fortinet ist 4 SSID's!
 
=== Wie sieht der Hardware-Technische Aufbau (block diagram) eines Forti Access Point Produkts aus? ===
 
In der nachfolgenden Abbildung resp. "block diagram" wird anhand eines FortiAP-28C gezeigt, wie der Hardware-Technische Aufbau eines FortiAP Produktes aussieht:
 
        [[Datei:Fortinet-1347.jpg]]
 
Wie aus dem "block diagram" ersichtlich ist, wird ein "Atheros" Chip benutzt. Weitere Informationen zu diesem Chip siehe nachfolgender Link:
 
        http://en.wikipedia.org/wiki/Qualcomm_Atheros
 
Desweiteren eine "Schematische" Uebersicht betreffend FAP-221C, FAP-320C sowie FAP-321C:
 
        '''FAP-221C'''
          
          
         Radio 0: AP
        [[Datei:Fortinet-1359.jpg]]
           country        : cfg=CH oper=CH
 
           radio type    : 11N_2.4G
        '''FAP-320C'''
           beacon intv    : 100
       
           tx power      : 15
        [[Datei:Fortinet-1360.jpg]]
           HT param      : '''mcs=23 gi=disabled bw=20MHz'''
 
           ack timeout    : 64
        '''FAP-321C'''
       
        [[Datei:Fortinet-1361.jpg]]
 
=== Wieso kann die Hardware eines Forti Access Point FAP-320B/C bis zu 450 Mbps Durchsatz verarbeiten? ===
 
Ein FAP-320B/C setzt die sogenannte "3x3:3 MIMO" Technology ein! Siehe für weitere Details folgender Artikel:
 
        [[FortiAP:FAQ#Wo_finde_ich_detailliert_Informationen_.C3.BCber_Wireless_.22802.11AC_MU-MiMo.22_Funktion.3F]]
 
In kurzer Ausführung bedeutet dies, dass der FAP-320B/C durch die "3x3:3 MIMO" Technology für eine Uebermittlung der Daten resp. Komunikation 3 Streams einsetzt. Die Modulation sowie die Codierung für diese 3 Streams wird definiert durch den MCS Index. Dieser max. MCS Index kann mit folgenden Befehl ausgelesen werden:
 
        # cw_diag -c radio-cfg
       
         Radio 0: AP
           country        : cfg=CH oper=CH
           radio type    : 11N_2.4G
           beacon intv    : 100
           tx power      : 15
           HT param      : '''mcs=23 gi=disabled bw=20MHz'''
           ack timeout    : 64
           r_ac MAX dista : 0 ackt_2G=64 ackt_5G=25  
           r_ac MAX dista : 0 ackt_2G=64 ackt_5G=25  
           r_ac chan      : num=6 age=25011
           r_ac chan      : num=6 age=25011
Zeile 263: Zeile 341:
           wids          : disabled
           wids          : disabled


Der eingesetzte MCS Index bestimmt wiederum den max. Durchsatz gemäss unteren Tabelle:
Wie schon erwähnt, bestimmt der eingesetzte MCS Index den max. Durchsatz. Dieser als max. theoretischer Wert bei "optimalen" Umgebungsvariablen zu verstehen dh. dieser kann nur erreicht werden wenn sämtliche Umgebungsvariablen 100% stimmen was wiederum bedeutet: Der Host/Client muss für die Verbindung zB ebenfalls den entsprechenden "MCS Index" unterstützen! Somit wenn die Umgebungs Variablen 100% stimmen bestimmt der MCS Index den max. Durchsatz gemäss unteren Tabelle:
 
        '''NOTE''' Wie schon erwähnt, bestimmt der eingesetzte MCS Index den max. Durchsatz. Dieser als max. theoretischer
            Wert bei "optimalen" Umgebungsvariablen zu verstehen dh. dieser kann nur erreicht werden wenn sämtliche
            Umgebungsvariablen 100% stimmen!


         [[Datei:Fortinet-718.jpg]]
         [[Datei:Fortinet-718.jpg]]


=== Was ist die max. Anzahl User die auf einem FortiAP verbunden werden können? ===
=== Welches FortiOS soll im Zusammenhang mit FortiGate Devices und/oder Forti Access Points eingesetzt werden? ===


Nun die FortiAP's unterliegen keinem Limit! Eine Limitation betreffend User kann über die jeweilige SSID im Web Mgmt. Interface über folgende Position konfiguriert werden:
Grundsätzlich ist es empfohlen die jeweiligen Release Notes für das entsprechenden FortiOS für einen Forti Access Point zu konsultieren um zu verifizieren welche Version für welchen FortiGate Patch Level unterstützt wird. In einem Upgrade Scenario muss ebenfalls verifiziert werden, wie ein Upgrade zu erfolgen hat dh. von welcher FortiOS Version für die Forti Access Points. Teilweise ist es möglich für Forti Access Points höhere Versionen einzusetzen dh. Zb FortiGate Device 5.0 und auf den Forti Access Point 5.2. Dabei ist jedoch zu berücksichtigen: Features die für FortiOS 5.2 grundsätzlich zur Verfügung stehen, können obwohl der Forti Access Points basierend auf FortiOS 5.2 betrieben wird, nicht zugewiesen werden da der FortiGate Wireless Controller FortiOS 5.0 basierend ist. Da die Konfiguration eines Forti Access Point über den FortiGate Wireless Controller einem Forti Access Point zugewiesen wird kann in so einer Konstellation der FortiGate Wireless Controller einem Forti Access Point nicht 5.2 basierend Features zuweisen da der FortiGate Wireless Controller diese nicht kennt da dieser auf FortiOS 5.0 basiert. Je nach FortiOS Version ist es nicht möglich ein durchgeführtes Upgrade durch ein Downgrade zu ersetzen. Auch hier gibt die Release Notes des entsprechenden FortiOS für die Forti Access Points Auskunft ob ein nachträgliches Downgrade durchführbar ist. Weitere Auskunft über diese Problematik betreffend Downgrade von 5.2 auf 5.0 gibt nachfolgender Artikel:


         WiFi Controller > WiFi Network > SSID > [Wähle die entsprechende SSID] > Maximum Clients
         [[FortiAP:FAQ#Kann_f.C3.BCr_einen_Forti_Access_Point_basierend_auf_Firmeware_5.2_anhand_einer_Firmware_5.0_ein_.22Downgrade.22_durchf.C3.BChren.3F]]
        [[FortiAP:FAQ#Kann_f.C3.BCr_einen_Forti_Access_Point_basierend_auf_Firmeware_5.4_anhand_einer_Firmware_5.2_ein_.22Downgrade.22_durchf.C3.BChren.3F]]


Bei einem FortiAP 221/223/320 kann ca. von einer User Anzahl von 30 - 40 User ausgegangen werden. Dabei spielt jedoch die benützte Applikation wie zB "WebSurfing only" oder "VoIP" eine Rolle. Je nach benutztem Protokoll ist die Belastung höher oder niedriger (Packet Grösse)! Diesem Umstand ist Rechnung zu tragen bei der Planung von Projekten. Man kann ungefähr von folgender Tabelle ausgehen (Quelle: [[Datei:FortiAP Technical FAQ - January 2014.pdf]]):
Wird ein Upgrade eines Forti Access Point FAP-320C von 5.2.1 auf 5.2.2 oder höher durchgeführt muss dessen Bios betreffend Flash Partition Size auf den neusten Stand gebracht werden. Dies bedeutet: ein Upgrade für den FAP-320C ist folgendermassen durchzuführen:
                 
        Schritt 1:   FAP-320-C FortiOS 5.2.1 --> Upgrade anhand special Image (B0221) für Bios Upgrade "FAP-v5FLASH-UPGRADE-fortinet.out
        Schritt 2:   Danach Upgrade mit regulärem Image auf 5.2.2


        3-7  - For a direct wire replacement.
Wie schon erwähnt können Forti Access Point's basierend auf 5.2 mit FortiGate 5.2 oder FortiGate 5.0 eingesetzt werden! Dabei wird empfohlen den letzten Patch Level sei es auf den Forti Access Point sowie FortiGate's einzuspielen. Die Ausnahme ist der neue "Special Support Build" basierend auf FortiGate 5.0 der zwingen für Forti Access Point eingesetzte werden muss, die den neuen Standard 802.11ac unterstützen (FAP-221C/222C/223C/321C). Somit, wenn eine FortiGate 5.0 im Zusammenhang mit FAP-221C/222C/223C/321C eingesetzt wird muss dieser "Special Support Build" zwingend eingesetzt werden. Dieser "Special Support Build" ist unter folgenden Link erhältlich:
        8-15  - In high VoIP environment, high performance enterprise, significant video, etc.
        16-25 - Average high bandwidth enterprise and schools with 1:1 deployments, some video.
        26-50 - Hot spots and events, where you need basic connectivity, email and web browsing.
        >50  - Low bandwidth applications, credit card transactions, barcode readers, telemetry, etc.


=== Wieviele FortiAP können über eine FortiGate konfiguriert werden? ===
        https://support.fortinet.com/Download/FirmwareImages.aspx
       
        / FortiGate/ v5.00/ Feature_Support/ fg_5-0_wifi_11ac/ v5.0/


Bis FortiOS 5.0.2 gab nachfolgendes Dokument Aufschluss über die max. Anzahl der FortiAP's die über eine FortiGate konfiguriert werden konnte:
Nachträglich eine kurze Uebersicht über die möglichen Konstellation:


         [[Fortinet:ProduktInfo#Fortinet_Produkt-Matrix |Produkte Matrix]]
         FortiGate 5.2.x                            --> Zwingend Forti Access Point 5.2.x (Alle Modelle inkl. FAP-221C/222C/223C/321C)
        FortiGate 5.0.x                            --> Forti Access Point 5.0.x empfohlen Forti Access Point 5.2.x (exkl. FAP-221C/222C/223C/321C Modelle da diese nicht erkannt werden)
        FortiGate 5.0.x (Special Support Build)    --> Forti Access Point 5.0.x empfohlen Forti Access Point 5.2.x (Zwingend für Modelle FAP-221C/222C/223C/321C damit diese erkannt werden)


Ab FortiOS 5.0.3 gibt es eine Aenderung dh. die Anzahl der FortiAP's wurden je Device verdoppelt. Dies bedeutet es wird unterschieden zwischen FortiAP die "tunneling" (SSID = Tunnel to Wireless Controller) konfiguriert werden und solche die über ein "local bridging" (SSID = Local bridge with FortiAP's Interface) verfügen (set wtp-mode remote). Bedeutet wiederum: Wenn man einen FortiAP mit einer SSID versieht die auf "local bridging" konfiguriert ist, zählt dieser FortiAP nicht "tunneling" FortiAP'. Dies gilt jedoch "nur" wenn ausschliesslich nur diese SSID auf dem entsprechenden FortiAP benützt wird. Wird auf einem FortiAP SSID's gemischt dh. "tunneling" und "local bridging" gilt dieser FortiAP als lokaler FortiAP. Wenn man einen FortiAP konfiguriert mit einer "local bridging" SSID und dieser deklariert werden soll als "NICHT" "tunneling" FortiAP kann man die entsprechenden Serien Nummer dieses FortiAP auf "set wtp-mode remote" setzen. Dies geschieht folgendermassen:
Bei dieser Aufstellung der Möglichkeiten ist folgendes zu berücksichtigen: Die Firmware einiger Modelle wie zB FAP-21D sowie FAP-24D sind in der Version Forti Access Point 5.0.x nicht erhältlich. Somit müssen die Forti Access Point basierend auf Forti Access Point 5.2.x eingesetzt werden. Es ist im allgemeinen darauf zu achten immmer den neusten Patch Level für Forti Access Points einzusetzen unter berücksichtigung der Release Notes.


        # config wireless-controller wtp
=== Wie kann ich das lokale Passwort auf einem Forti Access Point zurücksetzen? ===
        # edit [Gebe die entsprechende Serial Nummer des FAP an]
        # set wtp-mode [Gebe an "remote"; Standard Einstellung "normal"]
        # end
       
        '''NOTE''' Versucht man einen FortiAP auf "remote" zu setzen und die SSID ist nicht auf "local-bridging enable" gesetzt
            erscheint folgende Meldung:
           
            Can't be remote mode because wtp-profile '[Name des entsprechendes Profile]' has local-bridging disabled SSID '[Name der entsprechenden SSID]'
           
            Dies gilt jedoch nur insofern die SSID resp. der Radio auf dem Access Point überhaupt benutzt wird. Dies bedeutet:
            Ist eine SSID auf "Tunnel to Wireless Controller" und diese SSID wird auf einem FAP zB FAP-14C benutzt um die lokalen
            Ports auf diese SSID zu bridge, jedoch wird der Radio auf dem FAP-14C nicht aktiviert (Disabled) kann dieser Access
            Point ebenfalls auf "remote" gesetzt werden! Dies scheint nach Aussagen von Fortinet ein "bug" zu sein. Um dies zu
            verifizieren wurde ein Ticket eröffnet (Stand 3. März 2015 Ticket Nummer 1343942).


Nachfolgend eine Kurzübersicht betreffend "tunneling" möglichen FAP's sowie "local bridging":
Wenn ein Forti Access Point in Betrieb genommen wird so ist das Standard Password wie bei allen Fortinet Geräten für den User "admin" nicht gesetzt dh. kein Passwort. Wenn nun dennoch in einer weiteren Konfiguration auf einem Forti Access Point ein Passwort gesetzt wird und später für ein Login dieses nicht mehr zur Verfügung steht kann Grundsätzlich folgendes durchgeführt werden:


         [[Datei:Fortinet-844.jpg]]
         "Forti Access Point ist nicht mit einem FortiGate Wireless Controller verbunden"
       
        Wenn ein Forti Access Point nicht mit einem FortiGate Wireless Controller verbunden ist dh. das entsprechende
        Passwort benötigt wird um Lokal auf den Forti Access Point zu verbinden bleibt einem nichts anderes übrig als
        einen "Factory Reset" auszuführen auf dem Forti Access Point. Zu diesem Zweck verfügen alle Forti Access Points
        über einen "Hardware Reset" Button anhand diesem ein Factory Reset ausgeführt werden kann. Weitere Informationen
        dazu siehe nachfolgender Artikel:
          
          
         '''NOTE''' Die offizielle Information betreffend "tunneling/local bridging" möglichen FAP's auf einer FortiGate
         [[FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_eine_Forti_Access_Point_Hardware_einen_Factory_Reset_durchf.C3.BChren.3F]]
            findet man im Dokument der "max-values". Dieses Dokument findet man unter folgenden Artikel:
           
            [[FortiGate-5.0-5.2:FAQ#Wo_findet_ich_die_Dokumente_wie_Datasheets.2C_Quick_Start_Guide.2C_User_Guide_etc._.3F]]


Fortinet hat ein Dokument herausgegeben in dem der Umstand dieser Aenderung erklärt wird:
        "Forti Access Point ist mit einer FortiGate Wireless Controller verbunden"
       
        Wenn der Forti Access Point über eine FortiGate Wireless Controller verbunden ist kann das Passwort auf einem
        Forti Access Point über den "FortiGate Wireless Controller" der FortiGate zurück gesetzt werden. Dies wird  
        folgendermassen ausgeführt:
       
        '''FortiOS 5.0/5.2'''
       
        # config wireless-controller wtp
        # edit [WTP ID resp. Serien Nummer des entsprechende Forti Access Point]
        # set login-passwd-change default
        # end
        # end
       
        '''FortiOS 5.4'''
       
        # config wireless-controller wtp
        # edit [WTP ID resp. Serien Nummer des entsprechende Forti Access Point]
        # set override-login-passwd-change enable
        # set login-passwd-change default
        # end
        # end
       
        Sofern der Forti Access Point ein WTP Profile benutzt kann das Passwort ebenfalls über dieses WTP Profile
        zurück gesetzt werden:
       
        # config wireless-controller wtp-profile
        # edit [Gebe das entsprechende WTP Profile des Forti Access Point an]
        # set login-passwd-change default
        # end
        # end
       
        Durch dieses Kommando wird das Passwort eines Forti Access Point auf "default" zurück gesetzt dh. es gilt User
        "admin" und kein Passwort.


        [[Datei:Maximum_Number_of_Managed_FortiAPs_in_FortiOS_5_0_3_FAQ_-_August_2013_v1_r5.pdf]]
=== Wie kann ich für eine Forti Access Point Hardware einen Factory Reset durchführen? ===


=== Meine Fortinet Access Points haben nicht die übliche gewohnte MAC Adresse 00:09:0F? ===
Wenn für eine Forti Access Point Hardware ein Factory Reset durchgeführt werden soll so kann das Lokal über die CLI auf einem Forti Access Point durchgeführt werden. Einerseits wenn dies durchgeführt werden möchte, ist es möglich per "telnet" über den Forti Gate Wireless Controller Zugriff auf die CLI eines Forti Access Point zu erhalten. Ebenso kann der Forti Access Point Lokal an einen Client/Host über RJ-45 verbunden werden um danach ebenso über "telnet" Zugriff auf die CLI des Forti Access Point zu erhalten.


Bis anhin hat Fortinet Access Points ausgeliefert basierend auf der MAC Adresse "00:09:0F" (Stand April 2013). Diese MAC Adresse ist direkt verknüpft mit der FortiOS Software auf de Access Points für vers. Funktionen. Nun aus nicht näheren Gründen werden neu Fortinet Access Points mit der MAC Adresse "08:5B:0E" ausgeliefert. Dies kann -muss jedoch nicht- zu Problemen führen im Betrieb da wie schon erwähnt die MAC Adresse mit dem FortiOS verknüpft ist/sind. Um diese Probleme zu verhindern ist zu beachten, dass man mind. FortiOS 5.0.3 oder höher auf den Access Points einsetzt da in diesem Patch Release dem Umstand der neuen MAC Adresse Rechnung getragen wird. Wenn Dem nicht Rechnung getragen wird, kann durch den Umstand der neue MAC Adresse im Zusammenhang mit FortiOS 5.0.2 zu Problemen kommen. Nachfolgendes Dokument wurde von Fortinet betreffend diesem Umstand als "Customer Support Bulletin" herausgegeben:
        [[FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F]]
        [[FortiAP:FAQ#Was_ist_die_Default_IPv4_Adresse_f.C3.BCr_einen_Forti_Access_Point_und_wie_kann_ich_mich_auf_diese_IPv_Adresse_verbinden.3F]]


        [[Datei:CSB-130403-1-FortiAP-MAC-Addresses.pdf]]
Wenn ein Forti Access Point Lokal an einen Client/Host über RJ-45 verbunden ist muss "telnet" Zugriff über das Mgmt. Web Interface des Forti Access Point aktiviert werden. Um auf der CLI danach ein Factory Reset auszuführen gebe folgendes ein:


=== Kann ich einen FortiAP für die "Authorization" auf dem Wireless Controller vorbereiten? ===
        # cfg -x
        # reboot
       
        oder auch
       
        # factoryreset


Ab FortiOS 5.0.5 ist es möglich einen FortiAP zu Pre-Authentifizieren! Dies bedeutet folgendes: Normalerweise meldet sich ein FortiAP über CAPWAP (UDP 5246) beim Wireless Controller. Danach wird manuell der FortiAP mit "Authorization" Authorisiert. Neu ab FortiOS 5.0.5 / 5.2 ist es möglich diesen Schritt zu automatisieren dh. den FortiAP für eine "Authorization" anhand seiner Serien Nummer so vorzubereiten, dass dieser durch diesen Schritt automatisch Authorisiert wird. Dies wird folgendermassen durchgeführt:
Durch den Befehl "cfg -x" wird der Forti Access Point zurückgesetzt und zware ohne Neustart des Forti Access Point im Gegensatz zu "factoryreset"! Aus diesem Grund muss nach "cfg -x" ein manueller Neustart durchgeführt werden. Die Forti Access Points können ebenfalls auch manuell anhand eines "Hardware Reset" Buttons auf Factory Reset zurückgestellt werden. Dazu muss der Reset Knopf 5 Sekunden lang gedrückt gehalten werden! Weitere Angaben zu diesem Vorgang:


      WiFiw Controller > Managed Access Points > Managed FortiAPs > Create New
        '''FAP-210B and FAP-220B'''
     
        Der "reset button" befindet sich auf der Unterseite des Gerätes und ist nicht speziell gekennzeichnet. Für einen Factory Reset muss
      [[Datei:Fortinet-967.jpg]]
        der "reset button" einaml gedrückt werden. Es wird automatisch ein Neustart ausgeführt.
     
      '''NOTE''' Unter FortiOS 5.2 kann die komplette Konfiguration eines FortiAP durchgeführt werden dh. inkl.  
            des entsprechenden WTP Profile!


== Power Adapter ==
        '''FAP-221B, FAP 221C and FAP-223B'''
        Der "reset button" ist nicht speziell gekennzeichnet befindet sich jedoch auf der Oberseite des Devices (neben dem Fortinet Logo).
        Um einen Factory Reset auszuführen halte den "reset button" 7 - 10 Sekunden gedrückt bis der Power LED beginnt "orange" zu blinken.
        Es wird automatisch ein Neustart ausgeführt.


=== Wo finde ich eine Uebersicht ob ein FortiAP mit PowerAdapter geliefert wird oder PoE unterstützt? ===
        '''FAP-320B and FAP320C'''
        Der "reset button" befindet ist beschrifted als "reset button" und befindet sich neben dem LAN1 Ethernet Anschluss. Um einen Factory
        Reset auszuführen halte den "reset button" 7 - 10 Sekunden gedrückt bis der Power LED beginnt "orange" zu blinken. Es wird automatisch
        ein Neustart ausgeführt.
 
        '''FAP-222B'''
        Es exisistiert kein "reset button" für dieses Modell. Wenn ein Power Injector benutzt wird kann der FortiAP über diesen zurgesetzt
        werden dh. drücke den "reset button" für den Power Injector 10 Sekunden gedrückt. Es wird automatisch ein Neustart ausgeführt.
 
        '''FAP-11C'''
        Der "reset button" ist nicht speziell gekennzeichnet befindet sich jedoch auf der Front Seite unter den LED's. Um einen Factory Reset
        auszuführen halten den "reset button" für 7 Sekunden gedrückt bis die LED's blinken. Danach wird automatisch ein Neustart ausgeführt.
 
Die "reset button" sind über das Quickstart Guide des jeweiligen Devices beschrieben:


FortiAP's werden teilweise mit - jedoch teilweise auch ohne - PowerAdapter ausgeliefert. Nachfolgende Uebersicht zeigt welche FortiAP's mit PowerAdapter ausgeliefert werden und welche PoE unterstützen sowie in welcher Art und Weise! Ebenfalls sind die SKU's für seperate PowerAdapter - die für fast alle FortiAP's erhältlich sind - aufgeführt:
      [[Fortinet:ProduktInfo#FortiAP]]


        '''NOTE''' Betreffend Informationen FortiAP-S siehe nachfolgender Artikel:
== Power Adapter ==
           
 
            [[FortiAP-S:FAQ#Was_ist_unter_einem_.22Fortinet_Smart_Access_Point.22_.28FortiAP-S.29_zu_verstehen_und_um_was_handelt_es_sich_dabei.3F]]
=== Wo finde ich eine Uebersicht ob ein Forti Access Point mit PowerAdapter geliefert wird oder PoE unterstützt? ===
 
FortiAPs werden teilweise mit jedoch teilweise auch ohne PowerAdapter ausgeliefert. Nachfolgende Uebersicht zeigt welche FortiAPs mit PowerAdapter ausgeliefert werden und welche PoE unterstützen sowie in welcher Art und Weise! Ebenfalls sind die SKU's für seperate PowerAdapter die für fast alle FortiAPs erhältlich sind aufgeführt:


         [[Datei:Fortient-714.jpg]]
         [[Datei:Fortient-714.jpg]]
Betreffend dieser Informationen im Zusammenhang mit FortiAP-S siehe nachfolgender Artikel:
           
        [[FortiAP-S:FAQ#Was_ist_unter_einem_.22Fortinet_Smart_Access_Point.22_.28FortiAP-S.29_zu_verstehen_und_um_was_handelt_es_sich_dabei.3F]]


Nachfolgend eine weitere Uebersicht:
Nachfolgend eine weitere Uebersicht:
Zeile 372: Zeile 497:
         16505067H    GPI-130                GPI-130 Gigabit PoE Injector - 1-Port Gigabit PoE Power Injector, 802.3at up to 30W
         16505067H    GPI-130                GPI-130 Gigabit PoE Injector - 1-Port Gigabit PoE Power Injector, 802.3at up to 30W
          
          
        '''NOTE''' Für den Adapter "SP-FAP221B-PA" sowie "SP-FAP222B-PA" muss zusätzlich der Artikel "SP-ADAPTORPLUG-01-EU" bestellt werden!
Für den Adapter "SP-FAP221B-PA" sowie "SP-FAP222B-PA" muss zusätzlich der Artikel "SP-ADAPTORPLUG-01-EU" bestellt werden!


== FortiCare ==
== FortiCare ==


=== Muss ich für die "Lifetime Warranty" eines FortiAP's ein FortiCare (Maitenance) beziehen? ===
=== Muss ich für die "Lifetime Warranty" eines Forti Access Point ein FortiCare (Maitenance) beziehen? ===


Nicht in jedem Fall! Die Fortinet hat im März 2014 folgendes Dokument released:
"Lifetime Waranty" muss für einen Forti Access Point nicht in jedem Fall bezogen werden! Die Fortinet hat im März 2014 folgendes Dokument released:


         [[Datei:Fortinet Limited Lifetime Warranty FAQ - March 2014.pdf]]
         [[Datei:Fortinet Limited Lifetime Warranty FAQ - March 2014.pdf]]
Zeile 385: Zeile 510:
Dieses Dokument besagt folgendes:
Dieses Dokument besagt folgendes:


         '''Jeder FortiAP der NACH 1. November 2013 gekauft/registriert wurde (purchased after November'''
         Jeder FortiAP der nach 1. November 2013 gekauft/registriert wurde (purchased after November 1st 2013) benötigt kein FortiCare mehr und hat  
        '''1st 2013) benötigt KEIN FortiCare mehr und hat LifeTime Waranty (Lebenslängliche Garantie).'''
        "LifeTime Waranty". "LifeTime Waranty" bedeutet: 5 Jahre nach EOL (End Of Life Announcement).
        '''LifeTime Waranty bedeutet wiederum 5 Jahre nach EOL (End Of Life Announcement).'''


Alle Geräte "vor" dem 1. November 2013 müssen für die Maitenance mit einem FortiCare versehen werden um bei einem RMA Fall ausgetauscht zu werden.
Alle Geräte vor dem 1. November 2013 müssen für die Maitenance mit einem FortiCare versehen werden um bei einem RMA Fall ausgetauscht zu werden! Was jedoch zu berücksichtigen ist wäre folgendes: Die Informationen hier beziehen sich auf FortiCare im Zusammenhang mit RMA Austausch bei Defekt. Die Informationen beziehen sich nicht auf:


         '''NOTE''' Was zu berücksichtigen ist wäre folgendes: Die Informationen hier beziehen sich auf FortiCare im
         • Firmware Upgrade
            Zusammenhang mit RMA Austausch bei Defekt. Die Informationen beziehen sich NICHT auf:
        • Technischer Support (Ticketing)
           
 
            - Firmware Upgrade
Somit muss für die Aussage im Zusammenhang mit "Lieftime Warranty" folgendes berücksichtigt werden: Um ein Firmware Upgrade auf einem Forti Access Point durchzuführen und/oder Technischen Support Tickets zu eröffnen benötigt man weiterhin FortiCare dh. ohne FortiCare können keine regulären Firmware Upgrades für Forti Access Point durchgeführt werden und können keine technischen Support Tickets eröffnet werden! Somit muss für einen Forti Access Point Maintenance resp. mit FortiCare bezogen werden!
            - Technischer Support (Ticketing)
           
            Um "FIrmware Upgrade's" durchzuführen und/oder Technischen Support Tickets zu eröffnen benötigt
            man weiterhin "FortiCare" dh. ohne FortiCare sind Firmware Upgrades nicht abgedeckt sowie können
            keine technischen Support Tickets eröffnet werden!


== Antenna ==
== Antenna ==


=== Kann man die FortiAP mit externen Antenna's nach-/ausrüsten? ===
=== Kann man Forti Access Points mit externen Antennen Nach-/Ausrüsten? ===


Grunsätzlich ist dies möglich dh. das FortiAP Modell entscheidet über den verfügbaren Anschluss ob dies möglich ist oder nicht! Sprich ob der vorhanden Anschluss zur Verfügung steht oder nicht. Ob dies der Fall ist, kann im jeweiligen Quickstart und/oder Datashhet eruiert werden:
Grunsätzlich ist es möglich Forti Access Points mit externen Antenen Nach-/Auszurüsten dh. das eingesetzte Forti Access Point Modell entscheidet über den verfügbaren Anschluss ob dies möglich ist oder nicht! Dies bedeutet: ob der vorhanden Anschluss für eine externe Antenne zur Verfügung steht oder nicht. Ob dies der Fall ist, kann über das jeweiligen Quickstart und/oder Datasheet verifiziert werden:


         [[Fortinet:ProduktInfo#FortiWiFi]]
         [[Fortinet:ProduktInfo#FortiWiFi]]
         [[Fortinet:ProduktInfo#FortiAP]]
         [[Fortinet:ProduktInfo#FortiAP]]


Ebenfalls führt Fortinet eigene externe Antenna's. Der Wirkungsgrad etc. kann im jeweiligen Datasheet nachgelesen werden:
Fortinet bietet eigene externe Antennen an in der Forti Access Point Produktlinie. Der Wirkungsgrad dieser Antennen etc. kann im jeweiligen Datasheet nachgelesen werden:


         [[Fortinet:ProduktInfo#FortiAntenna]]
         [[Fortinet:ProduktInfo#FortiAntenna]]


=== Was ist zu beachten wenn ein FortiAP mit einer externen Antenne ausgerüstet wird? ===
=== Was ist zu beachten wenn Forti Access Points mit einer externen Antenne ausgerüstet wird? ===


Eine externe Antenne "verteilt" das Signal nur dh. es verstärkt dieses nicht! Die Antennen "verteilen" das Signal in Ihrer speziellen Art und Weise. Verstärker resp. Verstärkungen eines Antennen Signals für zB Richtfunk ist Bewilligungspflichtig:
Eine externe Antenne verteilt das Signal nur dh. es verstärkt dieses nicht! Die Antennen verteilen das Signal in Ihrer speziellen Art und Weise (Wirkungsgrad). Verstärker resp. Verstärkungen eines Antennen Signals für zB Richtfunk ist Bewilligungspflichtig:


         http://www.bakom.admin.ch/themen/frequenzen/00689/01638/index.html?lang=de
         http://www.bakom.admin.ch/themen/frequenzen/00689/01638/index.html?lang=de


=== Welchen Anschluss benützt eine FortiWifi/FortiAP für den externe Antenna Anschluss? ===
=== Welchen Anschluss benützt eine Forti Access Point für den externen Antenna Anschluss? ===


Grundsätzlich gibt das Datasheet und/oder der Quickstart Guide Auskunft welcher Anschluss benützt werden muss/kann:
Grundsätzlich gibt das Datasheet und/oder der Quickstart Guide Auskunft welcher Anschluss benützt werden muss/kann:
Zeile 431: Zeile 550:
         https://de.wikipedia.org/wiki/Koaxiale_Steckverbinder_f%C3%BCr_Hochfrequenzanwendungen#RP-SMA-Steckverbinder
         https://de.wikipedia.org/wiki/Koaxiale_Steckverbinder_f%C3%BCr_Hochfrequenzanwendungen#RP-SMA-Steckverbinder


=== Gibt es von Fortinet eine "omnidirect" externe Antenne? ===
=== Gibt es von Fortinet für Forti Access Point eine externe "omnidirect" Antenne? ===


"Omnidirect" bedeutet 360°; was wiederum bedeutet das Signal wird durch die Antenne 360° verteilt. Das Gegenteil wäre "unidirect" was wiederum einer Richtantenne entspricht (gebündelt). Bei den Fortinet Antenna gibt das jeweilige Datasheet Auskunft über die jeweilige Art und Weise der Signal Verteilung:
Omnidirect bedeutet: 360° was wiederum bedeutet, dass Signal wird durch die Antenne 360° verteilt. Das Gegenteil wäre "unidirect" was wiederum einer Richtantenne entspricht (gebündelt). Bei den Fortinet externen Antennen gibt das jeweilige Datasheet Auskunft über die jeweilige Art und Weise der Signal Verteilung (Wirkungsgrad):


         [[Fortinet:ProduktInfo#FortiAntenna]]
         [[Fortinet:ProduktInfo#FortiAntenna]]
Zeile 439: Zeile 558:
== FortiAP-OS ==
== FortiAP-OS ==


=== Wo wird die "Standard" Konfiguration eines FortiAP OS manipuliert und gestartet? ===
=== Was wird als FortiOS auf einem Forti Access Point benützt und wie wird die "Standard" Konfiguration gestartet? ===


Ein FortiAP OS ist basierend auf einem  "Linux 2.6.35 GNU/Linux" (Stand FortiOS 5.0) Dies bedeutet Prozesse und/oder Deamons werden über die zuständigen RC Level (Start Scripts) abgewickelt. Diese RC Level -die wiederum einfach Scripts darstellen- lesen konfigurations Dateien aus um die nötige Konfiguration durchzuführen. Die RC Leves befinden sich im Verzeichnis:
Beim FortiOS eines Forti Access Point handelt es sich um ein "Linux 2.6.35 GNU/Linux" (Stand FortiOS 5.0). Dies bedeutet: Prozesse und/oder Deamons werden über die zuständigen RC Level (Start Scripts) abgewickelt. Diese RC Level die wiederum einfach Scripts darstellen, lesen konfigurations Dateien aus um die nötige Konfiguration durchzuführen. Die RC Leves befinden sich im folgenden Verzeichnis:


         /etc/rc.d/
         /etc/rc.d/
Zeile 785: Zeile 904:
         --------------- output dflt.cfg ---------------
         --------------- output dflt.cfg ---------------


=== Wo befinden sich die Standard Certificate eines FortiAP OS? ===
=== Wo befindet sich auf dem FortiOS für einen Forti Access Point das Standard Certificate? ===


Die Zertifikate auf einem FortiAP sind wichtig und sollten NIE manipuliert werden! Dies bedeutet: anhand dieser Zertifikate wird die Verbindung über CAPWAP (UDP 5246) bereitgestellt, Firmware Upgrade durchgeführt sowie die DTLS Verschlüsselung etabliert. Weitere Informationen betreffend DTLS Verschlüsselung siehe nachfolgenden Artikel:
Das Standard Zertifikate für ein Forti Access Point ist Wichtig und sollten nie manipuliert werden! Dies bedeutet: anhand dieser Zertifikate wird die Verbindung über CAPWAP (UDP 5246) bereitgestellt, Firmware Upgrade durchgeführt sowie die DTLS Verschlüsselung etabliert. Weitere Informationen betreffend DTLS Verschlüsselung siehe nachfolgenden Artikel:


         [[FortiAP:FAQ#Was_bedeutet_.22WiFi_Data_Channel_Encryption.22_.28DTLS.29_und_wie_konfiguriere_ich_Diese.3F]]
         [[FortiAP:FAQ#Wie_konfiguriere_ich_f.C3.BCr_ein_Forti_Access_Point_WTP_Profile_eine_.22Data_Channel_Encryption.22_.28DTLS.29.3F]]


Die Zertifikate befinden sich im folgenden Verzeichnis:
Die Zertifikate befinden sich im folgenden Verzeichnis:
Zeile 798: Zeile 917:
         /etc/fgt.key
         /etc/fgt.key


=== Wo befindet sich das "root" des WebServers auf einem FortiAP-OS? ===
=== Wo befindet sich auf dem FortiOS für einen Forti Access Point das "root" des WebServers? ===


Bei FortiOS 5.0 / 5.2 wird ein Web Mgmt. Interface auf dem FortiAP zur Verfügung gestellt. Dieses ermöglicht einem Administrator einige der FAP Konfiguration über dieses Web Mgmt. Interface einzugeben. Das Web "root" dieses WebInterface befindet sich auf dem FortAP-OS im folgenden Verzeichnis:
Ueber das FortiOS eines Forti Access Point wird ein Mgmt. Web Interface zur Verfügung gestellt für die minimale lokale Konfiguration. Das "root" des WebServers dieses Mgmt. Web Interface befindet sich auf dem FortiOS eines Forti Access Point im folgenden Verzeichnis:


         /usr/www
         /usr/www


=== Welche Befehle können auf einem FortiAP OS benützt werden? ===
=== Welche Linux Befehle können auf einem FortiOS für einen Forti Access Point benützt werden? ===


Ein FortiAP basiert auf einem  "Linux 2.6.35 GNU/Linux" (Stand FortiOS 5.0)! Bei FortiOS 4.3.x basierenden Systemen war der Zugriff auf Linux Kommandos nicht möglich und nur die "build-in" Kommandos (cfg -a) standen zur Verfügung. Neu unter FortiOS 5.0 / 5.2 kann auf das Linux Zugegriffen werden und Kommandos abgesetzt werden wie zB
Ein Forti Access Point basiert auf einem  "Linux 2.6.35 GNU/Linux" (Stand FortiOS 5.0)! Neu unter FortiOS 5.0 / 5.2 kann auf das Linux Zugegriffen werden und Linux Kommandos abgesetzt werden wie zB:


         ifconfig
         ifconfig
Zeile 914: Zeile 1.033:
         --------------- output /sbin ---------------
         --------------- output /sbin ---------------


== Grundsetup ==
== FortiPlanner ==


=== Wie nehme ich ein Fortinet Access Point in Betrieb und konfiguriere ich diesen? ===
=== Was ist ein FortiPlanner und wo finde ich weitere Informationen zum FortiPlanner? ===


Das nachfolgende Beispiel zeigt wie man einen FortiAccess Point in Betrieb nimmt so wie dieser anhand zweier SSID "only4also" (Internal Use) und "also4guest" (Guest Use) konfiguriert wird. Diese Anleitung basiert auf FortiOS 5.0 kann jedoch für FortiOS 5.2 herangezogen werden. Für das Beispiel gehen wir von folgender Situation aus:
Beim FortiPlanner handelt es sich um ein Tool das Fortinet zur Verfügung stellt um eine Wireless Plannung durchzuführen. Weitere Informationen zum FortiPlanner siehe nachfolgenden Artikel:


                    WAN
         [[FortiPlanner:FAQ]]
                    | 193.193.135.66              ___________
        ____________|____________                |          | SSID only4also 192.168.4.0/24
         |                        | 192.168.3.1    | FAP 220B  |
        |        Fortigate        |----- DMZ ------|          |
        |_________________________|                |___________| SSID also4guest 192.168.5.0/24
                    |
                    | 192.168.1.99
                    LAN


Wenn ein FortiAccess Point an ein Interface/Segment auf der FortiGate angeschlossen wird versucht dieser Access Point per Standard über CAPWAP (UDP-5246) über dieses Interface/Segment einen Wireless Controller zu erreichen. Wenn dieser Wireless Controller erreicht werden kann wird über diesen Wireless Controller per DHCP Server dem FortiAccess Point eine IP Adresse zugewiesen. Diese IP Adresse wird "nur" genutzt um den CAPWAP Tunnel zu etablieren und den FortiAccess Point zu verwalten. Es wird empfohlen - unter normalen Umständen - ein seperates Interface auf der FortiGate zu nutzen um über dieses dezidiert die ForitAccess Point's zu verwalten. In unserem Beispiel wäre dies das DMZ Interface mit dem IP Range 192.168.3.0/24:
== 802.11 ==


        <big>'''Konfigurieren des DMZ Interfaces mit entsprechenden DHCP Server'''</big>
=== Wo finde ich detailliert Informationen über den Wireless "IEEE 802.11" Standard? ===
       
        System > Interfaces > [Wähle das Interface für DMZ] > [Rechte Maustaste > Edit]
       
        [[Datei:Fortinet-1232.jpg]]
       
        '''NOTE''' Damit der Wireless Controller CAPWAP Anfragen entgegen nimm aus diesem Segment resp. über dieses Interface
            muss die Position CAPWAP unter "Administrative Access" aktiviert werden. Desweiteren, damit die FortiAccess
            Point bei einer erfolgreichen CAPWAP Anfrage eine entsprechende IP über dieses Interface/Segment zugewiesen
            bekommen, muss ein DHCP Server aktiviert/konfiguriert werden. Für diesen DHCP Server stehen über Kommandozeile
            weitere Optionen im Zusammenhang mit dem FortiAccess Point zur Verfügung wie Wireless Controller IP, NTP etc.
            Um diese zu nutzen führe auf der Kommandozeile folgendes aus:
           
            # config system dhcp server
            # edit [Integer für den entsprechenden DHCP Server]
            # set wifi-act1 [IP des WiFi Controllers; in unserem Beispiel 192.168.3.1]
            # set ntp-server1 [IP des entsprechenden Time Server]
            # end


         <big>'''Verbinden des FortiAccess Point's über CAPWAP Tunnel und Authorize des FortiAccess Point's'''</big>
Folgender Link gibt Auskunft über den "IEEE 802.11" Standard und enthält weitere nützliche Links:
 
        http://en.wikipedia.org/wiki/802.11
 
=== Wo finde ich detailliert Informationen über den Wireless "802.11ac" Standard? ===
 
Fortinet hat ein Dokument veröffentlich in dem der neue "802.11ac" ([[http://en.wikipedia.org/wiki/IEEE_802.11ac |IEEE 802.11ac]] Standard beschrieben wird:
 
        [[Datei:802.11ac_Wireless_LAN_FAQ_-_July_2013.pdf]]
        [[Datei:802.11ac_Wireless_LAN_FAQ_-_Januar_2014.pdf]]
        [[Datei:802.11ac_Wireless_LAN_FAQ_-_Februar_2014.pdf]]
 
Dabei ist eine Position in den Dokument zu berücksichtigen:
 
         '''Do I need to buy new APs to support 802.11ac?'''
        Yes. 802.11ac will require a new physical radio design, which means that new hardware will be required.
        It will not be physically possible to upgrade existing 802.11n radios to support the new 802.11ac standard.
 
Somit können bestehende Modelle wie zB FAP-221B nicht auf den neuen Standard 802.11ac anhand eines Software Updates gebracht werden da es für den 802.11ac Standard neue Hardware benötigt die diesen Standard 802.11ac unterstützt wie zB FAP-221C. Desweiteren ist zu berücksichtigen, dass für diesen Standard resp. neue Hardware und für FortiOS 5.0 ein spezielles FortiOS installiert werden muss, damit die neuen FAP-221C die auf diesen neuen Standard 802.11ac basieren erkannt werden. Dieser neue "Special Support Build" wird basierend auf FortiOS 5.0 unter folgenden Link zur Verfügung gestellt:
           
            https://support.fortinet.com/Download/FirmwareImages.aspx
           
            / FortiGate/ v5.00/ Feature_Support/ fg_5-0_wifi_11ac/ v5.0/
 
Dieser Link kann nur dann aufgerufen werden, wenn vorgängig in den entsprechenden Support Account eingeloggt wird! Mit diesem "Special Support Build" wird ausschliesslich die neuen Forti Access Point (zB FAP-320C und FAP-221C) basierend auf 802.11ac unter FortiOS 5.0 unterstützt. Die Forti Access Points müssen mit FortiOS 5.2 betrieben werden. Um den "Special Support Build" zu installieren muss folgendermassen vorgegangen werden:
 
        1. Installierte Basis offizielles FortiOS 5.0.x
          
          
         Nun muss der FortiAccess Point über das Interface/Segment das wir soeben konfiguriert haben dh. in unserem Beispiel das
         2. Upgrade auf die letzte zur Verfügung stehende offizielle Version zB FortiOS 5.0.12 gemäss Upgrade Path:
        DMZ Interface verbunden werden. Nach einiger Zeit erscheint dieser FortiAccess Point unter folgender Position und kann
         
        Authorisiert werden:
          [[Datei:FortiOS-Upgradepath.pdf]]
          
          
         WiFi Controller > Managed Access Points > [Wähle den entsprechenden Eintrag] > [Rechte Maustaste Edit]
         3. Einspielen des "Feature Support Build" basierend auf FortiOS 5.0.12
       
 
        [[Datei:Fortinet-1233.jpg]] 
Für FortiOS 5.2 und höher muss zur Unterstützung der neuen 802.11ac Standard kein "Feature Support Build" installiert werden!
       
 
        [[Datei:Fortinet-1234.jpg]]
=== Wo finde ich detailliert Informationen über Wireless "802.11AC MU-MiMo" Funktion? ===
       
 
        [[Datei:Fortinet-1235.jpg]]
Unter "802.11AC MU-MiMo" versteht man eine Technik zur Verbesserung des Datendurchsatzes. 802.11AC MU-MiMo nennt sich "Multi-User-Multiple-In-Multiple-Out". MiMo bedeutet somit konkret:
          
 
        Sobald der FortiAccess Point über "Authorize" Authorisiert wurde führt der Access Point ein Neustart aus. Nach ein bis
         MI steht für zwei oder mehrere Sendeantennen und MO für zwei oder mehrere Empfangsantennen
        zwei Minuten erscheint dieser abermals jedoch nun mit dem korrekten Status:
 
       
Dahinter verbirgt sich im Prinzip ein cleveres Radio/Antennen Management! Wenn ein Access Point über mehrer "radios" mit Antennen vefügt, kann der Access Point seine "radio" Antennen gezielt aufteilen wenn er mehrere Gegenstellen zu bedienen hat um damit jeder Gegenstelle eine besonders stabile und starke Verbindung zu garantieren:
        [[Datei:Fortinet-1236.jpg]]


        <big>'''FortiAccess Point Firmware Upgrade durchführen'''</big>
         [[Datei:Fortinet-326.jpg]]               oder              [[Datei:Fortinet-331.jpg]]
       
 
        Nach der Authorisierung sollte betreffend Firmware des FortiAccess Point sofern nötig ein Upgrade durchgeführt werden.
Um die vers. Streams zu steuern wird der sogenannte MCS Index benutzt. Dieser steuert für diese Streams die Modulation sowie die Codierung. Je nach eingesetzten MCS Index ergiebt sich daraus wiederum die max. mögliche Durchsatzrate. Nachfolgende Tabelle gibt Auskunft über die möglichken Modulationen sowie Codierungen (ergiebt MCS Index) und deren max. möglichen Durchsatzraten:
        Dabei ist folgender Artikel zu berücksichtigen:
 
       
         [[Datei:Fortinet-718.jpg]]
        [[FortiAP:FAQ#Welche_Firmware_sollte_auf_einer_FortiGate_und.2Foder_FortiAP_eingesetzt_werden.3F]]
 
       
Wenn diese Technology für "802.11AC MU-MiMo", die auch für den Forti Access Point FAP-320B/C benutzt wird eingesetzt werden soll, so muss ebenfalls die Client/Host Seite über diese Technolgie verfügen. Dies bedeutet: der Client/Host selber müssen diese Technologie durch den implementierten Chip sowie Treiber unterstützten. Wenn ein Client/Host zB IPad "HT20" unterstützt so ist das 1x1:1 resp. ein Stream max 65 Mbps. Diesem Umstand ist Rechnung zu tragen wenn diese Technology eingesetzt werden möchte um die entsprechende Performance zu erlangen!
        Ein Firmware Upgrade wird folgendermassen durchgeführt:
 
       
== Wireless Controller ==
        WiFi Controller > Managed Access Points > [Wähle den entsprechenden Eintrag] > [Rechte Maustaste Edit]
 
       
=== Wie kann ich für einen FortiGate Wireless Controller den "Country Code" Konfigurieren? ===
         [[Datei:Fortinet-1237.jpg]]
 
       
Ein Forti Access Point wird über die Fortigate Wireless Controller konfiguriert. Es ist zwingend Notwendig die korrekte "location" (Country Code) zu setzen bevor ein Forti Access Point konfiguriert wird. UM den entsprechenden Country Code auf dem FortiGate Wireless Controller zu konfigurieren führe folgendes durch:
        [[Datei:Fortinet-1238.jpg]]
 
       
         # config wireless-controller setting
         [[Datei:Fortinet-1239.jpg]]
         # set country CH
       
        Nach dem Upgrade des FortiAccess Point wird wiederum ein Neustart ausgeführt. Es wird empfohlen auf dem FortiAccess Point
        nach dem Upgrade (nur bei initial Installation) ein Factory Reset durchzuführen. Dieses kann über die Kommandozeile CLI
        der FortiGate durchgeführt werden:
       
         # config wireless-controller wtp
        # edit [Serien Nummer des FortiAccess Point zB FAP22B3U11011877]
         # set login-enable enable
         # end
         # end
        # exec telnet [IP des FortiAccess Point; Ersichtlich über "Manage FortiAP's"]
        FAP22B3U11011877 login: admin
       
        BusyBox v1.01 (2012.07.16-18:39+0000) Built-in shell (ash)
        Enter 'help' for a list of built-in commands.
       
        '''NOTE''' Um auf CLI herauszufinden "welche" IP benutzt werden muss über "telnet" um sich auf den entsprechenden Forti Access Point zu verbinden
            siehe nachfolgenden Artikel:
           
            [[FortiAP:FAQ#Wie_finde_ich_heraus_mit_welcher_IP_der_Forti_Access_Point_mit_dem_Wireless_Controller_verbunden_ist.3F]]
       
        # cfg -x
        # reboot


        <big>'''Konfiguriere den korrekten Country Code'''</big>
Wenn man die Konfiguration abschliesst, kann es zu einer Fehlermeldung führen. Der Grund dafür sind existierende WTP Profiles die auf den alten Country Code basierend. Der Konfigurationspunkt in den WTP Profiles die auf dem Country Code basieren, sind die zur Verfügung gestellten "channels" und diese können von Land zu Land unterschiedlich sein. Aus diesem Grund unter FortiOS 5.0 dürfen kein WTP Profiles existieren wenn der Country Code neu gesetzt wird. Aus diesem Grund müssen die bestehenden WTP Profiles unter FortiOS 5.0 gelöscht werden. Dies wird folgendermassen durchgeführt:
       
 
        Eine FortiGate wird per Standard im Zusammenhang mit dem Wireless Controller auf Country Code US ausgeliefert. Weitere
        Informationen betreffend Details zum Country Code siehe nachfolgenden Artikel:
       
        [[FortiAP:FAQ#Was_ist_als_Erstes_beim_.22Setup.22_eines_FortiAP_zu_beachten_.28Country_Code.29.3F]]
       
        Um den Country Code von US auf CH zu konfigurieren müssen sämtliche Profiles (wtp-profile) gelöscht werden. Dies wird
        folgendermassen durchgeführt:
       
         # config wireless-controller wtp-profile
         # config wireless-controller wtp-profile
         # purge
         # purge
         This operation will clear all table!
         This operation will clear all table!
         Do you want to continue (y/n)y
         Do you want to continue (y/n)'''y'''
       
 
        # config wireless-controller settings
Dies gilt nicht für FortiOS 5.2 dh. unter FortiOS 5.2 kann der Country Code jederzeit geändert werden jedoch wird sämtliche "channel" Konfiguration zurückgesetzt und muss bei einer bestehenden Konfiguration nachträglich kontrolliert werden. Wird der Country Code unter FortiOS 5.2 auf der CLI geändert erscheint folgende Meldung:
        # set country CH
 
        # end
        This operation will also clear channel settings of all the existing wtp profiles
       
        Do you want to continue (y/n)'''y'''
        '''NOTE''' Unter FortiOS 5.2 kann der Country Code gelöscht werden ohne die Profiles vorhergehend zu löschen jedoch werden durch
            den Vorgang sämtlich "channels" in den Profiles gelöscht!


         <big>'''Konfiguriere der User Gruppen für SSID "only4also" sowie "also4guest"'''</big>
=== Wie kann ich auf einem FortiGate Wireless Controller ein Troubleshooting durchführen (diagnose)? ===
 
Auf einem FortiGate Wireless Controller stehen folgende troubleshooting Kommandos zur Verfügung um verschiedenen Informationen zu verifizieren:
 
         # diagnose wireless wlac -h
        wlac usage:
            wlac help                                        --show this usage
            wlac ping [-c cnt] [-s len] <ip>                 --send cnt len-bytes ping request
            wlac tpt                                        --show non-wireless terminaton point info
            wlac tablesize                                  --print tablesize for wireless-controller part only
            wlac kickmac mac                                --disassociate a sta
            wlac kickwtp ip cport                            --tear down a wtp session
            wlac plain-ctl [[wtp-id] [0|1] | clear]          --show, set or clear current plain control setting
            wlac sniff-cfg [[ip port] | clear]              --show, set or clear sniff server ip and port
            wlac sniff [intf [wtp-id] [0|1|2] | clear]      --show, set or clear sniff setting on intf for wtp-id
            wlac list-vap                                    --show configured VAPs and VAP groups.
            wlac scanclr                                    --clear the scanned rogue ap list
            wlac scanstaclr                                  --clear the scanned rogue sta list
            wlac sta_filter [sta-mac level | clear]          --show, set or clear sta filter
            wlac wtp_filter [id vfid-ip:port level | clear]  --show, set or clear wtp filter
            wlac clear debug                                --clear all debug settings
            wlac show debug                                  --show all debug settings
            wlac show kernel                                --show all -k command settings
            wlac show data                                  --show all -d settings
            wlac show control                                --show all -c settings
            wlac show all                                    --show all -k,-c,-d and debug settings
            wlac -k cws [wlan]                              --list cws info(kern)
            wlac -k wtp [vfid-ip:port lip:port]              --list wtp info(kern)
            wlac -k vap [wlan | bssid]                      --list vap info(kern)
            wlac -k sta [wlan | bssid mac]                  --list sta info(kern)
            wlac -k wlan-sta wlan sta-ip                    --list wlan's sta info(kern)
            wlac -d usage                                    --list objects usage(data)
            wlac wpad_vap [ip|bssid]                        --list vap info in wpad_ac
            wlac wpad_sta [mac]                              --list sta info in wpad_ac
            wlac sta-idle-auth [time]                        --get/set non-auth sta idle time
            wlac -d all                                      --list wlan/wtp/vap/sta info(data)
            wlac -d wlan                                    --list wlan info(data)
            wlac -d wtp                                      --list wtp info(data)
            wlac -d vap                                      --list vap info(data)
            wlac -d sta                                      --list sta info(data)
            wlac -d sta-idx [wlan mac next]                  --list indexed sta info(data)
            wlac -d wlsta wlan                              --list wlan's sta info(data)
            wlac -d wtpsta wtp-index                        --list wtp's sta info(data)
            wlac -d radiosta wtp-id rId                      --list radio's sta info(data)
            wlac -c status                                  --display ac status summary
            wlac -c sta [mac]                                --list sta(ctl)
            wlac -c wtpprof [wtpprof]                        --list configured wtp profiles(ctl)
            wlac -c wtp [wtp]                                --list configured wtps(ctl)
            wlac -c wtp-idx [wtp next]                      --list indexed wtp (ctl)
            wlac -c radio-idx [wtp rId next]                --list indexed radio (ctl)
            wlac -c vap-idx [wtp rId wlan next]              --list indexed vap (ctl)
            wlac -c wlan [wlan|ssid]                        --list configured wlans(ctl)
            wlac -c swintf                                  --list configured switch interface(ctl)
            wlac -c apsintf                                  --list configured aps interface(ctl)
            wlac -c ap-status                                --list configured ap status(ctl)
            wlac -c widsprof                                --list configured wids profiles(ctl)
            wlac -c byod_dev [dev | mac]                    --list configured devices(ctl)
            wlac -c byod_devgrp [devgrp                      --list configured device groups(ctl)
            wlac -c byod_devacl [devacl]                    --list configured device access lists(ctl)
            wlac -c byod_devtype [devtype]                  --list configured device types(ctl)
            wlac -c byod [wlan]                              --show device access in control plane
            wlac -c byod_detected [wlan]                    --list detected devices(ctl)
            wlac -c ws [ip]                                  --list current wtp sessions(ctl)
            wlac -c ws-fail                                  --show current wtp sessions with SSID config failures
            wlac -c ws-mesh vfid-ip:port                    --list this wtp session's mesh parent and child info(ctl)
            wlac -c vap                                      --list vap info(ctl)
            wlac -c ap-rogue                                --list rogue ap info(ctl)
            wlac -c sta-rogue                                --list rogue sta info(ctl)
            wlac -c rap-hostlist bssid                      --list hosts related to the ap(ctl)
            wlac -c arp-req                                  --list arp info on the controller(ctl)
            wlac -c mac-table                                --list mac table(ctl)
            wlac -c br-table                                --list bridge table(ctl)
            wlac -c nol                                      --list the AP's non occupancy channel list for radar
            wlac -c scan-clr-all                            --clear the scanned rogue ap and sta data(ctl)
            wlac -c ap-onwire-clr bssid                      --clear the rogue ap's on wire flag(ctl)
            wlac -c darrp                                    --list darrp radio table(ctl)
            wlac -c darrp-schedule                          --list darrp schedule table
            wlac -c sta-cap [mac]                            --list sta capability(ctl)
            wlac -c sta-locate                              --list located wireless stations(ctl)
            wlac -c sta-locate-reset [1|2]                  --reset sta-locate data(ctl); 1: reset stats, 2 (default): flush entries
            wlac -c rf-analysis [wtp-id|ac]                  --list rf analysis results(ctl)
            wlac -c rf-sa wtp-id rId [chan]                  --list rf spectrum info
            wlac -c radio-ifr wtp-id rId                    --list radio's interfering APs
            wlac -c wids                                    --show detected sta threat in control plane
 
=== Was kann getan werden, wenn ein Forti Access Point nicht ersichtlich ist über den FortiGate Wireless Controller? ===
 
Wenn ein Forti Access Point in einem bestimmten IPv4 Adress Subnet/Segment in dem der Forti Access Point über den FortiGate Wireless Controller verwaltet wird (CAPWAP) nicht ersichtlich ist, muss folgendes berücksichtigt werden:
 
        • Der Switch und/oder ein Router darf folgende Protokolle und Port nicht verwerfen/blocken:
         
          Broadcast, Multicast sowie Unicast
          CAPWAP Port UDP-5246
 
Auf einigen Switch Modellen ist zB Unicast per Standard ausgeschaltet. Diese Funktion ist auf den meisten Switchen zu finden unter der Position "Storm-Agent". Kontrolliere deshalb den Switch und gewährleiste das diese Protokolle nicht über den Switch verworfen/geblockt wird. Um dies zu Troubleshooten ist es wichtig zu wissen wie CAPWAP funktioniert:
 
        http://www.ietf.org/rfc/rfc5415.txt
 
Wenn ein Troubleshooting durchgeführt werden soll um festzustellen ob mit einer Verbindung über Port UDP-5246 ein Problem besteht (CAPWAP) kann folgendes durchgeführt werden:
 
        '''Setze den Debug Filter zurück:'''
          
          
         User & Device > User > User Definition > Create New
         # diagnose debug reset
 
        '''Setze einen neuen Debug Filter:'''
          
          
         '''User/Gruppe only4also'''
        # diagnose debug application cw_acd 5
 
         '''Aktiviere Debug:'''
          
          
         [[Datei:Fortinet-1240.jpg]]
         # diagnose debug enable   
 
"5" stellt die "verbosity" dar. Diese "verbosity" zeigt alle Fehler an sowie den gesamten CAPWAP Prozess (Discovery, Keep Uplive etc.). Sobald das "debug" nicht mehr benötigt deaktiviere den "debug" Mode sowie setze den Filter zurück!
 
        '''Deaktiviere den Debug Modus:'''
          
          
         [[Datei:Fortinet-1241.jpg]]
         # diagnose debug disable
 
        '''Setze den Debug Filter zurück:'''
          
          
         [[Datei:Fortinet-1242.jpg]]
         # diagnose debug reset
          
 
         [[Datei:Fortinet-1243.jpg]]
Um festzustellen ob im Bereich "Unicast" ein Problem besteht, kann folgender Befehl auf der FortiGate für das Interface auf dem der Forti Access Points verbunden ist ausgeführt werden:
          
 
         [[Datei:Fortinet-1244.jpg]]
        # diagnose sniffer packet [Definiere das entsprechende Interface zB "dmz" oder alle Interfaces "any"] "port 5246" 6 0 a
          
 
         User & Device > User > User Groups > Create New
Im Sniffer Output muss die Antwort des Forti Access Point über Unicast (Discovery Request) zum FortiGate Wireless Controller (Interface) ersichtlich sein. Ist dies nicht der Fall wird Unicast irgendwo auf dem Weg zum FortiGate Wireless Controller geblockt. Die Konsequenz daraus ist das Broadcast und Multicast Anfragen sterben resp. verloren gehen und somit der Forti Access Point auf de FortiGate Wireless Controller nicht ersichtlich ist. Ein anderer Ansatz ist Broadcast, Multicast und Unicast zu verhindert. Der Grund, dass ein Forti Access Point diesen Vorgang/Protokolle benutzt um den FortiGate Wireless Controller zu finden, ist das der Forti Access Point nicht die nötige Information resp. IPv4 Adresse des FortiGate Wireless Controller besitzt um diese IPv4 Adresse Anzufragen. Die einfachste Art dies zu erreichen, ist dem Forti Access Point über den DHCP Server die nötige Information der IPv4 Adresse des FortiGate Wireless Controller zu zuweisen. Wenn für die Forti Access Point ein DHCP Server der FortiGate benutzt wird kann dies über Kommandozeile folgendermassen konfiguriert werden:
 
      # config system dhcp server
      # edit [Gebe den Integer an des entsprechenden DHCP Servers]
      # set dns-service [local | default | specify]
      # set dns-server1 [IPv4-Adresse für DNS Server 1]
      # set dns-server2 [IPv4-Adresse für DNS Server 2]
      # set dns-server3 [IPv4-Adresse für DNS Server 3]
      # set wifi-ac1 [IPv4-Adresse für Wireless Controller 1]
      # set wifi-ac2 [IPv4-Adresse für Wireless Controller 2]
      # set wifi-ac3 [IPv4-Adresse für Wireless Controller 3]
      # set ntp-service [local | default | specify]
      # set ntp-server1 [IPv4-Adresse für NTP Time Server 1]
      # set ntp-server2 [IPv4-Adresse für NTP Time Server 1]
      # set ntp-server3 [IPv4-Adresse für NTP Time Server 1]
      # end
 
Wenn ein seperater DHCP Server benutzt wird, kann anhand der Option 138 der seperate DHCP Server so konfiguriert werden, dass dieser über diese Option dem Forti Access Point die IPv4 Adresse des FortiGate Wireless Controller zuweist. Diese Option 138 die für die IPv4 Adresse des FortiGate Wireless Controllers steht, ist auf dem Forti Access Point per Standard anhand der Konfiguration "AC_DISCOVERY_DHCP_OPTION_CODE_DFLT=138" gesetzt und kann bei Bedarf verändert werden:
 
        # cfg -a AC_DISCOVERY_DHCP_OPTION_CODE:=138
        # cfg -c
 
=== Wie kann ich für eine FortiGate den FortiGate Wireless Controller komplett deaktivieren? ===
 
Wenn man zB. aus Security Gründen den FortiGate Wireless Controller der auf einer FortiGate per Standard aktiviert ist komplett deaktivieren möchte, kann dies über CLI durchgeführt werden:
 
        # config system global
        # set wireless-controller [enable | disable]
         # end
 
Dieses Kommando deaktiviert den FortiGate Controller komplett und somit können keine Forti Access Point mehr angebunden, verwaltet oder konfiguriert werden. Möchte man den "wireless-controller" nicht deaktivieren aber verhindern, dass sich Forti Access Points auf dem lokalen FortiGate Wireless Controller registrieren kann dies mit verschiedenen Konfigurationen erreicht werden. Weitere Auskunft über diese verschiedenen Konfigurationen siehe nachfolgender Artikel:
 
         [[FortiAP:FAQ#Wie_kann_ich_die_automatische_Registration_eines_Forti_Access_Point_auf_einem_FortiGate_Wireless_Controller_verhindern.3F]]
 
=== Wie kann ich auf einer FortiGate den FortiGate Wireless Controller/Service neu starten? ===
 
Wenn man den FortiGate Wireless Controller aus irgendwelchen Gründen neu starten möchte, kann dies mit verschiedenen Kommandos durchgeführt werden. Dabei ist jedoch zu beachten das ein komplett Unterbrucht für das Forti Access Point Wireless Netzwerk durchgeführt wird resp. für die Wireless Clients/Hosts. Nachfolgendes Kommando zeigt wie anhand des "execute" Kommandos der FortiGate Wireless Controller neu gestartet wird:
 
         # execute wireless-controller restart-acd
 
Zu diesem Kommando steht ebenfalls die Option "reset-wtp" zur Verfügung. Durch diese Option werden alle oder spezifizierte Forti Access Points anhand der Serien Nummer angewiesen deren WTP Profiles neu zu laden. Dadurch wird ein Neustart des entsprechenden Forti Access Point durchgeführt oder durch "all" für alle Forti Access Points:
 
         # execute wireless-controller reset-wtp [Definiere die entsprechende Serien Nummer eine Forti Access Points oder "all"]
 
Wenn dieser Vorgang nicht den gewünschten Effekt erziehlt kann auch folgendes durchgeführt werden jedoch sollte dieser Vorgang als letzte Option benutzt werden. Um die PID (Prozess ID Deamon) herauszufinden für den FortiGate Wireless Controller resp. Service "cw_acd" benützen folgenden Befehl auf der Console:
 
        # fnsysctl more /var/run/cw_acd.pid
        110
 
Sobald die PID eruiert ist, kann diese anhand des Kill Level 9 neu gestartet werden:
 
        # diagnose sys kill [Kill Level/Sequenz 1 - 32] [PID des Prozesses cw_acd]
 
Durch diesen Vorgang ensteht ebenfalls ein Unterbruch auf dem FortiGate Wireless Controller, denn der Kill Level 9 zwingt den Service die Konfiguration für den FortiGate Wireless Controller neu einzulesen und für den Service ein "restart" durchzuführen. Dies kann nachträglich kontrolliert werden, denn wenn abermals die PID Nummer des Service "cw_acd" ausgelesen wird und durch den "restart" wird dem Service einen neue PID Nummer zugewiesen:
 
        # fnsysctl more /var/run/cw_acd.pid
         11985
 
=== Wie finde ich über den FortiGate Wireless Controller heraus welche Clients mit welcher SSID und MAC Adresse verbunden sind? ===
 
Um herauszufinden welche Wireless Clients/Hosts mit welcher SSID über den FortiGate Wireless Controller verbunden sind benutze folgenden Befehl über die CLI der FortiGate:
 
        # diagnose wireless-controller wlac -d sta vf=0 wtp=15 rId=1 wlan=fortinet4intern vlan_id=0 ip=198.18.2.2 mac=94:65:9c:74:47:c6 vci=MSFT 5.0 host=DESKTOP-HSEH6HM
         user= group= signal=0 noise=0 idle=0 bw=1 use=4 chan=3 radio_type=11N security=wpa2_only_personal encrypt=aes cp_authed=no online=yes mimo=2
          
          
         [[Datei:Fortinet-1245.jpg]]
         *  vf=0 wtp=15 rId=1 wlan=fortinet4intern vlan_id=0 ip=0.0.0.0 mac=1a:5b:0e:5d:f7:0d vci= host= user= group= signal=0 noise=0 idle=0 bw=0 use=4 chan=3 radio_type=11N
        security=wpa_wpa2_personal encrypt=aes cp_authed=no online=yes
          
          
         [[Datei:Fortinet-1246.jpg]]
         *  vf=0 wtp=15 rId=2 wlan=fortinet4intern vlan_id=0 ip=0.0.0.0 mac=1a:5b:0e:5d:f7:15 vci= host= user= group= signal=0 noise=0 idle=0 bw=0 use=4 chan=60 radio_type=11AC
        security=wpa_wpa2_personal encrypt=aes cp_authed=no online=yes
          
          
         '''User/Gruppe also4guest'''
         *? vf=0 wtp=15 rId=1 wlan=fortinet4guest vlan_id=0 ip=0.0.0.0 mac=08:5b:0e:5d:f7:0d vci= host= user= group= signal=0 noise=0 idle=0 bw=0 use=4 chan=3 radio_type=11N
        security=captive encrypt=none cp_authed=no online=yes
 
In unserem Beispiel sehen wir, dass ein Client mit der IP 198.18.2.2 verbunden ist mit der MAC Adresse 94:65:9c:74:47:c6. Gleichzeitig sehen wir die zwei SSID's (mit * gekennzeichnet) "fortinet4intern" sowie "fortinet4guest" mit deren MAC Adresse "1a:5b:0e:5d:f7:15" und "08:5b:0e:5d:f7:0d". Ebenso sieht man die Authentication des Client 198.18.2.2 dh. "wpa2_only_personal" (aes) und den Host Namen "DESKTOP-HSEH6HM".
 
=== Wie finde ich über den FortiGate Wireless Controller heraus mit welcher IPv4 Adresse ein Forti Access Point verbunden ist? ===
 
Um herauszufinden mit welcher IPv4 Adresse ein Forti Access Point mit dem FortiGate Wireless Controller verbunden ist kann das Mgmt. Web Interface benutzt werden:
 
        WiFi Controller > [WiFi Network] > [Managed Access Points] > Managed FortiAPs > Connected Via
 
Steht der Mgmt. Web Interface Zugriff nicht zu Verfügung kann die IPv4 Adresse mit der ein Forti Access Point auf dem FortiGate Wireless Controller verbunden ist auch über die CLI der FortiGate verifiziert werden:
 
        '''Liste alle IP's auf die momentan durch die Forti Access Point benutzt werden:'''
          
          
         [[Datei:Fortinet-1245.jpg]]
         # diagnose wireless wlac -d wtp
        vf=0 wtp=1 base=08:5b:0e:5d:f7:0d 198.18.3.3:45521<->198.18.3.1:5247 use=7
        vf=0 wtp=2 base=08:5b:0e:0c:f4:1a 193.193.135.70:49026<->193.193.135.66:5247 use=4
        vf=0 wtp=4 base=08:5b:0e:a3:97:a8 198.18.3.2:53715<->198.18.3.1:5247 use=6
        vf=0 wtp=5 base=08:5b:0e:97:23:0e 193.193.135.71:46015<->193.193.135.66:5247 use=4
 
        '''Liste alle Forti Access Point auf um die Serien Nummern zu verifizieren:'''
          
          
         [[Datei:Fortinet-1247.jpg]]
         # config wireless-controller wtp
          
         # get
         '''NOTE''' Ueber diese "Guest" definierte Gruppe kann anhand eines regulären Administrators der FortiGate sowie über "Guest Management"
         == [ FAP14C3X13000543 ]
            die entsprechenden Ticket's/User zur Gruppe hinzugefügt werden:
        wtp-id: FAP14C3X13000543   
           
        == [ FP221C3X14001296 ]
            [[Datei:Fortinet-1248.jpg]]  
        wtp-id: FP221C3X14001296   
           
        == [ FAP21D3U14000144 ]
            Möchte man nicht einen regulären Administrator der FortiGate benutzen sondern einen restriktiven Administrator -reduziert auf das
        wtp-id: FAP21D3U14000144   
            erfassen/hinzufügen zu dieser "Guest" Gruppe- kann dies konfiguriert werden indem ein Administrator konfiguriert wird der reduziert
        == [ FAP24D3X14000101 ]
            wird betreffend Rechte auf "Restrict to Provision Guest Accounts":
        wtp-id: FAP24D3X14000101
           
        # end
            [[Datei:Fortinet-1249.jpg]]  
           
            Dieser Adminstrator kann nachgräglich über das reguläre Admin Login der FortiGate ein Login durchführen und die entsprechenden User/
            Ticket's erfassen. Weitere detailliert Informationen siehe nachfolgender Artikel:
           
            [[FortiAP:FAQ#Guest_Access]]


         <big>'''Konfiguriere der SSID "only4also" sowie "also4guest"'''</big>
         '''Liste einen bestimmten Forti Access Point anhand dessen Serien Nummer sowie mit dessen Informationen Informationen/IP:'''
          
          
         In den nachfolgenden Schritten werden die SSID's konfiguriert. Dabei benützen wir für die "only4also" SSID WPA/WPA2-Enterprise und für
         # diagnose wireless wlac -c wtp [Entsprechende Serien Nummer des Forti Access Point zB "FAP21D3U14000144"; Keine Serien Nummer Angabe listet alle Forti Access Points auf]
         "also4guest" ein Captive Portal das ein Gruppe enhält die für "Guest Management" konfiguriert wurde. Innerhalb der SSID wird ein IP Range
        -------------------------------WTP    1----------------------------
        definiert. Basierend auf Diesem konfigurieren wir einen DHCP Server. Dieser DHCP Server wird benutzt um den Client's für die entsprechende
         WTP vd              : root
        SSID ein IP zu zuweisen:
            vfid            : 0
       
            id              : FAP21D3U14000144
        WiFi Controller > WiFi Network > Create New
            mgmt_vlanid      : 0
       
            region code      : E
        [[Datei:Fortinet-1250.jpg]]
            regcode status  : valid
       
            refcnt          : 3 own(1) wtpprof(1) ws(1)
        [[Datei:Fortinet-1251.jpg]]
            plain_ctl        : disabled
          
            deleted          : no
         [[Datei:Fortinet-1252.jpg]]
            admin            : enable
       
            cfg-wtp-profile  : FAP-04
        '''NOTE''' Die nachfolgenden Artikel geben Auskunft über die verschiedenen Konfigurationspunkte:
            override-profile : disabled
           
            oper-wtp-profile : FAP-04
            [[FortiAP:FAQ#F.C3.BCr_eine_SSID_betreffend_.22Security_Mode.22_k.C3.B6nnen_welche_Modi_konfiguriert_werden.3F]]
            wtp-mode         : remote
             [[FortiAP:FAQ#Was_ist_die_max._Anzahl_User_die_auf_einem_FortiAP_verbunden_werden_k.C3.B6nnen.3F]]
            name            : Remote Access Point FAP-21D
             [[FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Block_Intra-SSID_Traffic.22.3F]]
            location         : Remote FAP-04 local-sg0e0
 
            led-state        : enabled
         <big>'''Konfiguriere des Profile's für den FortiAccess Point'''</big>
            ip-frag-prevent  : TCP_MSS
       
            tun-mtu          : 1492,1492
         [[Datei:Fortinet-1253.jpg]]
            split-tunneling-local-ap-subnet  : disabled
       
            active sw ver    : FAP21D-v5.2-build0234
        [[Datei:Fortinet-1254.jpg]]
            local IPv4 addr  : 193.193.135.71
         [[Datei:Fortinet-1255.jpg]]
            board mac        : 08:5b:0e:97:23:0c
       
            join_time        : Thu Apr 23 08:03:43 2015
        '''NOTE''' Betreffend "channels" im Zusammenhang mit DFS Support resp. welche Kanäle aktiviert werden dürfen
            mesh-uplink      : ethernet
            siehe nachfolgenden Artikel:
            mesh hop count  : 0
           
            parent wtp id    :
            [[FortiAP:FAQ#Was_ist_DFS_.28Dynamic_Frequency_Selection.29_Support_und_um_was_handelt_es_sich_dabei.3F]]
            connection state : Connected
            image download progress: 0
            last failure    : 15 -- ECHO REQ is missing
            last failure param: N/A
            last failure time: Thu Apr 23 08:03:02 2015
            station info    : 0/0
            geo             : World (0)
            LAN             :
                    rId    : 1
                    cnt    : 1
                    port 1  : mode BR-TO-SSID(3)  ssid fortinet4intern         
          Radio 1            : Disabled
          Radio 2            : Virtual Lan AP
            max vaps         : 0
            base bssid      : 00:00:00:00:00:00
            station info    : 0/0
          Radio 3            : Not Exist
         -------------------------------Total    1 WTPs----------------------------
 
Um nachträglich anhand dieser IPv4 Adresse über den Forti Gate Wireless Controller eine "telnet" Verbindung zum Forti Access Point durchzuführen siehe nachfolgender Artikel::
 
         [[FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F]]
 
=== Wie kann ich auf dem FortiGate Wireless Controller Verbindungsprobleme mit einem Wireless Client/Host Troubleshooten? ===
 
Um Verbindungsprobleme mit einem Wireless Client/Host zu Troubleshooten kann der "diagnose" Befehl Lokal auf dem FortiGate Wireless Controller benützt werden oder auf dem Forti Access Point anhand des Befehls "cw_debug". Um dieses Troubleshooting durchzuführen, muss im ersten Schritt für den Wireless Client/Host eruiert werden, mit welcher MAC Adresse der Wireless Client/Host verbindet um diese im "diagnose" Befehl zu benutzen und um so den Traffic auf diese MAC Adresse des Wireless Clients/Host einzuschränken. Wie diese MAC Adresse über den FortiGate Wireless Controller eruiert werden kann siehe nachfolgenden Artikel:
 
        [[FortiAP:FAQ#Wie_finde_ich_.C3.BCber_den_FortiGate_Wireless_Controller_heraus_welche_Clients_mit_welcher_SSID_und_MAC_Adresse_verbunden_sind.3F]]
 
Sobald die MAC Adresse des Wireless Client/Host eruiert wurde, kann nachfolgender "diagnose" Befehl benutzt werden um den Traffic des Client/Host anhand dieser MAC Adresse einzusehen:


         <big>'''Konfiguriertes Profile dem FortiAccess Point hinzufügen'''</big>
         # diagnose wireless wlac sta_filter 9C:B7:0D:DE:8F:74 1
        STA Filter Index 0/1  sta 9c:b7:0d:de:8f:74  log-enabled 1
          
          
        WiFi Controller > WiFi Network > Managed Access Points > Managed FortiAPs > [Wähle den entsprechenden Eintrag] > [Rechte Maustase Edit]
Nach der MAC Adresse wird mit "1" die Funktion des "sta_filter" anhand der MAC Adresse aktiviert. Anhand "0" wird die Funktion wiederum deaktiviert. Für "wlac" stehen weitere Befehle zur Verfügung. Weitere Informationen siehe nachfolgender Artikel:
       
        [[Datei:Fortinet-1256.jpg]]
       
        [[Datei:Fortinet-1257.jpg]]


        <big>'''Ersellen der Objekt für die Firewall Policy Rule für "only4also" sowie "also4guest"'''</big>
         [[FortiAP:FAQ#Wie_kann_ich_auf_einem_FortiGate_Wireless_Controller_ein_Troubleshooting_durchf.C3.BChren_.28diagnose.29.3F]]
       
        Damit die Firewall Policy Rule erstellt werden können erstellen wir für die SSID's die nötigen Ojbekt:
       
        Firewall Objects > Address > Address > Create New
       
         [[Datei:Fortinet-1258.jpg]]
       
        [[Datei:Fortinet-1259.jpg]]
       
        [[Datei:Fortinet-1258.jpg]]
       
        [[Datei:Fortinet-1260.jpg]]


        <big>'''Konfigurieren der Firewall Policy Rule für "only4also" sowie "also4guest"'''</big>
Nachträglich, nach dem Troubleshooting muss die Funktion "sta_filter" wieder deaktiviert werden anhand folgenden Befehls:
       
        Nun können die Firewall Policy Rule's implementiert werden dh. für "only4also" SSID sowie für "also4guest":
       
        Policy > Policy > Policy > Create New
       
        '''"only4also Firewall Policy Rule"'''
       
        [[Datei:Fortinet-1261.jpg]]
       
        [[Datei:Fortinet-1262.jpg]]
       
        [[Datei:Fortinet-1261.jpg]]
       
        [[Datei:Fortinet-1263.jpg]]
       
        '''"also4guest Firewall Policy Rule"'''
       
        [[Datei:Fortinet-1261.jpg]]
       
        [[Datei:Fortinet-1264.jpg]]


Für die entsprechenden Firewall Policies können wie gewohnt die entsprechenden Security Profiles implementiert werden.
        # diagnose wireless wlac sta_filter 9C:B7:0D:DE:8F:74 0
        STA Filter is empty


== Setup ==
Wird dies nicht durchgeführt so bleibt die Funktion "sta_filter" anhand "1" aktiv was aus performance Gründen nicht empfohlen wird. Nachfolgendes Beispiel zeigt eine korrekte Verbindung eines Client mit der MAC Adresse 9C:B7:0D:DE:8F:74 dh. Der Client/Host sollte keine Verbindung erstellen vor der Aktivierung der "sta_filter" Funktion um nachträglich nur den Verbindungsaufbau einzusehen:


=== Kann ich einen FortiAP ohne FortiGate Wirless Controller konfigurieren? ===
        44386.013 94:65:9c:74:47:c6 <ih> IEEE 802.11 mgmt::assoc_req <== 94:65:9c:74:47:c6 ws (0-198.18.3.3:5246) vap fortinet4intern rId 1 wId 1 1a:5b:0e:5d:f7:15
        44386.014 94:65:9c:74:47:c6 <ih> IEEE 802.11 mgmt::assoc_resp ==> 94:65:9c:74:47:c6 ws (0-198.18.3.3:5246) vap fortinet4intern rId 1 wId 1 1a:5b:0e:5d:f7:15
        44386.014 94:65:9c:74:47:c6 <dc> STA add 94:65:9c:74:47:c6 vap fortinet4intern ws (0-198.18.3.3:5246) rId 1 wId 1 bssid 1a:5b:0e:5d:f7:15 NON-AUTH  band 0x10 mimo 2*2
        44386.015 94:65:9c:74:47:c6 <cc> STA_CFG_REQ(60) sta 94:65:9c:74:47:c6 add ==> ws (0-198.18.3.3:5246) rId 1 wId 1
        44386.015 94:65:9c:74:47:c6 <cc> STA add 94:65:9c:74:47:c6 vap fortinet4intern ws (0-198.18.3.3:5246) rId 1 wId 1 1a:5b:0e:5d:f7:15 sec WPA2 AUTO PERSONAL auth 0
        44386.028 94:65:9c:74:47:c6 <cc> STA_CFG_RESP(60) 94:65:9c:74:47:c6 <== ws (0-198.18.3.3:5246) rc 0 (Success)
        85792.029 94:65:9c:74:47:c6 <eh>    send 1/4 msg of 4-Way Handshake
        85792.029 94:65:9c:74:47:c6 <eh>    send IEEE 802.1X ver=2 type=3 (EAPOL_KEY) data len=95 replay cnt 1
        85792.030 94:65:9c:74:47:c6 <eh> IEEE 802.1X (EAPOL 99B) ==> 94:65:9c:74:47:c6 ws (0-198.18.3.3:5246) rId 1 wId 1 1a:5b:0e:5d:f7:15
        85792.032 94:65:9c:74:47:c6 <eh> IEEE 802.1X (EAPOL 139B) <== 94:65:9c:74:47:c6 ws (0-198.18.3.3:5246) rId 1 wId 1 1a:5b:0e:5d:f7:15
        85792.032 94:65:9c:74:47:c6 <eh>    recv IEEE 802.1X ver=1 type=3 (EAPOL_KEY) data len=135
        85792.032 94:65:9c:74:47:c6 <eh>    recv EAPOL-Key 2/4 Pairwise replay cnt 1
        85792.033 94:65:9c:74:47:c6 <eh>    send 3/4 msg of 4-Way Handshake
        85792.033 94:65:9c:74:47:c6 <eh>    send IEEE 802.1X ver=2 type=3 (EAPOL_KEY) data len=175 replay cnt 2
        85792.033 94:65:9c:74:47:c6 <eh> IEEE 802.1X (EAPOL 179B) ==> 94:65:9c:74:47:c6 ws (0-198.18.3.3:5246) rId 1 wId 1 1a:5b:0e:5d:f7:15
        85792.036 94:65:9c:74:47:c6 <eh> IEEE 802.1X (EAPOL 99B) <== 94:65:9c:74:47:c6 ws (0-198.18.3.3:5246) rId 1 wId 1 1a:5b:0e:5d:f7:15
        85792.036 94:65:9c:74:47:c6 <eh>    recv IEEE 802.1X ver=1 type=3 (EAPOL_KEY) data len=95
        85792.036 94:65:9c:74:47:c6 <eh>    recv EAPOL-Key 4/4 Pairwise replay cnt 2
        44386.037 94:65:9c:74:47:c6 <dc> STA chg 94:65:9c:74:47:c6 vap fortinet4intern ws (0-198.18.3.3:5246) rId 1 wId 1 bssid 1a:5b:0e:5d:f7:15 AUTH
        44386.038 94:65:9c:74:47:c6 <cc> STA chg 94:65:9c:74:47:c6 vap fortinet4intern ws (0-198.18.3.3:5246) rId 1 wId 1 1a:5b:0e:5d:f7:15 sec WPA2 AUTO PERSONAL auth 1 ******
        44386.038 94:65:9c:74:47:c6 <cc> STA_CFG_REQ(62) sta 94:65:9c:74:47:c6 add key (len=16) ==> ws (0-198.18.3.3:5246) rId 1 wId 1
        44386.046 94:65:9c:74:47:c6 <cc> STA_CFG_RESP(62) 94:65:9c:74:47:c6 <== ws (0-198.18.3.3:5246) rc 0 (Success)
        85792.047 94:65:9c:74:47:c6 <eh>    ***pairwise key handshake completed*** (RSN)
        44386.086 94:65:9c:74:47:c6 <dc> DHCP Request server 0.0.0.0 <== host DESKTOP-HSEH6HM mac 94:65:9c:74:47:c6 ip 198.18.2.2 xId bd0e86c
        44386.094 94:65:9c:74:47:c6 <dc> DHCP Ack server 198.18.2.1 ==> host  mac 94:65:9c:74:47:c6 ip 198.18.2.2 mask 255.255.255.128 gw 198.18.2.1 xId bd0e86c


Ein FortiAP hat zwar ein Web Mgmt. Interface und über dieses kann eine bestimmte rudimentäre Konfiguration eingegeben werden (Fix IP, Controller IP usw) jedoch benötigt ein FortiAP für die Konfiguration einen Wirless Controller. Dies bedeutet: Die Logik resp. die Konfiguration wird dem FortiAP vom Wireless Controller übermittelt/zugewiesen und somit kann ein FortiAP nicht ohne Wirless Controller betrieben werden. Bis anhin war es so, dass der Wireless Controller der FortiAP's ausschliesslich auf der FortiGate zur Verfügung gestellt wurde und somit konnten FortiAP's nur im Zusammenhang mit einer FortiGate betrieben werden. Ab FortiOS 5.2.2 (Build 222) kann ein FortiAP "ohne" FortiGate betrieben werden da Fortinet neu einen Wirless Controller in der Cloud zur Verfügung stellt. Weitere Informationen zu dieser neuen Funktion in der FortiCloud siehe nachfolgenden Artikel:
Nachfolgendes Beispiel zeigt einen korrekten Disconnect eines Client mit der MAC Adresse 9C:B7:0D:DE:8F:74:


         [[FortiCloud(FAMS):FAQ#Ist_es_m.C3.B6glich_anhand_eines_FortiCloud_Accounts_FortiAccess_Points_zu_verwalten.2Fkonfigurieren.3F]]
         44447.890 94:65:9c:74:47:c6 <dc> STA del 94:65:9c:74:47:c6 ws (0-198.18.3.3:5246) vap fortinet4intern rId 1 wId 1
        44447.891 94:65:9c:74:47:c6 <cc> STA_CFG_REQ(64) sta 94:65:9c:74:47:c6 del ==> ws (0-198.18.3.3:5246) rId 1 wId 1
        44447.891 94:65:9c:74:47:c6 <cc> STA del 94:65:9c:74:47:c6 vap fortinet4intern ws (0-198.18.3.3:5246) rId 1 wId 1 1a:5b:0e:5d:f7:15 sec WPA2 AUTO PERSONAL action del_by_wtp reason 201
        85852.892 94:65:9c:74:47:c6 <eh>    ***WPA_PTK 94:65:9c:74:47:c6 DISCONNECTED***
        44447.894 94:65:9c:74:47:c6 <cc> STA_CFG_RESP(64) 94:65:9c:74:47:c6 <== ws (0-198.18.3.3:5246) rc 0 (Success)


=== Welche Firmware sollte auf einer FortiGate und/oder FortiAP eingesetzt werden? ===
Nun der oben gezeigte "output" stammt vom Fortigate Wireless Controller! Möchte man die gleiche Vorgehensweise für den Wireless Client/Host auf dem Forti Access Point durchführen muss in erster Linie auf dem Forti Access Point auf dem der Wireless Client/Host verbunden ist "telnet" für den Zugriff aktiviert werden. Wie dies durchgeführt wird siehe nachfolgender Artikel:


Früher unter FortiOS 4 MR3 wurde durch den Support klar die Richtlinie herausgegeben, dass auf der FortiGate und/oder Forti Access Point der gleiche Versionsstand resp. Patchlevel benutzt werden musste. Dieser Anweisung kann nach wie vor gefolgt werden! Neu ab FortiOS Version 4 M3 Patch 11 können ebenfalls FortiAP's mit FortiOS 5.0 (nicht FortiOS 5.2) eingesetzt werden. Diese Konstellation wird durch den Fortinet Support vollumfänglich unterstützt. In so einer Konstellation stehen natürlich "nur" die Features auf der FortiGate resp. Wireless Controller zur Verfügung die durch die Version 4 M3 Patch 11 unterstützt werden. Dies bedeutet zB das Feature des "Mesh" steht dann nicht zur Verfügung obwohl die Forti Access Point mit der FortiOS 5.0 dies unterstützen würden. Da jedoch dieses Feature in der FortiGate FortOS Version 4 M3 Patch 11 nicht unterstütz wird, kann dieses nicht über den Wireless Controller resp. FortiGate konfiguriert werden. Dennoch macht es durchaus Sinn eine FortiGate FortiOS 4 M3 Patch 11 mit Forti Access Point FortiOS 5.0 einzusetzen schon hinsichtlich zB Performance, Zuverlässigkeit oder Vorbereitung eines anstehenden Upgrad's der FortiGate auf FortiOS 5.0. Die gleiche Variante resp. Auasage gilt ebenfalls für FortiGate basierend auf 5.0.x (mind. 5.0.9) sowie Forti Access Point basierend auf 5.2.x. Dabei gilt betreffend Upgrade/Downgrade resp. Forti Access Point basierend auf 5.2.x folgendes zu berücksichtigen:
        [[FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F]]


        '''NOTE''' Wenn FortiAP's im Zusammenhang mit FortiGate's basierend auf FortiOS 5.2 betrieben werden möchten, müssen die
Der Nachteil auf einem Forti Access Point liegt darin, dass der Traffic nicht anhand einer MAC Adresse eingeschränkt werden kann dh. durch "0x7fff" wird ein Debug Level 32767 gesetzt. Gleichzeitig muessen die "telnet" Nachrichten in der Console für "cw_debu" aktiviert werden. Es ist absolut nicht empfohlen diesen "cw_debug" über einen Consolen Port auf dem Forti Access Point durchzuführen oder über den Consolen Port der FortiGate selber. Der Grund ist der Folgende: Durch diesen "cw_debug" werden soviel "output" Produziert, dass der "buffer" des Consolen Port in kurzer Zeit vollgeschriebe wird. Dies verunmöglicht einen korrekten "cw_debug". Aus diesem Grund sollte die Verbindung SSH basierend sein dh. es sollte per SSH auf die FortiGate verbunden werden und nachträglich per "telnet" auf den entsprechenden Forti Access Point:
            Forti Access Point anhand eines Upgrade ebenfalls auf FortiOS 5.2 gebracht werden. Ein "Downgrade" zurück auf
            5.0.x ist gemäss Release Notes ab 5.2.3 nicht mehr mögilch. Für ein FAP-221c kann in jedem Fall kein Downgrade
            durchgeführt werden. Weitere Informationen findet man im folgenden Artikel:
           
            [[FortiAP:FAQ#Kann_ich_einen_Forti_Access_Point_basierend_auf_Firmeware_5.2_anhand_eines_.22Downgrade.27s.22_mit_Firmeware_5.0.x_laden.3F]]
           
            '''NOTE''' Wird ein Upgrade eines Forti Access Point FAP-320C von 5.2.1 auf 5.2.2 oder höher durchgeführt muss
                  dessen Bios betreffend Flash Partition Size auf den neusten Stand gebracht werden. Dies bedeutet ein
                  Upgrade für den FAP-320C ist folgendermassen durchzuführen:
                 
                  Schritt 1:    FAP-320-C FortiOS 5.2.1 --> Upgrade anhand special Image (B0221) für Bios Upgrade "FAP-v5FLASH-UPGRADE-fortinet.out
                  Schritt 2:   Danach Upgrade mit regulärem Image auf 5.2.2


Wie schon erwähnt können Forti Access Point's basierend auf 5.2 mit FortiGate 5.2 oder FortiGate 5.0 eingesetzt werden! Dabei wird empfohlen den letzten Release Stand sei es auf den Forti Access Point sowie FortiGate's einzuspielen. Die Ausnahme ist der neue "Special Support Build" basierend auf FortiGate 5.0 der zwingen für Forti Access Point eingesetzte werden muss die den neuen Standard 802.11ac unterstützen (FAP-221C/222C/223C/321C). Somit, wenn eine FortiGate 5.0 im Zusammenhang mit FAP-221C/222C/223C/321C eingesetzt wird muss dieser "Special Support Build" zwingend eingesetzt werden. Dieser "Special Support Build" ist unter folgenden Link erhältlich:
        # execute telnet [IPv4 Adresse des entsprechenden Forti Access Point zB "198.18.3.3"]
           
        Trying 198.18.3.3...
         https://support.fortinet.com/Download/FirmwareImages.aspx
         Connected to 198.18.3.3.
           
        Local Access Point FAP-221C login: admin
         / FortiGate/ v5.00/ Feature_Support/ fg_5-0_wifi_11ac/ v5.0/
          
           
        BusyBox v1.15.0 (2016-01-07 14:13:50 PST) built-in shell (ash)
        Desweiteren sollte folgender Artikel berücksichtigt werden:
         Enter 'help' for a list of built-in commands.
           
         [[FortiAP:FAQ#Wann_kommt_der_802.11ac_Standard_und_um_was_handelt_es_sich_dabei.3F]]


Nachträglich eine kurze Uebersicht über die möglichen Konstellation:
Eingeloggt auf dem Forti Access Point können die entsprechenden Optionen für "cw_debug" eingesehen werden:


         FortiGate 5.2.x                            --> Zwingend Forti Access Point 5.2.x (Alle Modelle inkl. FAP-221C/222C/223C/321C)
         # cw_debug app
         FortiGate 5.0.x                            --> Forti Access Point 5.0.x empfohlen Forti Access Point 5.2.x (exkl. FAP-221C/222C/223C/321C Modelle da diese nicht erkannt werden)
         Usage:
        FortiGate 5.0.x (Special Support Build)    --> Forti Access Point 5.0.x empfohlen Forti Access Point 5.2.x (Zwingend für Modelle FAP-221C/222C/223C/321C damit diese erkannt werden)
          
          
        '''NOTE''' Bei dieser Aufstellung ist folgendes zu berücksichtigen: Die Firmware einiger Modelle wie zB FAP-21D sowie FAP-24D
                cw_debug <on|off>                    --turn on/off telnet log message
             sind in der Version Forti Access Point 5.0.x nicht erhältlich somit müssen die Forti Access Point basierend auf
                cw_debug app <app_name> [debug_var]  --get/set application debug var
             Forti Access Point 5.2.x eingesetzt werden. Es ist im allgemeinen darauf zu Achten immmer die neusten Release
                        cwWtpd             capwap WTP daemon
            betreffend Forti Access Point's einzusetzen. Wenn dies durchgeführt wird sei es für 5.0 und/oder 5.2 sind die
                        dhcp                capwap DHCP discover
            Release Notes zu konsultieren ob die Kompatibilität im Zusammenhang mit der FortiGate (FortiOS) gegeben ist!
                        wifi                capwap wifi configuration commands
                        cwWtpd_mem          capwap WTP daemon mem
                        fsd                fsd daemon
                        hostapd            hostapd daemon
                        wpa_supp            wpa supplicant daemon
                        ddnscd             ddnscd daemon
                        admin_timeout      telnet/GUI session idle timeout in seconds
                        fapportal          fapportal daemon
                        fcldc              forticloud client daemon
                        service            capwap WTP service daemon
                        all                all above daemons


=== Was ist als Erstes beim "Setup" eines FortiAP zu beachten (Country Code)? ===
Um für "cw_debug" den "telnet" Output zu aktivieren führe folgendes durch:


Ein FortiAP wird über die Fortigate WiFi Controller aufgesetzt und konfiguriert! Es ist unabdingbar die korrekte "location" (Country Code) zu setzen bevor ein FortiAP konfiguriert wird. Weitere Erläuterungen wieso und warum siehe nachfolgenden Artikel:
        # cw_debug on


        [[FortiGate-5.0-5.2:FAQ#Wie_setze_ich_auf_einer_FortiGate_den_.22Country_Code.22_.28location.29_f.C3.BCr_den_WiFi_Controller.3F]]
Danach setze den "debug" Level für "cw_debug app cwWtpd" anhand folgenden Befehls:


Danach führe auf der Fortigate auf der Console folgendes durch:
        # cw_debug app cwWtpd 0x7fff


        # config wireless-controller setting
Auch hier ist es absolut Notwendig, nach einem erfolgreichen Troubleshooting den Debug wiederum zu aktivieren. Wird dies nicht durchgeführt, bleibt der Debug Modus im Hintergrund aktiv und beeinflusst die Performance des Forti Access Point:
        # set country CH
        # end
       
        '''NOTE''' Wenn man mit "end" die Konfiguration bestätigt kann es zu einer Fehlermeldung führen. Der Grund dafür
            ist einfach. Wenn im Hintergrund AP Proflies existieren kann der Countr Code nicht auf einen anderen
            Country Code gewechselt werden da die existierenden AP Profile auf den momentan gesetzen Country Code
            basieren. Um den Country Code zu wechseln dürfen kein AP Profiles existieren (Gilt für FortiOS 5.0).
            Diese können jedoch nur gelöscht werden wenn diese für die AP's nicht in Benützung sind. Wenn dies der  
            Fall ist müssen diese Profiles von den AP's gelöst werden und danach können die AP Profiles gelöscht
            werden. Dies gilt nicht für FortiOS 5.2 dh. unter FortiOS 5.2 kann der Country Code jederzeit geändert
            werden jedoch gehen sämtliche "channel" Konfiguration verloren:
           
            This operation will also clear channel settings of all the existing wtp profiles
            Do you want to continue (y/n)
           
            Die AP Profiles können über Web Gui sowie in der CLI gelöscht werden.
           
            WiFi Controller > Managed Access Points > Custom AP Profile
           
            # config wireless-controller wtp-profile
            # purge
            This operation will clear all table!
            Do you want to continue (y/n)'''y'''
           
            Nachdem erfolgreichen löschen der AP Profiles kann der Country Code gesetzt werden!


=== Was ist die Default IP für einen FortiAP und wie kann ich mich auf diese IP verbinden? ===
        # cw_debug app cwWtpd 0x0


Wenn ein FortiAP gestartet wird reagiert auf Netzwerkebene der FortiAP folgendermassen:
Nachfolgendes Beispiel zeigt den "output" einer korrekte Verbindung des Client mit der MAC Adresse 9C:B7:0D:DE:8F:74 wobei darauf hinzuweisen ist das dieser "output" nicht einfach ist zu lokalisieren. Aus diesem Grund wird empfohlen den "output" der SSH resp. "telnet" Session für einen spätere Analyse in ein Log File zu schreiben:


         --> Der FortiAP sendet einen DHCP Anfrage! Wird dieser beantwortet wird das Netzwerkinterface anhand dieser Informationen konfiguriert!
         49009.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 248929 dbg 00007fff Pkts 0 0
          
        49010.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 248930 dbg 00007fff Pkts 0 0
         --> Beantwortet "Kein" DHCP Server die Anfrage des FortiAP so wird auf dem Netzwerk Interface folgende IP konfiguriert:
         49011.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 248931 dbg 00007fff Pkts 0 0
              
         49012.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 248932 dbg 00007fff Pkts 0 0
             192.168.1.2/24
        49012.742 Wireless event: cmd=0x8c03 len=20
        49012.752 ==========================cwWtpProcRawMsg          7  1=========================
        49012.752 cwWtpProcRawMsg recvfrom total bytes 1750766
        49012.752 cwWtpProcRawMsg: it's a control message
        49012.752 cwWtpProcCipherCtrlMsg: looking at 125-byte encapsulated control message
        49012.752 cwWtpProcCipherCtrlMsg: wrote to socket 16, rc: 125 (errno: 11)
        49012.752 ==========================cwWtpProcRawMsg          7  2=========================
        49012.752 cwWtpDtlsThread: SSL_read() returned 66 ssl_err 0
        49012.753 CAPWAP Hdr: P/T=0/0 len=2 RID=0 WBID=1 T=0 F=0 L=0 W=0 M=0 K=0 resv=0 frag=0/0 resv=0
        49012.753 CAPWAP Control Header Dump:
        49012.753    msgType             : 25 STA_CFG_REQ
        49012.753    seqNum              : 165
        49012.753    msgElemLen          : 53
        49012.753    flags              : 0
        49012.753 cwWtpProcPlainCtlMsg: received STA_CFG_REQ from 192.168.3.1/5246
        49012.753 WTP_EV_GEN - CWWE_STA_CFG_REQ meInfo 0x10124dc8 msgPtr (nil) len 0
        49012.753 cwWtpDtlsThread: SSL_read() returned 0 ssl_err 5
        49012.753 ==========================cwWtpFsmThread            4  1=========================
        49012.753 FSM: old CWWS_RUN(13) ev CWWE_STA_CFG_REQ(47) new CWWS_RUN(13)
        49012.754 CWWS_RUN_enter: Add 1 STAs.
        49012.754 CWWS_RUN_enter: STA ADD 0 - Radio ID 0 MAC 9c:b7:0d:de:8f:74 Vlan Name only4also
        49012.754 cwWtpStaRbtAdd: STA_CFG_REQ insert sta 9c:b7:0d:de:8f:74 0/0/1
        49012.754 CWWS_RUN_enter: sending STA CFG RESP msg.
        49012.755 CAPWAP Hdr: P/T=0/0 len=2 RID=0 WBID=1 T=0 F=0 L=0 W=0 M=0 K=0 resv=0 frag=0/0 resv=0
        49012.755 CAPWAP Control Header Dump:
        49012.755    msgType             : 26 STA_CFG_RESP
        49012.755    seqNum              : 165
        49012.755    msgElemLen          : 11
        49012.755    flags              : 0
        49012.755 wtpDtlsWrite: SSL_write() was successful
        49012.756 CWWS_RUN_enter: wtpDtlsWrite() succeeded.
        49012.756 ==========================cwWtpFsmThread            4  2=========================
        49012.756 cwWtpProcOutCipherCtlMsg: calling recv()
        49012.756 cwWtpSendRawMsg: called with 81 bytes - dumping...
        49012.756 cwWtpSendRawMsg: send out encrypted msg.
        49012.756 cwWtpSendRawMsg: sendto of 81 of 81 bytes for 192.168.3.1/5246
        49012.756 cwWtpSendRawMsg: sendto total bytes 2407860
        49012.756 cwWtpProcOutCipherCtlMsg: successfully sent data...
        49012.756 cwWtpProcOutCipherCtlMsg: calling recv()
        49012.962 ==========================cwWtpProcRawMsg          7  1=========================
        49012.964 cwWtpProcRawMsg recvfrom total bytes 1750959
        49012.964 cwWtpProcRawMsg: it's a control message
        49012.964 cwWtpProcCipherCtrlMsg: looking at 189-byte encapsulated control message
        49012.964 cwWtpProcCipherCtrlMsg: wrote to socket 16, rc: 189 (errno: 11)
        49012.964 ==========================cwWtpProcRawMsg          7  2=========================
        49012.964 cwWtpDtlsThread: SSL_read() returned 135 ssl_err 0
        49012.964 CAPWAP Hdr: P/T=0/0 len=2 RID=0 WBID=1 T=0 F=0 L=0 W=0 M=0 K=0 resv=0 frag=0/0 resv=0
        49012.964 CAPWAP Control Header Dump:
        49012.964    msgType            : 25 STA_CFG_REQ
        49012.965    seqNum              : 166
        49012.965    msgElemLen          : 122
        49012.965    flags              : 0
        49012.965 cwWtpProcPlainCtlMsg: received STA_CFG_REQ from 192.168.3.1/5246
        49012.965 cw_me_decode: me type 11_sta_session_key (1038) len 36 claims 29 more octets
        49012.965 WTP_EV_GEN - CWWE_STA_CFG_REQ meInfo 0x10124dc8 msgPtr (nil) len 0
        49012.965 cwWtpDtlsThread: SSL_read() returned 0 ssl_err 5
        49012.965 ==========================cwWtpFsmThread            4  1=========================
        49012.965 FSM: old CWWS_RUN(13) ev CWWE_STA_CFG_REQ(47) new CWWS_RUN(13)
        49012.965 CWWS_RUN_enter: Add 1 STAs.
        49012.965 CWWS_RUN_enter: STA ADD 0 - Radio ID 0 MAC 9c:b7:0d:de:8f:74 Vlan Name only4also
        49012.966 cwWtpStaRbtDel: DEL duo to ADD remove sta 9c:b7:0d:de:8f:74 0/0/1 from staRbt
        49012.966 cwWtpStaRbtAdd: STA_CFG_REQ insert sta 9c:b7:0d:de:8f:74 0/0/1
        49012.966 CWWS_RUN_enter: sending STA CFG RESP msg.
        49012.966 CAPWAP Hdr: P/T=0/0 len=2 RID=0 WBID=1 T=0 F=0 L=0 W=0 M=0 K=0 resv=0 frag=0/0 resv=0
        49012.966 CAPWAP Control Header Dump:
        49012.966    msgType            : 49013.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 248933 dbg 00007fff Pkts 0 0
        49014.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 248934 dbg 00007fff Pkts 0 0
        49015.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 248935 dbg 00007fff Pkts 0 0
        49016.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 248936 dbg 00007fff Pkts 0 0
        49017.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 248937 dbg 00007fff Pkts 0 0
        49018.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 248938 dbg 00007fff Pkts 0 0


Somit kann man sich auf einen FortiAP folgendermassen verbinden sofern der FortiAP betreffend Netzwerk Interface nicht auf "Static" konfiguriert ist (Standard DHCP):
Nachfolgendes Beispiel zeigt den Output eines "korrekten" Disconnect des Client mit der MAC Adresse 9C:B7:0D:DE:8F:74:'''


         1. Konfigruiere eine Workstation/Laptop mit folgender IP (Kein Default Gateway):
         49113.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 249033 dbg 00007fff Pkts 0 0
         
        49114.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 249034 dbg 00007fff Pkts 0 0
          192.168.1.1 255.255.255.0
        49114.417 Wireless event: cmd=0x8c04 len=20
            
        49114.417 Wireless event: cmd=0x8c02 len=31
         2. Verbinde den FortiAP mit der Workstation/Laptop anhand eines RJ-45 Kabel (nicht gekreuzt)
        49114.417 Custom wireless event: 'del sta: wlan00 '
          
        49114.417 cwWtp_wireless_event_wireless_custom Radio 0 wId 0 Del STA: 9c:b7:0d:de:8f:74
         3. Starte den FortiAP und nach 1 - 2 Minuten kann auf den FortiAP anhand eines Browser zugegriffen werden (Username "admin"; Kein Passwort):
        49114.417 cwWtpSend_REQ_MSG: sending WTP_EVENT_REQ (9) msg.
         
        49114.417 cwWtpSendRawMsgQueue: SENDING OUT type 9 seqNum 156
          http://192.168.1.2
        49114.417 CAPWAP Hdr: P/T=0/0 len=2 RID=0 WBID=1 T=0 F=0 L=0 W=0 M=0 K=0 resv=0 frag=0/0 resv=0
        49114.417 CAPWAP Control Header Dump:
        49114.417    msgType            : 9 WTP_EVENT_REQ
        49114.417    seqNum              : 156
        49114.417    msgElemLen          : 34
        49114.417    flags              : 0
        49114.418 wtpDtlsWrite: SSL_write() was successful
        49114.418 cwWtpSendRawMsgQueue: wtpDtlsWrite() succeeded.
        49114.418 cwWtpPendingMsgAdd: add type 9 seqNum 156 into pending msg queue at head 18 Cnt 1
        49114.418 cwWtpProcOutCipherCtlMsg: calling recv()
        49114.418 cwWtpSendRawMsg: called with 113 bytes - dumping...
        49114.418 cwWtpSendRawMsg: send out encrypted msg.
        49114.418 cwWtpSendRawMsg: sendto of 113 of 113 bytes for 192.168.3.1/5246
        49114.418 cwWtpSendRawMsg: sendto total bytes 2408459
        49114.419 cwWtpProcOutCipherCtlMsg: successfully sent data...
        49114.419 cwWtpProcOutCipherCtlMsg: calling recv()
        49114.430 ==========================cwWtpProcRawMsg          7  1=========================
        49114.430 cwWtpProcRawMsg recvfrom total bytes 1751749
        49114.430 cwWtpProcRawMsg: it's a control message
        49114.430 cwWtpProcCipherCtrlMsg: looking at 109-byte encapsulated control message
        49114.430 cwWtpProcCipherCtrlMsg: wrote to socket 16, rc: 109 (errno: 11)
        49114.430 ==========================cwWtpProcRawMsg           7  2=========================
         49114.430 cwWtpDtlsThread: SSL_read() returned 47 ssl_err 0
        49114.431 CAPWAP Hdr: P/T=0/0 len=2 RID=0 WBID=1 T=0 F=0 L=0 W=0 M=0 K=0 resv=0 frag=0/0 resv=0
        49114.431 CAPWAP Control Header Dump:
        49114.431    msgType            : 25 STA_CFG_REQ
        49114.431    seqNum              : 168
        49114.431    msgElemLen          : 34
        49114.431    flags              : 0
        49114.431 cwWtpProcPlainCtlMsg: received STA_CFG_REQ from 192.168.3.1/5246
        49114.431 WTP_EV_GEN - CWWE_STA_CFG_REQ meInfo 0x100ef468 msgPtr (nil) len 0
        49114.431 cwWtpDtlsThread: SSL_read() returned 0 ssl_err 5
         49114.432 ==========================cwWtpProcRawMsg          7  1=========================
        49114.432 cwWtpProcRawMsg recvfrom total bytes 1751830
        49114.432 cwWtpProcRawMsg: it's a control message
         49114.432 cwWtpProcCipherCtrlMsg: looking at 77-byte encapsulated control message
        49114.432 cwWtpProcCipherCtrlMsg: wrote to socket 16, rc: 77 (errno: 11)
        49114.432 ==========================cwWtpProcRawMsg          7  2=========================
        49114.432 ==========================cwWtpFsmThread            4  1=========================
        49114.432 FSM: old CWWS_RUN(13) ev CWWE_STA_CFG_REQ(47) new CWWS_RUN(13)
        49114.432 CWWS_RUN_enter: Del 1 STAs.
        49114.432 CWWS_RUN_enter: STA DEL 0 - Radio ID 0 MAC 9c:b7:0d:de:8f:74 Vlan Name  wId 0
        49114.432 CWWS_RUN_enter STA_DISASSOC wId 0 Intf wlan00 9c:b7:0d:de:8f:74
        49114.433 do80211priv ap wlan00 op 35814 Invalid argument
        49114.433 cwWtpStaRbtDel: STA_CFG_REQ remove sta 9c:b7:0d:de:8f:74 0/0/1 from staRbt
        49114.433 CWWS_RUN_enter: sending STA CFG RESP msg.
        49114.433 CAPWAP Hdr: P/T=0/0 len=2 RID=0 WBID=1 T=0 F=0 L=0 W=0 M=0 K=0 resv=0 frag=0/0 resv=0
        49114.433 CAPWAP Control Header Dump:
        49114.433    msgType            : 26 STA_CFG_RESP
        49114.433    seqNum              : 168
        49114.433    msgElemLen          : 11
        49114.433    flags              : 0
        49114.433 wtpDtlsWrite: SSL_write() was successful
        49114.434 CWWS_RUN_enter: wtpDtlsWrite() succeeded.
        49114.434 ==========================cwWtpFsmThread            4  2=========================
        49114.434 cwWtpDtlsThread: SSL_read() returned 24 ssl_err 0
        49114.434 CAPWAP Hdr: P/T=0/0 len=2 RID=0 WBID=1 T=0 F=0 L=0 W=0 M=0 K=0 resv=0 frag=0/0 resv=0
        49114.434 CAPWAP Control Header Dump:
        49114.434    msgType    49115.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 249116.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 249036 dbg 00007fff Pkts 0 0
        49117.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 249037 dbg 00007fff Pkts 0 0
        49118.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 249038 dbg 00007fff Pkts 0 0
        49119.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 249039 dbg 00007fff Pkts 0 0
        49120.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 249040 dbg 00007fff Pkts 0 0


        '''NOTE''' Möchte man sich auf den FortiAP verbinden jedoch wurde das Interface auf "Static" konfiguriert und die
Folgender Fortinet Knowledge Base Artikel gibt weitere Auskunft über dieses Troubleshooting:
            IP Adresse ist nicht mehr bekannt, kann jeder FortiAP anhand des "reset buttons" auf Factory Defaults
            gesetzt werden. Weitere Informationen "wo" sich der "reset button" bei den verschiedenen Modellen befindet
            kann aus dem entsprechenden "Quickstart Guide" entnommen werden. Dazu siehe nachfolgenden Artikel:
           
            [[Fortinet:ProduktInfo#FortiAP]]


=== Wie kann ich die Netzwerk Konfiguration eines Access Point manuell (static) konfigurieren? ===
                http://kb.fortinet.com/kb/microsites/search.do?cmd=displayKC&docType=kc&externalId=FD33214&sliceId=1&docTypeID=DT_KCARTICLE_1_1&dialogID=35950338&stateId=0%200%2035948485


Wenn man einen Forti Access Point manuell dh. mit einer "static" IP Adressen konfigurieren möchte so kann dies über Kommandozeile sowie über das Web Mgmt. Interface durchgeführt werden. Um die Konfiguration sei es auf der CLI und/oder Web Mgmt. Interface durchzuführen muss auf die Standard IP des Forti Access Point's zugegriffen werden. Wie dies zu bewerkstelligen ist, zeigt folgender Artikel:
== Grundsetup ==


        [[FortiAP:FAQ#Was_ist_die_Default_IP_f.C3.BCr_einen_FortiAP_und_wie_kann_ich_mich_auf_diese_IP_verbinden.3F]]
=== Wie nehme ich ein Fortinet Access Point unter FortiOS 5.0/5.2 in Betrieb und konfiguriere ich diesen? ===


Um die Konfiguration einer statischen IP auf dem Web Mgmt. Interface auszuführen gebe folgende Adresse in den Browser ein:
Das nachfolgende Beispiel zeigt wie man einen Forti Access Point in Betrieb nimmt so wie dieser anhand zweier SSID "only4also" (Internal Use) und "also4guest" (Guest Use) konfiguriert wird. Für "Guest Use" wird die "Guest Provisioning" Funktion benutzt die auf dem FortiOS integriert ist. Diese Anleitung basiert auf FortiOS 5.0 kann jedoch für FortiOS 5.2 herangezogen werden. Für das Beispiel gehen wir von folgender Situation aus:


         http://192.168.1.2
                    WAN
                    | 193.193.135.66              ___________
        ____________|____________                |          | SSID only4also 192.168.4.0/24
         |                        | 192.168.3.1    | FAP 220B  |
        |        Fortigate        |----- DMZ ------|          |
        |_________________________|                |___________| SSID also4guest 192.168.5.0/24
                    |
                    | 192.168.1.99
                    LAN


Um die Konfiguration einer Statischen IP auf der Kommandozeile durchzuführen müssen folgende Befehle auf dem Forti Access Point's ausgeführt werden:
Im ersten Schritt muss der Country Code des FortiGate Wireless Controller konfguriert werden. Dies bedeutet: Im Hintergrund stellt das FortiOS WTP Profiles zur Verfügung die den Forti Access Points zugewiesen werden können. Diese WTP Profiles basieren per Standard auf den Country Code US dh. in den entsprechenden WTP Profiles für die verschiedenen Forti Access Points werden für den 2.4 GHz und 5 GHz Bereich Kanäle (channels) basierend auf US zur Verfügung gestellt. Aus diesem Grund muss der Country Code für den Betrieb in der Schweiz auf dem FortiGate Wirelesss Controller korrekt gesetzt werden. Wie dies durchgeführt wird zeigt nachfolgender Artikel:


         # cfg –a AP_IPADDR=[Gebe eine enstprechende IP an zB 192.168.1.2]
         [[FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_einen_FortiGate_Wireless_Controller_den_.22Country_Code.22_Konfigurieren.3F]]
        # cfg –a ADDR_MODE=STATIC
        # cfg –a AP_NETMASK=[Gebe die entsprechende Subnet Mask ein für die IP zB 255.255.255.0]
        # cfg -a DNS_SERVER=[DNS Server IP Adresse]
       
        '''NOTE''' Jede Konfiguration die anhand "cfg -a" ausgeführt wird ist nicht "persistent" dh. die ausgeführte Konfiguration
            muss anhand folgenden Befehles "geschrieben" (commit to flash) werden ansonsten geht diese nach eine Neustart verloren:
           
            # cfg -c
         
Um die entsprechende Konfiguration zur Ueberprüfung auszulesen gebe folgenden Befehl ein:
 
      # cfg -s
      AP_IPADDR:=192.168.1.2
      AP_NETMASK:=255.255.255.0
      IPGW:=192.168.1.1
      ADDR_MODE:=DHCP
      TELNET_ALLOW:=0
      AC_DISCOVERY_TYPE:=0
      AC_IPADDR_1:=192.168.1.1
      AC_CTL_PORT:=5246
      AC_DISCOVERY_MC_ADDR:=224.0.1.140
      AC_DISCOVERY_DHCP_OPTION_CODE:=138


Weitere Konfigurations Möglichkeiten kann anhand des folgenden Befehls aufgelistet werden:
Wenn ein Forti Access Point an ein Interface/Segment auf der FortiGate Device angeschlossen wird, versucht dieser Access Point per Standard über CAPWAP (UDP-5246) über dieses Interface/Segment des FortiGate Device einen Wireless Controller zu erreichen. Wenn der FortiGate Wireless Controller erreicht werden kann, wird über diesen per DHCP Server dem FortiAccess Point eine IPv4 Adresse zugewiesen. Diese IPv4 Adresse wird nur genutzt um den CAPWAP Tunnel zu etablieren und den FortiAccess Point zu verwalten resp. zu konfigurieren. Damit der Forti Access Point den FortiGate Wirless Controller findet muss auf dem entsprechenden Interface des FortiGate Devices CAPWAP aktiviert werden. Es wird unter normalen Umständen empfohlen ein seperates Interface auf dem FortiGate Device zu nutzen um über dieses dezidiert Interface der FortiGate die Forti Access Points zu verwalten. In unserem Beispiel wäre dies das "dmz" Interface mit dem IP Range 192.168.3.0/24:


         # cfg -h
         <big>'''Konfigurieren des DMZ Interfaces für CAPWAP und mit einem entsprechenden DHCP Server'''</big>
 
          
=== Wie kann ich einen Forti Access Point so konfigurieren, dass er seine WiFi Controller IP über DHCP Server erhält? ===
         System > Interfaces > [Wähle das Interface für DMZ] > [Rechte Maustaste > Edit]
 
 
Wenn der Forti Access Point nicht mit einer "static" IP Adresse konfiguriert wird sondern seine IP Adresse von einem DHCP Server erhält kann die IP des "Forti WiFi Controller's" über die DHCP Option 138 mitgegeben werden. Dazu muss auf dem -für die Definition der Option 138- folgendes auf dem Forti Access Point konfiguriert werden:
 
        '''NOTE''' Diese Konfiguration ist nur dann auszuführen, wenn der FortiAccess Point seine IP nicht von der FortiGate erhält
            sondern von einem anderen DHCP Server der sich nicht auf der FortiGate befindet. Wenn der FortiAccess Point seine
            DHCP Adresse von einem DHCP Server erhält der sich auf der FortiGate befindet kann die IP des "WiFi Controller's"
            über die Konfiguration des DHCP Server auf der FortiGate mitgegeben werden:
           
            # config system dhcp server
            # edit [Integer für den entsprechenden DHCP Server]
            # set wifi-ac1 [IPv4 Adresse des WiFi Controllers]
            # set wifi-ac2 [IPv4 Adresse des WiFi Controllers]
            # set wifi-ac3 [IPv4 Adresse des WiFi Controllers]
            # set ntp-server1 [IP des entsprechenden Time Server]
            # end
 
        '''Auslesen der momentaner Netzwerk Konfig:'''
         # cfg -s
 
         '''Konfiguration der DHCP Option:'''
        # cfg -a AC_DISCOVERY_DHCP_OPTION_CODE=138
        # cfg -c
          
          
         '''NOTE''' Wenn die Option "138" bereits anderweitig in Benützung ist kann über diesen Befehl ein anderer freier
         [[Datei:Fortinet-1232.jpg]]
            Code definiert werden!
 
Nach der Konfiguration auf dem Forti Access Point betreffend "Option" muss über den DHCP Server die Option definiert werden und zwar in "hexadecimal". Dies bedeutet die IP muss in "hexadecimal" umgerechnet werden. Diese Umrechnung wird für jedes "octed" von Links nach Rechts ausgeführt. Im nachfolgenden Beispiel sind die Forti Access Point's über das Interface (192.168.3.1) auf der FortiGate im Segment 192.168.3.0/24 angeschlossen:
 
        IP = 192.168.3.1
            192 = C0
            168 = A8
              3 = 03
              1 = 01
          
          
         '''Hex = C0A80301'''
         Damit der FortiGate Wireless Controller CAPWAP (UDP-5246) Anfragen entgegen nimm aus diesem Segment resp. über dieses
        Interface des FortiGate Devices, muss die Position CAPWAP unter "Administrative Access" aktiviert werden. Dadurch wird
        im Hintergrund eine automatische "local-in" Polciy konfiguriert die den Traffic für CAPWAP aus diesem Segment erlaubt.
        Desweiteren, damit die FortiAccess Point bei einer erfolgreichen CAPWAP Anfrage eine entsprechende IP über dieses
        Interface/Segment zugewiesen bekommen, muss ein DHCP Server aktiviert/konfiguriert werden. Für diesen DHCP Server stehen
        über Kommandozeile weitere Optionen im Zusammenhang mit dem FortiAccess Point zur Verfügung wie AC (Wireless Controller)
        IP Adresse, NTP Adresse sowei DNS Server Adresse. Wir empfehlen diese Optionen des DHCP Servers zu nutzen! führe auf der
        CLI folgendes aus:
          
          
         '''NOTE''' Für die Umrechnung kann zB folgende Seite benutzt werden (Nicht vergessen von Links nach Rechts!):
         # config system dhcp server
           
        # edit [Gebe den Integer an des entsprechenden DHCP Servers]
            http://www.mathsisfun.com/binary-decimal-hexadecimal-converter.html
        # set dns-service [local | default | specify]
        # set dns-server1 [IPv4-Adresse für DNS Server 1]
        # set dns-server2 [IPv4-Adresse für DNS Server 2]
        # set dns-server3 [IPv4-Adresse für DNS Server 3]
        # set wifi-ac1 [IPv4-Adresse für Wireless Controller 1]
        # set wifi-ac2 [IPv4-Adresse für Wireless Controller 2]
        # set wifi-ac3 [IPv4-Adresse für Wireless Controller 3]
        # set ntp-service [local | default | specify]
        # set ntp-server1 [IPv4-Adresse für NTP Time Server 1]
        # set ntp-server2 [IPv4-Adresse für NTP Time Server 1]
        # set ntp-server3 [IPv4-Adresse für NTP Time Server 1]
        # end


Nachträglich kann die Konfiguration resp. die Zuweisung der IP sowie des AC Controllers über Kommandozeile auf dem AP kontrolliert werden anhand folgendes Befehls:
        <big>'''Verbinden des Forti Access Points über CAPWAP und Authorisierung des FortiAccess Points'''</big>
 
       
         # cw_diag -c wtp-cfg
        Nun muss der FortiAccess Point über das Interface/Segment des FortiGate Devices das wir soeben konfiguriert haben dh. in
        unserem Beispiel das "dmz" Interface verbunden werden. Nach einiger Zeit erscheint dieser Forti Access Point unter folgender
         Position und kann Authorisiert werden:
          
          
         '''NOTE''' Wenn der entsprechende Forti Access Point über keinen Consolen Port verfügt kann über den Wirelesss
         WiFi Controller > Managed Access Points > [Wähle den entsprechenden Eintrag] > [Rechte Maustaste Edit]
            Controller anhand Telnet auf den Forti Access Point zugegriffen werden. Weitere Informationen siehe:
       
           
        [[Datei:Fortinet-1233.jpg]]
            [[FortiAP:FAQ#Wie_kann_ich_per_Telnet_auf_einen_Forti_Access_Point_zugreifen_wenn_der_Access_Point_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F]]
       
 
         [[Datei:Fortinet-1234.jpg]]
=== Welche Einstellungen gelten wenn anstelle eines entsprechenden Profile für ein Forti Access Point "Automatic / Override Settings" gewählt wird? ===
 
Die empfohlen Konfigurationsweise eines Forti Access Point ist es diesem ein entsprechendes Profile zu zuweisen. Dies bedeutet: In diesem Profile wird definiert welcher "radio" über welche Einstellungen (5 GHz oder 2.4 GHz) sowie "channel" verfügt. Dieses Profile -das auf den entsprechenden Forti Access Point abgestimmt ist- wird nach dessen Erstellung dem Forti Access Point zugewiesen. Unter FortiOS 5.0 ist es möglich anstelle dieses Profile "automatic" zu wählen. Unter FortiOS 5.2 gibt es die Position "automatic" nicht mehr jedoch ist es möglich anhand "Override Settings" das entsprechende Profile zu überschreiben. Wenn unter FortiOS 5.0 "automatic" gewählt wird gilt folgendes:
 
         [[Datei:Fortinet-333.jpg]]
          
          
         '''NOTE''' Wenn die Option "Override Settings" aktiviert wird so wird im Hintergrund folgendes Kommando
         [[Datei:Fortinet-1235.jpg]]
            ausgeführt:
           
            # config wireless-controller wtp
            # edit [Name/Serien Nr. des entsprechenden Profiles]
            # set override-profile enable
            # end
            # end
           
            Ueber Mgmt. Web Interface sieht die Option folgendermassen aus:
           
            [[Datei:Fortinet-1291.jpg]]
 
=== Wie kann verhindert werden, dass eine SSID über Broadcast mitgeteilt wird? ===
 
Wenn eine SSID konfiguriert wird so wird dessen Namen per Standard über Broadcast mitgeteilt. Dies erlaubt den Usern/Client's diese auf den Device's auszuwählen und dementsprechend für die Authentifizierung zu konfigurieren. Wenn das mitteilen der SSID über Broadcast unterbunden werden soll kann dies auf der Kommandozeile innerhalb der SSID konfiguriert werden. Dies wird folgendermassen durchgeführt:
 
        # config wireless-controller vap
        # edit [Name der SSID]
        # set broadcast-ssid disable
        # end
          
          
         '''NOTE''' Die existierende Option "broadcast-suppress" unter der SSID steht nicht im Zusammenhang mit "broadcast-ssid".
         Sobald der FortiAccess Point über "Authorize" Authorisiert wurde führt der Forti Access Point ein Neustart aus. Nach ein bis
            Diese Option verhindert das ARP und/oder DHCP broadcast nicht zu Forti Access Point's versendet werden die
         zwei Minuten erscheint dieser abermals jedoch nun mit dem korrekten Status sowie mit der zugewiesenen IPv4 Adresse des DHCP
            über die gleiche SSID verfügen!
         Servers:
 
=== Wieviele SSID kann ich auf einem Forti Access Point konfigurieren und betreiben? ===
 
Grundsätzlich gelten die "maximum values" für das entsprechende FortiOS. Weitere Informationen betreffend "maximum values" siehe nachfolgenden Link:
 
         [[FortiGate-5.0-5.2:FAQ#Wo_findet_ich_die_Dokumente_wie_Datasheets.2C_Quick_Start_Guide.2C_User_Guide_etc._.3F]]
 
In diesen "maximum values" sind zwei Werte gelistet:
 
        SSIDs                        Dieser Wert stellt das Maximum dar der SSID's die erfasst werden können!
         SSID lists per FortiAP      Dieser Wert stellt das Maximum dar der SSID's die auf einem Forti Access Point konfiguriert werden können!
          
          
         '''NOTE''' Dabei ist folgendes zu beachten: Wenn auf einem Forti Access Point die volle Anzahl der SSID's konfiguriert wird so entsteht durch
         [[Datei:Fortinet-1236.jpg]]
            den Traffic der SSID's selber eine hohe Belastung (zusätzliche Frames). Aus diesem Grund ist es nicht empfehlenswert mehr als 7 SSID's
            auf einem Forti Access Point zu konfigurieren. Die empfohlen Anzahl seitens Fortinet ist 4 SSID's


=== Kann ich auf einem Forti Access Point auf der SSID einen Filter setzen anhand MAC Adressen? ===
        <big>'''Forti Access Point Firmware Upgrade durchführen'''</big>
 
Unter FortiOS 4 MR3 konnte man anhand folgenden Befehls MAC Filter setzen:
 
        # config wireless-controller vap
        # edit [Name der SSID]
        # config mac-filter-list
        # edit 1
        # set mac [MAC Adresse]
        # set mac-filter-policy allow
        # next
        # end
        # end
 
Diese Funktion resp. Befehl exisitert unter FortiOS 5.0 / 5.2 nicht mehr. Dies bedeutet: die MAC Filter Funktion kommt der DHCP "MAC Address Controll List" gleich. In der "MAC Address Controll List" eines DHCP Server's können MAC Adressen folgendermassen konfiguriert werden:
 
        Reserve IP
        Assign IP
        Block
 
Die "MAC Address Controll List" kann innerhalb eines DHCP Server's der für die SSID existiert folgendermassen konfiguriert werden:
 
        # config system dhcp server
        # edit [Integer des entsprechenden DHCP Servers]
        # config reserved-address
        # edit [Gebe einen entsprechenden Integer an zB 1]
        # set ip [IPv4 Adresse]
        # set mac [MAC Adresse 00:00:00:00:00:00]
        # set action [assign | block | reserved]
        # end
        # end
          
          
         '''NOTE''' Dies bedeutet: Wird die "action" auf "block" gesetzt so ist dies das Standard Verhalten dh. es werden nur IP's vergeben
         Nach der Authorisierung des Forti Access Point sollte betreffend Firmware ein Upgrade durchgeführt werden. Dabei geben die
            für die eingetragenen MAC Adressen alle anderen Devices werden "geblockt"! Per Standard ist ein DHCP Server auf "assign"  
        Release Notes des jeweiligen FortiOS Release Auskunft über die Kompatibilität. Ebenso sind die "Upgrade Paths" der Forti Access
            gesetzt dh. er vergibt jedem Device eine IP.
        Point zu berücksichtigen dh. von welcher Version eines FortiOS für Forti Access Point kann ein Upgrade durchgeführt. Auch
 
        in diesem Fall geben die Release Notes für ein FortiOS für Forti Access Points Auskunft. Desweiteren ist folgender Artikel
Eine weitere Möglichkeit unter FortiOS 5.0 / 5.2 den Zugriff auf eine SSID einzuschränken ist die "device-access-list". Dies bedeutet: Anhand Art der Device's zB MAC, Android usw. und im Zusammenhang mit einer Firewall Policy Rule wird der Zugriff eingeschränkt. Um eine "device-access-list" zu konfigurieren führe folgendes durch:  
        dabei zu berücksichtigen:
 
          
        # config user device-access-list
         [[FortiAP:FAQ#Welches_FortiOS_soll_im_Zusammenhang_mit_FortiGate_Devices_und.2Foder_Forti_Access_Points_eingesetzt_werden.3F]]
        # edit [Name der Device Liste]
        # set default-action [ accept oder deny]
         # config device-list
         # edit [ID der Device Liste]
        # set action [ accept oder deny]
        # set device [Name des Devcies; Benütze ? um die Liste einzusehen]
        # end
        # end
 
Die Konfiguration der "device-access-list" kann ebenfalls über Mgmt. Web Interface durchgeführt werden:
 
        User & Device > Device > Device Definitions | Device Groups
 
Nachdem die "device-access-list" resp. Gruppen konfiguriert wurden können diese innerhalb der Firewall Policy Rule benützt werden:
 
        '''FortiOS 5.0'''
        Policy > Policy > Policy > [Wähle die entsprechende Policy] > Device Identiy
          
          
         '''FortiOS 5.2'''
         Ein Firmware Upgrade wird folgendermassen durchgeführt:
        Policy & Objects > Policy > IPv4 > [Wähle die entsprechende Policy] > Source Device Type
 
=== Kann ich einen Forti Access Point so konfigurieren das "Alle" Wireless Devices die er in seinem Wirkungsgrad erkennt auflistet (location tracking)? ===
 
Ein Forti Access Point kann mit folgenden Befehl in den "station-locate" gesetzt werden:
 
        # config wireless-controller wtp-profile
        # edit [Wähle das entsprechende Profil]
        # config radio-1
        # set station-locate enable
        # end
        # config radio-2
        # set station-locate enable
        # end
        # end
          
          
         '''NOTE''' Es müssen nicht beide Radios auf "station-locate enable" gesetzt werden! Wenn auf einem Radio "station-locate" benutzt
         WiFi Controller > Managed Access Points > [Wähle den entsprechenden Eintrag] > [Rechte Maustaste Edit]
            wird beeinträchtigt dies nicht die vorhandene Konfiguration bestehender SSID!
 
Wenn diese Option benutzt wird, listet der Forti Access Point alle Devices die er in seinem Wirkungsgrad kennt auf mit folgenden Informationen:
 
        MAC Adressen
        Wireless Abhängige Informationen
 
Es dauert einige Zeit bis die Informationen abrufbar sind dh. folgender Befehl kann benutzt werden um nachträglich die Informationen einzusehen:
 
        # diagnose wireless wlac -c sta-locate
          
          
         sta_mac              vfid  rid base_mac          freq_lst  frm_cnt  frm_fst frm_last    intv_sum    intv2_sum    intv3_sum intv_min intv_max  signal_sum  signal2_sum  signal3_sum  sig_min  sig_max  sig_fst sig_last  ap
         [[Datei:Fortinet-1237.jpg]]
        00:24:d7:e2:ea:08      0
        FAP22B3U11011877      0    0 00:09:0f:f9:29:22    5220        3      164      44          120        7200      432000      59      60        -246        20190    -1658532      -85      -79      -79      -85    0
          
          
         04:54:53:dd:84:1c      0
         [[Datei:Fortinet-1238.jpg]]
        FAP22B3U11011877      0    0 00:09:0f:f9:29:22    5220        5      163      40          123        6410      366066        0      64        -406        32974    -2678584      -82      -79      -81      -82    0
          
          
         04:f7:e4:40:4d:f9      0
         [[Datei:Fortinet-1239.jpg]]
        FAP22B3U11011877      0    0 00:09:0f:f9:29:22    5220      41      188      25          162        3288        86679        0      32        -3095      233737    -17659835      -79      -74      -74      -76    0
     
        '''NOTE''' Das Format das durch "sta-locate" produziert wird ist in der Form, dass es durch den "Euclid Analytics Service"
            erkannt wird! Weitere Informationen dazu siehe:
         
            http://euclidanalytics.com/products/technology/
 
Um die gesammelten Daten zu löschen für die Funktion "station-locate" führe folgenden Befehl aus:
 
        # diagnose wireless wlac -c sta-locate reset
          
          
         '''NOTE''' Weitere Informationen betreffend dem Troubleshooting Kommando "diagnose wireless" siehe nachfolgenden Artikel:
         Nach dem Upgrade des Forti Access Point wird wiederum ein Neustart des Forti Access Point ausgeführt. Es wird empfohlen auf  
           
        dem FortiAccess Point nach dem Upgrade (nur bei initial Installation) ein Factory Reset durchzuführen. Dieses kann über die  
            [[FortiAP:FAQ#Welche_Troubleshooting_Kommandos_.28diagnose.29_stehen_auf_dem_Wireless_Controller_einer_FortiGate_zur_Verf.C3.BCgung.3F]]
        Kommandozeile CLI oder über Web Mgmt. Interface der FortiGate durchgeführt werden:
 
       
=== Kann ich einen Forti Access Point so konfigurieren, dass dessen SSID den gleichen IP Range benutzt wir im LAN? ===
         # config wireless-controller wtp
 
        # get
Eine FortiGate kontrolliert per Standard die Konfiguration der Interfaces betreffend "subnet-overlap". Dies bedeutet: es kann keine Ueberschneidung von IP Range's/Subnet auf Interface's konfiguriert werden. Per Standard ist folgende Option auf disable gesetzt und verhindert ein "subnet-overlap"
       
 
        Danach werden alle zur Verfügung stehenden Forti Access Point mit deren Serien Nummer aufgelistet:
      # config system settings
       
      # set allow-subnet-overlap [enable | disable]
         # edit [Serien Nummer des entsprechendne FortiAccess Point zB "FAP22B3U11011877"]
      # end
         # set login-enable enable
 
Wenn dennoch auf Komandozeile ein "subnet-overlap" konfiguriert wird kommt es zu einer Fehlermeldung:
 
      Subnets overlap between 'port1' and the primary IP of 'port1'
      object set operator error, -54 discard the setting
     
      oder
     
      IP address is in same subnet as the others.
 
Eine SSID auf der ein IP konfiguriert wird, ist im technischen Sinne und aus Sicht der FortiGate nichts anderes als ein Interface! Möchte man zB die "Internal" SSID in den gleichen IP Range verschieben wie LAN resp. "inernal" Interface der FortiGate, ist dies nicht möglich da "allow-subnet-overlap" dies verhindert. Wenn der Traffic der SSID "Internal" über den CAPWAP zur FortiGate übermittelt wird, macht es keinen Sinn den gleichen IP Range/Subnet zu benützen wie das "internal" Interface. Nichts desto trotz kann "allow-subnet-overlap" auf enable gesetzt werden und somit ein "subnet-overlap" erlaubt werden. Dies ist jedoch nicht zu empfehlen da eine "loop" Gefahr besteht!
 
=== Kann ich bei einem Forti Access Point die LED's deaktivieren damit diese bei Gebrauch nicht mehr blinken? ===
 
Ab FortiOS 5.2.3 ist dies möglich und wird benützt um die Forti Access Point möglich dezent erscheinen zu lassen. Wenn die "LED" auf einem Forti Access Point deaktiviert werden sollen muss das im entsprechenden Forti Access Point Profile über Komandozeile durchgeführt werden:
 
         # config wireless-controller wtp-profile
         # edit [Name des entsprechenden Profiles]
         # set led-state [enable|disable]
        # end
         # end
         # end
       
        Danach kann über den FortiGate Wireless Controller resp. über die CLI des FortiGate Device eine "telnet" Verbindung anhand der
        IPv4 Adresse des Forti Access Point eine Verbindung erstellt werden. Um auf CLI herauszufinden welche IPv4 Adresse durch den
        Forti Access Point benutzt wird siehe nachfolgenden Artikel:
       
        [[FortiAP:FAQ#Wie_finde_ich_.C3.BCber_den_FortiGate_Wireless_Controller_heraus_mit_welcher_IPv4_Adresse_ein_Forti_Access_Point_verbunden_ist.3F]]:
       
        # exec telnet [IPv4 Adresse des FortiAccess Point; Ersichtlich über "Manage FortiAP's"]
        FAP22B3U11011877 login: admin
       
        BusyBox v1.01 (2012.07.16-18:39+0000) Built-in shell (ash)
        Enter 'help' for a list of built-in commands.
       
        Danach führe einen "factoryreset" durch dabei bleibt die neue Firmware des Forti Access Points erhalten:
       
        # cfg -x
        # reboot


Es ist dabei zu berücksichtigen, dass es auf dem Forti Access Point ebenfalls einen entsprechenden Befehl gibt dh. dieser lautet:
         <big>'''Konfiguriere der User Gruppen für SSID "only4also" sowie "also4guest"'''</big>
 
         # cfg -a LED_STATE=[0|1|2]
          
          
         '''NOTE''' Um die entsprechenden Wert zu setzen muss diese nachträglich mit "cfg -s" (comit to flash) geschrieben werden.
        User & Device > User > User Definition > Create New
            Die angegebenen Werte "[0|1|2]" habe folgende Bedeutung:
       
           
         '''User/Gruppe only4also'''
            0 = Die LED's sind aktiviert.
       
            1 = Die LED's sind deaktiviert.
        [[Datei:Fortinet-1240.jpg]]
            2 = Ob die LED's aktiviert und/oder deaktiviert sind wird über den Wirless Controller der FortiGate gesteuert.
       
           
        [[Datei:Fortinet-1241.jpg]]
            Per Standard ist der Wert auf "2" gesetzt dh. die Konfiguration über den Wireless Controller anhand der Option
       
            "led-state" aktiviert und/oder deaktiviert die LED's auf dem Forti Access Point. Werden die Werte "0" oder "1"
        [[Datei:Fortinet-1242.jpg]]
            gesetzt werden die Einstellung über den FortiGate Wireless Controller ignoriert!
       
 
        [[Datei:Fortinet-1243.jpg]]
=== Wie kann ich die automatische Registration eines Forti Access Point auf einem FortiGate Wireless Controller verhindert? ===
       
        [[Datei:Fortinet-1244.jpg]]
       
        User & Device > User > User Groups > Create New
       
        [[Datei:Fortinet-1245.jpg]]
       
        [[Datei:Fortinet-1246.jpg]]
       
        '''User/Gruppe also4guest'''
       
        [[Datei:Fortinet-1245.jpg]]
       
        [[Datei:Fortinet-1247.jpg]]
       
        Ueber diese als "Guest" definierte Gruppe kann anhand eines regulären Administrators der für "Guest" konfiguriert wurde auf
        der FortiGate sowie über "Guest Management" Web Interface die entsprechenden Ticket's/User zur Gruppe hinzugefügt werden:
       
        [[Datei:Fortinet-1248.jpg]]
       
        Möchte man für das "Guest Provisioning" nicht einen regulären Administrator benutzen sondern einen restriktiven Administrator
        der nur über Rechte verfügt für das "Guest Provisioning", kann dies folgendermassen konfiguriert werden:
       
        [[Datei:Fortinet-1249.jpg]]
       
        Dieser "Guest Provisioning" Adminstrator kann nachgräglich über das reguläre Admin Login des FortiGate Devices ein Login durchführen
        und die entsprechenden User/Ticket's erfassen. Weitere detailliert Informationen siehe nachfolgender Artikel:
       
        [[FortiAP:FAQ#Guest_Access]]


Wenn ein Forti Access Point in einem IP Segment der FortiGate in Betrieb genommen wird so benützt dieser Forti Access Point den "autodiscover" Modus um einen Wireless Controller zu finden. Ist auf dem FortiGate Device in diesem Segement und für das Interface "CAPWAP" aktiviert so antwortet der Wireless Controller einer FortiGate auf diese "CAPWAP" (UDP-5246) Anfragen. Dadurch erscheint unter den "Managed FortiAPs" im Mgmt. Web Interface der Forti Access Point. Danach kann der Forti Access Point durch "Authorized" Authorisiert werden. Wenn man jedoch dies aus irgendwelchen Gründen verhindern möchte, fragt sich wie diese "automatisch Registration" dh. das die Forti Access Point unter "Managed FortiAPs" erscheinen verhindert werden kann. Dazu gibt es verschiedenen Möglichkeiten/Konfiguration die durchgeführt werden können zB:
        <big>'''Konfiguriere der SSID "only4also" sowie "also4guest"'''</big>
       
        In den nachfolgenden Schritten werden die SSID's für "only4also" sowie "only4guest" konfiguriert. Dabei benützen wir für die "only4also"  
        SSID WPA/WPA2-Enterprise und für "also4guest" ein Captive Portal das die Gruppe des "Guest Provisioning" für die Authentifizierung nutzt.
        Für beide SSID's werden entsprechenden DHCP Server konfiguriert. Diese DHCP Server für die jeweilige SSID wird benutzt um den Client's
        eine entpsrechende IPv4 Adresse zu zuweisen:
       
        WiFi Controller > WiFi Network > Create New
       
        [[Datei:Fortinet-1250.jpg]]
       
        [[Datei:Fortinet-1251.jpg]]
       
        [[Datei:Fortinet-1252.jpg]]


         • Wenn über das Segment in dem sich die Forti Access Point keine "CAPWAP" Anfragen beantwortet werden sollen kann "CAPWAP" auf diesem
         Weitere Auskunft über die verschiedenen Konfigurationspunkt die in einer SSID enthalten sind gibt nachfolgender Artikel:
          Segment resp. Interface deaktiviert werden:
       
         
        [[FortiAP:FAQ#Konfiguration]]
          # config system interface
 
          # edit [Name des entsprechenden Interface zB "dmz"]
        <big>'''Konfiguriere des WTP Profile's für den Forti Access Point'''</big>
          # unselect capwap
       
          # end
        [[Datei:Fortinet-1253.jpg]]
       
        [[Datei:Fortinet-1254.jpg]]
        [[Datei:Fortinet-1255.jpg]]
       
        Betreffend "channels" im Zusammenhang mit DFS Support resp. welche "channels" aktiviert werden dürfen siehe nachfolgenden Artikel:
       
        [[FortiAP:FAQ#Was_bedeutet_es_wenn_ein_Forti_Access_Point_.C3.BCber_den_DFS_.28Dynamic_Frequency_Selection.29_Support_verf.C3.BCgt.3F]]


         • Wenn auf dem FortiGate Device keine Forti Access Point verwaltet/konfiguriert werden sollen, kann der FortiGate Wireless Controller
         <big>'''Konfiguriertes WTP Profile dem Forti Access Point hinzufügen'''</big>
          komplett deaktiviert werden:
       
         
        WiFi Controller > [WiFi Network] > [Managed Access Points] > Managed FortiAPs > [Wähle den entsprechenden Eintrag] > [Rechte Maustase Edit]
          # config system global
       
          # set wireless-controller [enable | disable]
        [[Datei:Fortinet-1256.jpg]]
          # end
       
        [[Datei:Fortinet-1257.jpg]]


         • Befinden sich im Segment verschiedenen Forti Access Point dh. solche die über den Wireless Controller der FortiGate verwaltet werden
         <big>'''Ersellen der Objekt für die Firewall Policy Rule für "only4also" sowie "also4guest"'''</big>
          sollen und solche die nicht über die FortiGate verwaltet werden sollen, müssen alle Forti Access Point die nicht über die FortiGate
       
          die das Segment zur Verfügung stellt, lokal so konfiguriert werden damit diese Anfragen zu einemn spezifischen Wireless Access Point
        Damit die Firewall Policy Rule erstellt werden können, erstellen wir im Zusammenhang mit den SSID's die entsprechenden Objekte:
          Controller senden und nicht im "autodiscovery" Modus (Broadcast, Multicast, Unicast). Dies wird erreich, in dem auf den entsprechenden  
       
          Forti Access Point Controller folgendes konfiguriert wird:
        Firewall Objects > Address > Address > Create New
         
       
          Verbinde dich per "telnet" auf den Forti Access Point Controller. Wie dies durchzuführen ist siehe nachfolgender Artikel:
        [[Datei:Fortinet-1258.jpg]]
         
       
          [[FortiAP:FAQ#Wie_kann_ich_per_Telnet_auf_einen_Forti_Access_Point_zugreifen_wenn_der_Access_Point_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F]]
        [[Datei:Fortinet-1259.jpg]]
         
       
          Ausgehend davon das "telnet" Zugriff auf einem Forti Access Point aktiviert ist, kann anhand eines CLI "Widgets" über das Mgmt. Web
        [[Datei:Fortinet-1258.jpg]]
          Interface auf den Forti Access Point zugegriffen werden. Dazu wähle:
       
         
        [[Datei:Fortinet-1260.jpg]]
          WiFi Controller > Managed Access Points > Managed FortiAPs > [Markiere den entsprechenden Forti Access Point] > [Rechte Maustaste "CLI"]
         
          Danach muss folgendes konfiguriert werden um den Forti Access Point so zu konfigurieren, dass dieser "statisch" nur noch Anfragen zu
          einem bestimmten FortiGate Wireless Controller anhand dessen IPv Adresse sendet:
         
          # cfg -a AC_IPADDR_1=[IP Adresse des FortiGate WiFi Controllers]
          # cfg -c
          # cfg -s
         
          Für "failover" Zwecke stehen bis zu 3 "AC_IPADDR" zur Verfügung. Um die Anfragen "statisch" durchzuführen dh. nicht mehr per Broadcast,
          Multicast sowie Unicast konfiguriere folgendes:
         
          # cfg -a AC_DISCOVERY_TYPE=1
          # cfg -c
          # cfg -s


         • Unter FortiOS 5.4 gibt es eine weitere Möglichkeit die "automatische" Registrierung zu verhindern dh. durch nachfolgenden Befehl wird
         <big>'''Konfigurieren der Firewall Policy Rule für "only4also" sowie "also4guest"'''</big>
          keine "automtische" Registrierung mehr ausgeführt. Die Funktion wird komplett deaktiviert:
       
         
        Nun können die Firewall Policy Rule's implementiert werden dh. für "only4also" SSID sowie für "also4guest":
          # config system interface
       
          # edit [Name des entsprechenden Interfaces zB "dmz"]
        Policy > Policy > Policy > Create New
          # set ap-discover [enable | disable]
       
          # end
        '''"only4also Firewall Policy Rule"'''
         
       
          Wird diese Funktion "ap-discover" deaktiviert, können Forti Access Point nur noch Registriert werden, und erscheinen unter "Managed FortiAPs",
        [[Datei:Fortinet-1261.jpg]]
          wenn diese vorgängig anhand der Serien Nummer Registriert werden. Dies wird folgendermassen durchgeführt:
       
         
        [[Datei:Fortinet-1262.jpg]]
          WiFi Controller > Managed FortiAPs > Create New > [Gebe die entsprechende Serien Nummer ein des FortiAP]
       
         
        [[Datei:Fortinet-1261.jpg]]
          In diesem Zuge kann bereits ein entsprechendes WTP Profile zum Forti Access Point hinzugefügt werden. Bringt man den entsprechenden Forti
       
          Access Point in dem Segment "online" in dem "CAPWAP" für das entsprechenden FortiGate Interface aktiviert wurde, wird dieser Forti Access
        [[Datei:Fortinet-1263.jpg]]
          Point automatisch "Authorized" mit dem zugewiesenen WTP Profile. Möchte man dies auf der Kommandozeile durchführen führe folgendes durch:
       
         
        '''"also4guest Firewall Policy Rule"'''
          # config wireless-controller wtp
       
          # edit [Serien Nummer des Forti Access Point]
        [[Datei:Fortinet-1261.jpg]]
          # set name [Name des Forti Access Point zB "FAP-221C-1-UG"]
       
          # set wtp-profile [Gebe ein entsprechendes vorhandenes WTP Profile an]
        [[Datei:Fortinet-1264.jpg]]
          # end


== Upgrade ==
Sofern gewünscht können für die Firewall Policies wie gewohnt die entsprechenden UTM Features resp. Security Profiles konfiguriert werden.


=== Wie kann ich für ein Forti Access Point betreffend Firmware ein Upgrade durchführen? ===
== Setup ==


Bevor ein Upgrade betreffend FortiAP Firmware durchgeführt wird, sollte man verifizieren welche Firmware Version (FortiOS) benutzt werden soll und welche Auswirkungen dies mit sich bringt. Weitere Informationen zu diesem Thema findet man im nachfolgenden Artikel:
=== Wie kann ich per "telnet" auf einen Forti Access Point verbinden wenn dieser über keinen Consolen Port verfügt? ===


        [[FortiAP:FAQ#Welche_Firmware_sollte_auf_einer_FortiGate_und.2Foder_FortiAP_eingesetzt_werden.3F]]
Wenn ein Forti Access Point zB FAP-21D über keinen Consolen Port verfügt kann man dennoch über "telnet" auf den Forti Access Point zugreifen um zB ein "debug" auszuführen oder eine lokale Konfiguration auf dem Forti Access Point durchzuführen. Die Funktion "telnet" muss vorgängig auf dem Fortigate Wireless Controller freigeschaltet werden. Dies bedeutet: ein direkter Zugriff per "telnet" auf den Forti Access Point ist nicht möglich. Der Zugriff eines "telnet" erfolgt über die Fortigate CLI oder über das Mgmt. Web Interface der FortiGate anhand des CLI Funktion für einen Forti Access Point. Um die Funktion für "telnet" freizuschalten auf dem FortiGate Wirless Controller kann dies entweder für FortiOS 5.0/5.2 sowie 5.4 für einen Forti Access Point erfolgen oder unter FortiOS 5.4 für ein WTP Profile. Um "telnet" für einen Forti Access Point zu aktivieren führe ein Login durch auf der Fortigate per SSH/Telnet oder Consolen Port ein und führe folgendes durch:


Wenn verifiziert worden ist welche Firmware Version eingesetzt werden soll stehen verschiedenen Möglichkeiten zur Verfügung dies durchzuführen:
        '''Aktiviere "telnet" und/oder "http" im WTP Profile (FortiOS 5.4)'''
       
        # config wireless-controller wtp-profile
        # edit [Gebe das entsprechende WTP Profile an]
        # set allowaccess [telnet | http]
        # end
       
        Das entsprechende WTP Profile muss nun dem entsprechenden Forti Access Point zugewiesen sein damit
        die Aktivierung von "telnet" und/oder "http" erfolgt. Danach kann über folgende Position eine CLI
        geöffnet werden:
       
        WiFi Controller > Managed FortiAPs > [Markiere den entsprechenden Forti Access Point] > [Rechte Maustaste] > Edit in CLI
       
        Wenn der Zugriff für "telnet" über den FortiGate Wireless Controller resp. CLI erfolgen soll muss
        und die entsprechende IP des Forti Access Point umbekannt ist siehe nachfolgender Absatz für FortiOS
        5.0/5.2.


        <big>'''Firmeware Upgrade über den FortiGate WiFi Controller'''</big>
        '''Aktiviere "telnet" im WTP(FortiOS 5.0/5.2)'''
       
       
        WiFi Controller > Managed Access Points > [Wähle den entsprechenden Eintrag] > [Rechte Maustaste Edit]
        Ueberprüfe über "wtp" welche Forti Access Points existieren:
       
       
        [[Datei:Fortinet-1237.jpg]]
        # config wireless-controller wtp
       
        # get
        [[Datei:Fortinet-1238.jpg]]
        == [ FAP14C3X13000543 ]
       
        wtp-id: FAP14C3X13000543   
        [[Datei:Fortinet-1239.jpg]]
        == [ FP221C3X14001296 ]
        wtp-id: FP221C3X14001296   
        == [ FAP21D3U14000144 ]
        wtp-id: FAP21D3U14000144   
        == [ FAP24D3X14000101 ]
        wtp-id: FAP24D3X14000101   
        # end


        <big>'''Firmeware Upgrade über FortiAccess Point anhand CLI und TFTP Server'''</big>
        Ueberprüfe über "diagnose wireless" welche IP ein bestimmter Access Points benutzt:
       
       
        # restore [Name des Images für die Firmware] [IP Adresse des TFTP Servers]
        # diagnose wireless wlac -c wtp [Gebe den entsprechenden Forti Access Point an]
       
        -------------------------------WTP    1----------------------------
        '''NOTE''' Um den Befehl "restore" auszuführen benötigt man entweder einen Forti Access Point mit Consolen Anschluss oder Telnet Zugriff.
        WTP vd               : root
              Der Telnet Zugriff ist auf jedenfall Möglich dh. wie man diesen Konfiguriert für einen Forti Access Point siehe nachfolgenden
            vfid            : 0
               Artikel:
            id               : FAP21D3U14000144
             
            mgmt_vlanid      : 0
               [[FortiAP:FAQ#Wie_kann_ich_per_Telnet_auf_einen_Forti_Access_Point_zugreifen_wenn_der_Access_Point_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F]]
            region code      : E
 
            regcode status  : valid
        <big>'''Firmeware Upgrade über FortiAccess Point Web Mgmt. Interface'''</big>
            refcnt          : 3 own(1) wtpprof(1) ws(1)
       
            plain_ctl        : disabled
        Das Web Mgmt. Interface einer FortiGate ist -sofern dies die Firewall Policy Rule erlaubt wird- über dessen IP zugänglich. Dabei ist
            deleted         : no
        zu berücksichtigen, dass dies in der entsprechenden Konfiguration auf der FortiGate erlaubt wird. Der Konfigurationspunkt der dies
            admin            : enable
         steuert ist der Folgende:
            cfg-wtp-profile  : FAP-04
       
            override-profile : disabled
        '''NOTE''' Wenn das Firmware Upgrade des Forti Access Point lokal über seine Default IP durchgeführt werden soll siehe
            oper-wtp-profile : FAP-04
              nachfolgenden Artikel:
            wtp-mode        : remote
             
            name            : Remote Access Point FAP-21D
              [[FortiAP:FAQ#Was_ist_die_Default_IP_f.C3.BCr_einen_FortiAP_und_wie_kann_ich_mich_auf_diese_IP_verbinden.3F]]
            location        : Remote FAP-04 local-sg0e0
       
            led-state        : enabled
        # config wireless-controller wtp
            ip-frag-prevent  : TCP_MSS
        # edit [Serien Nummer des FortiAccess Point zB FAP22B3U11011877]
            tun-mtu         : 1492,1492
        # set login-enable enable
            split-tunneling-local-ap-subnet  : disabled
        # end
            active sw ver    : FAP21D-v5.2-build0234
        # exec telnet [IP des FortiAccess Point; Ersichtlich über "Manage FortiAP's"]
            local IPv4 addr  : 193.193.135.71
        FAP22B3U11011877 login: admin
            board mac        : 08:5b:0e:97:23:0c
       
            join_time        : Thu Apr 23 08:03:43 2015
        '''NOTE''' Um auf CLI herauszufinden "welche" IP benutzt werden muss über "telnet" um sich auf den entsprechenden Forti Access Point zu verbinden
            mesh-uplink      : ethernet
            siehe nachfolgenden Artikel:
            mesh hop count  : 0
           
            parent wtp id    :  
            [[FortiAP:FAQ#Wie_finde_ich_heraus_mit_welcher_IP_der_Forti_Access_Point_mit_dem_Wireless_Controller_verbunden_ist.3F]]
            connection state : Connected
          
            image download progress: 0
        # cfg -a HTTP_ALLOW_DFLT=1
            last failure    : 15 -- ECHO REQ is missing
        # cfg -c
            last failure param: N/A
       
            last failure time: Thu Apr 23 08:03:02 2015
        [[Datei:Fortinet-1265.jpg]]
            station info    : 0/0
 
            geo              : World (0)
        <big>'''Bulk Firmeware Upgrade über den FortiGate WiFi Controller anhand CLI und TFTP Server'''</big>
            LAN              :
       
                    rId    : 1
        Weitere Informationen dazu siehe nachfolgender Artikel:
                    cnt    : 1
       
                    port 1  : mode BR-TO-SSID(3)  ssid fortinet4intern         
        [[FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_mehrere_Forti_Access_Point.27s_ein_Bulk_Firmeware_Upgrade_durchf.C3.BChren.3F]]
           Radio 1            : Disabled
 
          Radio 2            : Virtual Lan AP
=== Wie kann ich für mehrere Forti Access Point's ein Bulk Firmeware Upgrade durchführen? ===
            max vaps         : 0
 
            base bssid      : 00:00:00:00:00:00
Wenn in einer Umgebung mit mehreren Forti Access Points ein Firmware Upgrade durchgeführt werden soll kann dies anhand eines Bulk Upgrade durchgeführt werden. Dies bedeutet anhand einer Firmeware die für spezifische Forti Access Point's auf den WiFi Controller geladen werden, werden alle pezifischen Forti Access Point angewiesen sich vom WiFi Controller diese Firmeware runterzuladen und ein Upgrade durchzuführen. Folgende Vorraussetzungen sollten gegeben sein:
            station info    : 0/0
 
          Radio 3            : Not Exist
        • Verifizierung der eingesetzten Firmeware und der neuen Firmware. Siehe dazu auch folgender Artikel:
         -------------------------------Total    1 WTPs----------------------------
       
               
          [[FortiAP:FAQ#Welche_Firmware_sollte_auf_einer_FortiGate_und.2Foder_FortiAP_eingesetzt_werden.3F]])
         Editiere den entsprechenden Forti Access Point auf dem "telnet" freigeschaltet werden soll und aktiviere den Zugriff:
 
        • Installierter TFTP Server im Netz und für alle Forti Access Point's erreichbar:
         
           SolarWinTFTP Server http://www.solarwinds.com/products/freetools/free_TFTP_server.aspx
 
Wenn die Vorraussetzungen gegen sind führe folgendes durch:
 
         • Lade das entsprechende Image für das Upgrade in das Root Verzeichnis des TFTP Servers.
       
        • Führe auf der FortiGate Kommandozeile folgendes aus:
       
         # execute wireless-controller upload-wtp-image tftp [Image Name FortiAP's Image] [IP Adresse des TFTP Servers]
       
         '''NOTE''' Pro Bulk Update kann nur ein Image eines spezifischen Forti Access Point Modell's auf den WiFi Controller geladen werden.
            Das Kommando "execute wireless-controller upload-wtp-image" ladet das spezifische Image auf den WiFi Controller. Mit dem
            nachfolgenden Kommando lässt sich dieser Vorgang verifizieren:
           
            # execute wireless-controller list-wtp-image
          
          
         Wenn die Verifizierung durchgeführt wurde kann mit nachfolgenden Kommando das Upgrade ausgeführt werden. Dies bedeutet: Durch
         # config wireless-controller wtp
         das nachfolgende Kommando werden die Forti Access Points angewiesen sich das Image auf dem WiFi Controller runter zu laden und
         # edit [WTP ID resp. Serien Nummer des entsprechenden Forti Access Point]
         das Upgrade durchzuführen.
         # set login-enable enable
        # end
          
          
         # execute wireless-controller reset-wtp [Gebe an "all" oder die Serien Nummern]
         Für FortiOS 5.4 existiert dieses Kommando "login-enable" nicht mehr. Ein Zugriff für "telnet" und/oder "http" kann
        dennoch über "wtp" für einen entsprechenden Forti Access Point freigeschaltet werden und wird folgendermassen
        durchgeführt:
          
          
         '''NOTE''' Um die verschiedenen Serien Nummern auf dem Wireless Controller aufzulisten kann folgender Befehl benutzt werden:
         # config wireless-controller wtp
           
        # edit [WTP ID resp. Serien Nummer des entsprechenden Forti Access Point]
            # config wireless-controller wtp
        # set override-allowaccess [enable | disable]
            # get
        # set allowaccess [telnet | http]
        # end
       
        Durch diese Konfiguration wird ein Neustart des Forti Access Point durchgeführt!
       
        Teste den Zugriff per Telnet auf den entsprechenden Access Point:
       
        # exec telnet 193.193.135.71
        FAP22B3U11011877 login: admin
          
          
         Nach einem erfolgreichen Upgrade kann das spezifische Image vom WiFi Controller gelöscht werden:
         BusyBox v1.01 (2012.07.16-18:39+0000) Built-in shell (ash)
        Enter 'help' for a list of built-in commands.
          
          
         # execute wireless-controller delete-wtp-image
         #


=== Kann ich einen Forti Access Point basierend auf Firmeware 5.2 anhand eines "Downgrade's" mit Firmeware 5.0.x laden? ===
Wie schon erwähnt gibt es neu ab FortiOS 5.2 die Möglichkeit über Web Mgmt. Interface anhand des entsprechenden Forti Access Point Eintrages eine CLI anhand eines Pop-Up zu öffnen. Die Vorraussetzung damit dies ermöglicht wird, ist die Option "set login-enable enable" oder für FortiOS 5.4 "override-allowaccess" und/oder innerhalb eines WTP Profiles "allowaccess". Werden diese Optionen für einen Zugriff über "telnet" nicht aktiviert sei es für FortiOS 5.0/5.2 sowie für 5.4, steht der entsprechende Menüeintrag "Connect to CLI" nicht zur Verfügung. Um über Web Mgmt. Interface eine CLI auf den Forti Access Point zu öffnen führe folgendes aus:


Grundsätzlich ja dh. alle Forti Access Point's können anhand eines Downgrades von 5.2 (ab FortiOS 5.2.3 nicht mehr möglich gemäss Release Notes) auf 5.0.x gebracht werden mit einer Ausnahme:
        WiFi Controller > [WiFi Network] > [Managed Access Points] > Managed FortiAPs > [Wähle den entsprechenden Eintrag] > [Rechter Mausklick] > [Connect to CLI]


         Der FAP-221 der den neuen Standard 802.11ac unterstützt ist Hardware basierend nur 5.2 kompatibel dh. durch einen Fix im Bios wird
         [[Datei:Fortinet-1292.jpg]]
        "verunmöglicht" diesen Forti Access Point mit 5.0.x "downzugraden", wenn der FAP-221C auf Stand 5.2 build 0212 (4090) sich befindet.


Es muss dabei berücksichtigt werden, dass FortiOS 5.2 basierende Forti Access Point's mit FortiGate's basiernd auf FortiOS 5.0.9 und/oder 5.2 betrieben werden können. Nachfolgender Link gibt detaillierte Auskunft welche Versionen basiernd auf FortiGate 5.0 und/oder 5.2 eingesetzt werden können.
        [[Datei:Fortinet-1293.jpg]]


        [[FortiAP:FAQ#Welche_Firmware_sollte_auf_einer_FortiGate_und.2Foder_FortiAP_eingesetzt_werden.3F]]
=== Was ist die Default IPv4 Adresse für einen Forti Access Point und wie kann ich mich auf diese IPv Adresse verbinden? ===


== Backup ==
Wenn ein Forti Access Point gestartet wird, reagiert auf Netzwerkebene der Forti Access Point folgendermassen:


=== Kann ich von einer Forti Access Point Konfiguration ein Backup erstellen? ===
        • Der Forti Access Point sendet einen DHCP Anfrage in das Segment! Wird diese DHCP Anfrage beantwortet wird das
          "wan" Interface des Forti Access Point anhand der Informationen des DHCP Server konfiguriert!


Ein Backup eines Forti Access Point's kann über Web Mgmt. Interface des Forti Access Point's durchgeführt werden sowie über CLI. Bei einem Backup über Web Mgmt. Interface wird im Hintergrund folgender Befehl ausgeführt:
        • Beantwortet "Kein" DHCP Server die Anfrage des Forti Access Point so wird auf dem Interface des Forti Access  
          Points die "default" IPv4 Adresse konfiguriert:
         
          192.168.1.2/24


        <big>'''Backup der Forti Access Point Konfiguration über CLI'''</big>
Somit kann man sich auf einen Forti Access Point folgendermassen verbinden sofern der Forti Access Point betreffend Netzwerk Interface nicht auf "Static" konfiguriert ist (Standard DHCP):
       
        # cfg -e
        BAUD_RATE=9600
        ADMIN_TIMEOUT=5
        AP_IPADDR=192.168.1.2
        AP_NETMASK=255.255.255.0
        IPGW=192.168.1.1
        AP_MODE=0
        DNS_SERVER=208.91.112.53
        AP_MGMT_VLAN_ID=0
        ADDR_MODE=DHCP
        STP_MODE=0
        TELNET_ALLOW=1
        HTTP_ALLOW=1
        AC_DISCOVERY_TYPE=0
        AC_IPADDR_1=192.168.1.1
        AC_HOSTNAME_1=_capwap-control._udp.example.com
        AC_CTL_PORT=5246
        AC_DISCOVERY_MC_ADDR=224.0.1.140
        AC_DISCOVERY_DHCP_OPTION_CODE=138
        AC_DATA_CHAN_SEC=2
        MESH_AP_TYPE=0
        MESH_AP_SSID=fortinet.mesh.root
        MESH_AP_BSSID=
        MESH_AP_PASSWD=fortinet.mesh.root
        MESH_ETH_BRIDGE=0
        MESH_MAX_HOPS=4
        MESH_SCORE_HOP_WEIGHT=50
        MESH_SCORE_CHAN_WEIGHT=1
        MESH_SCORE_RATE_WEIGHT=1
        MESH_SCORE_BAND_WEIGHT=100
        MESH_SCORE_RSSI_WEIGHT=100


         <big>'''Backup der Forti Access Point Konfiguration über Web Mgmt. Interface'''</big>
         1. Konfigruiere eine Workstation/Laptop mit folgender IP (Kein Default Gateway):
          
         
         Das Web Mgmt. Interface einer FortiGate ist -sofern dies die Firewall Policy Rule erlaubt wird- über dessen IP zugänglich. Dabei ist
          192.168.1.1 255.255.255.0
         zu berücksichtigen, dass dies in der entsprechenden Konfiguration auf der FortiGate erlaubt wird. Der Konfigurationspunkt der dies
         
         steuert ist der Folgende:
        2. Verbinde den FortiAP mit der Workstation/Laptop anhand eines RJ-45 Kabel (nicht gekreuzt)
         
        3. Starte den FortiAP und nach 1 - 2 Minuten kann auf den FortiAP anhand eines Browser zugegriffen werden (Username "admin"; Kein Passwort):
         
          http://192.168.1.2
 
Möchte man sich auf den Forti Access Point verbinden jedoch wurde das Interface auf "Static" konfiguriert und die IP Adresse ist nicht mehr bekannt, kann jeder FortiAP anhand des "reset buttons" auf Factory Defaults gesetzt werden. Weitere Informationen wo sich der "reset button" bei den verschiedenen Modellen befindet, kann aus dem entsprechenden "Quickstart Guide" entnommen werden. Dazu siehe nachfolgenden Artikel:
 
            [[Fortinet:ProduktInfo#FortiAP]]
 
=== Wie kann ich auf einem Forti Access Point für das Netzwerk Interface eine statische IPv4 Adresse konfigurieren? ===
 
Wenn man einen Forti Access Point manuell dh. mit einer statischen IPv4 Adressen konfigurieren möchte so kann dies über CLI sowie über das Mgmt. Web Interface durchgeführt werden. Um die Konfiguration durchzuführen muss auf die Standard IPv4 Adresse des Forti Access Point's zugegriffen werden. Wie dies durchzuführen ist siehe nachfolgender Artikel:
 
         [[FortiAP:FAQ#Was_ist_die_Default_IPv4_Adresse_f.C3.BCr_einen_Forti_Access_Point_und_wie_kann_ich_mich_auf_diese_IPv_Adresse_verbinden.3F]]
 
Um die Konfiguration einer statischen IPv4 Adresse über Mgmt. Web Interface des Forti Access Point durchzuführen gebe folgende Adresse in den Browser ein:
 
         http://192.168.1.2
 
Danach kann über das Mgmt. Web Interface die Konfiguration durchgeführt werden. Um die Konfiguration einer statischen IPv4 Adresse für den Forti Access Point auf CLI durchzuführen muss "telnet" Zugriff für den Forti Access Point aktiviert werden. Die Aktivierung für den "telnet" Zugriff kann über das Mgmt. Web Interface durchgeführt werden. Um nachträglich die Konfiguraiton auf der CLI des Forti Access Point durchzuführen gebe folgendes ein:
 
        # cfg –a AP_IPADDR=[Gebe eine enstprechende IPv Adresse an zB "192.168.1.2"]
        # cfg –a ADDR_MODE=STATIC
        # cfg –a AP_NETMASK=[Gebe die entsprechende Subnet Mask ein für die IPv ADresse zB "255.255.255.0"]
        # cfg -a DNS_SERVER=[DNS Server IPv4 Adresse]
        # cfg -c
 
Um die entsprechende Konfiguration nachträglich zu überprüfen gebe folgendes ein:
 
      # cfg -s
      AP_IPADDR:=192.168.1.2
      AP_NETMASK:=255.255.255.0
      IPGW:=192.168.1.1
      ADDR_MODE:=DHCP
      TELNET_ALLOW:=0
      AC_DISCOVERY_TYPE:=0
      AC_IPADDR_1:=192.168.1.1
      AC_CTL_PORT:=5246
      AC_DISCOVERY_MC_ADDR:=224.0.1.140
      AC_DISCOVERY_DHCP_OPTION_CODE:=138
 
Weitere lokale Konfigurations Möglichkeiten auf dem Forti Access Point können anhand des folgenden Befehls aufgelistet werden:
 
         # cfg -h
 
=== Wie kann ich die FortiGate Wireless Controller IPv4 Adresse für einen Forti Access Point über DHCP Server zuweisen? ===
 
Wenn einem Forti Access Point dessen FortiGate Wireless Controller IPv4 Adresse über DHCP Server zugewiesen werden soll kann dies über die DHCP Option "138" durchgeführt werden. Dies bedeutet: Wenn für die diese IPv4 Adresse des FortiGate Wireless Controllers ein bestehender DHCP Server benutzt wird muss in diesem die IPv4 Adresse als Option "138" gesetzt werden sowie auf dem entsprechenden Forti Access Point verifiziert werden ob diese Option "138" korrekt gesetzt ist. Dies wird lokal auf der CLI des Forti Access Point durchgeführt:
 
         '''Auslesen der momentaner Netzwerk Konfig:'''
          
          
         '''NOTE''' Wenn das Backup des Forti Access Point lokal über seine Default IP durchgeführt werden soll siehe
        # cfg -s
            nachfolgenden Artikel:
 
           
         '''Konfiguration der DHCP Option:'''
            FortiAP:FAQ#Was_ist_die_Default_IP_f.C3.BCr_einen_FortiAP_und_wie_kann_ich_mich_auf_diese_IP_verbinden.3F
          
          
         # config wireless-controller wtp
        # cfg -a AC_DISCOVERY_DHCP_OPTION_CODE=138
         # edit [Serien Nummer des FortiAccess Point zB FAP22B3U11011877]
        # cfg -c
         # set login-enable enable
 
Unter normalen Umständen empfehlen wir den DHCP Server auf dem FortiGate Device zu benutzen. Dadurch muss die Option "138" nicht gesetzt werden, denn im DHCP Server auf dem FortiGate Device kann anhand "wifi-ac1" die IPv4 Adresse des FortiGate Wireless Controller direkt konfiguriert werden. Zu "failover" Zwecken stehen 3 "wifi-ac" zur Verfügung. In diesem Zuge empfehlen wir ebenfalls die Konfiguration des DNS Server IPv4 Adresse sowie die IPv4 Adresse des NTP Servers:
 
         # config system dhcp server
         # edit [Gebe den Integer an des entsprechenden DHCP Servers]
        # set dns-service [local | default | specify]
        # set dns-server1 [IPv4-Adresse für DNS Server 1]
        # set dns-server2 [IPv4-Adresse für DNS Server 2]
        # set dns-server3 [IPv4-Adresse für DNS Server 3]
        # set wifi-ac1 [IPv4-Adresse für Wireless Controller 1]
         # set wifi-ac2 [IPv4-Adresse für Wireless Controller 2]
        # set wifi-ac3 [IPv4-Adresse für Wireless Controller 3]
        # set ntp-service [local | default | specify]
        # set ntp-server1 [IPv4-Adresse für NTP Time Server 1]
        # set ntp-server2 [IPv4-Adresse für NTP Time Server 1]
        # set ntp-server3 [IPv4-Adresse für NTP Time Server 1]
         # end
         # end
         # exec telnet [IP des FortiAccess Point; Ersichtlich über "Manage FortiAP's"]
 
         FAP22B3U11011877 login: admin
Nachträglich kann die Konfiguration resp. die Zuweisung der IPv4 Adresse über Kommandozeile auf dem Forti Access Point folgendermassen kontrolliert werden:
 
         # cw_diag -c wtp-cfg
 
=== Wie kann ich auf einem Forti Access Point auf einer SSID eine "MAC Reservation + Access Control" Konfigurieren? ===
 
Eine "MAC Reservation + Access Control" kann unter FortiOS 5.0/5.2 sowie 5.4 innerhalb des DHCP Servers, der für die SSID aktiviert wird, konfiguriert werden. Dies ist jedoch nur dann möglich, wenn die entsprechende SSID im "tunneling" Mode ist und nicht für "local bridge" konfiguriert wurde, da im Bridge Mode kein DHCP Server aktiviert werden kann (local break-out). Die Konfiguration kann über Mgmt. Web Interface sowie auf CLI durchgeführt werden. Dabei ist folgendes Wichtig:
 
        Ein DHCP Server eines FortiOS ist per Standard im "assign" Mode und bedeutet: Jede Anfrage wird vom DHCP Server mit einer
        entsprechender IPv4 Adresse beantwortet. Möchte man nur Anfragen beantworten betreffend definierter MAC Adressen, muss der
        DHCP Server auf "block" gesetzt werden. Im Standard "assign" Mode stehen folgende Funktionen innerhalb des DHCP Servers für
         die IPv4 Adressse sowei MAC Adressen zur Verfügung:
          
          
         '''NOTE''' Um auf CLI herauszufinden "welche" IP benutzt werden muss über "telnet" um sich auf den entsprechenden Forti Access Point zu verbinden
         • Reserve IP
            siehe nachfolgenden Artikel:
        • Assign IP
           
        • Block
            [[FortiAP:FAQ#Wie_finde_ich_heraus_mit_welcher_IP_der_Forti_Access_Point_mit_dem_Wireless_Controller_verbunden_ist.3F]]
 
          
Möchte man die "MAC Reservation + Access Control" unter Mgmt. Web Interface konfigurieren, findet man die entsprechenden Optionen unter folgender Position:
         # cfg -a HTTP_ALLOW_DFLT=1
 
         # cfg -c
        WiFi Controller > WiFi Network > SSID > [Wähle die entsprechende SSID] > [DHCP Server] > [Addtional DHCP Options]
          
 
         Wenn der Zugang HTTP_ALLOW_DFLT aktiviert wurde kann über die zugewiesene IP des Forti Access Point per Browser verbunden werden. Danach
        [[Datei:Fortinet-1693.jpg]]
         kann ein manuelles Backup unter folgender Position ausgeführt werden:
 
          
        [[Datei:Fortinet-1694.jpg]]
         Status > System Configuration > Last Backup
 
          
Möchte man diese Konfiguration unter CLI durchführen, führe folgendes durch:
         Das Backup File ist clear-text und enthält die gleichen Positionen wie das Komando "cfg -e". Nachfolgend eine Legende die diese verschiedenen
 
         Positionen erläutert:
         # config system dhcp server
          
         # edit [Setze einen entsprechenden Integer zB "1"]
         WTP_NAME=FP221B3X12001413                                          [Hostname Forti Access Point]
         # set description [Definiere einen entsprechenden Kommentar für DHCP Server]
         ADMIN_TIMEOUT=5                                                    [Admin Timeout Default 5 Minuten]
         # set status [disable | enable]
         AP_IPADDR=192.168.1.2                                              [Stellt die Default oder Fix IP dar wenn kein DHCP vorhanden ist]
         # set mac-acl-default-action [assign | block]
         AP_NETMASK=255.255.255.0                                          [Stellt das Default Subnet dar wenn kein DHCP vorhanden]
         # set dns-service [local | default | specify]
         IPGW=192.168.1.1                                                  [Stellt das Default Gateway dar wenn kein DHCP vorhanden]
         # set dns-server1 [IPv4-Adresse für DNS Server 1]
         AP_MODE=0                                                          [0 (Thin AP)] | 2 (Site Survey)]
         # set dns-server2 [IPv4-Adresse für DNS Server 2]
         DNS_SERVER=208.91.112.53                                          [Definiert den DNS Server; Standard FortiGuard DNS Server IP]
         # set dns-server3 [IPv4-Adresse für DNS Server 3]
         BAUD_RATE=9600                                                    [Geschwindigkeit der Console; Standard 9600]
         # set wifi-ac1 [IPv4-Adresse für Wireless Controller 1]
         ADDR_MODE=DHCP                                                     [IP Adressierungs Mode dh. DHCP oder STATIC]
         # set wifi-ac2 [IPv4-Adresse für Wireless Controller 2]
         STP_MODE=0                                                        [Spanning Tree 0 = Deaktiviert | 1 = Aktiviert]
         # set wifi-ac3 [IPv4-Adresse für Wireless Controller 3]
         TELNET_ALLOW=1                                                    [1 = Telnet steht zur Verfügung; 0 = Deaktiviert]
         # set ntp-service [local | default | specify]
         HTTP_ALLOW=1                                                      [1 = WebInterface steht zur Verfügung; 0 = Deaktiviert]
         # set ntp-server1 [IPv4-Adresse für NTP Time Server 1]
         AC_DISCOVERY_TYPE=0                                                [0 = Automatic; 1 Static; 2 DHCP; 3 Broadcast; 4 Multicast]
         # set ntp-server2 [IPv4-Adresse für NTP Time Server 1]
         AC_IPADDR_1=192.168.1.1                                            [Wireless Controller IP zu dem sich der FortiAP verbinden soll]
        # set ntp-server3 [IPv4-Adresse für NTP Time Server 1]
         AC_HOSTNAME_1=_capwap-control._udp.example.com                    [Wireless Controller FQDN zu dem sich der FortiAP verbinden soll]
         # set domain [Setze eine entsprechende Domain zB "local.intra"]
         AC_CTL_PORT=5246                                                  [CAPWAP Comunication Port]
        # set wins-server1 [IPv4-Adresse für Win Server 1]
         AC_DISCOVERY_MC_ADDR=224.0.1.140
         # set wins-server2 [IPv4-Adresse für Win Server 1]
         AC_DISCOVERY_DHCP_OPTION_CODE=138                                  [DHCP Option Code]
        # set default-gateway [IPv4-Adresse für Default Gateway]
         AC_DATA_CHAN_SEC=2                                                [DTLS Verschlüsselung 2 = Clear Text oder DTLS; 0 = Clear Text; 1 = DTLS Enabled]
         # set next-server <IPv4-Adresse für Bootstrap Server]
         MESH_AP_TYPE=0                                                     [1 = Mesh Type "leave"; 2 = Mesh Type root]
        # set netmask [IPv4-Netmask für DHCP Server IP Range]
        MESH_AP_SSID=fortinet.mesh.root                                    [Mesh SSID Name]
         # set interface [Name des Interface für den DHCP Server zB "internal"]
         MESH_AP_BSSID=                                                    [Mesh SSID Broadcast Name]
         # config ip-range
        MESH_AP_PASSWD=fortinet.mesh.root                                  [Mesh SSID Passwort]
        # edit [Setze einen entsprechenden Integer zB "1"]
        MESH_ETH_BRIDGE=0
         # set start-ip [IPv4 Start Adresse für den DHCP Bereich]
         MESH_MAX_HOPS=4
        # set end-ip [IPv4 End Adresse für den DHCP Bereich]
         MESH_SCORE_HOP_WEIGHT=50
         # end
         MESH_SCORE_CHAN_WEIGHT=1
        # set timezone-option [disable | default | specify]
         MESH_SCORE_RATE_WEIGHT=1
         # set timezone [01 | 02 | 03 | 04 | 05 | 81 | 06 | 07 | 08 | 09 | 10 | 11 | 12 | 13 | 74 | 14 | 77 | 15 | 16 | 17 | 18 | 19 | 20 | 75 | 21 | 22 | 23 | 24 | 80 | 79 | 25 | 26 | 27 | 28 | 78 | 29 | 30 | 31 | 85 | 32 | 33 | 34 | 35 | 36 | 37 | 38 | 83 | 84 | 40 | 41 | 42 | 43 | 39 | 44 | 46 | 47 | 51 | 48 | 45 | 49 | 50 | 52 | 53 | 54 | 55 | 56 | 57 | 58 | 59 | 60 | 62 | 63 | 61 | 64 | 65 | 66 | 67 | 68 | 69 | 70 | 71 | 72 | 00 | 82 | 73 | 86 | 76]
         MESH_SCORE_BAND_WEIGHT=100
         # config exclude-range
        MESH_SCORE_RSSI_WEIGHT=100
        # edit [Setze einen entsprechenden Integer zB "1"]
       
         # set start-ip [Definition der IPv4 Start Adresse für den DHCP Exclude Bereich]
        '''NOTE''' Das Backup File kann herangezogen werden um für verschiedene Forti Access Point ein Konfigurationsfile vorzubereiten und
         # set end-ip [Definition der IPv4 End Adresse für den DHCP Exclude Bereich]
            dieses als Restore wieder einzuspielen.
         # end
        # config reserved-Adresse
        # edit [Setze einen entsprechenden Integer zB "1"]
         # set ip [IPv4-Adresse für IP Reservation]
         # set mac [MAC-Adresse Defintion für IP Reservation]
         # set action [assign | block | reserved]
         # end
         # end
 
Eine weitere Möglichkeit ab FortiOS 5.0 den Zugriff auf eine SSID einzuschränken ist die "device-access-list". Dies bedeutet: Anhand der "Device Detection" Funktion oder eigene definierten Devices innerhalb der "Device Detection" Funktion, kann der der Zugriff eingeschränkt werden. Um die Funktion "Device Detection" zu aktivieren, muss innerhalb der SSID resp. des "virtuellen" Interfaces das für die SSID konfiguriert wird, diese Funktion aktiviert werden:
 
         WiFi Controller > WiFi Network > SSID > [Wähle die entsprechende SSID] > [Aktiviere "Device Detection"]
 
Durch diese Funktion "Device Detection" wird versucht jeden Device in diesem Segment der das Interface der FortiGate benützt zu identifizieren. Um "Device Detection" auf der CLI für die SSID zu aktivieren führe folgendes aus:
 
         # config system interface
         # edit [Name des entsprechenden Interfaces resp. SSID]
         # set device-identification [enable | disable]
         # set device-identification-active-scan [enable | disable]
         # end
 
Es wird empfohlen die "device-identification-active-scan" nicht per Standard zu aktivieren. Um innerhalb der "Device Detection" Funktion einen eigenen Device zu definieren dh. nicht über die auf dem Interface aktivierte Funktion "device-identification", kann dieser Device innerhalb des DHCP Server auf der CLI konfiguriert werden:


== Local Bridging ==
        # config system dhcp server
        # edit [Setze einen entsprechenden Integer zB "1"]
        # config user device
        # edit [Vergebe einen entsprechenden Namen für den Device]
        # set mac [MAC Adresse für den entsprechenden Device]
        # end


=== Wie konfiguriere ich ein Wireless Local Bridging? ===
Für diese definierten Devices können ebenfalls entsprechenden Gruppen angelegt werden:


Wenn eine SSID konfiguriert wird, hat man die Möglichkeit diese betreffend "Traffic Mode" folgendermassen zu konfigurieren:
        # config user device-group
        # edit [Name für die Device Gruppe]
        # set member [Wähle die entsprechenden Member]
        # end


        • Tunnel to Wireless Controller
Wieder eine andere Möglichkeit ist über eine entsprechende Firewall Policy Rule für die SSID anhand der "Device Detection" Funktion den Zugriff einzuschränken:
        • Local bridge with FortiAP's Interface
        • Mesh Downlink


Wenn die Konfiguration (Standard) "Tunnel to Wireless Controller" benutzt wird so wird der Traffic des Wireless Clients über den CAPWAP Tunnel zum FortiGate WiFi Controller gesendet. Aus diesem Grund ist es nicht möglich mit dieser Konfiguration, dass der Client eine Resource innerhalb des gleichen Segment's -indem sich der Forti Access Point befindet- direkt anzugehen denn der Traffic wird mit "Tunnel to Wirless Controller" unweigerlich über den CAPWAP Tunnel zum FortiGate WiFi Controller gesendet. Soll jedoch der Traffic direkt vom Forti Access Point Interface in das Segment erlaubt werden muss die Konfiguration "Local bridge with FortiAP's Interface" benutzt werden! In diesem Modus wird das Interface auf dem Forti Access Point in den Bridge Modus versetzt. Der CAPWAP Tunnel der dennoch zum Forti WiFi Controller exisitert wird nur zu management Zwecken genutzt. Wird ein "Local bridge with FortiAP's Interface" konfiguriert muss folgendes berücksichtigt werden:
        Policy & Objects > Policy > IPv4 > [Wähle die entsprechende Policy] > [Device Identiy | Source Device Type]


        Wenn der Konfigurationspunkt "Local bridge with FortiAP's Interface" aktiviert ist auf der SSID und der Access Point verliert
Unter FortiOS 5.4 existiert innerhalb der Firewall Policy Rule keine entsprechende Position, sondern der entsprechende Device muss über zB die Source eingebunden werden. Wähle dazu:
        die Verbindung zum FortiGate WiFi Controller so werden die WiFi Clients nicht beinträchtigt da der Access Point im Bridge
        Mode ist und somit die CAPWAP Verbindung ausschliesslich benutzt wird um den Access Point zu konfigurieren/verwalten!


Um eine SSID über Kommandozeil auf "Local bridge with FortiAP's Interface" zu konfigurieren führe folgendes aus:
        Policy & Objects > IPv4 Policy > Create New


         # config wireless-controller vap
        [[Datei:Fortinet-1695.jpg]]
         # edit [Name SSID Profile]
 
         # set ssid [Name der SSID]
=== Wie kann ich über einen Forti Access Point alle Wireless Devices in dessen Wirkungsgrad erkennen und auflistet? ===
         # set local-bridging enable
 
         # set vlanid [VLAN ID]
Ein Forti Access Point kann anhand der Funktion "station-locate" so konfiguriert werden, dass dieser Forti Access Point für dessen Umgebung alle Wireless Devices auflistet der dieser Erkennt. Dabei werden sehr viele Informationen für diese Wireless Devices aufgeführt die auch für das "location tracking" benutzt wird. Da die Funktion relativ Performance Intensiv ist, sollte diese Funktion nur zu Analyse benutzt werden und nicht Permanent ausser es wird anhand des "Euclid Analytics Service" Format ein "location tracking" benutzt. Die Funktion kann einzeln für einen entsprechenden "radio's" aktiviert werden dh. für 5 GHz und/oder 2.4 GHz. Aktiviert wird die Funktion in dem entsprechenden WTP Profile das dem Forti Access Point zugewiesen wird:
         # set local-authentication enable
 
         # set security [Setze die entsprechende Authentifizierung zB "wpa2-only-personal"]
         # config wireless-controller wtp-profile
         # set passphrase "[Setze zur SSID das entsprechende Passwort]
         # edit [Wähle das entsprechende Profil]
         # config radio-1
         # set station-locate enable
         # end
         # config radio-2
         # set station-locate enable
         # end
         # end
         # end
       
        '''NOTE''' Sofern gewünscht kann "eine" VLAN für die SSID vergeben werden! Wenn der Traffic zwischen den WiFi Client
            über die gleiche SSID anhand der Option "intra-vapprivacy" verhindert wird so wird "local-bridging" auf
            "disable" gesetzt! Dies bedeutet: Ist "local-bridging" auf "enable" kann -da das Interface des Forti Access Point
            im Bridge Mode ist- nicht mehr über den Forti Access Point verhindert werden, dass WiFi Clients über die gleiche
            SSID komunizieren können!


=== Kann ich für eine FortiWiFi eine "SSID" als "Local Bridging" konfigurieren? ===
Die Informationen die im Hintergrund vom Wireless Controller über den Forti Access Point "radio" gesammelt werden sind umfänglich! Nachträglich kann man anhand des "diagnose" Kommando Kommando auf der CLI die gesammelten Informationen aus dem Wireless Controller auslesen:


Für eine FortiWiFi dh. mit internen Radio's kann kein "Local Bridging" konfiguriert werden. Wird dies dennoch versucht erscheint eine Fehlermeldung:
        # diagnose wireless wlac -c sta-locate
       
        sta_mac              vfid  rid base_mac          freq_lst  frm_cnt  frm_fst frm_last    intv_sum    intv2_sum    intv3_sum intv_min intv_max  signal_sum  signal2_sum  signal3_sum  sig_min  sig_max  sig_fst sig_last  ap
        00:24:d7:e2:ea:08      0
        FAP22B3U11011877      0    0 00:09:0f:f9:29:22    5220        3      164      44          120        7200      432000      59      60        -246        20190    -1658532      -85      -79      -79      -85    0


        "Maximum number of entries has been reached"
Das Format das durch "sta-locate" produziert wird, ist im "Euclid Analytics Service" Format. Weitere Informationen dazu siehe:
         
        http://euclidanalytics.com/products/technology/


Somit kann eine SSID für eine FortiWifi "nur" im "Tunnel Mode" konfiguriert werden. Als "workaround" kann jedoch eine SSID im "Tunnel Mode" konfiguriert werden "ohne" aktivierten DHCP Server auf der SSID. Danach kann diese SSID anhand eines "Software Switches" - der für FortiAP per Grundsatz nicht unterstützt wird - zum "internal" Interface hinzugefügt werden. Damit die Wirless Clients/Workstation die auf die SSID verbinden eine IP zugewiesen bekommen, wird auf dem "Software Switch" ein DHCP Server aktiviert! Somit kann diese SSID auf der FortiWifi zusammen mit dem "internal" Interface als lokales und gemeinsames Subnet genutzt werden! Diese Konfiguration gilt nur im Zusammenhang mit FortiWiFi's und ist nicht im Zusammenhang mit FortiAP's zu benutzen da "Software Switches" in Zusammenhang mit FortiAP's nicht unterstützt wird. Werden zusätzlich auf der FortiWiFi FortiAP's eingesetzt können diese wie üblich anhand "Local Bridging" konfiguriert werden!
Um die Informationen für "sta-locate" zu löschen kann anhand des "diagnose" Kommando dies durchgeführt werden:


=== Kann ich für ein Local Bridging Broadcast/Multicast Traffic verhindert (susspression)? ===
        # diagnose wireless wlac -c sta-locate reset


Dies ist unter FortiOS 5.2.2 innerhalb einer SSID möglich. Dies bedeutet es steht folgender Befehl sowie Optionen zur Verfügung:
Unter FortiOS 5.4 wurde zusätzlich eine Funktion implementiert, die das löschen der Informationen regelmässig übernimmt. Dies bedeutet: Anhand eines "timers" kann für diese Funktion ein "reset" automatisiert durchgeführt werden. Dabei ist jedoch folgendes zu beachten:


         # config wireless-controller vap
        Die Funktion "sta-locate" erstellt für einen Host/Client erstmalig einen Log Eintrag dh. wenn der Host/Client in einem
        # edit [Name der SSID]
        späteren Zeitpunkt abermals erkannt wird, so wird kein weitere Log Eintrag erstellt für "sta-locate". Um die vorhandenen
         # set broadcast-suppression [dhcp-up | dhcp-down | arp-known | arp-unknown | arp-reply | netbios-ns | netbios-ds | ipv6]
        Informationen zu löschen kann ein "timer" benützt werden 1 and 86400 seconds (24 hours) wobei nicht empfohlen ist den
        "timer" kleiner als 30 Sekunden zu setzen da dies doppelte Einträge für den Host/Client produzieren kann. Der "timer"
        steht per Standard auf "1800" Sekunden was 30 Minuten entspricht!
       
         # config wireless-controller timers
         # set sta-locate-timer [1 and 86400 seconds (24 hours); Standard 1800]
         # end
         # end
       
        '''NOTE''' Die Werte die unter "broadcast-suppresion" gesetzt werden können haben folgende Bedeutung:
       
            dhcp-up        Suppress broadcast uplink DHCP messages.
            dhcp-down      Suppress broadcast downlink DHCP messages.
            arp-known      Suppress broadcast ARP for known wireless clients.
            arp-unknown    Suppress broadcast ARP for unknown wireless clients.
            arp-reply      Suppress broadcast ARP reply from wireless clients.
            netbios-ns    Suppress NetBIOS name services packets with UDP port 137.
            netbios-ds    Suppress NetBIOS datagram services packets with UDP port 138.
            ipv6          Suppress IPv6 packets.


Grundsätzlich stet der Befehle "broadcast-suppression" auch für eine SSID zur Verfügung die "NICHT" als "Local Bridging" konfiguriert wurde (Tunnel to Wireless Controller). Die Erweiterung wurde jedoch "explizit" hinzugefügt für "Local Bridging" SSID's. Der Grund ist folgender: Wenn ein Forti Access Point als "Local Bridging" eingesetzt wird in eine Subnet zB /20 so ist der Broadcast Traffic der zusätzlich auf dem Forti Access Point entsteht beträchtlich und beeinträchtigt die Performance des Forti Access Point durch die über Broadcast gesendeten "frames" vom Subnet über den Forti Access Point zum Client. Durch die gesetzten Optionen werden "frames" nur dann vom Forti Access Point zum Client (over the air) gesendet wenn die "Destination IP" existiert ansonsten werden diese verworfen. Im "Tunnel to Wireless Controller" Mode agiert der Forti Access Point in gleicher Weise jedoch fungiert der Forti Access Point als einee Art ARP Proxy und sendet ARP request nur zum Client (over the air) wenn der ARP Request über "get sys arp" vorhanden ist (innerhal der gleichen SSID). Diese Funktion resp. Optionen sind nur in "high density" (Hohes Aufkommen von Clients in grossen Netzwerken zB /20) Umgebungen zu benützen um die zusätzlicne Frames zu verhindert (broadcast arp). Somit, unter normalen Umständen ist diese Option auf den Standard Werten zu belassen dh. "dhcp-up sowie arp-known".
=== Kann ich einen Forti Access Point so konfigurieren, dass dessen SSID den gleichen IPv4 Adress Range benutzt wir im LAN? ===


== VLAN ==
Eine FortiOS kontrolliert per Standard die Konfiguration der Interfaces betreffend "subnet-overlap". Dies bedeutet: es kann keine Ueberschneidung resp. "subnet-overlap" von IPv4 Range's/Subnet auf Interface's konfiguriert werden da dies durch die Funktion "allow-subnet-overlap disable" verhindert wird:


=== Was sind "Dynamische VLAN's" und wie konfiguriere ich Diese? ===
      # config system settings
      # set allow-subnet-overlap [enable | disable]
      # end


Ab FortiOS 5.0.4 / 5.2 ist es möglich "Dynamische VLAN's" einer SSID zu vergeben im Zusammenhang mit einem Radius Server. Dynamische VLAN's sind im "Tunnel to Wireless Controller" oder im "Local bridge with FortiAP's Interface" Traffic Mode möglich. Dynamische VLAN's werden basierend auf den User Zugangsinformationen zugewiesen. Dies bedeutet: Anhand der User Authentifizierungs Informationen wird auf dem Radius Server Radius Attribute ausgelöst. Diese Radius Attribute beinhalten die nötigen VLAN Informationen (VLAN ID) um die Zuweisung durchzuführen. Dazu sind auf dem Radius Server folgende Attribute zuständig:
Möchte man ein "subnet-overlap" für eine SSID konfigurieren, sollte dies gut überlegt sein. Dies bedeutet: Soll ein Forti Access Point über eine SSID den Zugriff in das interne LAN Segment direkt ermöglichen, kann zB anstelle eines "subnet-overlap" die "local bridge" Funktion für eine SSID benutzt werden. Dadurch wird ermöglicht, dass das Interface auf dem Forti Access Point in den Bridge Modus versetzt wird, und die Host/Client die über eine entsprechende SSID verbinden, eine IPv4 Adresse vom DHCP Server zugewiesen erhalten der im internne LAN Segment den Host/Client zur Verfügung steht. In so einem Scenario muss jedoch der Forti Access Point mit dem internen Segment LAN direkt verbunden werden. Wenn dennoch ein "subnet-overlap" Konfiguration auf einer SSID konfiguriert wird und die entsprechende Option "allow-subnet-overlap" wurde nicht aktiviert kommt es zu einer Fehlermeldung:


        IETF 64 (Tunnel Type)              = Muss auf VLAN gesetzt werden
      Subnets overlap between 'port1' and the primary IP of 'port1'
        IETF 65 (Tunnel Medium Type)      = Muss auf 802 gesetzt werden
      object set operator error, -54 discard the setting
        IETF 81 (Tunnel Private Group ID)  = Muss auf die entsprechende VLAN ID gesetzt werden
       
        '''NOTE''' Diese Radius Attribute "IETF" bedeuten "Internet Engineering Task Force" und sind zuständig
            die nötigen Informationen nach erfolgreicher Radius Authentifizierung zu übermitteln.


Anhand dieser "Dynamischen VLAN's" und über die Authentifizierung über den Radius Server wird ermöglicht dem User ein bestimmtes Segment (VLAN ID) zu zuweisen. Um die Funktion resp. Konfiguration von "Dynamischen VLAN's" zu ermöglichen ist die Funktion -nebst der Radius Konfiguration- selber unter der entsprechenden SSID generell zu aktivieren:
      IP address is in same subnet as the others.


        # config wireless-controller vap
Wenn dennoch ein "allow-subnet-overlap" auf enable gesetzt werden möchte, kann dies über CLI auf System Ebene durchgeführt werden. Da es sich bei dieser Funktion um eine Option auf System Ebene handelt möchten wir nochmals daraufhinweisen dies gut zu überlegen da durch die Aktivierung dieser Option eine "loop" Gefahr besteht!
        # edit [Wähle den Namen der entsprechenden SSID]
 
        # set dynamic-vlan enable
=== Kann ich für einen Forti Access Point die LED's deaktivieren damit diese bei Gebrauch nicht mehr blinken? ===
        # end
       
        '''NOTE''' Um die VLAN Konfiguration auf einem Forti Access Point auszulesen kann folgendes Kommando auf dem
            Forti Access Point ausgeführt werden:
           
            # cw_diag show wllbr


Folgendes Dokument zeigt ein Beispiele wie so eine SSID mit "Dynamischen VLAN's" im Zusammenhang mit "Tunnel to Wireless Controller" zu konfigurieren ist:
Ab FortiOS 5.2.3 ist dies möglich und wird benützt um die Forti Access Point möglichst zB für Hotels dezent erscheinen zu lassen. Diese Funktion steht nicht für jeden Forti Access Point zur Verfügung dh. zB für FAP-221C steht diese Funktion zur Verfügung. Wenn die "LED" auf einem Forti Access Point deaktiviert werden sollen, kann dies über den FortiGate Wireless Controller auf CLI im WTP Profile für den Forti Access Point durchgeführt werden oder über den FortiGate Wireless Controller für den Forti Access Point selber:


         [[Datei:Dynamic VLANs.pdf]]
         # config wireless-controller wtp
        # edit [Serien Nummer des entsprechenden Forti Access Point]
        # set override-led-state [enable | disable]
        # set led-state  [enable | disable]
        # end


=== Kann ich eine SSID mit einer VLAN ID versehen um den Ethernet Port nach 802.1Q zu "taggen"? ===
        # config wireless-controller wtp-profile
        # edit [Name des entsprechenden WTP Profiles]
        # set led-state [enable | disable]
        # end


Ab FortiOS 5.0 / 5.2 jst es möglich eine SSID mit einem  "Local bridge with FortiAP's Interface" Traffic Mode zu konfigurieren. Dies bedeutet der Traffic des AP wird direkt über dessen Ethernet Port in das jeweilige Segment/Subnet gesendet anstelle diesen über den Data Channel Enkapsuliert(CAPWAP) zum FortiGate WiFi Controller zu senden. Per Standard sind alle SSID's im Traffic Mode "Local bridge with FortiAP's Interface" mit einer VLAN-ID "0" versehen. Um Fehler zu verhindern muss jede SSID die mit dem Traffic Mode "Local bridge with FortiAP's Interface" konfiguriert ist, mit einer anderen VLAN-ID versehen werden (Nur eine SSID mit VLAN ID 0 ist erlaubt). Ueber das Web Mgmt. Interface des Forti Access Point's ist diese VLAN ID Konfiguration ersichtlich. Ebenfalls kann auf der CLI des Access Points folgender Befehl abgesetzt werden um die Konfiguration einzusehen:
Auf der CLI für einen Forti Access Point ist die Konfiguration ebenfalls möglich. Dabei ist jedoch zu berücksichtigen wenn dies durchgeführt wird, dass der FortiGate Wireless Controller diese lokal durchgeführte Konfgiguration auf dem Forti Access Point anhand der Konfiguration für den Forti Access Point oder anhand des WTP Profiles nicht überschreibt. Dieses Verhalten kann anhand der "LED_STATE" Konfiguration lokal auf dem Forti Access Pont konfiguriert werden. Erstelle eine "telnet" Verbindung auf den Forti Access Point. Wie dies durchzuführen ist siehe nachfolgenden Artikel:


         '''NOTE''' Ab FortiOS 5.0.4 / 5.2 ist es möglich "Dynamische VLAN's" in Zusammenhang mit einem Radius Server (Radius
         [[FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F]]
            Attribute "IETF") zu benutzen. Weitere Informationen dazu siehe folgender Artikel:
           
            [[FortiAP:FAQ#Was_sind_.22Dynamische_VLAN.27s.22_und_wie_konfiguriere_ich_Diese.3F]]


        # brctl show
Danach kann lokal auf dem Forti Access Point folgendes durchgeführt werden:
       
        # cat /proc/net/vlan/conf


Die Konfiguration über die CLI wird folgendermassen durchgeführt:
        # cfg -a LED_STATE=[0|1|2]
        # cfg -s


        # config wireless-controller vap
Die Werte für "LED_STATE" haben folgende Bedeutung:
        # edit [Name des Profiles SSID]
        # set vdom root
        # set ssid [Name der SSID]
        # set security [Setze die entsprechende Authentifizierung zB "wpa2-only-personal"]
        # set passphrase "[Setze zur SSID das entsprechende Passwort]
        # set local-bridging enable
        # set vlanid [VLAN ID]
        # end
       
        '''NOTE''' Ab FortiOS 5.2 kann die Konfiguration über Web Mgmt. Interface durchgeführt werden!
              
              
            [[Datei:Fortinet-1266.jpg]]
        0 = Die LED's sind aktiviert.
        1 = Die LED's sind deaktiviert.
        2 = Ob die LED's aktiviert und/oder deaktiviert sind wird über den Wirless Controller der FortiGate gesteuert.


== Mesh/Bridging ==
Per Standard ist der Wert auf "2" gesetzt dh. die Konfiguration über den Wireless Controller anhand der Option "led-state" aktiviert und/oder deaktiviert die LED's auf dem Forti Access Point. Werden die Werte "0" oder "1" gesetzt werden die Einstellung über den FortiGate Wireless Controller ignoriert!


=== Wie konfiguriere ich ein Wireless Mesh/Bridging Netzwerk (manuell/automatisch)? ===
=== Wie kann ich die automatische Registration eines Forti Access Point auf einem FortiGate Wireless Controller verhindern? ===


Grundsätzlich unterscheiden wir innerhalb eines Wireless Mesh Netzwerks (ab FortiOS 5.0 / 5.2) folgende Arten eine Mesh Netzwerks:
Wenn ein Forti Access Point in einem IPv4 Subnet/Segment der FortiGate in Betrieb genommen wird so benützt dieser Forti Access Point den "autodiscover" Modus um einen Wireless Controller zu finden. Ist auf dem FortiGate Device in diesem Segement und für das Interface CAPWAP aktiviert so antwortet der FortiGate Wireless Controller auf diese CAPWAP (UDP-5246) Anfragen. Dadurch erscheint unter den "Managed FortiAPs" im Mgmt. Web Interface der Forti Access Point. Danach kann der Forti Access Point durch "Authorized" Authorisiert werden. Wenn man jedoch dies aus irgendwelchen Gründen verhindern möchte, fragt sich wie diese "automatisch Registration" dh. das die Forti Access Point unter "Managed FortiAPs" erscheinen verhindert werden kann. Dazu gibt es verschiedenen Möglichkeiten/Konfiguration die durchgeführt werden können zB:


         '''NOTE''' Fortinet hat speziell eingehend auf "Mesh" spezielle Handbook's Released. Es lohnt
         • Wenn über das Segment in dem sich die Forti Access Point keine "CAPWAP" Anfragen beantwortet werden sollen kann "CAPWAP" auf diesem
            sich ebenfalls diese Handbook's einzusehen:
          Segment resp. Interface deaktiviert werden:
           
         
            [[FortiAP:FAQ#Wo_findet_ich_die_Dokumente_wie_Datasheets.2C_Quick_Start_Guide.2C_User_Guide_etc._.3F]]
          # config system interface
          # edit [Name des entsprechenden Interface zB "dmz"]
          # unselect capwap
          # end


         '''Wireless Mesh (No VLAN Support)'''
         • Wenn auf dem FortiGate Device keine Forti Access Point verwaltet/konfiguriert werden sollen, kann der FortiGate Wireless Controller
        Ein Access Point -auch genannt "root" Mesh Access Point- ist direkt verbunden mit dem WiFi Controller  
          komplett deaktiviert werden:
        (FortiGate oder FortiWiFi). Alle anderen Access Points -auch genannt "leaf" Mesh Access Points- benützen
         
        den WiFi Controller indem diese über den "root" Mesh Access Point sich zum WiFi Controller verbinden.
          # config system global
        Für Clients die sich zu einer SSID verbinden in einem Mesh Netzwerk ist das Verbinden Transparent dh.
          # set wireless-controller [enable | disable]
        bemerken nicht, dass sie sich zu einem Mesh Netzwerk verbinden.
          # end


         '''Wireless bridging (No VLAN Support)'''
         • Befinden sich im Segment verschiedenen Forti Access Point dh. solche die über den Wireless Controller der FortiGate verwaltet werden
        Für ein Bridging werden zwei physische LAN Segmente über Wireless Access Points verbunden (the backhaul SSID).
          sollen und solche die nicht über die FortiGate verwaltet werden sollen, müssen alle Forti Access Point die nicht über die FortiGate
        Die Ethernet Anschlüsse an den Access Point ("leaf" Mesh Access Point) die diese LAN Segmente verbinden können
          die das Segment zur Verfügung stellt, lokal so konfiguriert werden damit diese Anfragen zu einemn spezifischen Wireless Access Point
        benutzt werden um ein zusätzliches Wireless Segment für die Clients bereitzustellen. Grundsätzliche sind die
          Controller senden und nicht im "autodiscovery" Modus (Broadcast, Multicast, Unicast). Dies wird erreich, in dem auf den entsprechenden
        Clients direkt in dem jeweiligen Segment per LAN oder erweitertes Wireless Netzwerk verbunden.
          Forti Access Point Controller folgendes konfiguriert wird:
 
         
Daraus ergeben sich folgende Möglichkeiten:
          Verbinde dich per "telnet" auf den Forti Access Point Controller. Wie dies durchzuführen ist siehe nachfolgender Artikel:
 
         
        <big>'''FortiAP werden benützt als "root" Mesh und "leaf" Mesh Access Points'''</big>
          [[FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F]]
       
         
        [[Datei:Fortinet-345.jpg]]
          Ausgehend davon das "telnet" Zugriff auf einem Forti Access Point aktiviert ist, kann anhand eines CLI "Widgets" über das Mgmt. Web
 
          Interface auf den Forti Access Point zugegriffen werden. Dazu wähle:
        <big>'''FortiWiFi wird benützt als "root" Mesh Access Point und die FortiAP's als "leaf" Mesh Access Points'''</big>
         
       
          WiFi Controller > [WiFi Network] > [Managed Access Points] > Managed FortiAPs > [Markiere den entsprechenden Forti Access Point] > [Rechte Maustaste "CLI"]
        [[Datei:Fortinet-346.jpg]]
 
        <big>'''FortiAP's werden benützt um zwei LAN Segmente zu verbinden (Bridging)'''</big>
       
        [[Datei:Fortinet-347.jpg]]
 
Technische Vorraussetzung für die Konfiguration eines Mesh Wireless Netzwerks sind:
 
        • Alle FortiAP's die im Mesh Wireless Network eingesetzt werden müssen über Firmware 5.0 Build 003 oder höher verfügen!
            
            
        • FortiAP 222B muss über die Bios Version 400012 oder höher verfügen:
          Danach muss folgendes konfiguriert werden um den Forti Access Point so zu konfigurieren, dass dieser "statisch" nur noch Anfragen zu
          einem bestimmten FortiGate Wireless Controller anhand dessen IPv Adresse sendet:
            
            
           ftp://pftpintl:F0rt1intl@support.fortinet.com/FortiAP/v4.00/4.0MR3/FAP222B_BIOS_update.image.out
           # cfg -a AC_IPADDR_1=[IP Adresse des FortiGate WiFi Controllers]
          # cfg -c
          # cfg -s
            
            
        • Auf dem WiFi Controller (FortiGate und FortiWiFi) muss FortiOS 5.0 GA oder höher installiert sein!
          Für "failover" Zwecke stehen bis zu 3 "AC_IPADDR" zur Verfügung. Um die Anfragen "statisch" durchzuführen dh. nicht mehr per Broadcast,
       
          Multicast sowie Unicast konfiguriere folgendes:
          '''NOTE''' Folgende Funktionen sollten möglichst nicht benützt werden auf dem FortiAP "radio" auf dem der Mesh Link
              konfiguriert wurde:
            
            
              [[FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Radio_Resource_Provisioning.22_.28ARRP.2FDARRP.29.3F]]
          # cfg -a AC_DISCOVERY_TYPE=1
              [[FortiAP:FAQ#Was_bedeutet_der_Konfigurations_Punkt_.22channel-bonding.22_.28Channel_Width.3F]]
          # cfg -c
              [[FortiAP:FAQ#Was_bedeutet_.22Wireless_IDS.22_und_wie_konfiguriere_ich_dieses.3F]]
          # cfg -s


Um ein Mesh Wireless Network zu konfigurieren unterscheinden wir zwischen Manueller (mehr Möglichkeiten) sowie Automatischer Konfiguration:
         • Unter FortiOS 5.4 gibt es eine weitere Möglichkeit die "automatische" Registrierung zu verhindern dh. durch nachfolgenden Befehl wird
 
          keine "automtische" Registrierung mehr ausgeführt. Die Funktion wird komplett deaktiviert:
         '''<big>AUTOMATISCHE KONFIGURATION WIRELESS MESH</big>'''
         
       
          # config system interface
        Jede VDom inkl. der "root" VDom verfügt über ein vordefiniertes Interfaces (wl.mesh) sowie SSID (fortinet.mesh.[VDom Name].  
          # edit [Name des entsprechenden Interfaces zB "dmz"]
        Diese können nicht gelöscht werden und werden für die autom. Konfiguration herangezogen:
          # set ap-discover [enable | disable]
       
          # end
        [[Datei:Fortinet-348.jpg]]
         
       
          Wird diese Funktion "ap-discover" deaktiviert, können Forti Access Point nur noch Registriert werden, und erscheinen unter "Managed FortiAPs",
        Um die autom. Konfiguration durchzuführen sind folgende Schritte nötig:
          wenn diese vorgängig anhand der Serien Nummer Registriert werden. Dies wird folgendermassen durchgeführt:
       
         
        • Konfiguriere einen "root" Mesh Access Point auf einer FortiAP oder auf einer FortiWiFi.
          WiFi Controller > Managed FortiAPs > Create New > [Gebe die entsprechende Serien Nummer ein des FortiAP]
        • Konfiguriere die Access Points für "leaf" Mesh.
         
        • Authorisiere die "leaf" Mesh Access Point damit diese auf den WiFi Controller verbinden können.
          In diesem Zuge kann bereits ein entsprechendes WTP Profile zum Forti Access Point hinzugefügt werden. Bringt man den entsprechenden Forti
       
          Access Point in dem Segment "online" in dem "CAPWAP" für das entsprechenden FortiGate Interface aktiviert wurde, wird dieser Forti Access  
        '''Automatische Konfiguration Wireless Mesh des "root" Mesh Access Points'''
          Point automatisch "Authorized" mit dem zugewiesenen WTP Profile. Möchte man dies auf der Kommandozeile durchführen führe folgendes durch:
       
         
        Wähle über das WebGui folgendes:
          # config wireless-controller wtp
       
          # edit [Serien Nummer des Forti Access Point]
        WiFi Controller > Managed Access Points > Managed FortiAP
           # set name [Name des Forti Access Point zB "FAP-221C-1-UG"]
       
          # set wtp-profile [Gebe ein entsprechendes vorhandenes WTP Profile an]
        Selektiere den gewünschte Access Point der als "root" Mesh verwendet werden soll! Danach gehe auf "Authorize".
          # end
       
 
        Wähle folgendes:
== Upgrade ==
       
 
        Accept Mesh Requests from other APs (SSID, fortinet.mesh.root)
=== Wie kann ich für einen Forti Access Point ein Firmware Upgrade durchführen? ===
       
 
        '''NOTE''' Dieser Konfigurationspunkt steht ab FortiOS 5.0.3 nicht mehr zur Verfügung und muss nicht
Bevor ein Firmware Upgrade auf einen Forti Access Point durchgeführt wird, sollte man verifizieren welche Firmware Version (FortiOS) benutzt werden soll und welche Auswirkungen dies mit sich bringt. Dies bedeutet: Vor einem Firmware Upgrade sollte die entsprechende Release Notes für die neue Firmeware des Forti Access Point konsultiert werden. Ebenso sollte nachfolgender Artikel berücksichtigt werden:
            mehr gesetzt werden!
 
               
         [[FortiAP:FAQ#Welches_FortiOS_soll_im_Zusammenhang_mit_FortiGate_Devices_und.2Foder_Forti_Access_Points_eingesetzt_werden.3F]]
        [[Datei:Fortinet-349.jpg]]
       
        '''Automatische Konfiguration Wireless Mesh des "leaf" Mesh Access Points'''
       
        Verbinde dich auf das Web Mgmt. Interface auf dem "leaf" Mesh konfiguriert werden soll. Per Standard dh.
        Factory Reset Default (cfg -x oder Reset Button) hat ein Access Point die IP 192.168.1.2. Weitere Details
        dazu siehe nachfolgenden Artikel:
       
        [[FortiAP:FAQ#Was_ist_die_Default_IP_f.C3.BCr_einen_FortiAP_und_wie_kann_ich_mich_auf_diese_IP_verbinden.3F]]
       
        Auf dem Web Mgmt. Interface unter "Connectivity" konfiguriere folgendes:
       
        '''NOTE''' Betreffend Factory Reset siehe auch folgender Artikel:
           
            [[FortiAP:FAQ#Wie_kann_ich_die_Konfiguration_eines_Forti_Access_Point_Manuell_auf_Factory_Default_setzen.3F]]
       
        Uplink           Mesh
        Mesh AP SSID    fortinet.mesh.[VDom Name dh. Standard "root"]
        Mesh AP Password [SSID des "root" Mesh AP dh. fortinet.mesh.root]
       
        [[Datei:Fortinet-350.jpg]]
       
        Bestätige die Konfiguration anhand "Apply".
       
        '''Automatische Konfiguration Wireless Mesh der Autorization "leaf" Mesh Access Points'''
       
        Durch die vorhergehende Konfiguration werden sich nun die "leafe" Mesh Access Points über den "root" Mesh
        Access Points am WiFi Controller anmelden. Damit dies erfolgreich durchgeführt werden kann muss jeder "leaf"
        Mesh Access Point Autorisiert werden. Um dies durchzuführen wähle auf der FortiGate:
       
        WiFi Controller > Managed Access Points > Managed FortiAP
       
        Gehe auf "refresh" bis der/die "leaf" Mesh Access Points ersichtlich sind. Danach selektiere den FortiAP
        und gehe auf "Authorize". Optional selektiere welche SSID den Usern auf den "leaf" Mesh Access Points
        ersichtlich sein soll. Konfiguriere  die restlichen Positionen sofern notwendig. Danach bestätige mit
        "OK" die Konfig.
       
         Sobald die Konfiguration bestätigt wurde wir der Access Point seinen Status von Offline zu Online wechseln
        (ca. 2 Minuten). Die autom. Konfiguration ist abgeschlossen und kann getestet werden.


        '''<big>AUTOMATISCHE KONFIGURATION WIRELESS BRIDGING</big>'''
Wenn verifiziert worden ist welche Firmware Version eingesetzt werden kann, stehen verschiedenen Möglichkeiten zur Verfügung ein Firmware Upgrade durchzuführen:
       
        Der Vorteil einer manuellen Konfiguration liegt darin, dass die Konfiguration selber mehr Kontrolle über die
        Devices gibt. Ein Bridging WiFi Netzwerk basiert darauf, dass ein Access Point über einen physischen Port
        (Ethernet) am WiFi Controller angeschlossen ist ("root" Mesh). Ein anderer Access Point ("leaf") verbindet
        sich über diesen "root" Mesh Access Point sowie auf dem "leaf" Mesh Access Point ist Bridging Mode aktiviert
        da dieser an einem LAN Segment direkt verbunden ist und dieses über den "root" Mesh Access Point (backhaul
        link) verbindet. Ein FortiAP Device verfügt über 2 Radios (2.4 GHz sowie 5 GHz). Es ist  empfohlen 5 GHz zu
        benutzen für den "backhaul link" und 2.4 GHz für die Client im Wireless  Netzwerk. Um eine manuelle Konfiguration
        durchzuführen sind folgende Punkte zu berücksichtigen:
       
        • Konfiguriere den "backhaul link" und den "root" Mesh Access Point!
        • Konfiguriere die "leaf" Mesh Access Point's (Bridging aktiviert)!
       
        '''Automatische Konfiguration Wireless Bridging des "backhaul link" and "root" Mesh Access Point'''
       
        Die Konfiguration wird exakt genau gleich durchgeführt wie diese für "Wireless Mesh" mit einer Ausnahme dh. auf dem
        "leaf" Mesh Access Point wird die Position "Ethernet Bridge" zusätzlich AKTIVIERT. Danach wird dieser Access Point
        direkt mit dem zu verbindenen Segment verbunden!
       
        [[Datei:Fortinet-358.jpg]]


        '''<big>MANUELLE KONFIGURATION WIRELESS MESH</big>'''
        <big>'''Firmeware Upgrade über den FortiGate Wireless Controller'''</big>
       
       
        Der Vorteil einer manuellen Konfiguration liegt darin, dass die Konfiguration selber mehr Kontrolle über
        WiFi Controller > Managed Access Points > [Wähle den entsprechenden Eintrag] > [Rechte Maustaste Edit]
        die Devices gibt. Ein Mesh WiFi Netzwerk basiert darauf, dass ein Access Point über einen physischen Port
       
        (Ethernet) am WiFi Controller angeschlossen ist ("root" Mesh). Alle anderen Access Points verbinden sich
        [[Datei:Fortinet-1237.jpg]]
        über diesen "root" Mesh AP (backhaul link) zum WiFi Controller. Ein FortiAP Device verfügt über 2 Radios
       
        (2.4 GHz sowie 5 GHz). Es ist empfohlen 5 GHz zu benutzen für den "backhaul link" und 2.4 GHz für die  
        [[Datei:Fortinet-1238.jpg]]
        Client im Wireless Netzwerk. Um eine manuelle Konfiguration durchzuführen sind folgende Punkte zu
       
        berücksichtigen:
        [[Datei:Fortinet-1239.jpg]]
       
 
        • Konfiguriere den "backhaul link" und den "root" Mesh Access Point!
        <big>'''Firmeware Upgrade über Forti Access Point anhand CLI und TFTP Server'''</big>
        • Konfiguriere die "leaf" Mesh Access Point's.
       
       
        # restore [Name des Images für die Firmware] [IP Adresse des TFTP Servers]
        '''Manuelle Konfiguration Wireless Mesh des "backhaul link" and "root" Mesh Access Point'''
       
       
        Um den Befehl "restore" auszuführen benötigt man entweder einen Forti Access Point mit Consolen Anschluss oder Telnet Zugriff.
        • Stelle sicher das ein DHCP Server existiert im betreffenden Segment die durch die FortiAP benutzt werden kann.
        Der Telnet Zugriff ist auf jedenfall Möglich dh. wie man diesen Konfiguriert für einen Forti Access Point siehe nachfolgenden
        • Erstelle eine SSID für den "backhaul link".
        Artikel:
        • Erstelle eine Access Point Profil das die SSID für den "backhaul link" enthält.
           
        • Füre das neue Profil, dass die SSID für den "backhaul link" enthält zum "root" Mesh Access Point.
        [[FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F]]
        • Konfigureire den "root" Mesh Access Point.
 
       
        <big>'''Firmeware Upgrade über Forti Access Point Web Mgmt. Interface Lokal und/oder Remote'''</big>
        Um die SSID für den "backhaul link" zu erstellen wähle im WebGui folgendes:
       
       
        Das Web Mgmt. Interface eines Forti Access Point ist sofern dies die Firewall Policy Rule erlaubt, über dessen zugewiesene IPv4
        WiFi Controller > WiFi Network > SSID, select Create New
        Adresse zugänglich. Dabei ist zu berücksichtigen, dass dies für den Forti Access Point in der entsprechenden Konfiguration auf
       
        erlaubt wird. Der Konfigurationspunkt der dies steuert ist der Folgende:
        Konfiguriere folgendes:
       
       
        # config wireless-controller wtp
        Interface Name        [Name des Interfaces zB "mesh-backhaul"]
        # edit [Serien Nummer des FortiAccess Point zB "FAP22B3U11011877"]
        IP/Netmask            [Belasse die IP auf 0.0.0.0/0.0.0.0]
        # set login-enable [enable | disable]
         SSID                  [Name der SSID zB "mesh-backhaul"]
        # end
        Preshared Key        [Wähle ein Preshared Key]
       
       
        Unter FortiOS 5.4 kann der Zugriff über die Konfiguration für den Forti Access Point selber erfolgen oder über das dem Forti Access
        [[Datei:Fortinet-351.jpg]]
        Point zugewiesene WTP Profile:
          
       
         Bestätige die Konfiguration mit "Ok" und gebe auf der Console folgendes ein um "backhaul" Funktion einzuschalten:
        # config wireless-controller wtp
       
        # edit [Serien Nummer des FortiAccess Point zB "FAP22B3U11011877"]
        # config wireless-controller vap
        # set override-allowaccess [enable | disable]
        # edit [Name des Interfaces zB "mesh-backhaul"]
        # set allowaccess [telnet | http]
        # set mesh-backhaul enable
        # end
        # end
       
        # config wireless-controller wtp-profile
        # edit [Wähle das entsprechende WTP Profile für den Forti Access Point]
        # set allowaccess [telnet | http]
        # end
       
        Wenn ein Firmware Upgrade eines Forti Access Point lokal durchgeführt werden soll dh. in dem der Forti Access Point lokal mit einem
        Host/Client verbunden ist, kann das Mgmt. Web Interface über dessen Standard IPv4 Adresse erreicht werden. Dazu siehe nachfolgender
        Artikel:
       
        [[FortiAP:FAQ#Was_ist_die_Default_IPv4_Adresse_f.C3.BCr_einen_Forti_Access_Point_und_wie_kann_ich_mich_auf_diese_IPv_Adresse_verbinden.3F]]
       
        Um auf CLI herauszufinden welche IPv4 Adresse durch den Forti Access Point benutzt wird um sich auf den entsprechenden Forti Access Point
        anhand "telnet" zu verbinden siehe nachfolgenden Artikel:
       
        [[FortiAP:FAQ#Wie_finde_ich_.C3.BCber_den_FortiGate_Wireless_Controller_heraus_mit_welcher_IPv4_Adresse_ein_Forti_Access_Point_verbunden_ist.3F]]
       
        Danach kann anhand "telnet" auf dem FortiGate Wireless Controller oder Lokal über eine Host/Client (DOS Prompt) eine Verbindung zum Forti
        Access Point erstellt werden:
 
        # exec telnet [IPv4 des FortiAccess Point; Auch ersichtlich über "Manage FortiAP's"]
        FAP22B3U11011877 login: admin
       
        Um danach lokal auf dem Forti Access Point den http Zugriff zu aktivieren führe folgendes aus:
       
        # cfg -a HTTP_ALLOW_DFLT=1
        # cfg -c
       
        Danach kann ein Upgrade lokal auf dem Forti Access Point durchgeführt werden über folgende Position:
       
        [[Datei:Fortinet-1265.jpg]]
 
        <big>'''Bulk Firmeware Upgrade über den FortiGate Wireless Controller anhand CLI und TFTP Server'''</big>
       
        Weitere Informationen dazu siehe nachfolgender Artikel:
       
        [[FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_mehrere_Forti_Access_Point.27s_ein_Bulk_Firmeware_Upgrade_durchf.C3.BChren.3F]]
 
=== Wie kann ich für mehrere Forti Access Point's ein Bulk Firmeware Upgrade durchführen? ===
 
Wenn in einer Umgebung mit mehreren Forti Access Points ein Firmware Upgrade durchgeführt werden soll, kann dies anhand eines Bulk Upgrade durchgeführt werden. Dies bedeutet: anhand einer Firmeware die für spezifische Forti Access Point's auf den FortiGate Wireless Controller geladen wird, werden alle diese spezifischen Forti Access Point durch ein Kommando angewiesen sich vom FortiGate Wireless Controller diese Firmeware runterzuladen und ein Upgrade durchzuführen. Folgende Vorraussetzungen müssen gegeben sein:
 
         • Verifizierung der eingesetzten Firmeware und der neuen Firmware gemäss Release Notes dh wie und ob ein Upgrade möglich ist
          für die eingesetzte Firmware. Ebenso sollte nachträglicher Artikel konsultiert werden:
         
          [[FortiAP:FAQ#Welches_FortiOS_soll_im_Zusammenhang_mit_FortiGate_Devices_und.2Foder_Forti_Access_Points_eingesetzt_werden.3F]])
 
         • Installiere einen TFTP Server (FTP ebenfalls möglich) der für den FortiGate Wireless Controller erreichbar ist um das spezifische Image
          für die Forti Access Points vom TFTP Server zum FortiGate Wireless Controller raufzuladen. Als TFTP Server kann zB folgendes eingesetzt
          werden:
         
          SolarWinTFTP Server http://www.solarwinds.com/products/freetools/free_TFTP_server.aspx
 
Wenn die neue Firmware die eingesetzt werden soll für die Forti Access Points anhand der Releaste Notes verifiziert wurde, führe folgendes durch:
 
         1. Lade das entsprechende Image für den Bulk Upgrade der Forti Access Points in das "root" Verzeichnis des TFTP Servers zB "image.out"!
        2. Führe auf der FortiGate Kommandozeile folgendes aus:
         
          # execute wireless-controller upload-wtp-image [tftp | ftp] [Name des Images auf dem TFTP Servers zB "image.out] [IPv4 Adresse des TFTP Servers]
         
          Durch diesen Befehl wird der FortiGate Wireless Controller angewiesen vom TFTP Server das entsprechende "image.out" runterzuladen. Pro
          Bulk Update Prozess kann nur ein Image eines spezifischen Forti Access Point Modell's auf den FortiGate Wireless Controller geladen
          werden!
          
          
         Wenn man sich die betreffende SSID für "backhaul link" anschaut sieht das Ganze folgendermassen aus:
         3. Nachdem das entsprechende Image vom TFTP Server runtergeladen wurde kann verifiziert werden ob sich das Image auf dem FortiGate
          Wireless Controller befindet:
         
          # execute wireless-controller list-wtp-image
          
          
         [[Datei:Fortinet-352.jpg]]
         4. Nun kann ein Bulk Upgrade über den FortiGate Wireless Controller ausgeführt werden. Dies bedeutet: Durch das nachfolgende Kommando werden
          die Forti Access Points angewiesen sich das Image auf dem FortiGate Wireless Controller runter zu laden und das Upgrade durchzuführen.
         
          # execute wireless-controller reset-wtp [Gebe an "all" oder bei unterschiedlichen Modellen die spezifischen Serien Nummern der Forti Access Points für das Upgrade]
         
          Um die verschiedenen Serien Nummern der Forti Access Points auf dem FortiGate Wireless Controller zu verifizieren kann folgender Befehl benutzt werden:
         
          # config wireless-controller wtp
          # get
          
          
         Um die Ganze Konfiguration auf der CLI durchzufürhen geben folgendes ein:
         5. Nach dem das Bulk Upgrade durchgeführt wurde kann das spezifische Image vom FortiGate Wireless Controller gelöscht werden:
          
         
         '''NOTE''' Ab FortiOS 5.02 wird der Mesh Downlink innerhalb der SSID konfiguriert dh. unter der
          # execute wireless-controller delete-wtp-image
            Position "Traffic Mode"
 
=== Kann für einen Forti Access Point basierend auf Firmeware 5.2 anhand einer Firmware 5.0 ein "Downgrade" durchführen? ===
 
Grundsätzlich ja dh. alle Forti Access Point's können anhand eines Downgrades von 5.2 auf 5.0.x gebracht werden mit einer Ausnahme:
 
         Der FAP-221 der den neuen Standard 802.11ac unterstützt ist Hardware basierend nur 5.2 kompatibel dh. durch einen Fix im Bios wird
         "verunmöglicht" diesen Forti Access Point mit 5.0.x "downzugraden", wenn der FAP-221C auf Stand 5.2 build 0212 (4090) sich befindet.
 
Ab FortiOS 5.2.3 ist ein Downgrade auf FortiOS 5.0.x nicht mehr möglich. Aus diesem Grund ist es in jedem Fall zu empfehlen die entsprechenden Release Notes betreffend eine Upgrade sowie Downgrade zu konsultieren. Bevor ein Downgrade ausgeführt wird muss berücksichtigt werden, dass FortiOS 5.2 basierende Forti Access Point's mit FortiGate's basiernd auf FortiOS 5.0.9 und/oder 5.2 betrieben werden können. Nachfolgender Link gibt detaillierte Auskunft welche Versionen basiernd auf FortiGate 5.0 und/oder 5.2 eingesetzt werden können.
 
        [[FortiAP:FAQ#Welches_FortiOS_soll_im_Zusammenhang_mit_FortiGate_Devices_und.2Foder_Forti_Access_Points_eingesetzt_werden.3F]]
 
=== Kann für einen Forti Access Point basierend auf Firmeware 5.4 anhand einer Firmware 5.2 ein "Downgrade" durchführen? ===
 
Für jedes Downgrade wie Upgrade ist vorgehend die entsprechenden Release Notes zu konsultieren ob dies ermöglich wird oder nicht. Für Forti Access Points basierend auf FortiOS 5.4 ist folgendes zu berücksichtigen:
 
        Ein Upgrade auf FortiOS 5.4 für Forti Access Points kann ab FortiOS 5.2.4 durchgeführt werden jedoch ein Downgrade für Forti Access
        Points basierend auf FortiOS 5.4 ist gemäss Release Notes nicht möglich. Forti Access Points basierend auf FortiOS 5.4 können nur mit
        FortiGates betrieben werden basierend auf FortiOS 5.4.
 
== Backup ==
 
=== Wie kann ich für einen Forti Access Point Konfiguration ein Backup erstellen? ===
 
Wenn ein Backup einer Forti Access Point Konfiguration durchgeführt wird muss berücksichtigt werden, dass dieses Backup nur die lokale Konfiguration des Forti Access Point enthält dh. dieses Backup enthält nicht die Konfiguration zB der SSID, WTP Profiles usw. Ein Backup eines Forti Access Point's kann über Mgmt. Web Interface des Forti Access Point's durchgeführt werden sowie über CLI. Bei einem Backup über Mgmt. Web Interface wird im Hintergrund folgender Befehl ausgeführt:
 
        <big>'''Backup der Forti Access Point Konfiguration über CLI'''</big>
          
          
         # config wireless-controller vap
         # cfg -e
         # edit [Name des Interfaces zB "mesh-backhaul"]
         BAUD_RATE=9600
         # set ssid "[Name der SSID zB "mesh-backhaul"]"
        ADMIN_TIMEOUT=5
         # set security wpa2-only-personal
        AP_IPADDR=192.168.1.2
         # set passphrase "[Preshared Key gemäss SSI "mesh-backhaul"]"
        AP_NETMASK=255.255.255.0
         # set encrypt AES
        IPGW=192.168.1.1
         # set vdom root
        AP_MODE=0
         # set mesh-backhaul enable
        DNS_SERVER=208.91.112.53
         # end
         AP_MGMT_VLAN_ID=0
          
         ADDR_MODE=DHCP
         Nun muss ein "backhaul" Access Point Profile erstellt werden. Wähle dazu im WebGui folgendes:
         STP_MODE=0
          
         TELNET_ALLOW=1
         WiFi Controller > Managed Access Points > Custom AP Profile and select "Create New":
         HTTP_ALLOW=1
          
        AC_DISCOVERY_TYPE=0
         - Wähle für das Profile einen Namen zB "mesh-backhaul-root".
         AC_IPADDR_1=192.168.1.1
         - Wähle die Platform für den Access Point der eingesetzt wird als "root" Mesh Access Point.
         AC_HOSTNAME_1=_capwap-control._udp.example.com
         - Aktiviere die Position "Mesh Downlink".
         AC_CTL_PORT=5246
         - Selektiere im der "Radio 1" Abschnitt die SSID die für den "backhaul link" vorhergend erstellt wurde zB "mes-backhaul".
         AC_DISCOVERY_MC_ADDR=224.0.1.140
         AC_DISCOVERY_DHCP_OPTION_CODE=138
         AC_DATA_CHAN_SEC=2
         MESH_AP_TYPE=0
         MESH_AP_SSID=fortinet.mesh.root
        MESH_AP_BSSID=
        MESH_AP_PASSWD=fortinet.mesh.root
        MESH_ETH_BRIDGE=0
        MESH_MAX_HOPS=4
         MESH_SCORE_HOP_WEIGHT=50
        MESH_SCORE_CHAN_WEIGHT=1
        MESH_SCORE_RATE_WEIGHT=1
        MESH_SCORE_BAND_WEIGHT=100
         MESH_SCORE_RSSI_WEIGHT=100
 
         <big>'''Backup der Forti Access Point Konfiguration über Web Mgmt. Interface'''</big>
          
          
         [[Datei:Fortinet-353.jpg]]
         Das Web Mgmt. Interface eines Forti Access Point ist sofern dies die Firewall Policy Rule erlaubt, über dessen zugewiesene IPv4
        Adresse zugänglich. Dabei ist zu berücksichtigen, dass dies für den Forti Access Point in der entsprechenden Konfiguration auf
        erlaubt wird. Der Konfigurationspunkt der dies steuert ist der Folgende:
          
          
         '''NOTE''' Ab FortiOS 5.0.2 wird der Mesh Downlink innerhalb der SSID konfiguriert und steht nicht
         # config wireless-controller wtp
            mehr als Definition innerhalb des Profiles zur Verfügung.
        # edit [Serien Nummer des FortiAccess Point zB "FAP22B3U11011877"]
        # set login-enable [enable | disable]
        # end
          
          
         Bestätige die Konfiguration mit "OK". Um die Konfiguration auf der CLI durchzuführen gebe folgendes ein:
         Unter FortiOS 5.4 kann der Zugriff über die Konfiguration für den Forti Access Point selber erfolgen oder über das dem Forti Access
        Point zugewiesene WTP Profile:
          
          
         # config wireless-controller wtp-profile
         # config wireless-controller wtp
         # edit [Profil Name zB "mesh-backhaul-root"]
         # edit [Serien Nummer des FortiAccess Point zB "FAP22B3U11011877"]
        # config platform
         # set override-allowaccess [enable | disable]
         # set type [Selektiere Platform für den Access Point der als "root" Mesh eingesetzt wird]
         # set allowaccess [telnet | http]
        # end
        # config radio-1
        # set mode ap
        # set mesh-downlink enable
        # set band 802.11n-5G
        # set channel "36" "40" "44" "48" 
        # set darrp enable
         # set vaps [SSID die für den "backhaul link" erstellt wurde zB "mesh-backhaul"]
        # end
         # end
         # end
          
          
         Nun muss das erstellt Profil dem Access Point hinzugefügt werden der als "root" Mesh aggieren soll.
         # config wireless-controller wtp-profile
         Wähle dazu im WebGui folgendes:
         # edit [Wähle das entsprechende WTP Profile für den Forti Access Point]
       
         # set allowaccess [telnet | http]
        WiFi Controller > Managed Access Points > Managed FortiAP
         # end
       
        Der "root" Mesh Access Point muss über physisches LAN angeschlossen sein sowie Verbindung zum WiFi Controller
        haben. Danach (nach ca. 2 Minuten) erscheint dieser in der List und  kann selektiert werden. Gehe auf "Authorize"
        und wähle das entsprechende Profil das erstellt wurde für den "backhaul link". In unserem Beispiel wäre dies zB
        "mesh-backhaul-root"! Nach einiger Zeit geht danach der Access Point auf den Status "Online".
          
         Um das Profil per CLI zum entsprechenden Profile hinzu zu fügen, gehe folgendermassen vor:
          
          
         # config wireless-controller wtp
         # config wireless-controller wtp
        # get
         # edit [Serien Nummer des FortiAccess Point zB FAP22B3U11011877]
        FAP22B3U11005354
         # set login-enable enable
       
         # edit FAP22B3U11005354
         # set admin enable
        # set wtp-profile [Name des Profils das erstellt wurde zB "mesh-backhaul-root"]
         # end
         # end
          
          
         Nun muss der "root" Mesh Access Point als solches definiert werden dh. im WebGui unter folgender Position ist die
         Wenn ein Backup eines Forti Access Point lokal durchgeführt werden soll dh. in dem der Forti Access Point lokal mit einem Host/Client
         entsprechende IP des Access Points zu eruieren (Blende die Spalte "Connecting from" ein unter Collums Settings):
         verbunden ist, kann das Mgmt. Web Interface über dessen Standard IPv4 Adresse erreicht werden. Dazu siehe nachfolgender Artikel:
          
          
         WiFi Controller > Managed Access Points > Managed FortiAP  
         [[FortiAP:FAQ#Was_ist_die_Default_IPv4_Adresse_f.C3.BCr_einen_Forti_Access_Point_und_wie_kann_ich_mich_auf_diese_IPv_Adresse_verbinden.3F]]
          
          
         Wir nehmen an, dass der Access Point dem wir das "backhaul" Profil hinzugefügt haben die IP zugewiesen worden ist
         Um auf CLI herauszufinden welche IPv4 Adresse durch den Forti Access Point benutzt wird um sich auf den entsprechenden Forti Access Point  
        192.168.3.2. Verbinde dich nun anhand dieser IP auf den WebBased Manager auf den Access Point (Ein Login erscheint
         anhand "telnet" zu verbinden siehe nachfolgenden Artikel:
         indem wir nur User "admin" eingeben: es gilt per Standard KEIN Passwort):
          
          
         http://192.168.3.2
         [[FortiAP:FAQ#Wie_finde_ich_.C3.BCber_den_FortiGate_Wireless_Controller_heraus_mit_welcher_IPv4_Adresse_ein_Forti_Access_Point_verbunden_ist.3F]]
          
          
         Im WebBased Manager auf dem Access Point unter "Mesh Configuration" selektiere:
         Danach kann anhand "telnet" auf dem FortiGate Wireless Controller oder Lokal über eine Host/Client (DOS Prompt) eine Verbindung zum Forti
        Access Point erstellt werden:
          
          
         Ethernet with mesh backup support
         # exec telnet [IPv4 des FortiAccess Point; Auch ersichtlich über "Manage FortiAP's"]
        FAP22B3U11011877 login: admin
          
          
         [[Datei:Fortinet-354.jpg]]
         Um danach lokal auf dem Forti Access Point den http Zugriff zu aktivieren führe folgendes aus:
          
          
         '''NOTE''' Die Konfigurationspunkte "Mesh AP SSID" sowie "Mesh AP Password" sind irrelevant und werden -da
         # cfg -a HTTP_ALLOW_DFLT=1
              der Access Point als "root" Mesh konfiguriert ist- ignoriert!
        # cfg -c
          
          
         Bestätige die Konfiguration anhand "Apply". Um den Befehl über CLI einzugeben gebe auf der Console des FortiAP folgendes ein:
         Wenn der Zugang HTTP_ALLOW_DFLT aktiviert wurde kann über die zugewiesene IP des Forti Access Point per Browser verbunden werden und
        ein manuelles Backup unter folgender Position ausgeführt werden:
          
          
         # cfg -a MESH_AP_TYPE=2
         Status > System Configuration > Last Backup
        # cfg –c
          
          
         Um die Konfiguration zu verifizieren (Neustart wird ausgeführt) geben folgendes ein:
         Das Backup File ist clear-text und enthält die gleichen Positionen wie das Komando "cfg -e". Nachfolgend eine Legende die diese 
        verschiedenen Positionen erläutert:
          
          
         # cfg -s
         WTP_NAME=FP221B3X12001413                                          [Hostname Forti Access Point]
          
         ADMIN_TIMEOUT=5                                                    [Admin Timeout Default 5 Minuten]
         '''NOTE''' Wenn ein FortiAP "nicht" durch einen "WiFi Controller" konfiguriert und eingebunden ist, ist der Consolen Port per
         AP_IPADDR=192.168.1.2                                             [Stellt die Default oder Fix IP dar wenn kein DHCP vorhanden ist]
            Telnet über die Standard IP 192.168.1.2 erreichbar. Wird ein FortiAP durch den "WiFi Controller" konfiguriert und
         AP_NETMASK=255.255.255.0                                          [Stellt das Default Subnet dar wenn kein DHCP vorhanden]
            ist eingebunden so ist der FortiAP über den Controller per Telnet erreichbar sofern diese Funktion aktiviert ist.
        IPGW=192.168.1.1                                                  [Stellt das Default Gateway dar wenn kein DHCP vorhanden]
            Folgender Artikel gibt Auskunft wie Telnet eingeschaltet werden kann in so einem Fall speziell für FortiAP's
         AP_MODE=0                                                          [0 (Thin AP)] | 2 (Site Survey)]
            ohne Consolen Port:
         DNS_SERVER=208.91.112.53                                          [Definiert den DNS Server; Standard FortiGuard DNS Server IP]
          
         BAUD_RATE=9600                                                    [Geschwindigkeit der Console; Standard 9600]
            [[FortiAP:FAQ#Wie_kann_ich_per_Telnet_auf_einen_Forti_Access_Point_zugreifen_wenn_der_Access_Point_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F]]
         ADDR_MODE=DHCP                                                    [IP Adressierungs Mode dh. DHCP oder STATIC]
          
         STP_MODE=0                                                        [Spanning Tree 0 = Deaktiviert | 1 = Aktiviert]
         Kontrolliere nachträglich unter folgender Position ob die Spalte "State" den Access Point als "Online" ausweist:
         TELNET_ALLOW=1                                                    [1 = Telnet steht zur Verfügung; 0 = Deaktiviert]
          
         HTTP_ALLOW=1                                                      [1 = WebInterface steht zur Verfügung; 0 = Deaktiviert]
         WiFi Controller > Managed Access Points > Managed FortiAP
         AC_DISCOVERY_TYPE=0                                                [0 = Automatic; 1 Static; 2 DHCP; 3 Broadcast; 4 Multicast]
          
         AC_IPADDR_1=192.168.1.1                                            [Wireless Controller IP zu dem sich der FortiAP verbinden soll]
         '''Manuelle Konfiguration Wireless Mesh der "leaf" Mesh Access Point'''
         AC_HOSTNAME_1=_capwap-control._udp.example.com                    [Wireless Controller FQDN zu dem sich der FortiAP verbinden soll]
          
         AC_CTL_PORT=5246                                                  [CAPWAP Comunication Port]
         Wie schon beschrieben sind "leaf" Mesh Access Points Devices die das Wireless Netz (nicht physisch) benutzen um sich
         AC_DISCOVERY_MC_ADDR=224.0.1.140
         ins Wireless Netz zu integrieren. Die Verbindung zum WiFi Controller wird über den "root" Mesh Access Point bewerkstelligt.
         AC_DISCOVERY_DHCP_OPTION_CODE=138                                  [DHCP Option Code]
       
         AC_DATA_CHAN_SEC=2                                                [DTLS Verschlüsselung 2 = Clear Text oder DTLS; 0 = Clear Text; 1 = DTLS Enabled]
        Um ein "leafe" Access Point zu konfigurieren benutzen wir den WebBased Manager der auf den FortiAP's läuft. Per Standard
         MESH_AP_TYPE=0                                                    [1 = Mesh Type "leave"; 2 = Mesh Type root]
         nach einem Factory Reset (per CLI "cfg -x" oder per Hardware Reset Button) hat ein FortiAP die IP 192.168.1.2. Verbinde
         MESH_AP_SSID=fortinet.mesh.root                                    [Mesh SSID Name]
        dich nun auf den WebBased Manager anhand dieser IP:
         MESH_AP_BSSID=                                                    [Mesh SSID Broadcast Name]
       
        MESH_AP_PASSWD=fortinet.mesh.root                                  [Mesh SSID Passwort]
        '''NOTE''' Betreffend Factory Reset siehe auch folgender Artikel:
        MESH_ETH_BRIDGE=0
           
        MESH_MAX_HOPS=4
            [[FortiAP:FAQ#Wie_kann_ich_die_Konfiguration_eines_Forti_Access_Point_Manuell_auf_Factory_Default_setzen.3F]]
        MESH_SCORE_HOP_WEIGHT=50
          
        MESH_SCORE_CHAN_WEIGHT=1
         http://192.168.1.2
        MESH_SCORE_RATE_WEIGHT=1
          
        MESH_SCORE_BAND_WEIGHT=100
         Im WebBased Manager konfiguriere folgendes:
        MESH_SCORE_RSSI_WEIGHT=100
          
 
         Uplink            [Mesh]
Somit kann dieses Backup File herangezogen werden um für verschiedene Forti Access Point ein Konfigurationsfile vorzubereiten und dieses als Restore wieder einzuspielen!
         Mesh AP SSID     [SSID die für den "backhaul link" erstellt wurde zB "mesh-backhaul"]
 
        Mesh AP Password  [Preshared Key gemäss SSI "mesh-backhaul"]"  
== Local Bridging ==
               
 
         Selektiere nun "Mesh" und setze die Mesh SSID auf diese die dafür erstellt wurde dh. in unserem Beispiel "mesh-backhaul".
=== Wie konfiguriere ich für eine Forti Access Point ein Wireless "local-bridging"? ===
        Danach setze ein Preshared Key dh. dieser wurde vergeben auf der SSID die in unserem Beispiel die SSID "mesh-backhaul" ist.  
 
        Konfiguration mit "Apply":
Wenn für einen Forti Access Point eine SSID konfiguriert wird, hat man die Möglichkeit diese betreffend "Traffic Mode" folgendermassen zu konfigurieren:
       
 
         [[Datei:Fortinet-355.jpg]]
         • Tunnel to Wireless Controller
       
        • Local bridge with FortiAP's Interface
        Wenn die Konfiguration anhand der CLI durchgeführt werden soll kann dies anhand folgender Kommandos durchgeführt werden:
 
       
Zusätzlich steht die Funktion "Mesh Downlink" zur Verfügung die jedoch nur im Zusammenhang mit "mesh" benutz wird. Wenn die Standard Konfiguration einer SSID benutzt wird dh. "Tunnel to Wireless Controller" so wird der Traffic des Host/Client über den CAPWAP (UDP-5246) Tunnel zum FortiGate Wireless Controller gesendet. Aus diesem Grund ist es nicht möglich mit dieser Konfiguration, dass der Client eine Resource innerhalb des gleichen LAN/Segment's, in dem sich der Forti Access Point befindet, direkt anzugehen denn der Traffic wird mit "Tunnel to Wirless Controller" unweigerlich über den CAPWAP Tunnel zum FortiGate Wireless Controller gesendet. Eine Ausnahme bildet die ab FortiOS 5.2 Funktion "Splitt Tunneling" die es erlaubt einen spezifischen IPv4 Adress Range/Subnet von diesem Umstand auszunehmen. Weitere Informationen zu dieser "Split Tunneling" Funktion siehe nachfolgender Artikel:
         '''NOTE''' Wenn ein FortiAP "nicht" durch einen "WiFi Controller" konfiguriert und eingebunden ist ist der Consolen Port per
 
            Telnet über die Standard IP 192.168.1.2 erreichbar. Wird ein FortiAP durch den "WiFi Controller" konfiguriert und
         [[FortiAP:FAQ#Wie_konfiguriere_ich_f.C3.BCr_eine_Forti_Access_Point_SSID_die_Funktion_.22Split_Tunneling.22.3F]]
            ist eingebunden so ist der FortiAP über den Controller per Telnet erreichbar sofern diese Funktion aktiviert ist.
 
            Folgender Artikel gibt Auskunft wie Telnet eingeschaltet werden kann in so einem Fall speziell für FortiAP's  
Soll jedoch der Traffic direkt vom Forti Access Point Interface in das LAN/Segment erlaubt werden in dem sich die Forti Access Points befinden,  muss die Konfiguration "Local bridge with FortiAP's Interface" benutzt werden! In diesem Modus wird das Interface auf dem Forti Access Point in den Bridge Modus versetzt. Der CAPWAP Tunnel der dennoch zum FortiGate Wireless Controller exisitert wird in dieser Situation nur zu Management Zwecken genutzt. Wird ein "Local bridge with FortiAP's Interface" konfiguriert muss folgendes berücksichtigt werden:
            ohne Consolen Port:
 
         Wenn der Konfigurationspunkt "Local bridge with FortiAP's Interface" aktiviert ist auf der SSID und der Access Point verliert
        die Verbindung zum FortiGate Wireless Controller so werden die Wireless Hosts/Clients nicht beinträchtigt da der Access Point
        im Bridge Mode ist und somit die CAPWAP Verbindung ausschliesslich benutzt wird um den Access Point zu konfigurieren/verwalten!
 
Um eine SSID über Kommandozeil auf "Local bridge with FortiAP's Interface" zu konfigurieren führe folgendes aus:
 
        # config wireless-controller vap
        # edit [Name SSID Profile]
        # set ssid [Name der SSID]
        # set local-bridging [enable | disable]
        # set vlanid [VLAN ID]
        # set local-authentication enable
        # set security [Setze die entsprechende Authentifizierung zB "wpa2-only-personal"]
        # set passphrase "[Setze zur SSID das entsprechende Passwort]
        # end
          
          
            [[FortiAP:FAQ#Wie_kann_ich_per_Telnet_auf_einen_Forti_Access_Point_zugreifen_wenn_der_Access_Point_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F]]
Sofern gewünscht kann eine VLAN ID für die SSID vergeben werden! Wenn der Traffic zwischen den Wireless Host/Client über die gleiche SSID anhand der Option "intra-vapprivacy" verhindert wird so wird "local-bridging" auf "disable" gesetzt! Dies bedeutet: Ist "local-bridging" auf "enable", kann das Interface des Forti Access Point im Bridge Mode nicht mehr verhindern, dass Wireless Hosts/Clients über die gleiche SSID untereinander komunizieren. Wenn ein "local-bridging" auf einem FortiWiFi Device für deren interne "radio's" konfiguriert wird, erscheint folgende Fehlermeldung:  
 
        "Maximum number of entries has been reached"
 
Somit kann keine SSID auf einem FortiWifi Device für deren "radio's" auf "local-bridging" konfiguriert werden. Als Workaround für einen FortiWifi Device, kann jedoch eine SSID im "Tunnel Mode" konfiguriert werden ohne aktivierten DHCP Server auf der SSID. Danach kann diese SSID anhand eines Software Switches, der für Forti Access Points per Grundsatz nicht unterstützt wird, zum "internal" Interface hinzugefügt werden. Damit die Wireless Hosts/Client die auf die SSID verbinden eine IP zugewiesen bekommen, wird auf dem "Software Switch" ein DHCP Server aktiviert! Somit kann diese SSID auf dem FortiWifi Device zusammen mit dem "internal" Interface als lokales und gemeinsames LAN/Segment genutzt werden! Diese Konfiguration gilt nur im Zusammenhang mit FortiWiFi's und ist nicht im Zusammenhang mit Forti Access Points zu benutzen da "Software Switches" in Zusammenhang mit Forti Access Points nicht unterstützt werden. Werden auf dem FortiWifi Devices zusätzliche Forti Access Points betrieben, können diese wie üblich anhand "Local Bridging" konfiguriert werden!
 
=== Kann ich auf einem Forti Access Point für ein "local bridging" Broadcast/Multicast verhindern (susspression)? ===
 
Dies ist ab FortiOS 5.2.2 innerhalb einer SSID möglich. Dies wird über CLI folgendermassen konfiguriert:
 
        # config wireless-controller vap
        # edit [Name der SSID]
        # set broadcast-suppression [dhcp-up | dhcp-down | arp-known | arp-unknown | arp-reply | netbios-ns | netbios-ds | ipv6]
        # end
          
          
        # cfg -a MESH_AP_SSID=[Name der SSID für "mesh-backhaul link"; in unserem Beispiel "mesh-backhaul"]
Per Standard wird für die Funktion "broadcast-suppession" folgende Werte benutzt:
         # cfg -a MESH_AP_PASSWD=[Preshared Key der SSID "mesh-backhaul"]
 
        # cfg -a MESH_AP_TYPE=1
         dhcp-up arp-known
        # cfg -c
 
Die Werte die unter "broadcast-suppresion" konfiguriert werden können haben folgende Bedeutung:
          
          
         Um die Konfiguration zu verifizieren (Neustart wird ausgeführt) geben folgendes ein:
         dhcp-up        Suppress broadcast uplink DHCP messages.
          
        dhcp-down      Suppress broadcast downlink DHCP messages.
         # cfg -s
        arp-known      Suppress broadcast ARP for known wireless clients.
        arp-unknown    Suppress broadcast ARP for unknown wireless clients.
        arp-reply      Suppress broadcast ARP reply from wireless clients.
        netbios-ns    Suppress NetBIOS name services packets with UDP port 137.
        netbios-ds    Suppress NetBIOS datagram services packets with UDP port 138.
        ipv6          Suppress IPv6 packets.
 
Grundsätzlich stet der Befehle "broadcast-suppression" auch für eine SSID zur Verfügung die "NICHT" als "Local Bridging" konfiguriert wurde (Tunnel to Wireless Controller). Die Erweiterung wurde jedoch "explizit" hinzugefügt für "Local Bridging" SSID's. Der Grund ist Folgende:
 
        Wenn ein Forti Access Point als "local bridging" eingesetzt wird in eine Subnet zB /20 so ist der Broadcast Traffic der zusätzlich
        auf dem Forti Access Point entsteht beträchtlich und beeinträchtigt somit die Performance des Forti Access Point durch die über
        Broadcast gesendeten "frames" vom Subnet über den Forti Access Point zum Client. Durch die gesetzten Optionen werden "frames" nur
        dann vom Forti Access Point zum Client (over the air) gesendet, wenn die "Destination IPv4" Adresse existiert ansonsten werden diese
        verworfen. Im "Tunnel to Wireless Controller" Mode agiert der Forti Access Point in gleicher Weise, jedoch fungiert der Forti Access
        Point als eine Art "ARP Proxy" und sendet ARP Anfrage nur zum Client (over the air) wenn der ARP Anfragen über "get sys arp" vorhanden
        sind. Dies gilt nur innerhalb der gleichen SSID. Diese Funktion resp. Optionen sind nur in "high density" (Hohes Aufkommen von Clients
        in grossen Netzwerken zB /20) Umgebungen zu benützen um die zusätzlicne "frames" zu verhindern (broadcast arp). Somit, unter normalen
        Umständen ist diese Option auf den Standard Werten zu belassen dh. "dhcp-up sowie arp-known".
 
== VLAN ==
 
=== Kann ich für Forti Access Point SSID's "Dynamische VLAN's" vergeben und wie konfiguriere ich diese? ===
 
Ab FortiOS 5.0.4 / 5.2 ist es möglich "Dynamische VLAN's" zu einer SSID zu vergeben im Zusammenhang mit einem Radius Server zB FortiAuthenticator. Dynamische VLAN's sind im "Tunnel to Wireless Controller" oder im "Local bridge with FortiAP's Interface" Traffic Mode möglich. Dynamische VLAN's werden basierend auf den User Zugangsinformationen zugewiesen. Dies bedeutet: Anhand der User Authentifizierungs Informationen wird auf dem Radius Server Radius Attribute ausgelöst. Diese Radius Attribute beinhalten die nötigen VLAN Informationen (VLAN ID) um die Zuweisung durchzuführen. Dazu sind auf dem Radius Server folgende Attribute zuständig:
 
        IETF 64 (Tunnel Type)              = Muss auf VLAN gesetzt werden
         IETF 65 (Tunnel Medium Type)      = Muss auf 802 gesetzt werden
         IETF 81 (Tunnel Private Group ID)  = Muss auf die entsprechende VLAN ID gesetzt werden
          
          
        Als nächsten Schritt muss für die "leaf" Access Points ein Profil angelegt werden. Dazu wähle im WebGui folgendes:
Diese Radius Attribute "IETF" bedeuten "Internet Engineering Task Force" und sind zuständig die nötigen Informationen nach erfolgreicher Radius Authentifizierung anhand Radius Attribute zu übermitteln. Anhand dieser "Dynamischen VLAN's" und über die Authentifizierung über den Radius Server, wird ermöglicht dem User ein bestimmtes Segment (VLAN ID) über die SSID zu zuweisen. Um die Funktion resp. Konfiguration von "Dynamischen VLAN's" zu ermöglichen, ist die Funktion unter der entsprechenden SSID generell zu aktivieren:
       
 
        WiFi Controller > Managed Access Points > Custom AP Profile
         # config wireless-controller vap
       
         # edit [Wähle den Namen der entsprechenden SSID]
        Erstelle unter "Create New" ein neues Profil und konfiguriere dieses folgendermassen:
         # set dynamic-vlan [enable | disable]
       
        Name          Wähle einen Namen für das Profil zB "mesh-backhaul-leaf".
        Platform      Selektiere entsprechend dem FortiAP Modell die für "leaf" Mesh eingesetzt werden die Platform
        Radio 1      Aktiviere die Position "Mesh Downlink". Selektiere die SSID die für den "backhaul link" zB "mes-backhaul".
        Radio 2      Unter Radio 2 (Radio 1 ist in Gebrauch für den "backhaul link") wähle die SSID's die für die User bereitgestellt werden sollen.
       
        [[Datei:Fortinet-356.jpg]]
       
        '''NOTE''' Ab FortiOS 5.0.2 wird der Mesh Downlink innerhalb der SSID konfiguriert und steht nicht
            mehr als Definition innerhalb des Profiles zur Verfügung.
       
        Bestätige die Konfig mit "OK". Nun wenn die Konfig auf der CLI durchgeführt werden möchte gebe folgendes ein:
       
         # config wireless-controller wtp-profile
         # edit [Namen für das Profil zB "mesh-backhaul-leaf"]
        # config platform
         # set type [Selektiere entsprechend dem FortiAP Modell die für "leaf" Mesh eingesetzt werden die Platform]
        # end
        # config radio-1
        # set mesh-downlink enable
        # set band 802.11n-5G
        # set channel "36" "40" "44" "48"
        # set darrp enable  
        # set vaps [SSID die für den "backhaul link" erstellt wurde zB "mesh-backhaul"]     
        # end
        # config radio-2
        # set mode ap
        # set band 802.11n
        # set vaps [wähle die SSID's die für die User bereitgestellt werden sollen]
        # end
         # end
         # end
          
          
        Nun muss das entsprechende Profil das erstellt worden ist dem entsprechenden FortiAP das für "leaf" Mesh Access Point
Um die VLAN Konfiguration lokal auf einem Forti Access Point auszulesen kann folgendes Kommando ausgeführt werden:
        benützt wird, zugewiesen werden. Wähle daszu im Gui:
   
       
         # cw_diag show wllbr
        WiFi Controller > Managed A ccess Points > Managed FortiAP
 
       
Folgendes Dokument zeigt ein Beispiele wie so eine SSID mit "Dynamischen VLAN's" im Zusammenhang mit "Tunnel to Wireless Controller" zu konfigurieren ist:
        Wenn der "leaf" Mesh Access Point in Betrieb ist müsste dieser nun in der Liste der Access Points erscheinen. Selektiere
        diesen und wähle "Authorize". Wenn in den "Colum Settings" die Position "Connect Via" angewählt wird sollte der Access
        Point die Mesh IP zeigen. Nach dem "Authorize" kann das entsprechende Profile für die "leaf" Mesh Access Point, das
        vorhergend erstellt worden ist gewählt werden. Bestätige die Konfiguration anhand "Apply". Wenn die Konfiguration auf
        der CLI durchgeführt werden soll führe folgendes aus:
       
         # config wireless-controller wtp
        # get
        FAP22B3U11d05924
       
        # edit FAP22B3U11d05924
        # set admin enable
        # set wtp-profile [Namen für das Profil zB "mesh-backhaul-leaf"]
        # end
       
        Die Konfiguration der '''Manuelle Konfiguration betreffend Mesh''' ist nun abgeschlossen. Um das "Mesh" Wireless  
        Netzwerk zu kontrollieren wähle im WebGui folgendes:
       
        WiFi Controller > Managed Access Points > Managed FortiAP
       
        In dieser View werden alle verbundenen und nicht verbundenen FortiAP's aufgelistet. Wenn man unter "Column Settings"
        das Feld "Connected Via" einblended sieht man in diesem Feld "Mesh" für die FortiAP's die über Mesh verbunden sind
        sowie deren IP Adressen. Diese Kontrolle kann ebenfalls über die CLI eines Mesh verbundenen FortiAP durchgeführt werden:
       
        # cw_diag -c mesh
       
        Eine weitere Möglichkeit um an Informtionen heranzukommen ist auf dem FortiAP folgender Befehl abzusetzen:
       
        # dmesg


        '''<big>MANUELLE KONFIGURATION WIRELESS BRIDGING</big>'''
         [[Datei:Dynamic VLANs.pdf]]
       
        Der Vorteil einer manuellen Konfiguration liegt darin, dass die Konfiguration selber mehr Kontrolle über die
        Devices gibt. Ein Bridging WiFi Netzwerk basiert darauf, dass ein Access Point über einen physischen Port
        (Ethernet) am WiFi Controller angeschlossen ist ("root" Mesh). Ein anderer Access Point ("leaf") verbindet
        sich über diesen "root" Mesh Access Point sowie auf dem "leaf" Mesh Access Point ist Bridging Mode aktiviert
        da dieser an einem LAN Segment direkt verbunden ist und dieses über den "root" Mesh Access Point (backhaul
        link) verbindet. Ein FortiAP Device verfügt über 2 Radios (2.4 GHz sowie 5 GHz). Es ist  empfohlen 5 GHz zu
        benutzen für den "backhaul link" und 2.4 GHz für die Client im Wireless  Netzwerk. Um eine manuelle Konfiguration
        durchzuführen sind folgende Punkte zu berücksichtigen:
       
        • Konfiguriere den "backhaul link" und den "root" Mesh Access Point!
        • Konfiguriere die "leaf" Mesh Access Point's (Bridging aktiviert)!
       
        '''Manuelle Konfiguration Wireless Bridging des "backhaul link" and "root" Mesh Access Point'''
       
        Die Konfiguration wird exakt genau gleich durchgeführt wie diese für "Wireless Mesh" mit einer Ausnahme dh. auf dem
        "leaf" Mesh Access Point wird die Position "Ethernet Bridge" zusätzlich AKTIVIERT. Danach wird dieser Access Point
        direkt mit dem zu verbindenen Segment verbunden!
       
         [[Datei:Fortinet-357.jpg]]


== Guest Access ==
=== Kann ich auf einem Forti Access Point für eine SSID mit einer VLAN ID versehen um den Ethernet Port nach 802.1Q zu "taggen"? ===


Ab FortiOS 5.0 / 5.2 jst es möglich eine SSID mit einem "Local bridge with FortiAP's Interface" Traffic Mode zu konfigurieren. Dies bedeutet der Traffic des AP wird direkt über dessen Ethernet Port in das jeweilige LAN/Segment gesendet anstelle diesen über den Data Channel Enkapsuliert (CAPWAP) zum FortiGate Wireless Controller zu senden. Per Standard sind alle SSID's im Traffic Mode "Local bridge with FortiAP's Interface" mit einer VLAN-ID "0" versehen. Um Fehler zu verhindern, muss jede SSID die mit dem Traffic Mode "Local bridge with FortiAP's Interface" konfiguriert ist, mit einer anderen VLAN ID versehen werden (Nur eine SSID mit VLAN ID 0 ist erlaubt). Ueber das Mgmt. Web Interface des Forti Access Point's ist diese VLAN ID Konfiguration ersichtlich. Ebenfalls kann lokal auf dem Access Points über CLI folgender Befehl abgesetzt werden um die Konfiguration einzusehen:


=== Was ist der Unterschied zwischen der "Wireless Self Registration" und der "Guest Access Provisioning" Funktion? ===
        # brctl show
        # cat /proc/net/vlan/conf


Fortinet bietet im Zusammenhang mit WiFi Infrastrukturen zwei verschiedene Arten eines Ticketing System's:
Die Konfiguration einer VLAN ID für eine SSID kann ab FortiOS 5.2 über Mgmt. Web Interface durchgeführt werden:


         '''Guest Access Provisioning:'''
         WiFi Controller > WiFi Network > SSID > [Wähle die entsprechende SSDI] > Optional VLAN ID
        Das "Guest Access Provisioning" basiert auf einem Ticket System die durch einen definierten Administrator
        generiert werden. Der "Guest Access Administrator" hat bereits Zugriff auf das Netzwerk und die "Guest"
        User können sich in unterschiedlichen Netzwerken befinden. Für dieses "Gues Access Provisioning" können
        die Tickets selber dh. Inhalt nicht modifiziert werden sondern sind gegeben. In so einer Situation sollte
        die "Captive Portal" Funktion benutzt werden! Fur die Funktion des "Geust Access Provisioning" benötigt
        man eine FortiGate mit FortiOS 5.0 / 5.2. Keine zusätzliche Installationen müssen durchgeführt werden
        da eine FortiGate alle Funktionen beinhaltet für ein "Guest Access Provisioning". Weitere  Information
        zur Implmenenterung siehe:
       
        [[FortiAP:FAQ#Wie_implementiere_ich_ein_.22Wireless_Guest_Access_Provisioning.22.3F]]


        '''User Self Registration:'''
         [[Datei:Fortinet-1266.jpg]]
        In dieser Funktion muss ein FortiAuthenticator für die "Guest" User erreichbar sein. Deshalb darf zwar ein
        "Captive Portal" vorgeschaltet sein jedoch mit einem Verweis auf den "FortiAuthenticator" und dessen Self
        Registration Portal. Die Felder, der Inhalt etc. des Self Registration Portal und/oder der Ticket's können
        vollumfänglich selber definiert werden. Für das "Wireless Self Registration" benötigt man einen
        FortiAuthenticator! Weitere Inoformationen zur Implementierung siehe:
       
         [[FortiAuthenticator:FAQ#Wie_sieht_ein_Grundsetup_vom_Ablauf_her_aus_f.C3.BCr_die_.22Self-Registration.22_Funktion.3F]]


=== Wie implementiere ich die "Wireless Self Registration" Funktion? ===
Möchte man die VLAN ID für eine SSID die auf "Local bridge with FortiAP's Interface" konfiguriert wurde über CLI konfigurieren führe folgendes durch:


Für die "Wireless Self Registration" Funktion benötigt man im Gegensatz zur "Wireless Guest Access Provisioning" einen FortiAuthenticator da sich auf diesem das Self Registration Portal befindet. Im nachfolgenden Artikel werden die Unterschiede dieser zwei Möglichkeiten aufgezeigt:
        # config wireless-controller vap
        # edit [Name der entsprechenden SSID]
        # set vdom root
        # set ssid [Name der SSID]
        # set security [Setze die entsprechende Authentifizierung zB "wpa2-only-personal"]
        # set passphrase "[Setze zur SSID das entsprechende Passwort]
        # set local-bridging [enable | disable]
        # set vlanid [Gebe die entsprechende VLAN ID an]
        # end


        [[FortiAP:FAQ#Was_ist_der_Unterschied_zwischen_der_.22Wireless_Self_Registration.22_und_der_.22Guest_Access_Provisioning.22_Funktion.3F]]
== Mesh/Bridging ==


Im nachfolgenden Artikel wird aufgezeigt wie ein "Wireless Self Registration" auf einem FortiAuthenticator im Zusammenhang mit einer FortiGate konfiguriert wird:
=== Wie konfiguriere ich für einen Forti Access Point ein Wireless "Mesh/Bridging Netzwerk" (manuell/automatisch)? ===


        [[FortiAuthenticator:FAQ#Wie_sieht_ein_Grundsetup_vom_Ablauf_her_aus_f.C3.BCr_die_.22Self-Registration.22_Funktion.3F]]
Grundsätzlich unterscheiden wir innerhalb eines Wireless Mesh Netzwerks (ab FortiOS 5.0 / 5.2) folgende Arten eine Mesh Netzwerks:


=== Wie implementiere ich ein "Wireless Guest Access Provisioning"? ===
        '''NOTE''' Fortinet hat speziell betreffend "Mesh" ein spezielle Handbook's Released, dass auf die Konfiguration von "Mesh" eingeht.
            Aus diesem Grund lohnt sich ebenfalls diese Handbook's einzusehen:
           
            [[FortiAP:FAQ#Wo_findet_ich_die_Dokumente_wie_Datasheets.2C_Quick_Start_Guide.2C_User_Guide_etc._.3F]]


Bei einem "Wireless Guest Access Provisioning" (ab FortiOS 5.0 / 5.2) kann ein "restricted" Administrator "Guest Accounts" erstellen, die benutzt werden um Zugriff auf das Gäste Wireless zu erhalten. Die Informationen können dem Gast über E-Mail, SMS oder über einen Ausdruck übermittelt werden. Um ein "Wireless Guest Access Provisioning" zu konfiguriere benötigen wir als Erstes eine spezielle Gruppe. Dazu führe folgendes Konfiguration durch:
        '''Wireless Mesh (No VLAN Support)'''
        Ein Access Point - auch genannt "root" Mesh Access Point - ist direkt verbunden mit dem FortiGate Wireless Controller.
        Alle anderen Forti Access Points - auch genannt "leaf" Mesh Access Points - benützen den FortiGate Wireless Controller
        in dem diese über den "root" Mesh Access Point sich zum FortiGate Wirelesss Controller verbinden. Für Wireless Hosts/
        Clients die sich zu einer SSID verbinden in einem Mesh Netzwerk ist das Verbinden Transparent dh. bemerken nicht, dass
        sie sich zu einem Mesh Netzwerk verbinden.


      '''NOTE''' Ab FortiOS 5.2 kann für den "restricted" Administrator für die "Guest Accounts" ein eigenes "Sprachfile" erstellt
        '''Wireless bridging (No VLAN Support)'''
            werden (Custome Language File). Weitere Informationen wie dieses zu erstelle sowie zu konfigurieren ist siehe
        Für ein Bridging werden zwei physische LAN Segmente über Fortinet Access Points verbunden (the backhaul SSID). Die Ethernet
            nachfolgender Artikel:
        Anschlüsse resp. Interfaces auf den Forti Access Points ("leaf" Mesh Access Point), die diese LAN Segmente verbinden können
           
        benutzt werden um ein zusätzliches Wireless Segment für die Wireless Hosts/Clients bereitzustellen. Grundsätzliche sind die
            [[FortiAP:FAQ#Wie_implementiere_ich_ein_.22Wireless_Guest_Access_Provisioning.22_.28Guest_Management.29_ein_.22Custome_Language_File.22.3F]]
        Clients direkt in dem jeweiligen Segment per LAN oder über ein erweitertes Wireless Netzwerk verbunden.


      User & Device > User > User Groups
Daraus ergeben sich folgende Möglichkeiten:
     
      [[Datei:Fortinet-363.jpg]]
     
      '''NOTE''' Aktiviert man die Position "Enable Batch Guest Account Creation" werden die "Guest Accounts" automatisch
            durch das System erstellt (Batch):
           
            [[Datei:Fortinet-373.jpg]]


Zur dazugehörigen Gruppe erstellen wir einen Administrator der jedoch eingeschränkt wird als "Restricted to Provision Guest Accounts". Dies bedeutet: Der Administrator hat nur Rechte für diese Gruppe "Guest Accounts" zu erstellen:
        <big>'''Forti Access Points werden benützt als "root" Mesh und "leaf" Mesh Access Points'''</big>
       
        [[Datei:Fortinet-345.jpg]]


      System > Admin > Administrators
        <big>'''FortiWiFi Device wird benützt als "root" Mesh Access Point und die Forti Access Points als "leaf" Mesh Access Points'''</big>
     
       
      [[Datei:Fortinet-364.jpg]]
        [[Datei:Fortinet-346.jpg]]


Wenn sich der "Restricted to Provision Guest Accounts" Administrator über das reguläre Login der FortiGate einloggt, kann dieser für die definierte Gruppe "Guest Account's" erstellen resp. verwalten:
        <big>'''Forti Access Points werden benützt um zwei LAN Segmente zu verbinden (Bridging)'''</big>
       
        [[Datei:Fortinet-347.jpg]]


      [[Datei:Fortinet-365.jpg]]
Technische Vorraussetzung für die Konfiguration eines Mesh Wireless Netzwerks sind:


      [[Datei:Fortinet-366.jpg]]
        • Alle Forti Access Points die im Mesh Wireless Network eingesetzt werden, müssen über Firmware 5.0 Build 003 oder höher verfügen!
 
         
Um nun zB einen "Guest Account" zu erstellen geht der Administrator folgendermassen vor:
        • Forti Access Point FAP-222B muss über die Bios Version 400012 oder höher verfügen:
         
          ftp://pftpintl:F0rt1intl@support.fortinet.com/FortiAP/v4.00/4.0MR3/FAP222B_BIOS_update.image.out
         
        • Auf dem FortiGate/FortiWiFi Wireless Controller muss FortiOS 5.0 GA oder höher installiert sein!
       
          '''NOTE''' Folgende Funktionen sollten möglichst nicht benützt werden auf dem Forti Access Point "radio" auf dem der
              Mesh Link konfiguriert wurde:
         
              [[FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Radio_Resource_Provisioning.22_.28ARRP.2FDARRP.29_innerhalb_einer_WTP_Profile_Konfiguration.3F]]
              [[FortiAP:FAQ#Was_bedeutet_der_Konfigurations_Punkt_.22channel-bonding.22_.28Channel_Width.3F]]
              [[FortiAP:FAQ#Was_bedeutet_.22Wireless_IDS.22_und_wie_konfiguriere_ich_dieses.3F]]


      [[Datei:Fortinet-367.jpg]]
Um ein Mesh Wireless Network zu konfigurieren unterscheinden wir zwischen Manueller (mehr Möglichkeiten) oder Automatischer Konfiguration:


      [[Datei:Fortinet-368.jpg]]
        '''<big>AUTOMATISCHE KONFIGURATION WIRELESS MESH</big>'''
     
       
      '''NOTE''' Wird die Position "Enable Batch Guest Account Creation" in der Gruppe aktiviert werden die Guest Account's "automatisch"
        Jede VDom inkl. der "root" VDom verfügt über ein vordefiniertes Interfaces (wl.mesh) sowie SSID (fortinet.mesh.[VDom Name].
            erstellt (Batch). Dies sieht dann folgendermassen aus:
        Diese können nicht gelöscht werden und werden für die autom. Konfiguration herangezogen werden:
           
       
            [[Datei:Fortinet-374.jpg]]  
        [[Datei:Fortinet-348.jpg]]
           
       
            Nach der "automatischen" Erstellung wird folgendes Ausgegeben:
        Um die autom. Konfiguration durchzuführen sind folgende Schritte nötig:
           
       
            [[Datei:Fortinet-375.jpg]]
        • Konfiguriere einen "root" Mesh Access Point auf einer Forti Access Point oder auf einer FortiWiFi Device.
           
        • Konfiguriere die Forti Access Points für "leaf" Mesh.
            Wenn man "mehrere" Guest Accounts auf einmal erstellen möchte, wählt man bei der Erstellung folgendes:
        • Authorisiere die "leaf" Mesh Forti Access Point damit diese auf den FortiGate/FortiWiFi Controller verbinden können.
           
       
            [[Datei:Fortinet-376.jpg]] 
        '''Automatische Konfiguration Wireless Mesh des "root" Mesh Access Points'''
           
       
            Danach kann angegeben werden wie viele Guest Accounts zu erstellen sind sowie das Ablaufdatum dieser Accounts:
        Wähle über das Mgmt. Web Interface folgendes:
           
       
            [[Datei:Fortinet-377.jpg]]
        WiFi Controller > [WiFi Network] > [Managed Access Points] > Managed FortiAPs
           
       
Nach der Erstellung der Guest Accounts können die Informationen dem Gast übermittelt werden. Zur Verfügung stehen SMS (Email Only), Email sowie Printing:
        Selektiere den gewünschten Forti Access Point der als "root" Mesh verwendet werden soll! Danach gehe auf "Authorize".  
 
       
      [[Datei:Fortinet-369.jpg]]
        Wähle folgendes:
 
       
Wählt man zB Printing so erscheint folgendes:
        Accept Mesh Requests from other APs (SSID, fortinet.mesh.root)
 
       
      [[Datei:Fortinet-372.jpg]]
        '''NOTE''' Dieser Konfigurationspunkt steht ab FortiOS 5.0.3 nicht mehr zur Verfügung und muss nicht
     
            mehr gesetzt werden!
      '''NOTE''' Die Informationen die in diesem Ticket enthalten sind sowie das Aussehen können nicht verändert werden!  
               
 
        [[Datei:Fortinet-349.jpg]]
Wenn man das Fenster schliesst "Return" kann man den erstellten Guest Account in der Liste sehen sowie einsehen zB "Passwort" und sieht ebenfalls die "Expiration" dh. in unserem Beispiel "30 Minuten". Diese kann über die Funktion "Purge" zurückgesetzt werden:
       
 
        '''Automatische Konfiguration Wireless Mesh des "leaf" Mesh Access Points'''
      [[Datei:Fortinet-370.jpg]]
       
     
        Verbinde dich auf das Mgmt. Web Interface des Forti Access Point auf dem "leaf" Mesh konfiguriert werden soll.  
Wenn man sich als "regulärer" Administrator wiederum einloggt kann man die Guest Accounts - die durch den "Restricted to Provision Guest Accounts" Administrator erstellt wurden - über folgende Position einsehen:
        Per Standard dh. Factory Reset Default (cfg -x oder Reset Button) hat ein Access Point die IP 192.168.1.2.
 
         Weitere Informationen siehe nachfolgenden Artikel:
      User & Device > User > Guest Management
     
      [[Datei:Fortinet-371.jpg]]
     
      '''NOTE''' Der "reguläre" Administrator kann natürlich diese User vollumfänglich modifizieren sowie neue Guest Accounts
            -wie der "Restricted to Provision Guest Accounts" Administrator"- erstellen/verwalten!
 
Für die SSID muss nun ein "Captive Portal" ausgewählt werden. Wähle die entsprechende SSID und füge die Gruppe zum "Captive Portal" hinzu:
 
         [[Datei:Fortinet-1267.jpg]]
          
          
         '''NOTE''' Unter FortiOS 5.2 sind einigen neuen Positionen innerhalb der SSID dazugekommen wie zB "Redirect after Captive Portal".
         [[FortiAP:FAQ#Was_ist_die_Default_IPv4_Adresse_f.C3.BCr_einen_Forti_Access_Point_und_wie_kann_ich_mich_auf_diese_IPv_Adresse_verbinden.3F]]
            Diese Position ermöglicht es dem "Guest Account" nach einer erfolgreichen Authentifizierung seine vorgängig eingegebene
            URL automatisch aufzurufen. Unter FortiOS 5.0 war dies nicht möglich und nach einer erfolgreichen Authentifizierung musste
            der Guest Account die URL abermals eingeben!
 
Als Letzteres muss eine entsprechende Firewall Policy implementiert werden (keine Identity Based Policy) die der SSID den gewünschten Traffic erlaubt. Danach kann die Lösung getestet werden. Sobald ein WiFi Client die entsprechende SSID aufruft und Anfragen absetzt wird das "Captive Portal" aufgerufen. Anhand der "Guest Account" Informationen resp. Tickets kann der WiFi Client die Authentifizierung im "Captive Portal" durchführen. Um das Ganze auf der CLI zu konfigurieren führe folgende Kommandos aus:
 
        '''Guest Access User Group'''
          
          
         # config user group
         Auf dem Mgmt. Web Interface unter "Connectivity" konfiguriere folgendes:
        # edit [Name der Gruppe zB "FortiGroup-Guest"]
        # set group-type guest
        # set user-id [email | auto-generate | specify]
        # set password [auto-generate | specify | disable]
        # set user-name [enable | disable]
        # set email [enable | disable]
        # set mobile-phone [enable | disable]
        # set default-expire [seconds]
        # end
 
        '''Guest admin profile options'''
          
          
         # config system admin
         '''NOTE''' Betreffend Factory Reset siehe auch folgender Artikel:
         # edit [Name des Administrators]
           
         # set guest-auth [enable | disable]
            [[FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_eine_Forti_Access_Point_Hardware_einen_Factory_Reset_durchf.C3.BChren.3F]]
         # set guest-usergroups [Name der Guest Gruppe zB "FortiGroup-Guest"]
          
         # end
        Uplink          Mesh
        Mesh AP SSID    fortinet.mesh.[VDom Name dh. Standard "root"]
        Mesh AP Password [SSID des "root" Mesh AP dh. fortinet.mesh.root]
          
        [[Datei:Fortinet-350.jpg]]
       
        Bestätige die Konfiguration anhand "Apply".
       
        '''Automatische Konfiguration Wireless Mesh der Autorization "leaf" Mesh Forti Access Points'''
       
        Durch die vorhergehende Konfiguration werden sich nun die "leafe" Mesh Forti Access Points über den "root" Mesh
        Access Points am FortiGate/FortiWiFi Controller anmelden. Damit dies erfolgreich durchgeführt werden kann muss
        jeder "leaf" Mesh Forti Access Point Autorisiert werden. Um dies durchzuführen wähle auf der FortiGate:
       
        WiFi Controller > [WiFi Network] > [Managed Access Points] > Managed FortiAPs
          
        Gehe auf "refresh" bis der/die "leaf" Mesh Forti Access Points ersichtlich sind. Danach selektiere den Forti
        Access Point und gehe auf "Authorize". Optional selektiere welche SSID den Usern auf den "leaf" Mesh Forti Access 
        Points ersichtlich sein soll. Konfiguriere die restlichen Positionen sofern notwendig. Danach bestätige mit "OK"
        die Konfiguration.
       
        Sobald die Konfiguration bestätigt wurde wir der Forti Access Point seinen Status von Offline zu Online wechseln
        (ca. 2 Minuten). Die automatische Konfiguration ist abgeschlossen und kann getestet werden.
 
        '''<big>AUTOMATISCHE KONFIGURATION WIRELESS BRIDGING</big>'''
       
        Der Vorteil einer manuellen Konfiguration liegt darin, dass durch die Konfiguration selber man mehr Kontrolle über
        den Device erhält. Ein Bridging Wireless Netzwerk basiert darauf, dass ein Forti Access Point über einen physischen
        Port (Ethernet) am FortiGate/FortiWiFi Controller angeschlossen ist ("root" Mesh). Ein anderer Access Point ("leaf")
        verbindet sich über diesen "root" Mesh Forti Access Point sowie auf dem "leaf" Mesh Forti Access Point ist Bridging
        Mode aktiviert da dieser an einem LAN Segment direkt verbunden ist und dieses über den "root" Mesh Forti Access Point
        (backhaul link) verbindet. Ein Forti Access Point Device für Mesh verfügt über 2 Radios (2.4 GHz sowie 5 GHz). Es ist
        empfohlen 5 GHz zu benutzen für den "backhaul link" und 2.4 GHz für die Wireless Hosts/Client im Wireless Netzwerk.
        Um eine manuelle Konfiguration durchzuführen sind folgende Punkte zu berücksichtigen:
       
        • Konfiguriere den "backhaul link" und den "root" Mesh Forti Access Point!
        • Konfiguriere die "leaf" Mesh Forti Access Point's (Bridging aktiviert)!
       
        '''Automatische Konfiguration Wireless Bridging des "backhaul link" and "root" Mesh Forti Access Point'''
       
        Die Konfiguration wird exakt genau gleich durchgeführt wie diese für "Wireless Mesh" mit einer Ausnahme dh. auf dem
        "leaf" Mesh Forti Access Point wird die Position "Ethernet Bridge" zusätzlich Aktiviert. Danach wird dieser Forti
        Access Point direkt mit dem zu verbindenen Segment verbunden!
       
         [[Datei:Fortinet-358.jpg]]


         '''SSID Security Mode option –captive-portal'''
         '''<big>MANUELLE KONFIGURATION WIRELESS MESH</big>'''
       
        Der Vorteil einer manuellen Konfiguration liegt darin, dass durch die Konfiguration selber man mehr Kontrolle über 
        den Device erhält. Ein Mesh Wireless Netzwerk basiert darauf, dass ein Forti Access Point über einen physischen Port
        (Ethernet) am FortiGate/FortiWiFi Controller angeschlossen ist ("root" Mesh). Alle anderen Forti Access Points verbinden
        sich über diesen "root" Mesh AP (backhaul link) zum FortiGate/FortiWiFi Controller. Ein Forti Access Point Device für
        Mesh verfügt über 2 Radios (2.4 GHz sowie 5 GHz). Es ist empfohlen 5 GHz zu benutzen für den "backhaul link" und 2.4
        GHz für die Wireless Hosts/Client im Wireless Netzwerk. Um eine manuelle Konfiguration durchzuführen sind folgende
        Punkte zu berücksichtigen:
          
          
         # config wireless-controller vap
         • Konfiguriere den "backhaul link" und den "root" Mesh Access Point!
         # edit [Name des SSID Profiles zB "only4guest"]
        • Konfiguriere die "leaf" Mesh Access Point's.
         # set vdom "root"
       
         # set ssid [Name der SSID zB "only4guest"]
         '''Manuelle Konfiguration Wireless Mesh des "backhaul link" and "root" Mesh Forti Access Point'''
         # set security captive-portal
       
         # set selected-usergroups [Name der Guest-Gruppe zB "FortiGroup-Guest"]
        • Stelle sicher das ein DHCP Server existiert im betreffenden Segment die durch die Forti Access Points benutzt werden kann.
         # set intra-vap-privacy enable
        • Erstelle eine SSID für den "backhaul link".
         # end
        • Erstelle eine Forti Access Point WPT Profil das die SSID für den "backhaul link" enthält.
         # config system interface
         • Füge das neue WPT Profil, dass die SSID für den "backhaul link" enthält zum "root" Mesh Access Point.
         # edit [Name des Interface für SSID zB "only4guest"]
         • Konfigureire den "root" Mesh Forti Access Point.
         # set ip [IPv4 Adresse für Interface Konfig zB 192.168.10.1 255.255.255.0
          
         # set allowaccess ping
         Um die SSID für den "backhaul link" zu erstellen wähle im Mgmt. Web Interface der FortiGate folgendes:
         # set devindex 0
       
         # set device-identification enable
        WiFi Controller > WiFi Network > SSID, select Create New
         # set snmp-index 0
          
         Konfiguriere folgendes:
          
         Interface Name        [Name des Interfaces zB "mesh-backhaul"]
         IP/Netmask            [Belasse die IPv4 Adresse auf 0.0.0.0/0.0.0.0]
        SSID                  [Name der SSID zB "mesh-backhaul"]
        Preshared Key        [Wähle ein Preshared Key]
       
        [[Datei:Fortinet-351.jpg]]
       
        Bestätige die Konfiguration mit "Ok" und gebe auf der Console folgendes ein um "backhaul" Funktion einzuschalten:
          
         # config wireless-controller vap
         # edit [Name des Interfaces zB "mesh-backhaul"]
         # set mesh-backhaul enable
         # end
         # end
         # config system dhcp server
       
         # edit [Gebe einen Integer an zB 1]
        Wenn man sich die betreffende SSID für "backhaul link" anschaut sieht das Ganze folgendermassen aus:
         # set forticlient-on-net-status disable
       
         # set dns-service default
        [[Datei:Fortinet-352.jpg]]
         # set default-gateway [IPv4 Adresse zB 192.168.10.1]
       
         # set netmask [Netmask für DHCP IP Range zB 255.255.255.0]
        Um die Ganze Konfiguration auf der CLI durchzufürhen geben folgendes ein:
         # set interface [Interface für DHCP Server zB "only4guest"]
       
         # config ip-range
        '''NOTE''' Ab FortiOS 5.02 wird der Mesh Downlink innerhalb der SSID konfiguriert dh. unter der
         # set start-ip 192.168.10.2
            Position "Traffic Mode"
         # set end-ip 192.168.10.254
       
         # config wireless-controller vap
         # edit [Name des Interfaces zB "mesh-backhaul"]
         # set ssid "[Name der SSID zB "mesh-backhaul"]"
        # set security wpa2-only-personal
         # set passphrase "[Preshared Key gemäss SSI "mesh-backhaul"]"
        # set encrypt AES
         # set vdom root
        # set mesh-backhaul enable
        # end
       
        Nun muss ein "backhaul" Forti Access Point Profile erstellt werden. Wähle dazu im Mgt. Web Interface der FortiGate folgendes:
       
        WiFi Controller > Managed Access Points > Custom AP Profile and select "Create New":
       
        - Wähle für das WTP Profile einen Namen zB "mesh-backhaul-root".
        - Wähle die Platform für den Access Point der eingesetzt wird als "root" Mesh Forti Access Point.
        - Aktiviere die Position "Mesh Downlink".
         - Selektiere im der "Radio 1" Abschnitt die SSID die für den "backhaul link" vorhergend erstellt wurde zB "mes-backhaul".
       
        [[Datei:Fortinet-353.jpg]]
       
        '''NOTE''' Ab FortiOS 5.0.2 wird der Mesh Downlink innerhalb der SSID konfiguriert und steht nicht
            mehr als Definition innerhalb des WTP Profiles zur Verfügung.
       
         Bestätige die Konfiguration mit "OK". Um die Konfiguration auf der CLI durchzuführen gebe folgendes ein:
       
         # config wireless-controller wtp-profile
         # edit [Profil Name zB "mesh-backhaul-root"]
        # config platform
         # set type [Selektiere Platform für den Access Point der als "root" Mesh eingesetzt wird]
         # end
         # end
        # config radio-1
        # set mode ap
        # set mesh-downlink enable
        # set band 802.11n-5G
        # set channel "36" "40" "44" "48" 
        # set darrp enable
        # set vaps [SSID die für den "backhaul link" erstellt wurde zB "mesh-backhaul"]
         # end
         # end
Es stehen folgend Troubleshooting Kommandos auf der CLI zur Verfügung:
        # diagnose test guest ?
        add    add a guest user
        del    delete guest users
        list    list guest users
        # diagnose test guest list
        user_id=new-user-1@beispiel.com
        group=Beispiel-Gruppe
        user_name=gast-1
        password=pwj8m9
        mobile_phone=
        sponsor=
        company=
        email=new-user-1@beispiel.com
        expire=1 Hours
        # diagnose test guest add
        <group>, <user-id>, <user-name>, <password>, <mobile-phone>, <sponsor>, <company>, <email>, <expire>
        # diagnose test guest del
        12 deleted for group '', user-id ''
        # diagnose test guest list
        0 found for group '', user-id ''
=== Wie implementiere ich ein "Wireless Guest Access Provisioning" (Guest Management) ein "Custome Language File"? ===
Auf einer FortiGate ist das Web Mgmt. Gui und andere Gui's auf Englisch. Unter der folgende Position können andere Sprachen gewählt werden:
        System > Admin > Settings > View Settings > Language > [English | French | Spanish | Portuguese | Japanese | Tradional Chinese | Simplified Chinese | Korean]
Andere Sprachen wie Deutsch stehen nicht zur Verfügung. Ab FortiOS 5.2 ist es jedoch möglich für folgende Funktion ein eigenes "Sprachefile" anzulegen (Custome Language File):
        • Guest Management Admin Accounts (Guest Access Provisioning)
        • SSL VPN Portal
        • SSL VPN Personal Bookmarks
Wenn für den "Guest Management Admin Accounts" ein eigenes "Sprachfile" erstellt werden soll muss folgendermassen vorgegangen werden:
        # config system global
        # set gui-custom-language enable
         # end
         # end
          
          
         Durch die Aktivierung von "gui-custom-language" wird ein zusätzlicher Menüpunkt auf dem Web. Mgmt. Interface auf der Fortiate
         Nun muss das erstellt WTP Profil dem Forti Access Point hinzugefügt werden der als "root" Mesh aggieren soll.  
         aktiviert:
         Wähle dazu im WebGui folgendes:
          
          
         System > Config > Advanced > Language
         WiFi Controller > [WiFi Network] > [Managed Access Points] > Managed FortiAPs
          
          
         [[Datei:Fortinet-1285.jpg]]
         Der "root" Mesh Forti Access Point muss über physisches LAN/Segment angeschlossen sein sowie Verbindung
        zum FortiGate/FortiWiFi Controller haben. Danach (nach ca. 2 Minuten) erscheint dieser in der List und
        kann selektiert werden. Gehe auf "Authorize" und wähle das entsprechende WTP Profil das erstellt wurde
        für den "backhaul link". In unserem Beispiel wäre dies zB  "mesh-backhaul-root"! Nach einiger Zeit geht
        danach der Forti Access Point auf den Status "Online".
          
          
         Unter der Position "Download Sample Language Template" kann eine Vorlage runtergeladen werden, die herangezogen werden kann
         Um das Profil per CLI zum entsprechenden Profile hinzu zufügen, gehe folgendermassen vor:
        um das "Sprachfile" zu erstellen. Nachfolgend ein Beispiel dieses "Sample Language Template":
          
          
         [[Datei:sample-language-template.txt]]
         # config wireless-controller wtp
        # get
        FAP22B3U11005354
          
          
         Nachdem das "Sprachfile" modifiziert wurde kann es unter folgender Position wieder raufgeladen werden:
         # edit FAP22B3U11005354
        # set admin enable
        # set wtp-profile [Name des Profils das erstellt wurde zB "mesh-backhaul-root"]
        # end
       
        Nun muss der "root" Mesh Forti Access Point als solches definiert werden dh. im Mgmt. Web Interface unter folgender  
        Position ist die entsprechende IPv4 Adresse des Forti Access Points zu eruieren:
               
        WiFi Controller > [WiFi Network] > [Managed Access Points] > Managed FortiAPs
       
        Wir nehmen an, dass der Forti Access Point dem wir das "backhaul" Profil hinzugefügt haben die IPv4 Adresse 192.168.3.2
        zugewiesen worden ist. Verbinde dich nun anhand dieser IPv4 Adresse auf das Mgmt. Web Interface des Forti Access Point.
        Führe ein Login durch anhand User "admin" und kein "Passwort" sofern keines gesetzt wurde:
       
        http://192.168.3.2
          
          
         System > Config > Advanced > Language > Create New
         Im Mgmt. Web Interface auf dem Forti Access Point unter "Mesh Configuration" selektiere:
          
          
         [[Datei:Fortinet-1286.jpg]]
         Ethernet with mesh backup support
          
          
         Danach kann das File raufgeladen werden:
         [[Datei:Fortinet-354.jpg]]
          
          
         [[Datei:Fortinet-1287.jpg]]
         '''NOTE''' Die Konfigurationspunkte "Mesh AP SSID" sowie "Mesh AP Password" sind irrelevant und werden da
              der Access Point als "root" Mesh konfiguriert ist ignoriert!
          
          
         Damit das entsprechende File benutzt wird in der Funktion muss dies unter Kommandozeil und/oder über Web Mgmt. Interface
         Bestätige die Konfiguration anhand "Apply". Um den Befehl über CLI einzugeben gebe Lokal auf der CLI des Forti Access Points folgendes ein:
        konfiguriert werden:
          
          
         VPN > SSL > Portals > [Wähle das entsprechende Portal] > Page Layout > [Wähle das entsprechende "Sprachfile"]
         # cfg -a MESH_AP_TYPE=2
        # cfg –c
          
          
         [[Datei:Fortinet-1289.jpg]]
         Um die Konfiguration zu verifizieren (Neustart wird ausgeführt) geben folgendes ein:
          
          
         # config system admin
         # cfg -s
        # edit [Wähle den Namen des entsprechenden Administrators für die Guest Management Admin Accounts]
        # set guest-auth enable
        # set guest-lang [Wähle das entsprechende "Sprachfile"]
        # end
        # end
 
=== Kann ich für "Wireless Guest Access Provisioning" die Erstellung der Tickets limitieren? ===
 
Unter FortiOS 5.0 kann ein "restricted" Administrator "Guest Accounts" erstellen dh. Tickets. Unter FortiOS 5.0 kann dieser "restricted" Administrator soviel Tickets erstellen wie er will dh. es gibt keine Funktion die diese Ticket-Erstellung limitiert. Unter FortiOS 5.2 ist dies nun möglich mit folgenden Kommando:
 
        # config user group
        # edit guest-group
        # set group-type guest
        # set max-accounts [Standard 0 (Unlimited); Möglicher Wert 0-1024]
        # end
        # end
          
          
         '''NOTE''' Wird die Limitierung gesetzt in einer Situation indem die "restricted" Administratore bereits Ticket's erstellt
         Kontrolliere nachträglich unter folgender Position ob die Spalte "State" den Access Point als "Online" ausweist:
            haben muss der Wert höher sein als die existierenden "valid" Tickets. Soll der Wert tiefer konfiguriert werden
       
            so muss um den Wert anzupassen zuerst Tickets gelöscht werden.
        WiFi Controller > [WiFi Network] > [Managed Access Points] > Managed FortiAPs
 
       
== Remote ==
        '''Manuelle Konfiguration Wireless Mesh der "leaf" Mesh Access Point'''
 
       
=== Wie konfiguriere ich einen FAP-11C für einen Remote Zugriff? ===
        Wie schon beschrieben sind "leaf" Mesh Forti Access Points Devices die das Wireless Netz (nicht physisch verbunden)
 
        benutzen um sich in das Wireless Netz zu integrieren. Die Verbindung zum FortiGate/FortiWiFi Controller wird über
Ein Forti Access Point 11C kann benutzt werden um einen Remote Zugriff zu konfigurieren. Grundsätzlich kann jeder Forti Access Point benützt werden um diese Konfiguration durchzuführen. Spezialisiert sind jedoch die Forti Access Point 11C, 14C sowie 28C da diese Access Point über einen Internal Switch verfügen der es dem User/Client erlaubt entweder über den Internen Switch zu arbeiten oder über WiFi resp. über die konfigurierte SSID. Für unser Beispiel basierend auf einem FAP-11C gehen wir von folgender Situation aus:
        den "root" Mesh Access Point bewerkstelligt.
        _________
       
        |        | 193.193.135.70
        Um ein "leafe" Forti Access Point zu konfigurieren benutzen wir das Mgmt. Web Interface des Forti Access Points. Per
         | FAP-11C |--|
         Standard nach einem Factory Reset (per CLI "cfg -x" oder per Hardware Reset Button) hat ein FortiAP die IP 192.168.1.2.  
        |_________|  |
        Verbinde dich nun auf den WebBased Manager anhand dieser IP:
                    WAN
                    | 193.193.135.66              ___________
        ____________|____________                |          |
        |                        | 192.168.3.1   | FAP-11C  |
        |        Fortigate        |----- DMZ ------|          |
        |_________________________|                |___________|
                    |
                    | 192.168.1.99
                    LAN
          
          
         '''NOTE''' In diesem Beispiel wird die Grundkonfiguration des FAP-11C über das "DMZ" durchgeführt! Bedeutet dieses
         '''NOTE''' Betreffend Factory Reset siehe auch folgender Artikel:
            DMZ ist nur temporaerer Natur für den FAP-11C und wird nur für die Grundkonfiguration sowie das Testen
            benützt.
 
Alle Forti Access Point benützen für deren Komunikation zum WiFi Controller CAPWAP. Dies ist auch betreffend Remote Zugriff der Fall. Weitere Informationen betreffend CAPWAP siehe nachfolgender Artikel:
 
        [[FortiAP:FAQ#Wie_werden_Forti_Access_Point_.C3.BCber_die_Fortigate_gesteuert.2Fkonfiguriert_.28CAPWAP.29.3F]]
 
Bei einem Remote Zugriff wird der CAPWAP Tunnel benützt um die Informationen zu transportieren. Der CAPWAP Tunnel selber ist zwar verschlüsselt jedoch die Informationen die durch den Client/User durch den CAPWAP Tunnel gesendet sowie empfangen werden sind per Standard Clear-Text. Aus diesem Grund sollte darauf geachtet werden, dass wenn ein Remote Zugriff benützt wird die DTLS Verschlüsselung aktiviert ist. Diese "WiFi Data Channel Encryption" ist zuständig um die Daten der User/Client im CAPWAP Tunnel "vom" FortiAccess Point zum WiFi Controller der FortiGate zu verschlüsseln. Weitere Informationen zu DTLS siehe nachfolgender Artikel:
 
        [[FortiAP:FAQ#Was_bedeutet_.22WiFi_Data_Channel_Encryption.22_.28DTLS.29_und_wie_konfiguriere_ich_Diese.3F]]
 
Um einen Remote Zugriff zu konfigurieren kann im Grundsatz normal Vorgegangen werden in der Konfiguration eines Forti Access Points. Um dies durchzuführen siehe nachfolgender Artikel der detailiert zeigt wie ein Forti Access Point in Betrieb genommen wird und was dabei zu beachten ist:
         
        [[FortiAP:FAQ#Wie_nehme_ich_ein_Fortinet_Access_Point_in_Betrieb_und_konfiguriere_ich_diesen.3F]]
         
Sobald der Forti Access Point intern getestet wurde sollte dieser unter der folgenden Position gelöscht werden:
 
        WiFi Controller > WiFi Network > Managed FortiAP's > [Lösche den entsprechenden Eintrag]
 
Als Nächstes muss dem Forti Access Point mitgeteilt werden mit welchen FortiGate WiFi Controller er sich Remote zu verbinden hat. Dies muss auf dem Forti Access Point über Web Mgmt. Interface oder CLI konfiguriert werden. Die Informationen die eingeben werden können sind:
 
        IPv4 Adresse
        FQDN (Fully Qualified Domain Name]
 
Um auf den Forti Access Point lokal zu verbinden kann die Default IP des Forti Access Point benutzt werden (192.168.1.2). Weitere Informationen dazu siehe nachfolgender Artikel:
 
        [[FortiAP:FAQ#Was_ist_die_Default_IP_f.C3.BCr_einen_FortiAP_und_wie_kann_ich_mich_auf_diese_IP_verbinden.3F]]
 
Es können für Failover Zwecke bis zu 3 WiFi Controller konfiguriert werden:
 
        [[Datei:Fortinet-700.jpg]]
 
        '''NOTE''' Die Position "AC Discovery Type" steht im Zusammenhang mit CAPWAP und hat folgende Bedeutung: Sobald der
            Forti Access Point auf seinem WAN Interface über ein existierenden Segment/Subnet eine IP zugewiesen bekommt
            beginnt der Forti Access Point über IPv4 Adresse und/oder FQDN den WiFi Controller über CAPWAP (UDP 5246) zu
            erreichen. Dies wird anhand "AC Discovery Type" durchgeführt. Dieser Konfigurationspuntk ist per Standard auf
            "Auto" konfiguriert was wiederum bedeutet:
              
              
             Broadcast -> Multicast > Static > DNS > DHCP
             [[FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_eine_Forti_Access_Point_Hardware_einen_Factory_Reset_durchf.C3.BChren.3F]]
           
          
            In dieser Reihenfolge versucht der Forti Access Point über UDP 5246 den definierten WiFi Controller zu erreichen.
         http://192.168.1.2
            Aus diesem Grund wenn zB nur ein IPv4 Adresse definiert wird sollte "Static" benutzt werden. Wenn ein FQDN benutzt
       
            wird ist zu berücksichtigen, dass der Forti Access Point in seiner Standard Konfiguration einen FortiGuard DNS
         Im WebBased Manager konfiguriere folgendes:
            Server benutzt. Um einen eigenen DNS Server zu konfigurieren führe folgendes auf der CLI durch:
           
            # cfg -a DNS_SERVER=[DNS Server IP Adresse]
           
            Um die ganze Konfiguration über die CLI der Forti Access Point durchzuführen stehen folgende Befehle zur Verfügung:
           
            # cfg -a WTP_NAME=FP11C3X12001413                                          [Hostname Forti Access Point]
            # cfg -a ADMIN_TIMEOUT=5                                                    [Admin Timeout Default 5 Minuten]
            # cfg -a AP_IPADDR=192.168.1.2                                              [Stellt die Default oder Fix IP dar wenn kein DHCP vorhanden ist]
            # cfg -a AP_NETMASK=255.255.255.0                                          [Stellt das Default Subnet dar wenn kein DHCP vorhanden]
            # cfg -a IPGW=192.168.1.1                                                  [Stellt das Default Gateway dar wenn kein DHCP vorhanden]
            # cfg -a AP_MODE=0                                                          [0 (Thin AP)] | 2 (Site Survey)]
            # cfg -a DNS_SERVER=208.91.112.53                                          [Definiert den DNS Server; Standard FortiGuard DNS Server IP]
            # cfg -a BAUD_RATE=9600                                                    [Geschwindigkeit der Console; Standard 9600]
            # cfg -a ADDR_MODE=DHCP                                                    [IP Adressierungs Mode dh. DHCP oder STATIC]
            # cfg -a STP_MODE=0                                                        [Spanning Tree 0 = Deaktiviert | 1 = Aktiviert]
            # cfg -a TELNET_ALLOW=1                                                    [1 = Telnet steht zur Verfügung; 0 = Deaktiviert]
            # cfg -a HTTP_ALLOW=1                                                      [1 = WebInterface steht zur Verfügung; 0 = Deaktiviert]
            # cfg -a AC_DISCOVERY_TYPE=0                                                [0 = Automatic; 1 Static; 2 DHCP; 3 Broadcast; 4 Multicast]
            # cfg -a AC_IPADDR_1=192.168.1.1                                            [Wireless Controller IP zu dem sich der FortiAP verbinden soll]
            # cfg -a AC_IPADDR_2=                                                      [Wireless Controller IP zu dem sich der FortiAP verbinden soll]
            # cfg -a AC_IPADDR_3=                                                      [Wireless Controller IP zu dem sich der FortiAP verbinden soll]
            # cfg -a AC_HOSTNAME_1=_capwap-control._udp.example.com                    [Wireless Controller FQDN zu dem sich der FortiAP verbinden soll]
            # cfg -a AC_HOSTNAME_2=                                                    [Wireless Controller FQDN zu dem sich der FortiAP verbinden soll]
            # cfg -a AC_HOSTNAME_3=                                                    [Wireless Controller FQDN zu dem sich der FortiAP verbinden soll]
            # cfg -a AC_CTL_PORT=5246                                                  [CAPWAP Comunication Port]
            # cfg -a AC_DISCOVERY_MC_ADDR=224.0.1.140
            # cfg -a AC_DISCOVERY_DHCP_OPTION_CODE=138                                  [DHCP Option Code]
            # cfg -a AC_DATA_CHAN_SEC=2                                                [DTLS Verschlüsselung 2 = Clear Text oder DTLS; 0 = Clear Text; 1 = DTLS Enabled]
           
            # cfg -c                                                                    [Speicher Konfiguration in das Flash]
            # cfg -s                                                                    [Liste die Konfiguration auf]
 
Wie schon erwähnt ist ausdrücklich empfohlen "DTLS" zu aktivieren dh. "DTLS" ist bereits zusammen mit "Clear Text" aktiviert (Standard AC_DATA_CHAN_SEC=2). Dies bedeutet: Die "DTLS" Aktivierung kann über den FortiGate WiFi Controller gesteuert werden. Dazu muss im entsprechenden Profile des Access Point über CLI "DTLS" aktiviert werden:
 
         # config wireless-controller wtp-profile
         # edit [Name des entsprechenden Profils]
        # set dtls-policy ["dtls-enabled" oder "clear-text"]
        # end
 
Als nächstes muss gewährleistet sein, dass der Forti Access Point über dessen WAN Interface den FortiGate Device resp. WiFi Controller erreichen kann. Dies kann nur dann durchgeführt werden wenn das WAN Interface des Access Point mit einer IPv4 Adresse konfiguriert wird. Dies kann anhand der "Network Configuration" erreicht werden indem diese auf "DHCP" oder "Static" gesetzt wird. Unter normalen Umständen sollte die Konfiguration auf "DHCP" belassen werden. Wenn der User den Access Point in einem Segment zB zu Hause mit dem WAN Interface verbindet wird diesem WAN Interface über den existierenden DHCP Server in diesem Segment eine IP zugewiesen. Wenn dies durchgeführt wurde, beginnt der Forti Access Point über die definiert IPv4 Adresse und/oder FQDN den WiFi Controller der FortiGate zu erreichen:
 
        '''NOTE''' Um die Konfiguration über die CLI durchzuführen benütze folgende Befehle:
           
            # cfg -a AP_IPADDR=192.168.1.2                                             [Stellt die Default oder Fix IP dar wenn kein DHCP vorhanden ist]
            # cfg -a AP_NETMASK=255.255.255.0                                          [Stellt das Default Subnet dar wenn kein DHCP vorhanden]
            # cfg -a IPGW=192.168.1.1                                                  [Stellt das Default Gateway dar wenn kein DHCP vorhanden]
            # cfg -a AP_MODE=0                                                          [0 (Thin AP)] | 2 (Site Survey)]
            # cfg -a DNS_SERVER=208.91.112.53                                          [Definiert den DNS Server; Standard FortiGuard DNS Server IP]
            # cfg -a BAUD_RATE=9600                                                    [Geschwindigkeit der Console; Standard 9600]
            # cfg -a ADDR_MODE=DHCP                                                    [IP Adressierungs Mode dh. DHCP oder STATIC]
           
            # cfg -c                                                                    [Speicher Konfiguration in das Flash]
            # cfg -s                                                                    [Liste die Konfiguration auf]
 
         '''DHCP Konfiguration (Default):'''
          
          
         [[Datei:Fortinet-702.jpg]]
         Uplink            [Mesh]
 
        Mesh AP SSID      [SSID die für den "backhaul link" erstellt wurde zB "mesh-backhaul"]
         '''Static Konfiguration:'''
        Mesh AP Password  [Preshared Key gemäss SSI "mesh-backhaul"]"
               
        Selektiere nun "Mesh" und setze die Mesh SSID auf diese die dafür erstellt wurde dh. in unserem Beispiel "mesh-backhaul".
        Danach setze ein Preshared Key dh. dieser wurde vergeben auf der SSID die in unserem Beispiel die SSID "mesh-backhaul" ist.
         Konfiguration mit "Apply":
          
          
         [[Datei:Fortinet-703.jpg]]
         [[Datei:Fortinet-355.jpg]]
 
Damit die Anfragen des Forti Access Point auf den FortiGate WiFi Controller beantwortet werden muss CAPWAP auf der FortiGate für das WAN Interface aktiviert werden:
 
        System > Network > Interface > [Wähle das entsprechende Interface] > Administrative Access > [Aktiviere CAPWAP]
          
          
         [[Datei:Fortinet-784.jpg]]
         Wenn die Konfiguration anhand der CLI durchgeführt werden soll kann dies anhand folgender Kommandos durchgeführt werden:
          
          
         '''NOTE''' Durch die Aktivierung von CAPWAP wird eine "Local-In" Policy erstellt der den Traffic UDP 5246 auf dem
         Wenn ein Forti Access Point nicht über einen FortiGate Wireless Controller konfiguriert und eingebunden ist sondern Lokal
            WAN Interface erlaubt. Die "Local-In" Policy erlaubt den UDP 5246 Traffic von jeder Source dh. soll diese
        über einen Host/Client, ist der Consolen Port per "telnet" über die Standard IP 192.168.1.2 erreichbar. Wird ein Forti
            eingeschränkt werden kann über die eine manuelle "Local-In" Policy diese Einschränkung konfiguriert werden.
        Access Point über einen FortiGate/FortiWiFi Wireless Controller konfiguriert so ist der Forti Access Point über den
            Weitere Informationen dazu siehe nachfolgenden Artikel:
         FortiGate/FortiWiFi Controller per "telnet" erreichbar sofern dieser Zugriff aktiviert ist. Folgender Artikel gibt
           
         Auskunft wie "telnet" aktiviert werden kann:
            [[FortiGate-5.0-5.2:FAQ#Was_sind_.22Local_In_Policy.27s.22_und_wie_kann_ich_diese_manipulieren.3F]]
 
Wenn nun der Forti Access Point in einer Remote Lokation benutzt wird so wird folgendes durchgeführt:
 
        1. Verbinde in der Remote Lokation das WAN Interface des Forti Access mit dem vorhandenen LAN Segment/Subnet.
         
        2. Dem Forti Access Point wird über DHCP auf das WAN Interface eine IP zugewiesen oder das WAN Interface wurde
          mit einer LAN IP aus dem Segment/Subnet konfguriert.
         
         3. Uber das WAN Interface werden UDP 5246 Anfragen an die definierte IPv4 Adresse und/oder FQDN an das WAN
          Interface der FortiGate resp. WiFi Controller gesendet.
         
         4. Der Forti Access Point erscheint auf dem FortiGate Device unter:
         
          WiFi Controller > Managed Access Points
         
        5. Dem Forti Access Point kann ein entsprechendes Profile zugewiesen werden.
 
Als letzten Schritt sollte die DTLS Verschlüsselung kontrolliert werden. Dies kann über das entsprechende Profile sowie auf dem Forti Access Point selber durchgeführt werden:
 
        '''FortiGate'''
          
          
         [[Datei:Fortinet-705.jpg]]
        [[FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F]]
 
       
        '''FortiAP'''
        # cfg -a MESH_AP_SSID=[Name der SSID für "mesh-backhaul link"; in unserem Beispiel "mesh-backhaul"]
        # cfg -a MESH_AP_PASSWD=[Preshared Key der SSID "mesh-backhaul"]
        # cfg -a MESH_AP_TYPE=1
        # cfg -c
       
        Um die Konfiguration zu verifizieren (Es wird ein Neustart des Forti Access Point ausgeführt) geben folgendes ein:
       
        # cfg -s
       
        Als nächsten Schritt muss für die "leaf" Forti Access Points ein Profil angelegt werden. Dazu wähle im Mgmt. Web
        Interface folgendes:
       
        WiFi Controller > Managed Access Points > Custom AP Profile
       
        Erstelle unter "Create New" ein neues Profil und konfiguriere dieses folgendermassen:
       
        Name          Wähle einen Namen für das Profil zB "mesh-backhaul-leaf".
        Platform      Selektiere die Platform für den entsprechenden Forti Access Point der für "leaf" Mesh eingesetzt werden soll.
        Radio 1      Aktiviere die Position "Mesh Downlink". Selektiere die SSID die für den "backhaul link" zB "mes-backhaul".
        Radio 2      Unter Radio 2 (Radio 1 ist in Gebrauch für den "backhaul link") wähle die SSID's die für die User bereitgestellt werden sollen.
       
         [[Datei:Fortinet-356.jpg]]
          
          
         [[Datei:Fortinet-706.jpg]]
         '''NOTE''' Ab FortiOS 5.0.2 wird der Mesh Downlink innerhalb der SSID konfiguriert und steht nicht
 
            mehr als Definition innerhalb des WTP Profiles zur Verfügung.
Wenn man einer der Remote Forti Access Point's einsetzt dh. 11C, 14C sowie 28C hat man nun die zusätzliche Möglichkeit den internen Switch für die lokalen Zwecke zu konfigurieren. Wie dies durchgeführt wird zeigt folgender Artikel:
 
        [[FortiAP:FAQ#Wie_kann_ich_die_Switch_Port.27ss_eines_FAP_11C.2F14C.2F28C_benutzen.2Fkonfigurieren.3F]]
 
=== Bei einem Remote Zugriff wieviel Bandbreite benützt der Management Tunnel (CAPWAP) für die Komunikation? ===
 
Die Bandbreite die benützt wird im Management Tunnel resp. CAPWAP für einen Remote Zugriff eines Forti Access Point ist vernachlässigbar da Fortinet bei der Architektur darauf geachtet hat, dies auf ein Minimum zu beschränken dh. folgende Bandbreite wird benützt:
 
        --> Management Tunnel (CAPWAP) ist ein "einzelnes" Heartbeat Packet alle 30 Sekunden
        --> Radio Resource Provisioning (DRRP) sendet minimale Informationen alle 5 Minuten
          
          
         '''NOTE''' Obwohl die Daten minimal sind können die Intervalle für Heartbeat und/oder DRRP bei Notwendigkeit angepasst werden!
         Bestätige die Konfig mit "OK". Nun wenn die Konfig auf der CLI durchgeführt werden möchte gebe folgendes ein:
 
       
== LAN Port's / Switch ==
        # config wireless-controller wtp-profile
 
        # edit [Namen für das Profil zB "mesh-backhaul-leaf"]
=== Wie kann ich die Switch Port'ss eines FAP 11C/14C/28C benutzen/konfigurieren? ===
        # config platform
 
        # set type [Selektiere entsprechend dem Forti Access Point Modell die für "leaf" Mesh eingesetzt werden die Platform]
Die FortiAP's 11C, 14C sowie 28C werden mit einem kleinen Switch ausgeliefert! Bis anhin (Stand FortiGate FortiOS 5.0.4 sowie FortiAP FortiOS 5.0.5) waren diese Ports nicht konfigurierbar dh. konnten nicht genutzt werden. Ab FortiGate FortiOS 5.0.5 und FortiAP FortiOS 5.0.6 können diese Ports folgendermassen konfiguriert werden über CLI:
        # end
 
        # config radio-1
      '''Fuer die LAN Port Konfiguration gelten folgende Restriktionen:'''
        # set mesh-downlink enable
     
        # set band 802.11n-5G
      • Beim FortiAP-14C können die einzelnen Ports nicht individuell gesetzt werden dh. alle Ports benützen eine Konfiguration!
        # set channel "36" "40" "44" "48"
     
        # set darrp enable
      • Jeder Node/Host der sich über die LAN Ports verbindet gilt als "Authentifiziert"!
        # set vaps [SSID die für den "backhaul link" erstellt wurde zB "mesh-backhaul"]     
     
        # end
      • Dynamische V-Lan Konfiguration für Node/Host verbunden über die LAN Ports wird nicht unterstützt:
        # config radio-2
     
        # set mode ap
        [[FortiAP:FAQ#Was_sind_.22Dynamische_VLAN.27s.22_und_wie_konfiguriere_ich_Diese.3F]]
        # set band 802.11n
     
        # set vaps [wähle die SSID's die für die User bereitgestellt werden sollen]
      • RADIUS Authentifizierung basierend auf MAC Adressen wird nicht unterstützt!
        # end
     
        # end
      • Wenn der/die LAN Port's auf "bridge-to-ssid" gesetzt ist/sind kann DTLS Verschlüsslung aktiviert werden (ab FortiOS 5.0.6 und FortiAP FortiOS 5.0.7)!
       
 
        Nun muss das entsprechende WTP Profil das erstellt worden ist dem entsprechenden Forti Access Point der für "leaf" Mesh
Die LAN Ports können komplett deaktiviert werden und können somit nicht genutzt werden! Die Konfiguration wird auf entsprechenden AP-Profile gesetzt. Um die LAN Port's auf der Kommandozeile zu konfigurieren führe folgendes durch:
        Forti Access Point benützt wird, zugewiesen werden. Wähle daszu im Mgmt. Web Interface:
     
       
      # config wireless-controller wtp-profile
        WiFi Controller > Managed A ccess Points > Managed FortiAP
      # edit [Name des entsprechenden Profile]
       
      # config lan
        Wenn der "leaf" Mesh Forti Access Point in Betrieb ist, müsste dieser nun in der Liste der Forti Access Points erscheinen.  
      # set port[Port Nummer]-mode [offline | bridge-to-wan | bridge-to-ssid | nat-to-wan ]
        Selektiere diesen und wähle "Authorize". Wenn in den "Colum Settings" die Position "Connect Via" angewählt wird, sollte
      # end
        der Forti Access Point die Mesh IPv4 Adresse zeigen. Nach dem "Authorize" kann das entsprechende WTP Profile für die "leaf"
 
        Mesh Forti Access Point, das vorhergend erstellt worden ist, gewählt werden. Bestätige die Konfiguration anhand "Apply".  
      '''NOTE''' Die Option "nat-to-wan" steht neu unter FortiOS 5.2 zur Verfügung. Die einzelnen Modi haben folgende
        Wenn die Konfiguration auf der CLI durchgeführt werden soll führe folgendes aus:
            Bedeutung:
       
           
        # config wireless-controller wtp
            offline              Der Port wird komplett deaktiviert!
        # get
            bridge-to-wan        Auf dem Port wird ein "bridge" auf das WAN Segement ausgeführt. Der Port erhält seine IP aus dem WAN Segement!
        FAP22B3U11d05924
            bridge-to-ssid      Auf dem Port wird ein "bridge" auf die SSID ausgeführt. Der Port erhält seine IP vom DHCP Server der SSID!
       
            nat-to-wan          Auf dem Port wird ein "nat" ausgeführt auf den WAN Port. Der Port erhält seine IP vom DHCP Server der SSID!
        # edit FAP22B3U11d05924
           
        # set admin enable
            '''Bridge to SSID'''
        # set wtp-profile [Namen für das Profil zB "mesh-backhaul-leaf"]
            Die LAN Ports können anhand einer SSID mit der Funktion "bridge-to-ssid" versehen werden was folgendes bedeutet: Verbindet sich ein
        # end
            Client über die LAN Ports, wird dem Client über den DHCP Server, der für die SSID konfiguriert wurde, eine IP zugewiesen. Der Traffic
       
            des Clients, der sich am LAN Port verbindet, wird zum Wireless Controller gesendet. Ein "local bridging" ist nicht möglich! WiFi
        Die Konfiguration der '''Manuelle Konfiguration betreffend Mesh''' ist nun abgeschlossen. Um das "Mesh" Wireless
            Clients die diese SSID benutzen -die für das Bridging der LAN Ports benutzt wurde- sowie die Clients die über den Switch Port verbunden
        Netzwerk zu kontrollieren wähle im Mgmt. Web Interface folgendes:
            sind, können untereinander uneingeschränkt komunizieren. Es findet keine Authentication auf den LAN Ports statt! Die Clients, die über
       
            die LAN Ports in diesem Modus verbinden, sind über den folgenden Menpunkt ersichtlich:
        WiFi Controller > [WiFi Network] > [Managed Access Points] > Managed FortiAPs
           
       
            WiFi Controller > Monitor > Client Monitor
        In dieser View werden alle verbundenen und nicht verbundenen Forti Access Points aufgelistet. Wenn man unter "Column
           
        Settings" das Feld "Connected Via" einblended, sieht man in diesem Feld "Mesh" für die Forti Access Points die über
            Wenn die DTLS Verschlüsselung für "brdige-to-ssid" nicht aktiviert werden kann ist folgendes zu berücksichtigen! Auf dem FortiAP steht
        Mesh verbunden sind sowie deren IPv4 Adressen. Diese Kontrolle kann ebenfalls über die CLI eines Mesh verbundenen
            die DTLS Verschlüsselung per Standard auf "Clear Text or DTLS Enabled" dh. der FortiAP bietet beides an. Somit steuert der Wireless
        Forti Access Point durchgeführt werden:
            Controller die Funktion. Nähere Informationen zur DTLS Verschlüsselung siehe folgender Artikel:
       
           
        # cw_diag -c mesh
            [[FortiAP:FAQ#Was_bedeutet_.22WiFi_Data_Channel_Encryption.22_.28DTLS.29_und_wie_konfiguriere_ich_Diese.3F]]
       
           
        Eine weitere Möglichkeit um an Informationen heranzukommen, ist auf dem Forti Access Point folgender Befehl abzusetzen:
            '''Bridge to WAN'''
       
            Es wird ein "bridge-to-wan" auf das WAN Interface durchgeführt was folgendes bedeutet: Verbindet sich ein Client über die LAN Ports,
        # dmesg
            wird dem Client über den DHCP Server sofern dieser existiert- im WAN Segment eine IP zugewiesen. WiFi Clients die über eine SSID auf
 
            dem FortiAP verbunden sind und Clients die über die LAN Ports verbunden sind, können nur dann untereinander direkt komunizieren wenn
        '''<big>MANUELLE KONFIGURATION WIRELESS BRIDGING</big>'''
            eine entsprechende Firewall Policy auf der FortiGate implementiert wird! Somit wenn dies der Fall ist, wird der Traffic über die FortiGate
       
            abgewickelt. DTL kann in diesem Modus nicht aktiviert werden!
        Der Vorteil einer manuellen Konfiguration liegt darin, dass durch die Konfiguration selber man mehr Kontrolle über den  
           
        Device erhält. Ein Bridging Wireless Netzwerk basiert darauf, dass ein Forti Access Point über einen physischen Port
            '''NAT to WAN'''
        (Ethernet) am FortiGate/FortiWiFi Controller angeschlossen ist ("root" Mesh). Ein anderer Forti Access Point ("leaf")
            Es wird ein "nat-to-wan" auf dem WAN Port durchgeführt dh. die Source des Traffic vom LAN Port wird translated anhand der IP die auf
        verbindet sich über diesen "root" Mesh Forti Access Point sowie auf dem "leaf" Mesh Forti Access Point ist Bridging Mode
            dem WAN Port existiert.
        aktiviert da dieser an einem LAN/Segment direkt verbunden ist und dieses über den "root" Mesh Forti Access Point (backhaul
 
        link) verbindet. Ein Forti Access Point Device verfügt für Mesh über 2 Radios (2.4 GHz sowie 5 GHz). Es ist  empfohlen
Diese Konfiguration kann ebenfalls über Web Mgmt. Interface gesetzt werden unter folgender Position sofern es sich um ein Profile handelt für eine FAP, der über einen internen Switch verfügt:
        5 GHz zu benutzen für den "backhaul link" und 2.4 GHz für die Client im Wireless Netzwerk. Um eine manuelle Konfiguration
 
        durchzuführen sind folgende Punkte zu berücksichtigen:
      WiFi Controller > WiFi Network > Forti/Custom AP Profiles
       
     
        • Konfiguriere den "backhaul link" und den "root" Mesh Forti Access Point!
      [[Datei:Fortinet-964.jpg]]
        • Konfiguriere die "leaf" Mesh Forti Access Point's (Bridging aktiviert)!
       
        '''Manuelle Konfiguration Wireless Bridging des "backhaul link" and "root" Mesh Forti Access Point'''
       
        Die Konfiguration wird exakt genau gleich durchgeführt wie diese für "Wireless Mesh" mit einer Ausnahme dh. auf dem "leaf"
        Mesh Forti Access Point wird die Position "Ethernet Bridge" zusätzlich Aktiviert. Danach wird dieser Forti Access Point
        direkt mit dem zu verbindenen Segment verbunden!
       
        [[Datei:Fortinet-357.jpg]]
 
== Guest Access ==
 
=== Was ist der Unterschied zwischen der "Wireless Self Registration" und der "Guest Access Provisioning" Funktion? ===


Wenn die Konfiguration auf der Kommandozeile durchgeführt werden soll muss folgendes durchgeführt werden:
Fortinet bietet im Zusammenhang mit der FortiGate Wireless Infrastrukturen zwei verschiedene Arten eines Ticketing System's für Guest Access:


      # config wireless-controller wtp-profile
        '''Guest Access Provisioning:'''
      # edit [Name des entsprechenden Profile]
        Das "Guest Access Provisioning" basiert auf einem Ticket System dh. durch einen definierten Administrator kann dieser
      # config lan
        die entsprechenden Tickets erstellen resp. generieren. Für dieses "Gues Access Provisioning" können die Tickets selber
      # set port-mode [Gilt für den definierten LAN Port's FAP-14C : offline | bridge-to-wan | bridge-to-ssid | nat-to-wan]
        dh. Inhalt und Aussehen nicht modifiziert werden sondern sind vorgegeben. In so einer Situation sollte die "Captive
      # set port-ssid [Name der gewünschten SSID]
        Portal" Funktion benutzt werden! Fur die Funktion des "Geust Access Provisioning" benötigt man eine FortiGate mit
      # set port1-mode [Gilt für den definierten LAN Port1: offline | bridge-to-wan | bridge-to-ssid | nat-to-wan]
        FortiOS 5.0/5.2 oder höher. Es müssen keine zusätzliche Installationen durchgeführt werden da ein FortiGate Wireless
      # set port1-ssid [Gilt für den definierten LAN Port1: Name der entsprechende SSID sofern bridge-to-ssid definiert wurde]
        Controller alle Funktionen beinhaltet für ein "Guest Access Provisioning". Weitere Information zur Implmenenterung
      # set port2-mode [Gilt für den definierten LAN Port2: offline | bridge-to-wan | bridge-to-ssid | nat-to-wan]
        siehe:
      # set port2-ssid [Gilt für den definierten LAN Port2: Name der entsprechende SSID sofern bridge-to-ssid definiert wurde]
       
      # set port3-mode [Gilt für den definierten LAN Port3: offline | bridge-to-wan | bridge-to-ssid | nat-to-wan]
        [[FortiAP:FAQ#Wie_implementiere_ich_f.C3.BCr_eine_SSID_auf_einem_Forti_Access_Point_die_.22Wireless_Guest_Access_Provisioning.22_Funktion.3F]]
      # set port3-ssid [Gilt für den definierten LAN Port3: Name der entsprechende SSID sofern bridge-to-ssid definiert wurde]
      # set port4-mode [Gilt für den definierten LAN Port4: offline | bridge-to-wan | bridge-to-ssid | nat-to-wan]
      # set port4-ssid [Gilt für den definierten LAN Port4: Name der entsprechende SSID sofern bridge-to-ssid definiert wurde]
      # set port5-mode [Gilt für den definierten LAN Port4: offline | bridge-to-wan | bridge-to-ssid | nat-to-wan]
      # set port5-ssid [Gilt für den definierten LAN Port4: Name der entsprechende SSID sofern bridge-to-ssid definiert wurde]
      # end
      # set dtls-policy [ dtls-enabled | clear-text]
      # end


Ab FortiOS 5.2 steht neu die Funktion "Split Tunneling" zur Verfügung. Weitere Informationen dazu siehe folgender Artikel:
        '''User Self Registration:'''
        In dieser Funktion muss ein FortiAuthenticator für die "Guest" User erreichbar sein. Deshalb darf zwar ein "Captive Portal"
        vorgeschaltet sein, jedoch mit einem Verweis auf den "FortiAuthenticator" und dessen Self Registration Portal. Die Felder,
        der Inhalt etc. des Self Registration Portal und/oder der Ticket's können vollumfänglich selber betreffend Inhalt und Aussehn
        definiert werden. Für das "Wireless Self Registration" benötigt man einen FortiAuthenticator! Weitere Inoformationen zur
        Implementierung siehe:
       
        [[FortiAuthenticator:FAQ#Wie_sieht_ein_Grundsetup_vom_Ablauf_her_aus_f.C3.BCr_die_.22Self-Registration.22_Funktion.3F]]


        [[FortiAP:FAQ#Gibt_es_die_Funktion_.22Split_Tunneling.22_f.C3.BCr_Forti_Access_Points_und_deren_SSID.27s.3F]]
=== Wie implementiere ich für eine SSID auf einem Forti Access Point die "Wireless Self Registration" Funktion? ===


== Sniffer ==
Für die "Wireless Self Registration" Funktion benötigt man im Gegensatz zur "Wireless Guest Access Provisioning" einen FortiAuthenticator da sich auf diesem das Self Registration Portal befindet. Im nachfolgenden Artikel werden die Unterschiede dieser zwei Möglichkeiten aufgezeigt:


=== Kann ich einen FortiAP als Sniffer benutzen um den Traffic zu verfolgen (capture)? ===
        [[FortiAP:FAQ#Was_ist_der_Unterschied_zwischen_der_.22Wireless_Self_Registration.22_und_der_.22Guest_Access_Provisioning.22_Funktion.3F]]


Ja dies ist möglich jedoch mit folgenden Einschränkungen:
Im nachfolgenden Artikel wird aufgezeigt wie ein "Wireless Self Registration" auf einem FortiAuthenticator im Zusammenhang mit einem FortiGate Wireless Controller konfiguriert wird:


         --> Nur ein Radio auf's Mal kann benutzt werden um den Sniffer auszuführen (capture)
         [[FortiAuthenticator:FAQ#Wie_sieht_ein_Grundsetup_vom_Ablauf_her_aus_f.C3.BCr_die_.22Self-Registration.22_Funktion.3F]]
        --> Es kann nur jeweils in "einem" Bereich dh. 2.4GHz oder 5GHz ein Sniffer ausfgeführt werden


Wenn ein Radio für den Sniffer Mode konfiguriert wurde so wird lokal auf dem FortiAP ein File in folgendes Verzeichnis abgelegt:
=== Wie implementiere ich für eine SSID auf einem Forti Access Point die "Wireless Guest Access Provisioning" Funktion? ===


        /tmp/wl_sniff.pcap
Bei einem "Wireless Guest Access Provisioning" (ab FortiOS 5.0/5.2 oder höher) kann ein "restricted" Administrator "Guest Accounts" erstellen, die benutzt werden um Zugriff auf das Gäste Wireless zu erhalten. Die Informationen können dem Gast über E-Mail, SMS oder über einen Ausdruck übermittelt werden. Um ein "Wireless Guest Access Provisioning" zu konfiguriere benötigen wir als Erstes eine spezielle Gruppe. Dazu führe folgendes Konfiguration durch:
       
        '''NOTE''' Wenn ein solches File im Verzeichnis "tmp" existiert und ein Neustart des FortiAP durchgeführt
            wird so wird dieses File gelöscht da es sich beim Verzeichnis "tmp" um einen flüchtiges "none"
            Persistent Verzeichnis handelt. Aus diesem Grund muss das File "vor" einem Neustart per TFTP
            auf einen entsprechenden TFTP Server transferiert werden! Um das File per TFTP zu transferieren
            benutze folgende Kommandos:
           
            # cd /tmp
            # ls
            wl_sniff.cap
           
            # tftp
           
            BusyBox v1.15.0 (2012-05-24 17:25:46 PDT) multi-call binary
            Usage: tftp [OPTIONS] HOST [PORT]
            Transfer a file from/to tftp server
           
            Options:
           
            -l FILE Local FILE
            -r FILE Remote FILE
            -g      Get file
            -p      Put file
             
            Somit ergiebt sich folgendes Kommando um das File auf den TFTP Server zu transferieren:
           
            # tftp -l [File Name des zu transferierenden Files dh. "wl_sniff.cap"] -p [IP Adresse des TFTP Servers] 69


Um einen FortiAP in den Sniffer Mode zu versetzen muss die Konfiguration auf der FortiGate über CLI durchgeführt werden dh. führe folgendes durch:
      '''NOTE''' Ab FortiOS 5.2 kann für den "restricted" Administrator für die "Guest Accounts" ein eigenes "Sprachfile" erstellt
            werden (Custome Language File). Weitere Informationen wie dieses zu erstelle sowie zu konfigurieren ist siehe
            nachfolgender Artikel:
           
            [[FortiAP:FAQ#Wie_konfiguriere_ich_f.C3.BCr_ein_.22Wireless_Guest_Access_Provisioning.22_ein_Custome_Language_File.3F]]


            # config radio-1
      User & Device > User > User Groups
            # set mode disabled
     
            # end
      [[Datei:Fortinet-363.jpg]]
            # config radio-2
     
            # set mode sniffer
      Aktiviert man die Position "Enable Batch Guest Account Creation" werden die "Guest Accounts" automatisch durch das System
            # set ap-sniffer-bufsize 32
      erstellt (Batch):
            # set ap-sniffer-chan 1
           
            # set ap-sniffer-addr 00:00:00:00:00:00
            [[Datei:Fortinet-373.jpg]]
            # set ap-sniffer-mgmt-beacon enable
            # set ap-sniffer-mgmt-probe enable
            # set ap-sniffer-mgmt-other enable
            # set ap-sniffer-ctl enable
            # set ap-sniffer-data enable
            # end
            # end


            '''NOTE''' Durch die folgenden Befehle können auf dem Sniffer Mode Filter gesetzt werden:
Zur dazugehörigen Gruppe erstellen wir einen Administrator, der jedoch eingeschränkt wird als "Restricted to Provision Guest Accounts". Dies bedeutet: Der Administrator hat nur Rechte für diese Gruppe "Guest Accounts" zu erstellen:
           
                  ap-sniffer-add      --> Kann angegeben werden um einen spezifischen Client zu definieren dh. anhand seiner MAC Adresse in der Form xx:xx:xx:xx:xx:xx
                  ap-sniffer-chan      --> Kann angegeben werden um einen spezifischen Channel zu definieren


Sobald die Konfiguration durchgeführt wurde ist diese ebenfalls über das Mgmt. WebInterface resp. GUI ersichtlich:
      System > Admin > Administrators
 
     
        [[Datei:Fortinet-699.jpg]]
      [[Datei:Fortinet-364.jpg]]


Wenn nun das Profile "FortiAP-Sniffer" einem FAP zugewiesen wird so versetzt sich dieser in den "monitor" Mode. Dies kann über die CLI der FAP verifiziert werden:
Wenn sich der "Restricted to Provision Guest Accounts" Administrator über das reguläre Login der FortiGate einloggt, kann dieser für die definierte Gruppe "Guest Account's" erstellen resp. verwalten:


        # iwconfig
      [[Datei:Fortinet-365.jpg]]


Durch diesen Befehl werden die entsprechenden WLAN Interface aufgelistet und das entsprechende ist im "monitor" Mode dh.:
      [[Datei:Fortinet-366.jpg]]


        Mode: Monitor
Um nun zB einen "Guest Account" zu erstellen geht der Administrator folgendermassen vor:


== Authentication ==
      [[Datei:Fortinet-367.jpg]]


=== Wie konfiguriere ich auf einem Windows 2008 Server (Radius) eine WiFi Authentication? ===
      [[Datei:Fortinet-368.jpg]]
     
      Wird die Position "Enable Batch Guest Account Creation" in der Gruppe aktiviert werden die Guest Account's "automatisch"
      erstellt (Batch). Dies sieht dann folgendermassen aus:
           
            [[Datei:Fortinet-374.jpg]]
           
            Nach der "automatischen" Erstellung wird folgendes Ausgegeben:
           
            [[Datei:Fortinet-375.jpg]]
           
            Wenn man "mehrere" Guest Accounts auf einmal erstellen möchte, wählt man bei der Erstellung folgendes:
           
            [[Datei:Fortinet-376.jpg]] 
           
            Danach kann angegeben werden wie viele Guest Accounts zu erstellen sind sowie das Ablaufdatum dieser Accounts:
           
            [[Datei:Fortinet-377.jpg]]
           
Nach der Erstellung der Guest Accounts können die Informationen dem Gast übermittelt werden. Zur Verfügung stehen SMS (Email Only), Email sowie Printing. Vorraussetzung dafür ist jedoch das ein "Email Service" konfiguriert wurde. Dazu siehe nachfolgende Artikel:


Wenn man für ein WiFi Client eine Authentication implementieren möchte im Geschäftsumfeld so sollten man "WPA2-Enterprise" (AES Verschlüsselung) benutzen. Diese Implementierung stellt einem vor verschiedenen Probleme, speziell wenn die Authentication über das Active Directory abgearbeitet werden soll. Der Grund dafür liegt darin '''wie''' das Passwort vom Client/Workstation zum Active Directory (LDAP) übermittelt wird dh. WPA und WPA2 benutzen für die Uebermittlung des Passwortes vers. "password hashing schemas" die jedoch '''NICHT Kompatibel''' sind mit dem Microsoft Active Directory (LDAP). Aus diesem Grund muss der eingesetzte LDAP Server es erlauben das Passowrt in "clear-text" zu erhalten. Bei Microsoft Active Directory ist dies '''nicht''' mehr möglich dh. nur ein OpenLDAP stellt diese Funktion zur Verfügung. Wenn "kein" OpenLDAP vorhanden ist oder dieser nicht eingesetzt werden möchte so ist die "Im Allgemeinen" zu bevorzugende Variante eine '''Radius Authentication''' Implementierung. Diese "Radius Authentication" verifiziert die Credentials des Client/Workstation im Active Directory (Anbindung des Active Directory im Radius Server). Durch diese Art der Anbindung/Authentication wird die Problematik der WPA/WPA2 Passwort Uebermittlung umgangen. Zusätzlich können über den Radius Server Gruppenzugehörigkeit der User ausgelesen und in Verbindung mit den SSID's gebracht werden. Damit vom Client aus eine Verifizierung des Radius Servers erfolgt sollte/kann dieser anhand eines Zertifikates verifiziert werden. Dieses Zertifikat kann von einer offiziellen CA (Verisign) oder von einer internen CA stammen. Dieses CA ist nicht für die Authentication zuständig sondern ausschliesslich dafür da den Radius Server zu verifizieren "bevor" die Credentials gesendet werden. Als Radius Server können vers. Produkte eingesetzt werden! Im nachfolgenden Dokumentation wird gezeigt wie die Konfiguration durchgeführt wird anhand eines Radius Servers auf einem Windows 2008 Server.
      [[FortiGate-5.0-5.2:FAQ#Wo_kann_ich_f.C3.BCr_Alert.27s_etc._einen_Email_Server_definieren_und_kann_ich_eine_Verschl.C3.BCsselung_benutzen.3F]]
      [[FortiGate-5.4:FAQ#Wie_kann_ich_unter_FortiOS_5.4_f.C3.BCr_eine_FortiGate_den_.22Email_Service.22_konfigurieren.3F]]


        '''NOTE''' Die bevorzugende Variante anstelle eines Windows 2008 Server ist der FortiAuthenticator einzusetzen.
      [[Datei:Fortinet-369.jpg]]
            Weitere Informationen zu diesem Produkt findet man unter folgenden Artikel:
           
            [[FortiAuthenticator:FAQ]]


        [[Datei:Setting-up-Wi-Fi-Authentication-in-Windows-Server-2008-Part-1.pdf]]
Wählt man zB Printing so erscheint folgendes:
        [[Datei:Setting-up-Wi-Fi-Authentication-in-Windows-Server-2008-Part-2.pdf]]


Um die Radius Verbindung auf einer FortiGate zu troubelshooten resp. einzusehen siehe nachfolgenden Artikel:
      [[Datei:Fortinet-372.jpg]]
     
      '''NOTE''' Die Informationen die in diesem Ticket enthalten sind sowie das Aussehen können nicht verändert werden!


        [[FortiGate-5.0-5.2:FAQ#Wie_kann_ich_einen_Radius_Server_Anbindung_Troubleshooten.3F]]
Wenn man das Fenster schliesst "Return" kann man den erstellten Guest Account in der Liste einsehen zB "Passwort" und sieht ebenfalls die "Expiration" dh. in unserem Beispiel "30 Minuten". Diese kann über die Funktion "Purge" zurückgesetzt werden:


=== Wie konfiguriere ich für einen Public HotSpot der Swisscom die Authentication und SSID? ===
      [[Datei:Fortinet-370.jpg]]
     
Wenn man sich als "regulärer" Administrator wiederum einloggt, kann man die Guest Accounts - die durch den "Restricted to Provision Guest Accounts" Administrator erstellt wurden - über folgende Position einsehen:


Nun ein Public HotSpot der Swisscom kenn grundsätzlich zwei Arten der Authentifizierung die im Zusammenhang stehen mit der SSID. Dies bedeutet:
      User & Device > User > Guest Management
     
      [[Datei:Fortinet-371.jpg]]
     
Ein "reguläre" Administrator kann natürlich diese User vollumfänglich modifizieren sowie neue Guest Accounts wie der "Restricted to Provision Guest Accounts" Administrator" erstellen/verwalten! Für die SSID muss nun ein "Captive Portal" ausgewählt jsowie konfiguriert werden. Wähle die entsprechende SSID und füge die Gruppe zum "Captive Portal" hinzu:


         SSID         MOBILE              (Authentication "Open")
         [[Datei:Fortinet-1267.jpg]]
        SSID         MOBILE-EAPSIM      (Authentication "WPA2-Enerprise" / Radius Port 1645)
       
Unter FortiOS 5.2 sind einigen neuen Positionen innerhalb der SSID dazugekommen wie zB "Redirect after Captive Portal". Diese Position ermöglicht es dem "Guest Account" nach einer erfolgreichen Authentifizierung seine vorgängig eingegebene URL automatisch aufzurufen. Unter FortiOS 5.0 war dies nicht möglich und nach einer erfolgreichen Authentifizierung musste der Guest Account die URL abermals eingeben! Als Letzteres muss eine entsprechende Firewall Policy Rule implementiert werden (keine Identity Based Policy) die der SSID den gewünschten Traffic erlaubt. Danach kann die Konfiguration getestet werden. Sobald ein Wireless Host/Client die entsprechende SSID aufruft, wird er mit dieser SSID anhand einer IPv4 Adresse die vom DHCP Server stammt der für die SSID konfiguriert wurde, verbunden. Wenn nun ein Wireless Host/Client danach eine Anfrage absetzt dh. eine Web Seite aufruft wird das "Captive Portal" aufgerufen. Anhand der "Guest Account" Informationen resp. Tickets kann der Wireless Host/Client die Authentifizierung im "Captive Portal" durchführen. Um das Ganze auf der CLI zu konfigurieren führe folgende Kommandos aus:


         '''NOTE''' In naher Zukunft werden diese zwei SSID's MOBILE und MOBILE-EAPSIM verschwinden und durch folgende ersetzt:
         '''Guest Access User Group'''
           
            Swisscom                (Vorher MOBILE)
            Swisscom_Auto_Login      (Vorher MOBILE-EAPSIM)
           
            Die Schreibweise der neuen SSID's ist einzuhalten und ist Case Sensitive! Nach Swisscom Informationen wird empfohlen
            die SSID's dh. Alt und Neu parallel bis ende 2014 zu implementieren. Neue App's die durch Swisscom in der nächsten
            Zeit lanciert werden benützen bereits die neuen SSID's!
 
        SSID '''MOBILE'''
        Mit der SSID MOBILE wir dem Kunden ermöglicht über eine "Open" Authentifizierung auf das Internet zu gelangen.
        Dabei ist es nicht zwingend, dass der Kunde ein Swisscom Kunde ist. Dies bedeutet, wenn ein Kunde diese SSID
        angeht wird er zu einer Login Seite weitergeleitet die es dem Kunden ermöglicht per Kreditkarte, Swisscom Login
        etc. einzuloggen. Die Authentifizierung geschieht ausschliesslich über die Login Seite mit den erwähnten Arten
        wie zB Kreditkarte.
 
        SSID '''MOBILE-EAPSIM'''
        Die SSID MOBILE-EAPSIM steht ausschliesslich Swisscom Kunden zur Verfügung denn wenn der Kunde diese SSID angeht
        wird die Authentifizierung über WPA2-Enterprise (oder auch WEP-104bits ohne Key) über eine Radius Authentifizierung
        abgearbeitet. Zusätzlich wird die MAC Adresse des Gerätes ebenfalls übermittelt um das Accounting durchzuführen.
 
Bei nachfolgenden Beispiel wird erklärt wie so eine Konfiguration für "MOBILE" sowie "MOBILE-EAPSIM" auf einer Fortigate anhand Forti Access Point's durchzuführen ist. In unserem Beispiel existiert ein dedizierter Port (port2) über diesen die Swisscom mit dessen Environment angehängt ist (Für Internet Access und Authentifizierung). Nachfolgend einen Ueberblick über das Env der Swisscom in unserem Beispiel (Representiert die Umgebung die über besagten "port2" verbunden ist):
 
        [[Datei:STUE_WSTA.pdf]]
        [[Datei:STUE_WLS.pdf]]
 
Wie schon erwähnt benötigen wir für die MOBILE-EAPSIM Authentifizierung einen Radius Server. Erstelle diesen unter:
 
        User > Remote > RADIUS
          
          
         [[Datei:Fortinet-315.jpg]]
         # config user group
          
        # edit [Name der Gruppe zB "FortiGroup-Guest"]
         '''NOTE''' Das "Primary Server Secret" wir dauch Preshared Secret genannt und wird auf dem Radius Server vergeben.
         # set group-type guest
            Dies bedeutet in unserem Fall muss dies der Swisscom Radius Verantwortliche übermitteln! Zusätzlich muss dem
         # set user-id [email | auto-generate | specify]
            Verantwortlichen der Swisscom mitgeteilt werden in welcher ART und WEISE die MAC Adresse übermittelt wird um
        # set password [auto-generate | specify | disable]
            die nötige Konfiguration auf der Swisscom Seite betreffend Accounting durchzuführen (Standard Format Beispiel:
         # set user-name [enable | disable]
            0000.4096.3e4a, Unformatiert Beispiel: 000040963e4a)
        # set email [enable | disable]
           
        # set mobile-phone [enable | disable]
         '''NOTE''' Der Swisscom Radius Server in unserem Fall arbeitet noch mit dem "old radius port" dh. nicht mit 1812
        # set default-expire [seconds]
            sondern mit Port 1645. Dieser muss per Console umgestellt werden:
        # end
           
            # config system global
            # get | grep radius-port
            # set radius-port 1645
            # get | grep radius-port
            # end
               
            Um die Anbindung zu überprüfen siehe folgender Artikel:
           
            [[FortiGate-5.0-5.2:FAQ#Wie_kann_ich_einen_Radius_Server_Anbindung_Troubleshooten.3F]]


Für die Konfiguration der SSID "MOBILE" und "MOBILE-EAPSIM" gehe folgendermassen vor:
         '''Guest admin profile options'''
 
         Als Erstes erstelle die SSID's "MOBILE" und "MOBILE-EAPSIM" unter folgendem Konfigurationspunkt:
          
          
         WiFi Controller > WiFi Network > SSID
         # config system admin
          
         # edit [Name des Administrators]
         [[Datei:Fortinet-310.jpg]]
         # set guest-auth [enable | disable]
          
        # set guest-usergroups [Name der Guest Gruppe zB "FortiGroup-Guest"]
        '''NOTE''' Die IP 10.41.19.2/24 representiert das virtuelle Interface der SSID dh. diese IP wird der SSID zugewiesen und
         # end
            auf einer Fortigate wird durch diese IP ein virtuelles Interface unter folgenden Punkt erstellt:
           
            System > Network > Interface


         [[Datei:Fortinet-311.jpg]]
         '''SSID Security Mode option –captive-portal'''
          
          
         '''NOTE''' Die IP 10.41.18.2/24 representiert das virtuelle Interface der SSID dh. diese IP wird der SSID zugewiesen und
         # config wireless-controller vap
            auf einer Fortigate wird durch diese IP ein virtuelles Interface unter folgenden Punkt erstellt:
        # edit [Name des SSID Profiles zB "only4guest"]
           
        # set vdom "root"
            System > Network > Interface
        # set ssid [Name der SSID zB "only4guest"]
        # set security captive-portal
        # set selected-usergroups [Name der Guest-Gruppe zB "FortiGroup-Guest"]
        # set intra-vap-privacy enable
        # end
        # config system interface
        # edit [Name des Interface für SSID zB "only4guest"]
        # set ip [IPv4 Adresse für Interface Konfig zB 192.168.10.1 255.255.255.0
        # set allowaccess ping
        # set devindex 0
        # set device-identification enable
        # set snmp-index 0
        # end
        # config system dhcp server
        # edit [Gebe einen Integer an zB 1]
        # set forticlient-on-net-status disable
        # set dns-service default
        # set default-gateway [IPv4 Adresse zB 192.168.10.1]
        # set netmask [Netmask für DHCP IP Range zB 255.255.255.0]
        # set interface [Interface für DHCP Server zB "only4guest"]
        # config ip-range
        # set start-ip 192.168.10.2
        # set end-ip 192.168.10.254
        # end
        # end


Nun erstelle ein Profile indem die zwei SSID's hinzugefügt werden:
Es stehen folgend Troubleshooting Kommandos auf der CLI zur Verfügung:


         WiFi Controller > Manage Access Points > Custom AP Profile
         # diagnose test guest ?
          
         add    add a guest user
         [[Datei:Fortinet-312.jpg]]
         del    delete guest users
          
         list    list guest users
        '''NOTE''' Belasse alle Einstellungen zu Beginn auf Standard Werte. Nachträglich können diese Optimiert werden! Füge die zwei
            SSID's "MOBILE" und "MOBILE-EAPSIM" unter SSID den entsprechenden Radios hinzu!


Nun kann ein Forti Access Point zum Netzwerk hinzugefügt werden dh. dazu benötigen wir ein Interface auf einer Fortigate (ist nicht ein Muss) sowie einen DHCP Server auf diesem Interface, dass den FortiAP's die entsprechende IP vergibt. In unserem Beispiel haben wir ein dezidiertes Access Point Interface dh. port1:
        # diagnose test guest list
 
        user_id=new-user-1@beispiel.com
         System > Network > Interface
        group=Beispiel-Gruppe
          
        user_name=gast-1
         [[Datei:Fortinet-313.jpg]]
        password=pwj8m9
         mobile_phone=
         sponsor=
         company=
        email=new-user-1@beispiel.com
        expire=1 Hours


Erstelle den dazugehörigen DHCP Server:
        # diagnose test guest add
        <group>, <user-id>, <user-name>, <password>, <mobile-phone>, <sponsor>, <company>, <email>, <expire>


         '''NOTE''' In neueren Versionen von FortiOS 5.0 / 5.2 exisitert der seperate Menüpunkt des DHCP Server nicht mehr sondern
         # diagnose test guest del
            befindet sich innerhalb der Interface Konfiguration!
        12 deleted for group '', user-id ''


         System > Network > DHCP Server
         # diagnose test guest list
          
         0 found for group '', user-id ''
        [[Datei:Fortinet-314.jpg]]


Nun kann der Access Point an port1 resp. in diesem Segment angeschlossen werden!
=== Wie konfiguriere ich für ein "Wireless Guest Access Provisioning" ein Custome Language File? ===


        '''NOTE''' Damit ein Access Point mit dem Wireless Controller komunizieren kann muss Broadcast, Multicast sowie Unicast auf diesem
Auf einer FortiGate ist das Mgmt. Web Interface und Replacement Messages per Standard Englisch. Unter der folgende Position können andere Sprachen gewählt werden:
            Segmment aufgeschaltet sein und nicht geblockt werden.


Nun muss das vorhergehende Profil "Swisscom-HotSpot" auf den entsprechenden FortiAP geladen werden. Dies bedeutet der neu angeschlossene FortiAP sollte nun ersichtlich sein unter:
        System > Admin > Settings > View Settings > Language > [English | French | Spanish | Portuguese | Japanese | Tradional Chinese | Simplified Chinese | Korean]


        WiFi Controller > Manage Access Points > Manage FortiAP
Andere Sprachen wie Deutsch stehen nicht zur Verfügung. Ab FortiOS 5.2 ist es jedoch möglich für folgende Funktion ein eigenes "Sprachefile" anzulegen (Custome Language File):


Sobald der Access Point ersichtlich ist Doppelklicke den Eintrag dieses FortiAP und wähle:
        • Guest Management Admin Accounts (Guest Access Provisioning)
        • SSL VPN Portal
        • SSL VPN Personal Bookmarks


        Authorize
Wenn für den "Guest Management Admin Accounts" ein eigenes "Sprachfile" erstellt werden soll muss folgendermassen vorgegangen werden:


Nun kann unten das entsprechende Profile geladen werden dh. "Swisscom-HotSpot". Sobald bestätigt wird so wird die Konfiguration auf den FortiAP geladen (dauert ca. 3 - 4 Minuten)!
        # config system global
 
         # set gui-custom-language enable
         '''NOTE''' Achte immer auf die Firmware Revisionen der FortiGate und der Access Points dh. weitere Informationen betreffend
         # end
            welche Firmware auf der FortiGate und/oder FortiAP eingesetzt werden soll siehe Artikel:
           
            [[FortiAP:FAQ#Welche_Firmware_sollte_auf_einer_FortiGate_und.2Foder_FortiAP_eingesetzt_werden.3F]]
 
Im Grundsatz sind die Forti Access Point nun konfiguriert, jedoch die angemeldeteten Clients müssen vom DHCP Server der Swisscom eine IP bekommen. Bei "MOBILE" geschieht dies "ohne" eine Authentifizierung (Open). Bei MOBILE-EAPSIM wird erst eine IP vergeben, wenn die Authentifizierung über den Radius per EAPSIM (Sim Karte) erfolgreich war. Zusätzlich wird die MAC Adresse des Gerätes benutzt um ein Accounting durchzuführen. Da die IP's von der Swisscom Seite vergeben werden, benötigen wir auf den entsprechenden SSID's DHCP Relay Server. Erstelle diese auf den virtuellen Interfaces der SSID von MOBILE und MOBILE-EAPSIM. Die IP's die dem Client vergeben werden kommen aus demselben IP Range inwelcher sich die SSID ebenfalls befindet. Dies bedeutet in unserem Beispiel:
 
        SSID MOBILE        (10.41.19.0/24, 10.41.19.2/24 SSID , 192.168.10.1 DHCP Server Swisscom, 192.168.10.2 FortiGate port2)
        SSID MOBILE-EAPSIM (10.41.18.0/24, 10.41.18.2/24 SSID , 192.168.10.1 DHCP Server Swisscom, 192.168.10.2 FortiGate port2)
 
         '''NOTE''' In neueren Versionen von FortiOS 5.0 / 5.2 exisitert der seperate Menüpunkt des DHCP Server nicht mehr sondern
            befindet sich innerhalb der Interface Konfiguration!
 
        System > Network > DHCP Server
          
          
         [[Datei:Fortinet-316.jpg]]
         Durch die Aktivierung von "gui-custom-language" wird ein zusätzlicher Menüpunkt auf dem Mgmt. Web Interface auf der FortiGate
 
         aktiviert:
        [[Datei:Fortinet-317.jpg]]
 
Nun fehlt nur noch das Routing dh. zwischen dem DHCP Server der Swisscom (192.168.10.1/24) und unserer FortiGate port2 (192.168.10.2/24) wurde ein kleines Transfer Segment konfiguriert (192.168.10.0/24). Dieses dient dazu das Routing zu kontrollieren dh. die Clients für die SSID's MOBILE und MOBILE-EAPSIM Authentifizieren sich in disem Segment, beziehen die IP Adresse sowie "surfen" (Internet Access) über dieses Segment. Dies bedeutet sämtlicher Traffic von diesen SSID's muss über "port2" (192.168.10.2/24) auf den next Hop (192.168.10.1/24) geroutet werden. Dazu benötigen wir Policy Routen:
 
         Router > Static > Policy Route
          
          
         [[Datei:Fortinet-318.jpg]]
        System > Config > Advanced > Language
       
         [[Datei:Fortinet-1285.jpg]]
       
        Unter FortiOS 5.4 befindet sich die entsprechende Menüposition unter:
       
        System > Custom Languages
       
        Unter der Position "Download Sample Language Template" kann eine Vorlage runtergeladen werden, die herangezogen werden kann
        als Vorlage um das "Sprachfile" zu erstellen. Nachfolgend ein Beispiel dieses "Sample Language Template":
       
        [[Datei:sample-language-template.txt]]
        [[Datei:sample-language-template-54.txt]]
       
        Nachdem das "Sprachfile" modifiziert wurde kann es unter folgender Position wieder raufgeladen werden:
       
        System > Config > Advanced > Language > Create New
       
        [[Datei:Fortinet-1286.jpg]]
 
        Unter FortiOS 5.4 befindet sich die entsprechende Menüposition unter:
       
        System > Custom Languages
       
        Danach kann das File raufgeladen werden:
       
        [[Datei:Fortinet-1287.jpg]]
       
        Damit das entsprechende File benutzt wird für die Funktion des "Wireless Guest Access Provisioning", muss
        dies unter CLI und/oder über Mgmt. Web Interface für den Guest Administrator konfiguriert werden:
       
        System > Admin > Administrators > [Wähle den entsprechenden Guest Administrator] > Language > [Wähle das entsprechende "Sprachfile"]
       
        [[Datei:Fortinet-1289.jpg]]
       
        # config system admin
        # edit [Wähle den Namen des entsprechenden Administrators für die Guest Management Admin Accounts]
        # set guest-auth enable
        # set guest-lang [Wähle das entsprechende "Sprachfile"]
        # end
        # end


        [[Datei:Fortinet-319.jpg]]
=== Wie kann ich für die "Wireless Guest Access Provisioning" Funktion die Erstellung der Tickets (Anzahl) limitieren? ===


Damit die IP des Radius Server "129.132.254.70" (User > Remote > RADIUS) ebenfalls korrekt geroutet wird muss ein entsprechender Statischer Routing Eintrag konfiguriert werden:
Unter FortiOS 5.0 kann ein "restricted" Administrator "Guest Accounts" Ticket erstellen. Unter FortiOS 5.0 kann dieser "restricted" Administrator soviel Tickets erstellen wie er will dh. es gibt keine Funktion die diese Ticket Erstellung in der Anzahl limitiert. Ab FortiOS 5.2 ist dies nun möglich mit folgenden Kommando:


         Router > Static > Static Route
         # config user group
        # edit guest-group
        # set group-type guest
        # set max-accounts [Standard 0 (Unlimited); Möglicher Wert 0-1024]
        # end
        # end
          
          
        [[Datei:Fortinet-320.jpg]]
Wird die Konfiguration durchgeführt für Guest Administratoren die bereits Tickets erstellt haben, muss der Wert höher sein als die existierenden "valid" Tickets. Soll der Wert für Anzahl Tickets tiefer als die existierenden "valid" Tickets konfiguriert werden so müssen um den Wert anzupassen zuerst Tickets gelöscht werden um den entsprechenden Wert zu setzen.


Nun fehlt nur noch die Policy:
== Remote ==


        [[Datei:Fortinet-321.jpg]]
=== Wie konfiguriere ich einen Forti Access Point zB. FAP-11C für einen Remote Zugriff? ===


         [[Datei:Fortinet-322.jpg]]
Ein Forti Access Point FAP-11C kann benutzt werden um einen Remote Zugriff zu konfigurieren. Grundsätzlich kann jeder Forti Access Point benützt werden um diese Konfiguration durchzuführen. Spezialisiert sind jedoch die Forti Access Point FAP-11C, FAP-14C sowie fAP-28C da diese Forti Access Point über einen Internal Switch/Hub verfügen der es dem User/Client erlaubt entweder über den Internen Switch/Hub zu arbeiten oder über Wireless resp. über die konfigurierte SSID. Für unser Beispiel basierend auf einem FAP-11C gehen wir von folgender Situation aus:
        _________
        |        | 193.193.135.70
         | FAP-11C |--|
        |_________|  |
                    WAN
                    | 193.193.135.66              ___________
        ____________|____________                |          |
        |                        | 192.168.3.1    | FAP-11C  |
        |        Fortigate        |----- DMZ ------|          |
        |_________________________|                |___________|
                    |
                    | 192.168.1.99
                    LAN
 
In diesem Beispiel wird die Grundkonfiguration des FAP-11C über das "dmz" durchgeführt! Dies bedeutet: dieses "dmz" ist nur temporaerer Natur für den FAP-11C und wird nur für die Grundkonfiguration sowie das Testen benützt dh. der FAP-11C wird mit der gesamten Konfiguration lokal eingebunden inkl Firewall Policy Rules usw. Diese Konfiguration kann nachträglich für einen Remote Konfiguration komplett übernommen werden. Alle Forti Access Point benützen für deren Komunikation zum FortiGate Wireless Controller CAPWAP (UDP-5246). Dies ist auch betreffend Remote Zugriff der Fall. Weitere Informationen betreffend CAPWAP siehe nachfolgender Artikel:


Nun können die ersten Test's durchgeführt werden. Um diese zu verifizieren empfiehlt es sich auf dem entsprechenden Inteface (port2) einen Sniffer über die Console laufen zu lassen:
        [[FortiAP:FAQ#Wie_werden_Forti_Access_Point_.C3.BCber_einen_FortiGate_Wireless_Controller_verwaltet.2Fkonfiguriert_.28CAPWAP.29.3F]]


        # diagnose sniffer packet port2
Bei einem Remote Zugriff wird der CAPWAP Tunnel benützt um die Informationen zu transportieren. Der CAPWAP Tunnel selber ist zwar verschlüsselt, jedoch die Informationen die durch den Client/User durch den CAPWAP Tunnel gesendet sowie empfangen werden, sind per Standard "clear-text". Aus diesem Grund sollte darauf geachtet werden, dass wenn ein Remote Zugriff benützt wird die DTLS Verschlüsselung aktiviert ist. Diese "WiFi Data Channel Encryption" ist zuständig um die Daten der User/Client im CAPWAP Tunnel von und zu dem Forti Access Point zum FortiGate Wireless Controller zu verschlüsseln. Weitere Informationen zu DTLS Funktion siehe nachfolgender Artikel:
Im nachfolgenden Beispiel sieht man zB die Packete der Radius Authentifizierung über Port 1645, ARP requests sowie DNS Anfragen auf den per DHCP Server zugewiesenen DNS Server der Swisscom "195.186.216.32.53":


         4022.990201 arp who-has 192.168.10.1 tell 192.168.10.2
         [[FortiAP:FAQ#Wie_konfiguriere_ich_f.C3.BCr_ein_Forti_Access_Point_WTP_Profile_eine_.22Data_Channel_Encryption.22_.28DTLS.29.3F]]
        4022.991054 arp reply 192.168.10.1 is-at 0:a:f4:3b:54:40
        4029.388283 192.168.10.2.1235 -> 129.132.254.70.1645: udp 501
        4032.390054 192.168.10.2.1235 -> 129.132.254.70.1645: udp 501
        4034.415427 192.168.10.2.1235 -> 129.132.254.70.1645: udp 501
        4037.420104 192.168.10.2.1235 -> 129.132.254.70.1645: udp 501
        4038.429891 192.168.10.2.1235 -> 129.132.254.70.1645: udp 501
        4039.445473 192.168.10.2.1235 -> 129.132.254.70.1645: udp 501
        4041.994059 10.41.19.67.60034 -> 195.186.216.32.53: udp 35
        4042.449809 192.168.10.2.1235 -> 129.132.254.70.1812: udp 501
        4043.449925 192.168.10.2.1235 -> 129.132.254.70.1812: udp 501
        4044.474628 192.168.10.2.1235 -> 129.132.254.70.1812: udp 501
        4046.369660 arp who-has 192.168.10.1 tell 192.168.10.2
        4046.370483 arp reply 192.168.10.1 is-at 0:a:f4:3b:54:40


Für das bessere Verständnis nachfolgend noch folgendes: Auf der Swisscom Seite ist die Authentifizierung für MOBILE-EAPSIM auf dem Cisco WLC (Wireless Controllers) mit "WEP-104bits" konfiguriert. Im ersten Augenblick sieht es so aus, dass eine auf unserer Seite Konfigurierte WPA2-Enterprise nicht funktionieren würde. Der Grund das dies dennoch funktioniert, ist das diese WPA2-Enterprise Transparent ist zu einer EAP-SIM Authentifizierung. Im Klartext bedeutet dies auf der FortiGate Seite wird so eine Authentifizierung folgendermassen durchgeführt (EAP-SIM Flow):
Die Konfiguration eines Forti Access Point für Remote Zugriff unterscheidet sich Grundsätzlich nicht gegenüber einer lokalen Konfiguration von Forti Access Points. Um dies durchzuführen siehe nachfolgender Artikel der detailiert zeigt wie ein Forti Access Point unter FortiOS 5.0/5.2/5.4 in Betrieb genommen wird und was dabei zu beachten ist:
         
        [[FortiAP:FAQ#Wie_nehme_ich_ein_Fortinet_Access_Point_unter_FortiOS_5.0.2F5.2_in_Betrieb_und_konfiguriere_ich_diesen.3F]]
         
Wenn die Grundkonfiguration für den FAP-11C inkl. den Firewall Policy Rule's gemäss vorhergenden Link durchgeführt wurde sowie alle Tests erfolgreich waren, sollte der FAP-11C aus dem "dmz" Segment entfernt. Ist dies geschehen sollte der entsprechende Forti Access Point Eintrag unter "Managed FortiAP's" gelöscht werden:


         [[Datei:Fortinet-323.jpg]]
         WiFi Controller > WiFi Network > Managed FortiAP's > [Lösche den entsprechenden Eintrag]


=== Wie erstelle ich ein sicheres WLAN Passwort und was ist dabei zu beachten? ===
Als Nächstes muss nun Lokal auf dem Forti Access Point FAP-11C mitgeteilt werden, mit welchen FortiGate Wireless Controller eine Remote Verbindung erstellt werden soll. Dies kann über das lokale Mgmt. Web Interface oder CLI des Forti Access Point FAP-11C durchgeführt werden. Die Informationen die lokal auf dem Forti Access Point konfiguriert werden müssen sind die Folgenden:


Damit niemand in ein WLAN einbrechen kann, sollte als Verschlüsselungsverfahren auf dem Access Point mind. WPA2 eingestellt sein. Die Vorgänger WEP und WPA lassen sich mit etwas Know-how knacken! Gleichfalls wichtig: Das WLAN-Passwort sollte möglichst lang und komplex sein. Denkt man sich selbst ein Passwort aus, neigt man dazu, ein leicht zu merkendes und daher auch leicht knackbares zu wählen. Diese Aufgabe kann einem Tool übergeben werden wie zB "RK-WLAN-Keygen". Sobald das Tool installiert ist wählen aus dem Ausklappmenü unter "SSID/Schlüsseltyp" den Punkt "WPA-PSK/WPA2-PSK Passphrase ASCII 8-63 Zeichen". Im Abschnitt darunter lege fest, welche Zeichentypen für die Generierung verwendet werden sollen. Die dritte Option "0-9, A-Z, a-z + erweiterte Sonderzeichen" ist dabei die sicherste. Allerdings können dann auch Umlaute dabei sein, die in der deutschen Tastenbelegung nicht enthalten sind. Ein guter Kompromiss ist daher die zweite Option "0-9, A-Z, a-z + Sonderzeichen". Als Nächstes gilt es noch, über den Schieberegler die gewünschte Passwortlänge zu wählen. Das Optimum sind 63 Zeichen. Klicken auf "Schlüssel generieren".  Wenn einem das Passwort nicht zusagt, klicken von neuem, um ein Anderes zu erhalten. Der Schlüssel liegt nun auch automatisch in der Windows-Zwischenablage und kann über Ctr + V in das entsprechende Feld des Access Point kopiert werden. Außerdem sollten Sie ihn ausdrucken und/oder in einer Datei an einem sicheren Ort speichern.
        IPv4 Adresse
        FQDN (Fully Qualified Domain Name]


=== Kann ich für ein WiFi SSID ein Captive Portal konfigurieren? ===
Um auf einen Forti Access Point lokal zu verbinden kann die Default IPv4 Adresse des Forti Access Point benutzt werden (192.168.1.2). Weitere Informationen dazu siehe nachfolgender Artikel:


Ein "Captive Portal" ist dann möglich wenn der Traffic über CAPWAP (Mgmt. Tunnel) zum WiFi Controller auf der FortiGate übermittelt wird. Dies bedeutet: Ein Captive Portal kann nicht konfiguriert werden, wenn innerhalb einer SSID "Local bridge with FortiAP's Interface" benutzt wird da dieser Traffic nicht zum WiFi Controller der FortiGate übermittelt wird sondern direkt über das Interface (Bridge Mode) des Forti Access Point in ein Netzwerk Segement übermittelt wird. Das Captive Portal wird über folgende Position im Web Mgmt. Interface konfiguriert:
        [[FortiAP:FAQ#Was_ist_die_Default_IPv4_Adresse_f.C3.BCr_einen_Forti_Access_Point_und_wie_kann_ich_mich_auf_diese_IPv_Adresse_verbinden.3F]]


        WiFi Controller > WiFi Network > SSID > Create New > Security Mode > Captive Portal
Es können für Failover Zwecke bis zu 3 Wireless Controller konfiguriert werden:
       
        [[Datei:Fortinet-1294.jpg]]


         '''NOTE''' Neu unter FortiOS 5.2 stehen im Zusamenhang mit dem Captive Portal neue Funktionen zur Verfügung! Speziell
         [[Datei:Fortinet-700.jpg]]
            sind zwei Funktionen zu erwähnen dh. "Authentication Portal" sowie "Redirect after Captive Portal". Bei der
 
            Position "Authentication Portal" kann nun neu unter FortiOS 5.2 auch ein externes Portal dh. das sich nicht
Die Position "AC Discovery Type" steht im Zusammenhang mit CAPWAP und hat folgende Bedeutung: Wenn in einem späteren Zeitpunkt der Forti Access Point in ein IPv4 Segment zB zu Hause verbunden wird, sucht sich dieses "wan" Interface einen DHCP Server. Werden die DHCP Anfragen des "wan" Interfaces beantwortet, wird auf dem "wan" Interface gemäss der DHCP Server Konfiguration eine IPv4 Adresse, Subnet sowie Default Gateway konfiguriert. Sobald dies der Fall ist, wird über das "wan" Interface versucht den konfigurierten FortiGate Wireless Controller anhand dessen IPv4 Adresse oder den FAQDN über CAPWAP (UDP-5246) zu erreichen. Dies wird anhand "AC Discovery Type" durchgeführt. Dieser Konfigurationspuntk ist per Standard auf "Auto" konfiguriert was wiederum bedeutet:
            auf der FortiGate befindet benutzt werden. Die Funktion "Redirect after Captive Portal" ermöglich nun neu die
 
            eingegebenen URL des User's nach der Authentifizierung weiterzuverarbeiten! Ebenso kann anhand der "Exempt
        Broadcast -> Multicast > Static > DNS > DHCP
            List" von der "regulären Gruppe" (User Groups) Ausnahmen zu definieren! Diese "Exempt List" kann jedoch nur
 
            verwendet werden, wenn die entsprechende Gruppe (User Groups) innerhalb der SSID definiert wird. Weitere
In dieser Reihenfolge versucht der Forti Access Point über CAPWAP den konfigurierten FortiGate Wireless Controller zu erreichen. Damit kein "Auto" für die Suche des FortiGate Wireless Controller durchgeführt wird, sollte "Static" benutzt werden. Wenn ein FQDN benutzt wird, ist zu berücksichtigen, dass der Forti Access Point in seiner Standard Konfiguration einen FortiGuard DNS  Server benutzt. Um einen eigenen DNS Server zu konfigurieren führe folgendes auf der CLI durch:
            Informationen betreffend der Benutzung sowie Konfiguration eines externen Captive Portals siehe nachfolgenden
 
            Artikel:
        # cfg -a DNS_SERVER=[DNS Server IP Adresse]
           
        # cfg -c
            [[FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_eine_SSID_ein_.22externes.22_Captive_Portal_benutzen.2Fkonfigurieren.3F]]
        # cfg -s
 
Um die ganze Konfiguration über die CLI der Forti Access Point durchzuführen stehen folgende Befehle zur Verfügung:
              
              
            [[Datei:Fortinet-1295.jpg]]
        # cfg -a WTP_NAME=FP11C3X12001413                                          [Hostname Forti Access Point]
           
        # cfg -a ADMIN_TIMEOUT=5                                                    [Admin Timeout Default 5 Minuten]
            Um ein Captive Portal innerhalb einer SSID auf der Kommandozeile zu konfigurieren führe folgendes aus:
        # cfg -a AP_IPADDR=192.168.1.2                                              [Stellt die Default oder Fix IP dar wenn kein DHCP vorhanden ist]
           
        # cfg -a AP_NETMASK=255.255.255.0                                          [Stellt das Default Subnet dar wenn kein DHCP vorhanden]
            # config wireless-controller vap
        # cfg -a IPGW=192.168.1.1                                                  [Stellt das Default Gateway dar wenn kein DHCP vorhanden]
            # edit [Name der entsprechenden SSID]
        # cfg -a AP_MODE=0                                                          [0 (Thin AP)] | 2 (Site Survey)]
            # set security captive-portal
        # cfg -a DNS_SERVER=208.91.112.53                                          [Definiert den DNS Server; Standard FortiGuard DNS Server IP]
            # set portal type [auth | auth+disclaimer | disclaimer | email-collect]
        # cfg -a BAUD_RATE=9600                                                    [Geschwindigkeit der Console; Standard 9600]
            # set security-exempt-list [Name der "Exempt List" (config user security-exempt-list)]
        # cfg -a ADDR_MODE=DHCP                                                    [IP Adressierungs Mode dh. DHCP oder STATIC]
            # end
        # cfg -a STP_MODE=0                                                        [Spanning Tree 0 = Deaktiviert | 1 = Aktiviert]
            # end
        # cfg -a TELNET_ALLOW=1                                                    [1 = Telnet steht zur Verfügung; 0 = Deaktiviert]
           
        # cfg -a HTTP_ALLOW=1                                                      [1 = WebInterface steht zur Verfügung; 0 = Deaktiviert]
            Wenn eine "Exempt List" (security-exempt-list) konfiguiert werden soll muss zuerst diese "Excempt List" mit
        # cfg -a AC_DISCOVERY_TYPE=0                                                [0 = Automatic; 1 Static; 2 DHCP; 3 Broadcast; 4 Multicast]
            folgenden Kommando definiert werden:
        # cfg -a AC_IPADDR_1=192.168.1.1                                            [Wireless Controller IP zu dem sich der FortiAP verbinden soll]
           
        # cfg -a AC_IPADDR_2=                                                      [Wireless Controller IP zu dem sich der FortiAP verbinden soll]
            '''NOTE''' Bei der "Exempt List" werden IPv4 Adressen/Subnet/Gruppen definiert die sich "nicht" anmelden müssen über
        # cfg -a AC_IPADDR_3=                                                      [Wireless Controller IP zu dem sich der FortiAP verbinden soll]
                  das Captive Portal dh. diese können sich ohne Authentifizierung und ohne Captive Portal sowie Disclaimer
        # cfg -a AC_HOSTNAME_1=_capwap-control._udp.example.com                    [Wireless Controller FQDN zu dem sich der FortiAP verbinden soll]
                  verbinden!
        # cfg -a AC_HOSTNAME_2=                                                    [Wireless Controller FQDN zu dem sich der FortiAP verbinden soll]
           
        # cfg -a AC_HOSTNAME_3=                                                    [Wireless Controller FQDN zu dem sich der FortiAP verbinden soll]
            # config user security-exempt-list
        # cfg -a AC_CTL_PORT=5246                                                  [CAPWAP Comunication Port]
            # edit [Name der Liste
        # cfg -a AC_DISCOVERY_MC_ADDR=224.0.1.140
            # config rule
        # cfg -a AC_DISCOVERY_DHCP_OPTION_CODE=138                                  [DHCP Option Code]
            # edit [Vergebe einen entsprechenden Integer zB 1]
        # cfg -a AC_DATA_CHAN_SEC=2                                                [DTLS Verschlüsselung 2 = Clear Text oder DTLS; 0 = Clear Text; 1 = DTLS Enabled]
            # set description [Bezeichnung der Liste Optional]
       
            # set devices [Definition der Device Kategory zB ipad iphone linux-pc; für mehr Info benutze ?]
        # cfg -c                                                                    [Speicher Konfiguration in das Flash]
            # set srcaddr [IPv4 Adresse/Subnet/Gruppen durch Leerschlag getrennt]
        # cfg -s                                                                    [Liste die Konfiguration auf]
            # end
            # end
            # end


=== Wie kann ich für eine SSID ein "externes" Captive Portal benutzen/konfigurieren? ===
Wie schon erwähnt ist ausdrücklich empfohlen "DTLS" zu aktivieren dh. Auf dem Forti Access Point ist "DTLS" bereits zusammen mit "Clear Text" aktiviert (Standard AC_DATA_CHAN_SEC=2). Dies bedeutet: Die "DTLS" Aktivierung kann über den FortiGate Wireless Controller gesteuert werden. Dazu muss im entsprechenden Profile des Access Point über CLI "DTLS" aktiviert werden:


Unter folgenden Artikel sind sind die Möglichkeiten eines "Captive Portals" beschrieben:
        # config wireless-controller wtp-profile
        # edit [Name des entsprechenden Profils]
        # set dtls-policy [dtls-enabled | clear-text]
        # end


        [[FortiAP:FAQ#Kann_ich_f.C3.BCr_ein_WiFi_SSID_ein_Captive_Portal_konfigurieren.3F]]
Wenn ein Client/Host über den Remote Forti Access Point ein Packet versendet und da der Standard Wert für MTU Size auf den meisten Betriebsystemen auf 1500 konfiguriert ist kann es mit der zusätzlich aktivieren "DTLS" Funktion zu einer Fragmentierung kommen. Der Grund ist der Folgende: Wenn ein Packet über den CAPWAP Tunnel gesendet wird so kommt zum Packet ein kleiner "overhead" des CAPWAP dazu. Dies ist unter normalen Umständen und in den meisten Fällen kein Problem. Kommt jedoch nochmals der "overhead" des "DTLS" dazu, vergrössert sich das Packet dh. mehr als MTU 1500 und somit wird das Packet aufgeteilt dh. es wird eine Fragmentierung durchgeführt. Dies beeinträchtigt die Performance und sollte verhindert werden. Aus diesem Grund empfehlen wir gemäss nachfolgenden Link im WTP Profile dies zu berücksichtigen resp. eine Fragmentierung zu verhindern:


Wie in diesem Artikel beschrieben ist es möglich ab FortiOS 5.2.x (FAP 5.2.3) ein "externes" Captive Portal zu benutzen anstelle des FortiGate Captive Portals. Dies sollte dann benutzt werden, wenn das FortiGate Portal nicht die HTML/Web Konfiguration zulässt die für das Captvie Portal notwendig ist wie zB Dynmaischer Inhalt der Seite usw. da solche Inhalte in den "Replacement Message" Page auf einer FortiGate nicht konfiguriert werden können. Nachfolgend wird gezeigt wie so ein Workflow eines "externen" Captive Portal aussieht:
        [[FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_einen_Forti_Access_Point_innerhalb_des_CAPWAP_Tunnel_eine_IP_Fragmentierung_verhindern.3F]]


         '''L3 External Web Authentication Workflow'''
Grundsätzlich kann die "Network Configuration" eines Forti Access Point auch auf "Static" gesetzt werden dh. Ein Forti Access Point ist per Standard mit "DHCP" konfiguriert und sollte unter normalen Umständen so konfiguriert sein. Möchte man jedoch für das "wan" Interface des Forti Access Point eine statische IPv4 Adresse vergeben kann dies über Mgmt. Web Interface oder CLI durchgeführt werden. Für eine Konfiguration über CLI lokal auf dem Forti Access Point stehen folgende Konfigurationspunkte zur Verfügung:
           
        # cfg -a AP_IPADDR=192.168.1.2                                              [Stellt die Default oder Fix IP dar wenn kein DHCP vorhanden ist]
        # cfg -a AP_NETMASK=255.255.255.0                                          [Stellt das Default Subnet dar wenn kein DHCP vorhanden]
        # cfg -a IPGW=192.168.1.1                                                  [Stellt das Default Gateway dar wenn kein DHCP vorhanden]
        # cfg -a AP_MODE=0                                                          [0 (Thin AP)] | 2 (Site Survey)]
        # cfg -a DNS_SERVER=208.91.112.53                                          [Definiert den DNS Server; Standard FortiGuard DNS Server IP]
        # cfg -a BAUD_RATE=9600                                                    [Geschwindigkeit der Console; Standard 9600]
         # cfg -a ADDR_MODE=DHCP                                                    [IP Adressierungs Mode dh. DHCP oder STATIC]
          
          
         [[Datei:Fortinet-1365.jpg]]
         # cfg -c                                                                    [Speicher Konfiguration in das Flash]
        # cfg -s                                                                    [Liste die Konfiguration auf]
 
        '''DHCP Konfiguration (Default):'''
          
          
         '''NOTE''' In diesem "Workflow" wird ein Beispiel gezeigt im Zusammenhang mit Radius dh. zB FortiAuthenticator. Dies bedeutet:
         [[Datei:Fortinet-702.jpg]]
            Ab dem Zeitpunkt "Submit login form (username, password) via a POST method to FGT" werden die entsprechenden Login
            Informationen zur FortiGate übermittelt und verarbeitet. Ob nun ein Active Directory auf der FortiGate konfiguriert
            wurde oder Lokale User ist irrelevant dh. Wichtig ist das die entsprechenden Informationen anhand "POST methode" der
            FortiGate übermittelt werden!


         '''Konfiguration der SSID mit der Definition des "external" Captive Portal"'''
         '''Static Konfiguration:'''
          
          
         Als Erstes muss eine entsprechende SSID konfiguriert werden. Inerhalb dieser SSID wird das "external" Captive Portal
         [[Datei:Fortinet-703.jpg]]
         gewählt mit dessen IP sowie URL Path. Ebenso muss eine entsprechende Gruppe definiert werden in der sich die User
 
        befinden oder auf einen zB Radius Server (FortiAuthenticator) verwiesen wird:
Damit die Anfragen des Forti Access Point auf den FortiGate Wireless Controller beantwortet wird, muss CAPWAP auf der FortiGate für das "wan" Interface aktiviert werden:
 
         System > Network > Interface > [Wähle das entsprechende Interface] > Administrative Access > [Aktiviere CAPWAP]
          
          
         [[Datei:Fortinet-1366.jpg]]
         [[Datei:Fortinet-784.jpg]]
          
          
        '''NOTE''' Für die definierte Gruppe kann ebenfalls eine "Exempt List" definiert werden. Weitere Informationen wie diese zu
Durch die Aktivierung von CAPWAP wird eine "Local-In" Policy erstellt der den Traffic UDP-5246 auf dem "wan" Interface erlaubt. Die "Local-In" Policy erlaubt den UDP-5246 Traffic von jeder Source dh. soll diese eingeschränkt werden kann über die eine manuelle "Local-In" Policy diese Einschränkung konfiguriert werden. Weitere Informationen dazu siehe nachfolgenden Artikel:
            konfigurieren ist siehe nachfolgenden Artikel:
              
              
             [[FortiAP:FAQ#Kann_ich_f.C3.BCr_ein_WiFi_SSID_ein_Captive_Portal_konfigurieren.3F]]
             [[FortiGate-5.0-5.2:FAQ#Was_sind_.22Local_In_Policy.27s.22_und_wie_kann_ich_diese_manipulieren.3F]]
           
 
            Wenn die Konfiguration der SSID auf der Kommandozeile durchgeführt werden soll benutze folgende Befehle:
Wenn nun der Forti Access Point in einer Remote Lokation zB zu Hause benutzt wird so wird folgendes durchgeführt:
           
            # config wireless-controller vap
            # edit [Name der SSID]
            # set vdom [Name der VDOM per Standard "root"]
            # set ssid [Name der SSID]
            # set security captive-portal
            # set selected-usergroups [Name der Gruppe für die Authentifizierung]
            # set security-exempt-list [Name der "Exempt List"]
            # set security-redirect-url  [Name der URL die nach einer erfolgreichen Authentifizierung aufgerufen werden soll zB "http://www.also.com"]
            # set intra-vap-privacy enable
            # set local-switching disable
            # set external-web [IPv4 Adresse sowie URL Path zum external Captive Portal zB nach unserem Beispiel "192.168.234.51/portal.php"]
            # next
            # end
           
            '''NOTE''' Wenn die Option "security-redirect-url" nicht gesetzt ist resp. keine entsprechende URL konfiguriert wird
                  wird die "Orginal Anfrage" des Users ausfgeführt anstelle des "redirect's". Die Option "security-exempt-list"
                  basiert auf der Funktion "Device Identification" die innerhalb der SSID aktiviert werden kann. Diese muss anhand
                  eines Names konfiguriert werden da diese "Exempt List" Definition erlaubt "ohne Authentifizerung" auf das "externe"
                  Captive Portal zu zugreifen. Für die Option "security-exempt-list" ist folgendes auszuführen:
                 
                  # config user security-exempt-list
                  # edit [Name der "Exempt List"]
                  # config rule
                  # edit 1
                  # set devices [Name der Devices zB "ip-phone"]
                  # next
                  # edit 2
                  # set srcaddr [Name des Objektes der Source Adressen zB der SSID des "externen" Captive Portals]
                  # next
                  # end
                  # next
                  # end
                 
                  Wenn die Option "external-web" nicht gesetzt wird so wird das Captive Portal der FortiGate aufgerufen. In der Option
                  "external-web" muss nicht explizit http oder https aufgeführt werden da http und/oder https über das folgendende
                  Kommando gestuert wird:
                 
                  # config user setting
                  # set auth-secure-http [disable | enable]
                  # end
                 
                  Die Option "auth-secure-http" ist per Standard mit "disable" konfiguriert dh. der User wird der ein "http" Anfrage ausführt für eine
                  Authentifizierung wird "nicht" auf "https" weitergeleitet (redirect).


         '''Konfiguration der Firewall Policy Rule für den Zugriff auf das "external" Captive Portal'''
         1. Verbinde das "wan" Interface des Forti Access mit dem vorhandenen LAN Segment/Subnet.
       
         
         Nun muss eine sogenannte "Walled Garden Policy" erstellt werden. Dies bedeutet folgendes: In der nachfolgend Policy wird erlaubt das User
         2. Dem Forti Access Point wird über DHCP auf das "wan" Interface eine IPv4 Adresse zugewiesen oder das "wan" Interface wurde
        die verbunden sind mit der SSID des "externen" Captive Portals sich "OHNE" Authentifizierung sich zu diesem Captive Portal zu verbinden um
          mit einer LAN IPv4 Adresse aus dem Segment/Subnet statisch konfguriert.
        die Authentifizierung durchzuführen. Die Option "captive-protal-exempt enable" ermöglicht dies obwohl eine SSID als interface konfiguriert
         
        ist mit einer Authentifizierung:
         3. Uber das "wan" Interface werden CAPWAP (UDP-5246) Anfragen an die definierte IPv4 Adresse und/oder FQDN an das "wan"  
       
          Interface des FortiGate Devices gesendet.
         # config firewall address
         
        # edit [Name des Objekts für die IPv4 Adresse des "external" Captive Portal zB "web-portal-192.168.234.51"]
        4. Da CAPWAP auf dem FortiGate "wan" Interface aktiviert wurde und somit die CAPWAP Anfragen vom FortiGate Wireless Controller
        # set subnet 192.168.234.51 255.255.255.255
          beantwortet werden, erscheint auf dem FortiGate Device unter "Managed Access Point" der entsprechende Forti Access Point:
        # next
         
        # end
          WiFi Controller > Managed Access Points
            
            
         # config firewall policy
         5. Dem Forti Access Point kann nun das entsprechendes WTP Profile zugewiesen werden.
         # edit [Vergebe einen entsprechender Integer für die Policy]
 
         # set srcintf [Name der SSID für das "externe" Captive Portal]
Als letzten Schritt sollte die DTLS Verschlüsselung kontrolliert werden. Dies kann über das entsprechende WTP Profile sowie auf dem Forti Access Point selber durchgeführt werden:
        # set dstinf [Name des Interface hinter der sich der "externe" Captive Portal befindet]
 
        # set srcaddr "all"
        '''FortiGate WTP Profile'''
        # set dstaddr [Name des Objektes für das "externe" Captive Portal zB "web-portal-192.168.234.51"]
       
        # set action accept
         [[Datei:Fortinet-705.jpg]]
        # set schedule "always"
 
        # set service "ALL"
         '''Forti Access Point'''
         # set caprive-portal-exempt enable
       
        # next
        [[Datei:Fortinet-706.jpg]]
        # end
 
Wenn man einer der Remote Forti Access Point's einsetzt dh. FAP-11C, FAP-14C sowie FAP-28C hat man nun die Möglichkeit den internen Switch für die lokalen Zwecke zu konfigurieren. Bei der Konfiguration des internent Switches/Hubs ist jedoch folgendes zu berücksichtigen: Ein Port eines Switches kann mit "bridge to SSID" auf die SSID konfiguriert werden. Dies bedeutet: Wenn ein Client/Host sich per RJ-45 auf diesen Port verbindet, wird diesem über den konfigurierten DHCP Server der SSID eine IPv4 Adresse zugewiesen. Wenn dies geschieht, wird keine Authentifizierung für die SSID ausgeführt! Um zB eine Security auf diesen Switch Port für "bridge to SSID" zu konfigurieren, kann der DHCP Server auf "block" gesetzt werden und somit werden vom DHCP Server nur IPv4 Adressen den Clients/Host zugewiesen, wenn diese mit deren MAC Adressen im DHCP Server konfiguriert wurden. Dies wird folgendermassen für den DHCP Server der SSID konfiguriert:
 
      # config system dhcp server
      # edit [Wähle den entsprechenden Integer für den DHCP Server der SSID zB "1"]
      # set mac-acl-default-action [assign | block]
      # config reserved-Adresse
      # edit [Setze einen entsprechenden Integer zB "1"]
      # set ip [IPv4-Adresse für IP Reservation]
      # set mac [MAC-Adresse Defintion für IP Reservation]
      # set action [assign | block | reserved]
      # end
      # end
 
Eine andere Variante ist auf dem Interface der SSID (nicht für die SSID Konfiguration) ein "Captive Portal" zu aktivieren dh. wenn dies geschieht, muss sich der Client/Host in jedem Fall auf dem "Captive Portal" des Interface zuerst authentifizieren bevor er Zugriff erhält. Wie die einzelnen Switch/Hub Ports zu konfigurieren sind siehe nachfolgender Artikel:
 
         [[FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_einen_Remote_Forti_Access_Points_FAP-11C.2C_FAP-14C_und_FAP-28C_die_Switch_Ports_konfigurieren.3F]]
 
Desweiteren ist zu berücksichtigen, dass der Traffic des Client/Host der sich über einen Switch/Hub Port der anhand "bridge to SSID" konfiguriert wurde, unweigerlich über CAPWAP zum FortiGate Wireless Controller gesendet wird da die SSID anhand "Tunnel to Wireless Controller" konfiguriert wurde. Möchte der Client/Host jedoch lokale Resourcen ebenfalls erreichen kann ab FortiOS 5.2 ein "Splitt Tunneling" konfiguriert werden. Dies erlaubt einen bestimmten IPv4 Range/Subnet am CAPWAP Tunnel vorbei zu routen. Wie dies konfiguriet wird siehe nachfolgender Artikel:


Die Grundkonfiguration für den Zugriff für das "externe" Captive Portal für die User dieser SSID ist nun gegeben. In der SSID wurde das "externe" Captive Portal mit dessen IP und URL konfiguriert. In unserem Beispiel ist das:
        [[FortiAP:FAQ#Wie_konfiguriere_ich_f.C3.BCr_eine_Forti_Access_Point_SSID_die_Funktion_.22Split_Tunneling.22.3F]]


      192.168.234.51/portal.php
Wenn die konfigurierte SSID auf einem Forti Access Point die ebenfalls für die Switch/Hub Ports benutzt wird um "bridge to SSID" zu konfigurieren nicht benötigt wird dh. Client/Hosts die SSID für einen Wireless Zugriff nicht benötigen, sollte diese deaktiviert werden. Dies kann nach Abschluss der Konfiguration im entsprechenden WTP Profile konfiguriert werden in dem der entsprechende "radio" komplett deaktiviert wird!


Das File "portal.php muss nun die entsprechende HTML/PHP Konfiguration beinhalten um den "Method POST" durchzuführen. Nachfolgend ein Beispiel des Inhaltes ein entsprechendes "portal.php":
=== Wieviel Bandbreite benötigt ein Forti Access Point für CAPWAP in einer Remote Verbindung? ===


      --------------- portal.php ---------------
Die Bandbreite die benützt wird im Management Tunnel resp. CAPWAP (UDP-5246) für einen Remote Zugriff eines Forti Access Point ist vernachlässigbar da Fortinet bei der Architektur darauf geachtet hat, dies auf ein Minimum zu beschränken dh. folgende Bandbreite wird benützt:
     
 
      <nowiki><?php
        • Management Tunnel (CAPWAP) ist ein "einzelnes" Heartbeat Packet alle 30 Sekunden
     
        • Radio Resource Provisioning (DRRP) sendet minimale Informationen alle 5 Minuten
      define('login', 'login');
 
      define('success', 'auth=success');
Obwohl die Daten minimal sind können die Intervalle für Heartbeat und/oder DRRP bei Notwendigkeit angepasst werden!
      define('fail', 'auth=failed');
 
      define('logout', 'logout=ok');
== LAN Port's / Switch ==
     
 
      function getLeft($urlstring, $key)
=== Wie kann ich für einen Remote Forti Access Points FAP-11C, FAP-14C und FAP-28C die Switch Ports konfigurieren? ===
      {
 
      $key_pos = strpos($urlstring, $key);
Die Remote Forti Access Points wie FAP-11C, FAP-14C und FAP-28C werden mit einem kleinen Switch/Hub ausgeliefert! Bis FortiOS 5.0.4 sowie für Forti Access Points FortiOS 5.0.5 waren diese Ports nicht konfigurierbar dh. konnten nicht genutzt werden. Ab FortiGate FortiOS 5.0.5 und FortiAP FortiOS 5.0.6 können diese Ports folgendermassen konfiguriert werden über CLI:
      return substr($urlstring, 0, $key_pos);
 
      }
      '''Fuer die LAN Port Konfiguration gelten folgende Restriktionen:'''
     
     
      function getRight($urlstring, $key)
      • Beim FortiAP-14C können die einzelnen Ports nicht individuell gesetzt werden dh. alle Ports benützen eine Konfiguration da es sich
      {
        bei den Ports um ein Hub handelt!
      $key_pos = strpos($urlstring, $key);
     
      return substr($urlstring, $key_pos);
      • Jeder Client/Host der sich über die LAN Ports verbindet gilt als Authentifiziert!
      }
     
     
      • Dynamische VLAN Konfiguration für Client/Host die über die LAN Ports verbunden sind wird nicht unterstützt. Weitere Informationen
      $myqury = $_SERVER['QUERY_STRING'];
        zur Dynamischee VLAN Konfiguration siehe nachfolgender Artikel:
      $auth_string = 'fgtauth';
       
      $magic = 'magic=';
        [[FortiAP:FAQ#Kann_ich_f.C3.BCr_Forti_Access_Point_SSID.27s_.22Dynamische_VLAN.27s.22_vergeben_und_wie_konfiguriere_ich_diese.3F]]
      $needle = '&';
     
      $fgt_post = "post=";
      • RADIUS Authentifizierung basierend auf MAC Adressen wird nicht unterstützt!
     
     
      if (stristr($myqury, login)) {
      • Wenn der/die LAN Port's auf "bridge-to-ssid" gesetzt ist/sind kann DTLS Verschlüsslung aktiviert werden. Dies gilt ab FortiOS 5.0.6
      $pos = strpos($myqury, $fgt_post);
        und Forti Access Point FortiOS 5.0.7!
      if ( $pos > 0 ) {
 
      $start = $pos + strlen($fgt_post);
Die LAN Ports können sofern gewünscht komplett deaktiviert werden und können somit nicht genutzt werden! Die Konfiguration wird auf entsprechenden WTP Profile gesetzt. Um die LAN Port's auf der Kommandozeile zu konfigurieren führe folgendes durch:
      $fgt_url = substr($myqury, $start);
     
      $post_url = getLeft($fgt_url, $auth_string);
      # config wireless-controller wtp-profile
      $other_var = getRight($fgt_url, $magic);
      # edit [Name des entsprechenden Profile]
      $magic_pair = getLeft($other_var, $needle);
      # config lan
      $magic_id = substr($magic_pair, strlen($magic));
      # set port[Port Nummer]-mode [offline | bridge-to-wan | bridge-to-ssid | nat-to-wan ]
     
      # end
      $pre_act ='<table width="300" border="0" align="center" cellpadding="0" cellspacing="1" bgcolor="#CCCCCC">
 
      <tr>
Die Option "nat-to-wan" steht neu unter FortiOS 5.2 zur Verfügung. Die einzelnen Modi haben folgende Bedeutung:
      <form name="form1" method="post" action=';
           
      $post_act = '>
            • offline              Der Port wird komplett deaktiviert!
      <td>
            • bridge-to-wan        Auf dem Port wird ein "bridge" auf das WAN Segement ausgeführt. Der Port erhält seine IP aus dem WAN Segement!
      <table width="100%" border="0" cellpadding="3" cellspacing="1" bgcolor="#FFFFFF">
            • bridge-to-ssid       Auf dem Port wird ein "bridge" auf die SSID ausgeführt. Der Port erhält seine IP vom DHCP Server der SSID!
      <tr>
            • nat-to-wan          Auf dem Port wird ein "nat" ausgeführt auf den WAN Port. Der Port erhält seine IP vom DHCP Server der SSID!
      <td colspan="3"><strong>Test Login</strong></td>
 
      </tr>
            '''Bridge to SSID'''
      <input type="hidden" name="magic" value=';
            Die LAN Ports können anhand einer SSID mit der Funktion "bridge-to-ssid" versehen werden was folgendes bedeutet: Verbindet sich ein
      $post_magic = '>
            Client/Host über die LAN Ports, wird dem Client über den DHCP Server der für die SSID konfiguriert wurde, eine IPv4 Adresse zugewiesen.
      <tr>
            Der Traffic des Clients/Hosts, der sich am LAN Port verbindet, wird zum FortiGate Wireless Controller gesendet. Ein "local bridging"  
      <td width="78">Username</td>
            ist nicht möglich! Wireless Clients/Hosts die diese SSID benutzen sowie die Clients/Hosts die über den Switch Port verbunden sind, 
       <td width="6">:</td>
            können untereinander uneingeschränkt komunizieren. Es findet keine Authentifizierung auf den LAN Ports statt! Die Clients/Hosts, die
      <td width="294"><input name="username" type="text" id="username">
            über die LAN Ports in diesem Modus verbinden, sind über den folgenden Menüpunkt ersichtlich:
      </td>
           
      </tr>
            WiFi Controller > Monitor > Client Monitor
      <tr>
           
      <td>Password</td>
            Wenn die DTLS Verschlüsselung für "brdige-to-ssid" nicht aktiviert werden kann ist folgendes zu berücksichtigen: Auf dem Forti Access
      <td>:</td>
            Point steht die DTLS Verschlüsselung per Standard auf "Clear Text oder "DTLS Enabled" dh. der Forti Access Point bietet beides an. Somit
      <td><input name="password" type="text" id="password"></td>
            steuert der FortiGate Wireless Controller die Funktion. Nähere Informationen zur DTLS Verschlüsselung siehe folgender Artikel:
      </tr>
           
      <tr>
            [[FortiAP:FAQ#Wie_konfiguriere_ich_f.C3.BCr_ein_Forti_Access_Point_WTP_Profile_eine_.22Data_Channel_Encryption.22_.28DTLS.29.3F]]
      <td>&nbsp;</td>
 
      <td>&nbsp;</td>
            '''Bridge to WAN'''
      <td><input type="submit" name="Submit" value="Login"></td>
            Es wird ein "bridge-to-wan" auf das "wan" Interface des Forti Access Point durchgeführt was folgendes bedeutet: Verbindet sich ein
      </tr>
            Client/Host über die Switch Ports, wird dem Client/Host über den DHCP Server sofern dieser im "wan" Segment existiert, eine IPv4
      </table>
            Adresse zugewiesen. Wireless Clients/Hosts die über eine SSID auf dem Forti Access Point verbunden sind und Clients/Hosts die über
      </td>
            die LAN Ports verbunden sind, können nur dann untereinander direkt komunizieren wenn eine entsprechende Firewall Policy Rule auf
      </form>
            der FortiGate konfiguriert wird die diesen Traffic erlaubt! Somit, wenn dies der Fall ist, wird der Traffic über die FortiGate
      </tr>
            Device dh. über CAPWAP abgewickelt. DTL kann in diesem Modus nicht aktiviert werden!
      </table>';
           
      $login_form = $pre_act . $post_url . $post_act . $magic_id . $post_magic;
            '''NAT to WAN'''
      echo $login_form;
            Es wird ein "nat-to-wan" auf dem "wan" Port des Forti Access Point durchgeführt dh. die Source des Traffic vom LAN Port wird
      } else {
            übersetzt (translated) anhand der IPv4 Adresse die auf dem "wan" Port existiert/konfiguriert wurde.
      echo "login command without post url";
 
      }
Die Konfiguration der Switch/Hub Ports kann ebenfalls über Mgmt. Web Interface durchgeführt werden und zwar unter folgender Position sofern es sich um ein WTP Profile eines Forti Access Points handelt der über einen Switch/Hub verfügt:
      }
 
     
      WiFi Controller > WiFi Network > Forti/Custom AP Profiles
      $mycmd = strtolower($myqury);
     
     
      [[Datei:Fortinet-964.jpg]]
      switch($mycmd) {
 
      case success:
Wenn die Konfiguration auf der Kommandozeile durchgeführt werden soll muss folgendes durchgeführt werden:
      echo "here is success page";
 
      break;
      # config wireless-controller wtp-profile
      case fail:
      # edit [Name des entsprechenden Profile]
      echo "here is fail page";
      # config lan
      break;
      # set port-mode [Gilt für den definierten LAN Port's FAP-14C : offline | bridge-to-wan | bridge-to-ssid | nat-to-wan]
      case logout:
      # set port-ssid [Name der gewünschten SSID]
      echo "here is logout page";
      # set port1-mode [Gilt für den definierten LAN Port1: offline | bridge-to-wan | bridge-to-ssid | nat-to-wan]
      break;
      # set port1-ssid [Gilt für den definierten LAN Port1: Name der entsprechende SSID sofern bridge-to-ssid definiert wurde]
      }
      # set port2-mode [Gilt für den definierten LAN Port2: offline | bridge-to-wan | bridge-to-ssid | nat-to-wan]
     
      # set port2-ssid [Gilt für den definierten LAN Port2: Name der entsprechende SSID sofern bridge-to-ssid definiert wurde]
      ?></nowiki>
      # set port3-mode [Gilt für den definierten LAN Port3: offline | bridge-to-wan | bridge-to-ssid | nat-to-wan]
     
      # set port3-ssid [Gilt für den definierten LAN Port3: Name der entsprechende SSID sofern bridge-to-ssid definiert wurde]
      --------------- portal.php ---------------
      # set port4-mode [Gilt für den definierten LAN Port4: offline | bridge-to-wan | bridge-to-ssid | nat-to-wan]
      # set port4-ssid [Gilt für den definierten LAN Port4: Name der entsprechende SSID sofern bridge-to-ssid definiert wurde]
      # set port5-mode [Gilt für den definierten LAN Port4: offline | bridge-to-wan | bridge-to-ssid | nat-to-wan]
      # set port5-ssid [Gilt für den definierten LAN Port4: Name der entsprechende SSID sofern bridge-to-ssid definiert wurde]
      # end
      # set dtls-policy [ dtls-enabled | clear-text]
      # end
 
Ab FortiOS 5.2 steht neu die Funktion "Split Tunneling" zur Verfügung. Weitere Informationen dazu siehe folgender Artikel:
 
        [[FortiAP:FAQ#Wie_konfiguriere_ich_f.C3.BCr_eine_Forti_Access_Point_SSID_die_Funktion_.22Split_Tunneling.22.3F]]
 
== Sniffer ==
 
=== Kann ich einen Forti Access Point als Sniffer benutzen um den Traffic aufzuzeichnen (capture)? ===
 
Ja diese Möglichkeit existiert jedoch mit folgenden Einschränkungen:


Der letzte Schritt der nun vollzogen werden muss ist was durchgeführt werden soll "wenn" die Authentifizierung erfolgreich durchgeführt wurde. Dabei gibt es zwei Möglichkeiten:
        • Nur ein "radio" pro Aufzeichnung kann benutzt werden um den Sniffer auszuführen (capture)!
        • Es kann nur jeweils in "einem" Bereich dh. 2.4GHz oder 5GHz ein Sniffer ausfgeführt werden!
        • Sniffer Mode wird für "radio" für 802.11ac nicht unterstützt (FortiOS 5.2.5 Bug ID 301726)!


        1. In der SSID ist die folgende Option gesetzt:
Wenn ein "radio" für den Sniffer Mode konfiguriert wurde so wird lokal auf dem Forti Access Point ein File in folgendes Verzeichnis abgelegt:
         
          # config wireless-controller vap
          # edit [Name der SSID]
          # set vdom [Name der VDOM per Standard "root"]
          # set security-redirect-url  [Name der URL die nach einer erfolgreichen Authentifizierung aufgerufen werden soll zB "http://www.also.com"]
          # end
         
          Wenn diese Option benutzt wird so wird der User automatisch nach einer erfolgreichen Authentifizierung zu dieser konfigurierten
          "security-redirect-url" weitergeleitet und es benötigt keine zusätzliche Konfiguration!


         2. In der SSID ist die Option "security-redirect-url" nicht gesetz:
         /tmp/wl_sniff.pcap
         
       
          In so einer Situation wird die Orginal URL benützt die der User zu Beginn benutzt hat. Damit der User nach einer erfolgreichen
Wenn ein solches File im Verzeichnis "tmp" existiert und ein Neustart des Forti Access Point wird durchgeführt, so wird dieses File gelöscht da es sich beim Verzeichnis "tmp" um einen flüchtiges "none" Persistent Verzeichnis handelt. Aus diesem Grund muss das File vor einem Neustart per TFTP auf einen entsprechenden TFTP Server transferiert werden! Um das File per TFTP zu transferieren benutze folgende Kommandos:
          Authentifizierung zu dieser orginal URL weitergeleitet wird muss die entsprechende "Replacement Message" Group konfiguriert
           
          werden. Diese "Replacment Message" Groups arbeiten mit "tags" die dies ermöglichen. Nachfolgend ein Beispiel das für unsere
        # cd /tmp
          Konfiguration benützt werden kann:
        # ls
         
        wl_sniff.cap
          # config system replacemsg auth "auth-success-page"
       
              set buffer "<html>
        # tftp
            <head>
       
              <title>
        BusyBox v1.15.0 (2012-05-24 17:25:46 PDT) multi-call binary
                Firewall Authentication
        Usage: tftp [OPTIONS] HOST [PORT]
              </title>
        Transfer a file from/to tftp server
            </head>
       
            <body>
        Options:
              If JavaScript is not enabled, please
       
               <a href=\"%%AUTH_REDIR_URL%%\">
        -l FILE Local FILE
                click here
        -r FILE Remote FILE
              </a>
        -g      Get file
              to continue.
        -p      Put file
              <script language=\\\"JavaScript\\\">
                
                window.location=\\\"%%AUTH_REDIR_URL%%?usermac=%%USER_MAC%%&apmac=%%AP_MAC%%&apip=%%AP_IP%%&userip=%%USER_IP%%&device_type=%%DEVICE_TYPE%%&continueURL=%%PROTURI%%&portalAddr=%%PORTAL_ADDR%%&redirectURL=%%AUTH_REDIR_URL%%\\\";
Somit ergiebt sich folgendes Kommando um das File auf den TFTP Server zu transferieren:
              </script>
           
            </body>
        # tftp -l [File Name des zu transferierenden Files dh. "wl_sniff.cap"] -p [IPv4 Adresse des TFTP Servers] 69
          </html>"
 
          end
Um einen Forti Access Point in den Sniffer Mode zu versetzen, muss die Konfiguration auf der FortiGate über CLI durchgeführt werden dh. führe folgendes durch:


Weitere Informationen zu den "Replacement Message" Groups siehe nachfolgender Artikel:
        # config radio-1
        # set mode disabled
        # end
        # config radio-2
        # set mode sniffer
        # set ap-sniffer-bufsize 32
        # set ap-sniffer-chan 1
        # set ap-sniffer-addr 00:00:00:00:00:00
        # set ap-sniffer-mgmt-beacon enable
        # set ap-sniffer-mgmt-probe enable
        # set ap-sniffer-mgmt-other enable
        # set ap-sniffer-ctl enable
        # set ap-sniffer-data enable
        # end
        # end


         [[FortiGate-5.0-5.2:FAQ#Was_sind_.22Replacement_Message_Groups.22_und_wie_verwende_ich_diese.3F]]
Durch die nachfolgenden Befehle können auf dem Sniffer Mode Filter gesetzt werden:
           
         ap-sniffer-add      Definiert einen spezifischen Client/Host anhand seiner MAC Adresse in der Form xx:xx:xx:xx:xx:xx
        ap-sniffer-chan      Definiert einen spezifischen "channel"


=== Wie kann ich bestimmte Domaine/Zieladresse für ein "Captive Portal" ausschliessen resp. ohne Authentifizierung erlauben? ===
Sobald die Konfiguration durchgeführt wurde, ist diese über Mgmt. Web Interface der FortiGate ersichtlich:


Ein User der eine Anfrage für eine bestimmte Domaine/Zieladresse durchführt, wird automatisch beim ersten Aufruf dieser Domain/Zieladresse zum entsprechenden "Captive Portal" - das für die entsprechende SSID konfiguriert wurde - weitergeleitet. Nachdem der User sich korrekt auf dem "Captive Portal" authentifiziert hat, wird die Anfrage des Users für die Domaine ausgeführt. Wenn man nun für eine bestimmte Domaine/Zieladresse keine Authentifizierung über das "Captive Portal" benützen möchte dh. wenn der User diese Domaine/Zieladresse aufruft, wird dieser direkt "ohne Authentifizierung auf dem Captive Portal" direkt zur entsprechender Domaine/Zieladresse weitergeleitet. Um dies zu konfigurieren muss eine bestimmte Policy erstellt werden und in dieser die Option "captive-portal-exempt" aktiviert werden. Diese Option steht ab FortiOS 5.2 zur Verfügung. Um die Konfiguration durchzuführen führe folgendes aus:
        [[Datei:Fortinet-699.jpg]]


        '''Erstellen eines Objektes für Domaine die erlaubt werden soll'''
Wenn nun das entsprechende WTP Profile in dem der Sniffer Mode aktiviert wurde einem Forti Access Point zugewiesen wird, so versetzt sich dieser in den "monitor" Mode. Dies kann über die CLI lokal auf dem Forti Access Point verifiziert werden:
       
        # config firewall address
        # edit "also.com"
        # set type fqdn
        # set fqdn "also.com"
        # next
        # end


        '''Erstellen der Firewall Policy und Aktivierung der Option'''
         # iwconfig
       
 
         # config firewall policy
Durch diesen Befehl werden die entsprechenden lokalen Interfaces des Forti Access Point aufgelistet und das entsprechende Interface ist im "monitor" Mode:
        # edit
 
        # set srcintf "[Name der SSID auf dem ein Captive Portal konfiguiert wurde]"
         Mode: Monitor
        # set dstintf "wan1"
        # set srcaddr "all"
        # set dstaddr "[Name des Adresss Objektes das wir erstellt haben zB "also.com"]"
        # set action accept
         # set schedule "always"
        # set service "[Gebe den entsprechenden Service an zB HTTP]"
        # set captive-portal-exempt enable
        # set nat enable
        # next
        # end


=== Wird bei einer Radius Authentication die Funktion "Accounting" unterstützt? ===
== Authentication ==


Wenn ein zB WPA2/Enterprise Authentifizierung über Radius für eine SSID konfiguriert wird dh. mit einem entsprechenden Radius Server auf der FortiGate wird das "Radius Accounting" unter FortiOS 5.2 unterstützt. Bei der Radius Accounting Funktion handelt es sich um folgendes: Bei der Radius Authentifizierung wird IP sowie Usernamen zum Radius Server übermittelt. Wenn "Radius Accounting" auf dem Radius Server benutzt wird beginnt nach einer erfolgreichen Authentifizierung eine "interne Zurechnung". Diese "interne Zurechnung" wird benutzt um zu entscheiden ob die konfigurierte Zeit für eine Verbindung abgelaufen ist und/oder wieviel Zeit abgelaufen ist. Je nach Konfiguration zB bei Ablauf einer vorgegebener Zeit auf dem Radius Server sendet dieser dem zuständigen Device zB der FortiGate eine Accounting Nachricht, dass die Authentifizierung des User's/IP abgelaufen ist. Danach wird die Authentifizierung des User's/IP als ungültig erklärt. Dies Art des "Accounting" wird zB bei WiFi HotSpot's benützt um Abrechnung zu erstellen und/oder Zugriffe zu steuern. FortiOS 5.0 unterstützt kein "Radius Accounting". Weitere Informationen betreffend dem Radius Protokoll findet man unter folgenden Link:
=== Wie konfiguriere ich auf einem Windows 2008 Server (Radius) eine "WPA2-Enterprise" Authentifizierung? ===


        http://de.wikipedia.org/wiki/RADIUS_(Protokoll)
Wenn man für Wireless Clients/Hosts eine Authentifizierung implementieren möchte im Geschäftsumfeld so sollten man "WPA2-Enterprise" (AES Verschlüsselung) benutzen. Diese Implementierung stellt einem vor verschiedenen Probleme! Speziell wenn die Authentifizierung über das Active Directory abgearbeitet werden soll. Der Grund dafür liegt darin wie das Passwort vom Wireless Client/Host zum Active Directory (LDAP) übermittelt wird dh. WPA und WPA2 benutzen für die Uebermittlung der Passwörter vers. "password hashing schemas" die jedoch nicht kompatibel sind mit dem Microsoft Active Directory (LDAP). Aus diesem Grund muesste der eingesetzte LDAP Server es erlauben das Passowrt in "clear-text" zu erhalten. Bei Microsoft Active Directory ist dies nicht mehr möglich dh. nur ein OpenLDAP stellt diese Funktion zur Verfügung. Wenn kein OpenLDAP vorhanden ist oder dieser nicht eingesetzt werden möchte, so ist die bevorzugte Variante eine Radius Server zu implementieren. Diese "Radius Authentication" verifiziert die Credentials des Wireless Clients/Hosts über den Radius Server im Active Directory. Durch diese Art der Authentifizierung wird die Problematik der WPA/WPA2 Passwort Uebermittlung umgangen. Zusätzlich können über den Radius Server Gruppenzugehörigkeit der User ausgelesen und in Verbindung mit den SSID's gebracht werden. Damit vom Wireless Client/Host aus eine Verifizierung des Radius Servers erfolgt, sollte/kann dieser Radious Server anhand eines Zertifikates verifiziert werden. Dieses Zertifikat kann von einer offiziellen CA (Trusted CA) oder von einer internen CA stammen. Dieses CA ist nicht für die Authentication zuständig sondern ausschliesslich für die Verifizierung des Radius Servers. Als Radius Server können vers. Produkte eingesetzt werden! Die bevorzugte Variante ist anstelle eines Windows 2008 Server den Fortinet Radius Server zu benutzen resp. den FortiAuthenticator. Weitere Informationen zum FortiAuthenticator findet man unter folgenden Link:


Um eine Accounting Benachrichtigung resp. Update seitens FortiGate zu konfigurieren muss folgendes durchgeführt werden:
        [[FortiAuthenticator:FAQ]]


        # config user radius
Im nachfolgenden Dokumentation wird gezeigt wie die Konfiguration durchgeführt wird anhand eines Radius Servers basierend auf Windows 2008 Server:
        # edit [Gebe den entsprechenden Namen ein]
        # config accounting-server
        # edit 1
        # set status enable
        # set server [IPv4 Adresse des Radius Servers]
        # set secret [Definition des Preshared Secrets]
        # end
        # set acct-interim-interval [Zeitintervall in Sekunden 600 - 86400 Sekunden]
        # end


Durch diese Konfigurtion sendet die FortiGate dem Radius Server Update Benachrichtigungen betreffend dem Accounting! Durch die Konfiguration "acct-interim-interval" wird im Hintergrund auf dem API des Radius Servers folgende Information dem Radius Server gesendet der dieses API unterstüzen/verstehen muss:
        [[Datei:Setting-up-Wi-Fi-Authentication-in-Windows-Server-2008-Part-1.pdf]]
        [[Datei:Setting-up-Wi-Fi-Authentication-in-Windows-Server-2008-Part-2.pdf]]


        Acct-Interim-Interval=600
Um die Radius Server Verbindung auf einem FortiGate Device zu troubelshooten resp. einzusehen siehe nachfolgenden Artikel:


=== Wie und soll ich überhaupt für eine SSID einen Mac Filter (802.11x) Konfigurieren für eine Authentifizierung? ===
        [[FortiGate-5.0-5.2:FAQ#Wie_kann_ich_einen_Radius_Server_Anbindung_Troubleshooten.3F]]


Praktisch jeder Wireless Access Point bietet die Möglichkeit den Zugang zur SSID einzuschränken anhand einer vordefinierten und eingetragener MAC-Adresse (Filter). Eine MAC Adresse (Media Access Control) ist ein 48-Bit lange Adresse im Hexadezimalcode. Jeder Netzwerk basierende Device ist mit einer solchen MAC Adresse ausgestattet und diese wird - um den Datenaustausch zu gewährleisten - über "arp request" zwischen den Devices ausgetauscht. Somit wäre diese MAC Adresse "eigentlich" eine gute Möglichkeit einen Zugriff einzuschränken jedoch ist folgendes zu berücksichtigen:
=== Wie konfiguriere ich für Forti Access Points eine Authentifizierung für Public HotSpot der Swisscom ? ===


        Diese MAC Adresse wird nicht durch den Device selber einem Teilnehmer (Device) im Netzwerk weitergegeben sondern über das
Nun ein Public HotSpot der Swisscom kennt grundsätzlich zwei Arten der Authentifizierung die im Zusammenhang stehen mit der SSID. Dies bedeutet:
        Betriebssystem. Somit ist es möglich die Information auf dem Betriebssystem zu verändern dh. manuell die Mac Adresse des
        Devices zu verändern. Dies ist auch bekannt als "MAC-Spoofing" (Vorgabe einer fingierten MAC Adresse). Um ein "MAC-Spoofing"
        durchzuführen muss man nur den Wireless Traffic sniffen (abhören), denn die Informationen des MAC Adressen Austausch (arp
        request) werden "clear-text" übertragen. Somit ist eine reine Authentifizierung basierend auf MAC Adressen absolut nicht zu
        empfehlen!


Nichts desto trotz stellt jedoch eine MAC Adressen basierende Authentifizierung eine gute Möglichkeit dar, den Zugriff zusätzlich einzuschränken. Dabei kann zB der DHCP Server der SSID von "assign" auf "block" gesetzt werden. Dadurch vergiebt der DHCP Server nur IP's an Devics die im DHCP Server mit deren MAC Adressen eingetragen sind (MAC Adress Filer + IP Reservation). Im Zusammenhang mit einer WPA/WPA2 Authentifizierung kann somit diese erweitert werden um zusätzliche Sicherheit zu gewährleisten. Zusätzlich kann ebenfalls eine "Device Authentification" durchgeführt werden dh. es werden nur Devices zugelassen wie zB IPhone's. Nachfolgendes Beispiel zeigt eine solche Erweiterung basierend auf MAC Adressen und Device Authentication. Basis dafür ist eine SSID basierend auf einer "wpa-personal" Authentifizierung. Diese Konfiguration kann jedoch mit jeglicher Authentifizierung durchgeführt werden:
        '''Alte Variante SSID Hot Spot Swisscom'''
       
        • SSID          MOBILE              (Authentication "Open")
        • SSID          MOBILE-EAPSIM      (Authentication "WPA2-Enerprise" / Radius Port 1645)


         '''Erstelle eine neue SSID basierend auf "wpa2-only-personal":'''
         '''Neue Variante SSID Hot Spot Swisscom'''
          
          
         # config wireless-controller vap
         • Swisscom                (Vorher MOBILE)
         # edit [Name der entsprechenden SSID zB "only4intern"]
         • Swisscom_Auto_Login      (Vorher MOBILE-EAPSIM)
        # set vdom "root"
 
        # set ssid [Name der entsprechenden SSID zB "only4intern"]
Die Schreibweise der alten/neuen SSID's ist einzuhalten und ist Case Sensitive! Nach Swisscom Informationen wird empfohlen die SSID's dh. Alt und Neu parallel bis ende 2014 zu implementieren. Neue App's die durch Swisscom in der nächsten Zeit lanciert werden benützen bereits die neuen SSID's und nicht mehr die alten!
        # set intra-vap-privacy enable
        # set security [Setze die entsprechende Security für die SSID zB "wpa2-only-personal"]
        # set passphrase [Passwort für die "wpa-personal" Authentifizierung]
        # end


         '''Konfiguriere das Interface für die SSID:'''
         '''SSID: MOBILE/Swisscom'''
          
          
         # config system interface
         Mit der SSID MOBILE oder Swisscom wir dem Kunden ermöglicht über eine "Open" Authentifizierung auf das Internet zu
        # edit [Name der entsprechenden SSID zB "only4intern"]
         gelangen. Dabei ist es nicht zwingend, dass der Kunde ein Swisscom Kunde ist. Dies bedeutet, wenn ein Kunde diese
         # set ip [IPv4 Adresse für das Interface der SSID zB "192.168.3.1 255.255.255.0"]
         SSID aufruft wird er zu einer Login Seite weitergeleitet die es dem Kunden ermöglicht per Kreditkarte, Swisscom
         # set allowaccess ping
         Login etc. einzuloggen. Die Authentifizierung geschieht ausschliesslich über die Login Seite mit den erwähnten
         # set device-identification enable
         Arten wie zB Kreditkarte, Swisscom Login usw.
         # end


         '''Definiere für das Interface der SSID eine DHCP Server basierend auf "block":'''
         '''SSID: MOBILE-EAPSIM/Swisscom_Auto_Login'''
          
          
         # config system dhcp server
         Die SSID MOBILE-EAPSIM oder Swisscom_Auto_Login steht ausschliesslich Swisscom Kunden zur Verfügung. Wenn der Kunde
        # edit [Definiere einen entsprechenden Integer zB "5"]
         diese SSID aufruft, wird die Authentifizierung über WPA2-Enterprise (oder auch WEP-104bits ohne Key) über eine Radius
        # set mac-acl-default-action [Setze den DHCP Server von "assign" auf "block"]
         Authentifizierung durchgeführt. Zusätzlich wird die MAC Adresse des Gerätes ebenfalls übermittelt um das Accounting
         # set dns-service default
         durchzuführen.
        # set ntp-service default
         # set default-gateway [IPv4 Adresse für Default Gateway zB "192.168.3.1"]
        # set interface [Defniere das Interface für diesen DHCP Server zB "only4intern"]
        # set timezone-option default
        # set netmask [Konfiguriere die Subnet Mask für den IP Range des DHCP Servers zB "255.255.255.0"]
        # config ip-range
        # edit [Definiere einen entsprechenden Integer zB "0"]
        # set start-ip [Definiere die Start IPv4 Adresse des DHCP Servers zB "192.168.3.2"]
         # set end-ip [Definiere die End IPv4 Adresse des DHCP Servers zB "192.168.3.254"]
        # end
        # end


        '''Trage eine entsprechende MAC Adresse eines Device für den DHCP Server der SSID ein:'''
Bei nachfolgenden Beispiel wird erklärt wie so eine Konfiguration für "MOBILE oder Swisscom" sowie "MOBILE-EAPSIM oder Swisscom_Auto_Login" auf einer Fortigate anhand Forti Access Point's durchzuführen ist. Im Beispiel werden nur die alten SSID aufgeführt jedoch sollten die neuen hinzugefügt werden. In unserem Beispiel existiert ein dedizierter Port (port2) der exklusiv für die Swisscom Verbindung benutzt wird und deren Segment darstellt. Nachfolgend einen Ueberblick über das Environment der Swisscom für unser Beispiel:
       
        # config system dhcp server
        # edit [Gebe einen entsprechenden Integer an zB "5"]
        # config reserved-address
        # edit [Gebe einen entsprechenden Integer an zB "0"]
        # set mac [Definiere die entspechende MAC Adresse zB "94:65:9c:74:47:c6"]
        # set ip [Definiere die IPv4 Adresse die der MAC Adresse zugewiesen werden soll zB "192.168.3.2"]
        # end
        # end
       
        '''NOTE''' Da der DHCP Server von "assign" auf "block" gesetzt wurde werden keine IPv4 Adressen durch den DHCP Server vergeben mit Ausnahme
            für Devices die anhand des "MAC Reservation + Access Control" definiert wurden. Diese Konfiguration kann ebenfalls über Web Mgmt.
            Interface durchgeführt werden im entsprechenden Interface des Devices dh.:
           
            System > Network > [Markiere den Eintrag des Interface der SSID] > Edit > DHCP Server > Advanced > MAC Reservation + Access Control > Create New
           
            Unter dieser Positon existiert ein "Standard Eintrag" dh. "Unknown MAC Adresses Block" der zuständig ist das nur definierten MAC
            Adressen eine IP zugewiesen wird!


         '''Konfiguriere für den DHCP Server der SSID eine Device Authentication:'''
         [[Datei:STUE_WSTA.pdf]]
       
         [[Datei:STUE_WLS.pdf]]
        # config user device-access-list
        # edit [Gebe einen Namen ein für die "device-access-list" zB "whitelist"]
        # set default-action deny
        # config device-list
        # edit [Gebe einen Integer ein zB "1"]
        # set device [Definiere den entsprechenden Device zB "iphone" (Für mehr Infos benütze "?"]
         # set action accept
        # next
        # end
        # end
       
        '''NOTE''' Ein Device und/oder eine Gruppe von Devices kann ebenfalls manuell definiert werden. Dies ist über Web Mgmt. Interface
            über folgenden Menüpunkt verfügbar:
           
            User & Device > Device > Device definition > Create New
           
            Weitere Informationen beteffend "config user devcie-access-list" findet man auch unter folgenden Artikel:
           
            [[FortiGate-5.0-5.2:FAQ#Wie_kann_ich_.C3.BCber_die_Device_Identification_Funktion_anhand_einer_Mac_Adresse_einen_Device_blocken_.28802.11x.29.3F]]
       
        # config system interface
        # edit only4intern
        # set device-identification enable
        # set device-access-list
        # set device-access-list [Konfiguriere die entsprechende "device-access-list" zB "whitelist"]
        # next
        # end


Somit kann nur der Device mit der MAC "94:65:9c:74:47:c6" der über ein "IPhone" verfügt und vom DHCP Server die IP Adresse "192.168.3.2" zugewiesen wurde über "wpa2-personal" anhand des entsprechenden "Passwortes" auf die SSID "only4intern" zugreifen. Obwohl eine relativ einfache Security anhand "wpa2-personal" gewählt wurde konnte durch zusätzliche Filter die Security erhöht werden.
Wie schon erwähnt benötigen wir für die MOBILE-EAPSIM oder Swisscom_Auto_Login Authentifizierung einen Radius Server. Erstelle diesen unter:


== Wireless Health ==
        User > Remote > RADIUS


=== Gibt es eine Möglichkeit die Forti Access Point zu überwachen (Health Monitor)? ===
        [[Datei:Fortinet-315.jpg]]


Natürlich kann man die Forti Access Point über das entsprechende MIB File der FortiGate überwachen. Die Möglichkeiten über SNMP sind jedoch beschränkt. Ab FortiOS 5.0.4 / 5.2 gibt es neu die Möglichkeit die am Wireless Controller angeschlossenen Forti Access Point über die neue Menüposition "Wireless Health" zu übewachen. Unter dieser Position stehen folgende Widgets für die Uberwachung zur Verfügung:
Das "Primary Server Secret" wir dauch Preshared Secret genannt und wird auf dem Radius Server konfiguriert. Dies bedeutet: in unserem Fall muss dies der Swisscom Radius Verantwortliche übermitteln! Zusätzlich muss dem Verantwortlichen der Swisscom mitgeteilt werden, in welcher Art und Weise die MAC Adresse übermittelt wird um die nötige Konfiguration auf der Swisscom Seite betreffend Accounting durchzuführen. Diese bdeutet wiederum:


         WiFi Controller > Monitor
         • Standard Format Beispiel: 0000.4096.3e4a
       
         • Unformatiert Beispiel:   000040963e4a
        [[Datei:Fortinet-796.jpg]]
         [[Datei:Fortinet-797.jpg]]


Diese Widget's sind zum Teil basierend auf den Funktionen "ab-bgscan" (Background Scan) und/oder "spectrum-analysis" (Spectrum Analyse). Weitere Informationen siehe nachfolgender Artikel:
Der Swisscom Radius Server in unserem Beispiel arbeitet noch mit dem "old radius port" dh. nicht mit TCP Port 1812 sondern mit TCP Port 1645. Eine FortiGate benützt per Standard TCP Port 1812 und somit muss dieser umkonfiguriert werden auf TCP Port 1645:
           
        # config system global
        # get | grep radius-port
        # set radius-port 1645
        # get | grep radius-port
        # end
               
Um die Radius Server Konfiguration/Anbindung zu überprüfen siehe nachfolgender Artikel:
           
        [[FortiGate-5.0-5.2:FAQ#Wie_kann_ich_einen_Radius_Server_Anbindung_Troubleshooten.3F]]


         [[FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Background_Scan.2FSpectrum_Analyse.22.3F]]
Für die Konfiguration der SSID "MOBILE oder Swisscom" und "MOBILE-EAPSIM oder Swisscom_Auto_Login" gehe folgendermassen vor: Als Erstes erstelle die SSID's "MOBILE und Swisscom" und "MOBILE-EAPSIM / Swisscom_Auto_Login" unter folgendem Punkt:
       
         WiFi Controller > WiFi Network > SSID


== WIDS ==
        [[Datei:Fortinet-310.jpg]]
       
Die IPv4 Adresse plus Subnet 10.41.19.2/24 representiert das virtuelle Interface der SSID dh. diese IPv4 Adresse wird der SSID zugewiesen und auf einer Fortigate wird durch diese IPv4 Adresse ein virtuelles Interface unter folgenden Punkt erstellt:
           
        System > Network > Interface
 
        [[Datei:Fortinet-311.jpg]]
       
Die IPv4 Adresse plus Subnet 10.41.18.2/24 representiert das virtuelle Interface der SSID dh. diese IP wird der SSID zugewiesen und auf einer Fortigate wird durch diese IPv4 Adresse ein virtuelles Interface unter folgenden Punkt erstellt:
           
        System > Network > Interface
 
Nun erstelle ein WTP Profile in dem die zwei/vier SSID's hinzugefügt werden:
 
        WiFi Controller > Manage Access Points > Custom AP Profile
       
        [[Datei:Fortinet-312.jpg]]
       
Belasse alle Einstellungen zu Beginn auf Standard Werte. Nachträglich können diese Optimiert werden! Füge die zwei/vier SSID's "MOBILE und Swisscom" und "MOBILE-EAPSIM und Swisscom_Auto_Login" unter SSID den entsprechenden "radio's" hinzu! Nun kann ein Forti Access Point zum Netzwerk hinzugefügt werden dh. dazu benötigen wir ein seperates Interface auf einer Fortigate sowie einen DHCP Server auf diesem Interface, dass den Forti Access Point für das Management über den DHCP Server die entsprechende IPv4 Adresse vergibt. In unserem Beispiel haben wir ein dezidiertes Forti Access Point Interface dh. "port1":
 
        System > Network > Interface
 
        [[Datei:Fortinet-313.jpg]]
 
Erstelle den dazugehörigen DHCP Server der entsprechenden IPv4 Adressen vergibt für das Management der Forti Access Points:
 
        System > Network > [Interface] > DHCP Server
 
        [[Datei:Fortinet-314.jpg]]
 
Nun kann der Forti Access Point an "port1" resp. in diesem IPv4 Segment angeschlossen werden! Damit ein Forti Access Point mit dem FortiGate Wireless Controller komunizieren kann muss CAPWAP (UDP-5246) anhand Broadcast, Multicast sowie Unicast auf diesem Segmment über die Switches erlaubt werden. Nun muss das vorhergehende WTP Profil "Swisscom-HotSpot" auf den entsprechenden Forti Access Points hinzugefügt werden:


=== Was bedeutet "Wireless IDS" (WIDS) und wie konfiguriere ich diese Funktion? ===
        WiFi Controller > Manage Access Points > Manage FortiAP


"Wireless IDS" (WIDS) ist ein Intrusion Detection System (ab FortiOS 5.0 / 5.2) und überwacht den Wireless Traffic betreffend "security threats". Es erkennt diese und kann diese ebenfalls Reporten. Wenn ein Angriff stattfindet wird dieser auf der FortiGate ins Log geschrieben. Für Wireless IDS können verschiedenen Profile erstellt werden um folgenden "threats" zu erkennen etc.
Sobald der Forti Access Point ersichtlich ist, Doppelklicke den Eintrag dieses Forti Access Point und wähle:


         • Unauthorized Device Detection
         Authorize
        • Rogue/Interfering AP Detection
        • Ad-hoc Network Detection and Containment
        • Wireless Bridge Detection
        • Misconfigured AP Detection
        • Weak WEP Detection
        • Multi Tenancy Protection
        • MAC OUI Checking


Per Standard existiert ein "default" Profil. Dieses Profile wird innerhalb eine Access Point Profil's als "default" automatisch ausgewählt! Das "default" Profile enthält folgendes:
Nun kann unten das entsprechende WTP Profile geladen werden dh. "Swisscom-HotSpot". Wenn das entsprechende WTP Profile dem Forti Access Point zugewiesen wird dauert es ca. 3 - 4 Minuten bis dieser Forti Access Point wiederum mit dem geladenen WTP Profile erscheint! Im Grundsatz sind die Forti Access Point nun konfiguriert und einsatzbereit. Jedoch die angemeldeteten Wireless Clients/Hosts müssen vom DHCP Server der Swisscom eine IPcv4 Adresse zugewiesen bekommen. Bei "MOBILE und Swisscom" geschieht dies "ohne" eine Authentifizierung (Open). Bei "MOBILE-EAPSIM und Swisscom_Auto_Login" wird erst eine IPv Adresse vergeben, wenn die Authentifizierung über den Radius per EAPSIM (Sim Karte) erfolgreich war. Zusätzlich wird die MAC Adresse des Gerätes benutzt um ein Accounting durchzuführen. Da die IP's von der Swisscom Seite vergeben werden, benötigen wir auf den entsprechenden SSID's einen DHCP Relay Server. Erstelle diese auf den virtuellen Interfaces der SSID von MOBILE und Swisscom sowie MOBILE-EAPSIM / Swisscom_Auto_Login. Die IP's die dem Client vergeben werden kommen aus demselben IP Range inwelcher sich die SSID ebenfalls befindet. Dies bedeutet in unserem Beispiel:


         '''NOTE''' Ab FortiOS 5.2 wird kein automatiesches "default" WIDS Profile mehr konfiguriert innerhalb der Forti Access Point's
         • SSID MOBILE / Swisscom                    (10.41.19.0/24, 10.41.19.2/24 SSID , 192.168.10.1 DHCP Server Swisscom, 192.168.10.2 FortiGate port2)
            Profile sondern muss explizit hinzugefügt werden. Gleichzeitig wurde die Funktion des "Rogue AP" die unter FortiOS
        • SSID MOBILE-EAPSIM / Swisscom_Auto_Login  (10.41.18.0/24, 10.41.18.2/24 SSID , 192.168.10.1 DHCP Server Swisscom, 192.168.10.2 FortiGate port2)
            5.0 eine seperate Konfiguration war in die WIDS Profile verschoben. Weitere Informationen betreffend "Rogue AP" findet
            man im nachfolgenden Artikel:
           
            [[FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Rogue_AP.E2.80.99s.22.3F]]


         '''FortiOS 5.0'''
         System > Network > [Interface] > DHCP Server
          
          
         WiFi Controller > WiFi Network > WIDS Profiles
         [[Datei:Fortinet-316.jpg]]
 
        [[Datei:Fortinet-317.jpg]]
 
Nun fehlt nur noch das Routing dh. zwischen dem DHCP Server der Swisscom (192.168.10.1/24) und unserer FortiGate port2 (192.168.10.2/24) wurde ein kleines Transfer Segment/Subnet konfiguriert (192.168.10.0/24). Dieses dient dazu das Routing zu kontrollieren dh. die Clients für die SSID's MOBILE / Swisscom und MOBILE-EAPSIM / Swisscom_Auto_Login Authentifizieren sich in diesem Segment, beziehen die IPv4 Adresse sowie browsen über dieses Segment. Dies bedeutet: sämtlicher Traffic von diesen SSID's muss über "port2" (192.168.10.2/24) auf den next Hop (192.168.10.1/24) geroutet werden. Dazu benötigen wir eine Policy Route im Layer 4 die vor dem normalen Routing Layer 3 greift:
 
        Router > Static > Policy Route
          
          
         [[Datei:Fortinet1276.jpg]]
         [[Datei:Fortinet-318.jpg]]
 
        [[Datei:Fortinet-319.jpg]]
 
Damit die IPv4 Adresse des Radius Server "129.132.254.70" ebenfalls korrekt geroutet wird muss ein entsprechender Statischer Routing Eintrag konfiguriert werden:
 
        Router > Static > Static Route
          
          
         # config wireless-controller wids-profile
         [[Datei:Fortinet-320.jpg]]
        # edit default
 
        # get
Nun fehlt nur noch die Firewall Policy Rule:
         name                : default
 
        comment            : default wids profile
         [[Datei:Fortinet-321.jpg]]
         used-by            :
 
        wireless-bridge    : enable
         [[Datei:Fortinet-322.jpg]]
        deauth-broadcast    : enable
 
        null-ssid-probe-resp: enable
Nun können die ersten Test's durchgeführt werden. Um diese zu verifizieren empfiehlt es sich auf dem entsprechenden Interface (port2) einen Sniffer über die Console laufen zu lassen:
        long-duration-attack: enable
 
         long-duration-thresh: 8200
         # diagnose sniffer packet port2
        invalid-mac-oui    : enable
        weak-wep-iv        : enable
Im nachfolgenden Beispiel sieht man zB die Packete der Radius Authentifizierung über Port 1645, ARP requests sowie DNS Anfragen auf den per DHCP Server zugewiesenen DNS Server der Swisscom "195.186.216.32.53":
        auth-frame-flood    : enable
 
         auth-flood-time    : 10
         4022.990201 arp who-has 192.168.10.1 tell 192.168.10.2
         auth-flood-thresh  : 30
         4022.991054 arp reply 192.168.10.1 is-at 0:a:f4:3b:54:40
         assoc-frame-flood  : enable
         4029.388283 192.168.10.2.1235 -> 129.132.254.70.1645: udp 501
         assoc-flood-time    : 10
         4032.390054 192.168.10.2.1235 -> 129.132.254.70.1645: udp 501
         assoc-flood-thresh  : 30
         4034.415427 192.168.10.2.1235 -> 129.132.254.70.1645: udp 501
         spoofed-deauth      : enable
         4037.420104 192.168.10.2.1235 -> 129.132.254.70.1645: udp 501
         asleap-attack      : enable
         4038.429891 192.168.10.2.1235 -> 129.132.254.70.1645: udp 501
         eapol-start-flood  : enable
         4039.445473 192.168.10.2.1235 -> 129.132.254.70.1645: udp 501
         eapol-start-thresh  : 10
         4041.994059 10.41.19.67.60034 -> 195.186.216.32.53: udp 35
         eapol-start-intv    : 1
         4042.449809 192.168.10.2.1235 -> 129.132.254.70.1812: udp 501
         eapol-logoff-flood  : enable
         4043.449925 192.168.10.2.1235 -> 129.132.254.70.1812: udp 501
         eapol-logoff-thresh : 10
         4044.474628 192.168.10.2.1235 -> 129.132.254.70.1812: udp 501
         eapol-logoff-intv  : 1
         4046.369660 arp who-has 192.168.10.1 tell 192.168.10.2
         eapol-succ-flood    : enable
         4046.370483 arp reply 192.168.10.1 is-at 0:a:f4:3b:54:40
        eapol-succ-thresh  : 10
 
        eapol-succ-intv    : 1
Für das bessere Verständnis Folgendes: Auf der Swisscom Seite ist die Authentifizierung für MOBILE-EAPSIM / Swisscom_Auto_Login auf dem Cisco WLC (Wireless Controllers) mit "WEP-104bits" konfiguriert. Im ersten Augenblick sieht es so aus, dass eine auf unserer Seite Konfigurierte WPA2-Enterprise nicht funktionieren würde. Der Grund das dies dennoch funktioniert, ist das diese WPA2-Enterprise Transparent ist zu einer EAP-SIM Authentifizierung. Im Klartext bedeutet dies: Auf der FortiGate Seite wird so eine Authentifizierung folgendermassen durchgeführt (EAP-SIM Flow):
        eapol-fail-flood    : enable
 
         eapol-fail-thresh  : 10
         [[Datei:Fortinet-323.jpg]]
        eapol-fail-intv    : 1
 
        eapol-pre-succ-flood: enable
=== Wie erstelle ich für einen Forti Access Point ein sicheres WLAN Passwort und was ist dabei zu beachten? ===
        eapol-pre-succ-thresh: 10
 
        eapol-pre-succ-intv : 1
Damit niemand in ein WLAN einbrechen kann, sollte als Verschlüsselungsverfahren auf dem Forti Access Point mindestens WPA2 konfiguriert sein. Die Vorgänger WEP und WPA lassen sich mit etwas Know-how knacken! Ebenso Wichtig: Das WLAN-Passwort sollte möglichst lang und komplex sein. Denkt man sich selbst ein Passwort aus, neigt man dazu, ein leicht zu merkendes und daher auch leicht knackbares Paswwort zu wählen. Diese Aufgabe kann einem Tool übergeben werden wie zB "RK-WLAN-Keygen". Sobald das Tool installiert ist, wählen aus dem Ausklappmenü unter "SSID/Schlüsseltyp" den Punkt "WPA-PSK/WPA2-PSK Passphrase ASCII 8-63 Zeichen". Im Abschnitt darunter lege fest, welche Zeichentypen für die Generierung verwendet werden sollen. Die dritte Option "0-9, A-Z, a-z + erweiterte Sonderzeichen" ist dabei die sicherste Variante. Allerdings können dann in dieser Variante auch Umlaute dabei sein, die in der deutschen Tastenbelegung nicht enthalten sind. Ein guter Kompromiss ist daher die zweite Option "0-9, A-Z, a-z + Sonderzeichen". Als Nächstes gilt es noch, über den Schieberegler die gewünschte Passwortlänge zu wählen. Das Optimum sind 63 Zeichen. Klicken auf "Schlüssel generieren".  Wenn einem das Passwort nicht zusagt, klicken abermals um ein Anderes zu erhalten. Der Schlüssel liegt nun auch automatisch in der Windows-Zwischenablage und kann über Ctr + V in das entsprechende Feld des Forti Access Point kopiert werden. Außerdem sollten Sie ihn ausdrucken und/oder in einer Datei an einem sicheren Ort speichern.
        eapol-pre-fail-flood: enable
 
        eapol-pre-fail-thresh: 10
=== Wie kann ich für eine Forti Access Point SSID ein lokales "Captive Portal" konfigurieren? ===
        eapol-pre-fail-intv : 1
 
Ein "Captive Portal" kann dann konfiguriert/benutzt werden, wenn der Traffic der Wireless Clients/Hosts über CAPWAP (UDP-5246) zum FortiGate Wirless Controller übermittelt wird. Dies bedeutet: Ein "Captive Portal" kann nicht benutzt/konfiguriert werden, wenn für eine SSID "Local bridge with FortiAP's Interface" benutzt wird da dieser Traffic nicht zum FortiGate Wireless Controller übermittelt wird sondern direkt über das Interface (Bridge Mode) des Forti Access Point in ein Netzwerk Segement (Local Break-Out). Ein "Captive Portal" wird über folgende Position im Mgmt. Web Interface der FortiGate konfiguriert:


        '''FortiOS 5.2'''
         WiFi Controller > WiFi Network > SSID > Create New > Security Mode > Captive Portal
       
 
         WiFi Controller > WiFi Network > WIDS Profiles
         [[Datei:Fortinet-1294.jpg]]
       
 
         [[Datei:Fortinet1277.jpg]]
Neu ab FortiOS 5.2 stehen im Zusamenhang mit dem "Captive Portal" neue Funktionen zur Verfügung! Speziell sind zwei Funktionen zu erwähnen dh. "Authentication Portal" sowie "Redirect after Captive Portal". Bei der Position "Authentication Portal" kann nun neu ab FortiOS 5.2 auch ein externes Portal dh. das sich nicht auf der FortiGate befindet, benutzt werden. Die Funktion "Redirect after Captive Portal" ermöglich nun neu die eingegebenen URL des User's nach der Authentifizierung weiterzuverarbeiten! Ebenso kann anhand der "Exempt  List" von der "regulären Gruppe" (User Groups) Ausnahmen definiert werden! Diese "Exempt List" kann jedoch nur verwendet werden, wenn die entsprechende Gruppe (User Groups) innerhalb der SSID benutzt wird. Weitere Informationen betreffend der Benutzung sowie Konfiguration eines externen "Captive Portals" siehe nachfolgenden Artikel:
       
           
        # config wireless-controller wids-profile
         [[FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_eine_Forti_Access_Point_SSID_ein_externes_.22Captive_Portal.22_konfigurieren.3F]]
        # edit default
           
        # get
         [[Datei:Fortinet-1295.jpg]]
        name                : default
           
        comment            : Default WIDS profile.  
Um ein "Captive Portal" innerhalb einer SSID auf der Kommandozeile zu konfigurieren führe folgendes aus:
        used-by            :  
           
        ap-scan            : enable
         # config wireless-controller vap
         ap-bgscan-period    : 600
         # edit [Name der entsprechenden SSID]
        ap-bgscan-intv      : 1
         # set security captive-portal
         ap-bgscan-duration  : 20
         # set portal type [auth | auth+disclaimer | disclaimer | email-collect]
        ap-bgscan-idle      : 0
         # set security-exempt-list [Name der "Exempt List" (config user security-exempt-list)]
        ap-bgscan-report-intv: 30
         # end
        ap-bgscan-disable-day:  
         # end
        ap-fgscan-report-intv: 15
           
        ap-scan-passive    : disable
Wenn eine "Exempt List" (security-exempt-list) konfiguiert werden soll muss zuerst diese "Excempt List" definiert werden. Bei der "Exempt List" werden IPv4 Adressen/Subnet/Gruppen definiert die sich nicht anmelden müssen über das "Captive Portal" dh. diese können sich ohne Authentifizierung und ohne "Captive Portal" sowie "Disclaimer" verbinden! Die "Excempt List" wird folgendermassen konfiguriert:
        rogue-scan          : disable
           
         wireless-bridge    : enable
         # config user security-exempt-list
         deauth-broadcast    : enable
         # edit [Name der Liste
         null-ssid-probe-resp: enable
         # config rule
        long-duration-attack: enable
         # edit [Vergebe einen entsprechenden Integer zB 1]
        long-duration-thresh: 8200
         # set description [Bezeichnung der Liste Optional]
        invalid-mac-oui    : enable
         # set devices [Definition der Device Kategory zB ipad iphone linux-pc; für mehr Info benutze ?]
        weak-wep-iv        : enable
         # set srcaddr [IPv4 Adresse/Subnet/Gruppen durch Leerschlag getrennt]
         auth-frame-flood    : enable
         # end
        auth-flood-time    : 10
         # end
         auth-flood-thresh  : 30
         # end
        assoc-frame-flood  : enable
 
         assoc-flood-time    : 10
=== Wie kann ich für eine Forti Access Point SSID ein externes "Captive Portal" konfigurieren? ===
         assoc-flood-thresh  : 30
 
        spoofed-deauth      : enable
Unter folgenden Artikel sind sind die Möglichkeiten eines "Captive Portals" beschrieben:
        asleap-attack      : enable
 
        eapol-start-flood  : enable
         [[FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_eine_Forti_Access_Point_SSID_ein_lokales_.22Captive_Portal.22_konfigurieren.3F]]
        eapol-start-thresh  : 10
         eapol-start-intv    : 1
         eapol-logoff-flood  : enable
         eapol-logoff-thresh : 10
         eapol-logoff-intv  : 1
         eapol-succ-flood    : enable
         eapol-succ-thresh  : 10
         eapol-succ-intv    : 1
         eapol-fail-flood    : enable
         eapol-fail-thresh  : 10
         eapol-fail-intv    : 1
        eapol-pre-succ-flood: enable
        eapol-pre-succ-thresh: 10
        eapol-pre-succ-intv : 1
        eapol-pre-fail-flood: enable
        eapol-pre-fail-thresh: 10
         eapol-pre-fail-intv : 1


Nachfolgende eine kurze Erklärung betreffend der Bedeutung der verschiedenen WIDS Positionen:
Wie in diesem Artikel beschrieben, ist es möglich ab FortiOS 5.2.3 ein externes "Captive Portal" zu benutzen anstelle des FortiGate "Captive Portals". Dies sollte dann benutzt werden, wenn das FortiGate "Captive Portal" nicht die HTML/Web Konfiguration zulässt die für das "Captvie Portal" notwendig ist wie zB Dynmaischer Inhalt der Seite usw. da solche Inhalte in den "Replacement Message" Page auf einer FortiGate nicht konfiguriert werden können. Nachfolgend wird gezeigt wie so ein Workflow eines externen "Captive Portal" aussieht:


         [[Datei:Fortinet-361.jpg]]
        '''L3 External Web Authentication Workflow'''
         [[Datei:Fortinet-362.jpg]]
       
         [[Datei:Fortinet-1365.jpg]]
          
In diesem "Workflow" wird ein Beispiel gezeigt im Zusammenhang mit Radius Server dh. zB einem FortiAuthenticator. Dies bedeutet: Ab dem Zeitpunkt "Submit login form (username, password) via a POST method to FGT" werden die entsprechenden Login Informationen zur FortiGate übermittelt und verarbeitet. Ob nun ein Active Directory auf der FortiGate konfiguriert wurde oder Lokale User ist irrelevant dh. Wichtig ist das die entsprechenden Informationen anhand "POST methode" der FortiGate übermittelt werden!


== Split Tunneling ==
        '''Konfiguration der SSID mit der Definition des external Captive Portal"'''
 
       
=== Gibt es die Funktion "Split Tunneling" für Forti Access Points und deren SSID's? ===
        Als Erstes muss eine entsprechende SSID konfiguriert werden. Inerhalb dieser SSID wird das external Captive Portal
 
        gewählt mit dessen IPv4 Adresse sowie URL Path. Ebenso muss eine entsprechende Gruppe definiert werden in der sich
Wenn ein Forti Access Point Remote benutzt wird sei es als Remote Zugang und/oder Remote Lokation konnten im "Tunnel to Wireless Controller" Mode die lokalen Resourcen nicht direkt angegangen werden da im "Tunnel to Wireless Controller" Mode der Traffic unter FortiOS 5.0 ohne Ausnahme zum FortiGate WiFi Controller gesendet wird. Unter FortiOS 5.2 wurde die neue Funktion "Split Tunneling" implementiert. Dies bedeutet anhand einer "Split Tunneling" Konfiguration auf der SSID wird definiert welche lokalen Resourcen existieren um den Zugriff direkt zu erlauben. Wie schon erwähnt wird die Konfiguration auf der SSID durchgeführt:
        die User befinden oder auf einen zB Radius Server (FortiAuthenticator) verwiesen wird:
 
       
         '''NOTE''' Diese neue Funktion wird ausdrücklich "nur" im "Tunnel to Wireless Controller" Mode empfohlen! Desweiteren
        [[Datei:Fortinet-1366.jpg]]
            steht diese Funktion nur "FortiOS 5.2 zur Verfügung. Dies bedeutet wenn ein Upgrade in Betracht gezogen wird
       
            müssen deren Auswirkungen berücksichtigt werden. Weitere Informationen findet man im nachfolgenden Artikel:
         Für die definierte Gruppe kann ebenfalls eine "Exempt List" definiert werden. Weitere Informationen wie diese zu
        konfigurieren ist siehe nachfolgenden Artikel:
              
              
            [[FortiAP:FAQ#Kann_ich_einen_Forti_Access_Point_basierend_auf_Firmeware_5.2_anhand_eines_.22Downgrade.27s.22_mit_Firmeware_5.0.x_laden.3F]]
        [[FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_eine_Forti_Access_Point_SSID_ein_lokales_.22Captive_Portal.22_konfigurieren.3F]]
              
              
            Desweiteren ist zu berücksichtigen, dass bis FortiOS 5.2.4 diese Funktion "nicht" im Zusammenhang mit VLAN's
        Wenn die Konfiguration der SSID auf der Kommandozeile durchgeführt werden soll benutze folgende Befehle:
            benutzt werden kann (Bug). Dies wird auch in den Release Notes für FortiAP FortiOS 5.2.4 erwähnt:
              
              
            Known Issues: 236312 Split-tunneling SSIDs do not support VLAN tags.
         # config wireless-controller vap
         # config wireless-controller vap
         # edit [Name des entsprechenden SSID Profile]
         # edit [Name der SSID]
         # set split-tunneling enable
         # set vdom [Name der VDOM per Standard "root"]
        # set ssid [Name der SSID]
        # set security captive-portal
        # set selected-usergroups [Name der Gruppe für die Authentifizierung]
        # set security-exempt-list [Name der "Exempt List"]
        # set security-redirect-url  [Name der URL die nach einer erfolgreichen Authentifizierung aufgerufen werden soll zB "http://www.also.com"]
        # set intra-vap-privacy enable
        # set local-switching disable
        # set external-web [IPv4 Adresse sowie URL Path zum external Captive Portal zB nach unserem Beispiel "192.168.234.51/portal.php"]
        # next
         # end
         # end
 
       
         # config wireless-controller wtp-profile
         Wenn die Option "security-redirect-url" nicht gesetzt ist resp. keine entsprechende URL konfiguriert wurde, wird
         # set split-tunneling-acl-local-ap-subnet enable
         die "Orginal Anfrage" des Users ausfgeführt anstelle des "redirect's". Die "Exempt List" Definition erlaubt "ohne
         # config split-tunneling-acl
        Authentifizerung" auf das externe "Captive Portal" zu zugreifen. Für die Option "security-exempt-list" ist folgendes
         # edit [Gebe einen entsprechenden Integer an zB 1]
        auszuführen:
         # set dest-ip [IPv4 Adresse plus Subnet Maks zB 192.168.10.0/24]
       
        # config user security-exempt-list
        # edit [Name der "Exempt List"]
         # config rule
         # edit 1
        # set devices [Name der Devices zB "ip-phone"]
        # next
        # edit 2
         # set srcaddr [Name des Objektes der Source Adressen zB der SSID des "externen" Captive Portals]
        # next
         # end
         # end
        # next
         # end
         # end
          
          
         '''NOTE''' Die Option "split-tunneling-acl-local-ap-subent" bezieht sich auf "ganze" Subnet des Forti Access Point und muss nur
         Wenn die Option "external-web" nicht gesetzt wird so wird das "Captive Portal" der FortiGate aufgerufen. In der
            dann aktiviert werden, wenn das Subnet indem sich der Forti Access Point befindet als "ganzes" Subent freigegeben werden
        Option "external-web" muss nicht explizit http oder https aufgeführt werden da http und/oder https über das
            soll! Somit wenn nur eine bestimmte IP freigegeben werden soll muss diese Option nicht aktiviert werden und die einzelne
        folgendende Kommando gesteuert wird:
            IP kann  unter "dest-ip" definiert werden.
       
        # config user setting
        # set auth-secure-http [disable | enable]
        # end
                 
        Die Option "auth-secure-http" ist per Standard mit "disable" konfiguriert dh. der User wird der ein "http" Anfrage
        ausführt für eine Authentifizierung wird "nicht" auf "https" weitergeleitet (redirect)!


Wenn die Funktion des "split-tunneling" benutzt wird ist folgendes zu berücksichtigen: Im Fall eines aktivierten "split-tunnling" wird ein "NAT" (Network Address Translation) durchgeführt dh. der Client der über eine SSID verbunden ist und eine IP requested die für ein "split-tunneling" konfiguriert ist, wird hinter der Mgmt. IP des Forti Access Point "gehided" (Source NAT). Somit komuniziert der Client zur Destination als Source IP diese Mgmt. IP des Forti Access Point und nicht die IP die dem Client über die SSID zugewiesen wird. Die Mgmt. IP des Forti Access Point ist die IP die dem Forti Access Point zugewiesen wird wenn sich der Forti Access Point zum Forti Wirless Controller verbindet (CAPWAP).
        '''Konfiguration der Firewall Policy Rule für den Zugriff auf das externe "Captive Portal"'''
       
        Nun muss eine sogenannte "Walled Garden Policy" erstellt werden. Dies bedeutet folgendes: In der nachfolgend
        Firewall Policy Rule wird erlaubt, dass User die verbunden sind mit der SSID des externen "Captive Portals"
        sich ohne Authentifizierung zu diesem externen "Captive Portal" verbinden dürfen um eine Authentifizierung
        durchzuführen. Die Option "captive-protal-exempt enable" ermöglicht dies obwohl eine SSID konfiguriert ist  
        mit einer Authentifizierung:
       
        # config firewall address
        # edit [Name des Objekts für die IPv4 Adresse des "external" Captive Portal zB "web-portal-192.168.234.51"]
        # set subnet 192.168.234.51 255.255.255.255
        # next
        # end
       
        # config firewall policy
        # edit [Vergebe einen entsprechender Integer für die Policy]
        # set srcintf [Name der SSID für das "externe" Captive Portal]
        # set dstinf [Name des Interface hinter der sich der "externe" Captive Portal befindet]
        # set srcaddr "all"
        # set dstaddr [Name des Objektes für das "externe" Captive Portal zB "web-portal-192.168.234.51"]
        # set action accept
        # set schedule "always"
        # set service "ALL"
        # set caprive-portal-exempt enable
        # next
        # end


== CAPWAP / DTLS ==
Die Grundkonfiguration für den Zugriff für das externe "Captive Portal" ist nun gegeben. In der SSID wurde das externe "Captive Portal" mit dessen IPv4 Adresse und URL konfiguriert. In unserem Beispiel ist das:


=== Wenn ich Forti Access Point benutze wie berrechne ich den CAPWAP "Throughput" einer FortiGate? ===
        192.168.234.51/portal.php


Wenn Forti Access Point benutzt werden auf einer FortiGate im "Tunnel to Wireless Controller" Mode stellt sich die Frage was dessen "Throughput" betreffend CAPWAP ist auf der FortiGate um die Performance eine Umgebung zu Berrechnung. Dies bedeutet der CAPWAP "Throuput" gibt die maximale Grösse an die eine FortiGate verarbeiten kann betreffend CAPWAP. Somit wird die CAPWAP Grösse nicht "pro" FAP berrechnet sondern als Total. Neu wird dieser CAPWAP "Throughput" in den "FortiGate Datasheet's" aufgeführt betreffend "HTTP". Weitere Informationen siehe nachfolgendes Dokument:
Das File "portal.php das unser externes "Captive Portal" darstellt, muss nun die entsprechende HTML/PHP Konfiguration beinhalten um den "Method POST" durchzuführen. Nachfolgend ein Beispiel des Inhaltes ein entsprechendes "portal.php":


        [[Fortinet:ProduktInfo#FortiGate]]
      --------------- portal.php ---------------
 
     
Desweiteren eine kurze Uebersicht über diesen "CAPWAP HTTP Throughput" über die Fortinet Produktelinie:
      <nowiki><?php
 
     
        [[Datei:Fortinet-1357.jpg]]
      define('login', 'login');
       
      define('success', 'auth=success');
        '''NOTE''' Wenn eine FortiGate über einen NP6 verfügt kann dieser grundsätzlich den Traffic beschleunigen (accelerate). Jedoch
      define('fail', 'auth=failed');
            ist diese Funktion unter FortiOS 5.2.x deaktiviert und nicht in Benutzung. Ab FortiOS 5.4.x wird diese Funktion
      define('logout', 'logout=ok');
            aktiviert und eine Beschleunigung ermöglicht.
     
 
      function getLeft($urlstring, $key)  
=== Ist der Traffic zwischen dem Ethernet Interface des Forti Access Point und der FortiGate verschlüsselt? ===
      {
 
      $key_pos = strpos($urlstring, $key);
Der Traffic zwischen dem Ethernet Interface (WAN) eines Forti Access Point und dem FortiGate WiFi Controller wird über einen CAPWAP Tunnel gesendet/empfangen. Dabei ist der Traffic zwischen der FortiGate und dem Forti Access Point "Enkapsuliert" (Encapsulated) in einem "Data Channel" von CAPWAP. Wenn eine höhere Sicherheit gefordert wird zwischen der FortiGate und den Forti Access Point kann DTLS Verschlüsselung Optional zugeschaltet werden (Ab FortiOS 5.0 / 5.2). Ebenfalls kann sofern notwendig die Verschlüsselung durch "Clear Text" komplett ausgeschaltet werden. Weitere Informationen zu diesem Thema siehe nachfolgende Artikel:
      return substr($urlstring, 0, $key_pos);
 
      }
        [[FortiAP:FAQ#Wie_werden_Forti_Access_Point_.C3.BCber_die_Fortigate_gesteuert.2Fkonfiguriert_.28CAPWAP.29.3F]]
     
        [[FortiAP:FAQ#Was_bedeutet_.22WiFi_Data_Channel_Encryption.22_.28DTLS.29_und_wie_konfiguriere_ich_Diese.3F]]
      function getRight($urlstring, $key)  
 
      {
=== Wie werden Forti Access Point über die Fortigate gesteuert/konfiguriert (CAPWAP)? ===
      $key_pos = strpos($urlstring, $key);
 
      return substr($urlstring, $key_pos);
Der Standard der benutzt wird um die Forti Access Point über die Fortigate zu konfigurieren/verwalten ist CAPWAP (RFC 5415, RFC 5416, RFC 5417). Im folgenden Artikel wird erklärt wobei es sich bei CAPWAP handelt:
      }
 
     
        http://en.wikipedia.org/wiki/Lightweight_Access_Point_Protocol
      $myqury = $_SERVER['QUERY_STRING'];
 
      $auth_string = 'fgtauth';
Die Ports die benutzt werden für CAPWAP sind per Standard:
      $magic = 'magic=';
 
      $needle = '&';
        UDP 5246 und 5247
      $fgt_post = "post=";
       
     
Ab FortiOS 5.0.3 kann die CAPWAP Funktion sprich ob dieser Traffic resp. Funktion zugelassen ist oder nicht über die Interface Konfiguration "Administrative Access" aktiviert und/oder deaktiviert werden:
      if (stristr($myqury, login)) {
           
      $pos = strpos($myqury, $fgt_post);
        System > Network > Interfaces > [Wähle das entsprechende Interface] > Administrative Access > CAPWAP
      if ( $pos > 0 ) {
 
      $start = $pos + strlen($fgt_post);
Die Verschlüsselung die für CAPWAP benutzt wird ist Zertifikat's basierend (Anhand Zertifikate auf der FortiGate sowie auf dem Forti Access Point)! Per Standard ist der "Data Channel" der die WiFi Client's benutzen um Ihre Daten zu senden sowie zu empfangen "clear-text". Um diesen "Data Channel" zu Verschlüsseln kann die DTLS Funktion aktiviert werden. Weitere Informationen dazu seieh nachfoglender Artikel:
      $fgt_url = substr($myqury, $start);
 
      $post_url = getLeft($fgt_url, $auth_string);
        [[FortiAP:FAQ#Was_bedeutet_.22WiFi_Data_Channel_Encryption.22_.28DTLS.29_und_wie_konfiguriere_ich_Diese.3F]]
      $other_var = getRight($fgt_url, $magic);
 
      $magic_pair = getLeft($other_var, $needle);
Wenn es betreffend WiFi Client's zu Performance Problemen kommt die zurück zu führen sind auf Defragmentierung gibt folgender Artikel Auskunft was getan werden kann:
      $magic_id = substr($magic_pair, strlen($magic));
 
     
        [[FortiAP:FAQ#Wie_kann_ich_innerhalb_des_CAPWAP_Tunnel_eine_IP_Fragmentierung_verhindern.3F]]
      $pre_act ='<table width="300" border="0" align="center" cellpadding="0" cellspacing="1" bgcolor="#CCCCCC">
 
      <tr>
=== Was bedeutet "WiFi Data Channel Encryption" (DTLS) und wie konfiguriere ich Diese? ===
      <form name="form1" method="post" action=';
 
      $post_act = '>
DTLS steht für "Data Channel Encryption". Der "Data Channel" wird benutzt um den Traffic -der vom Access Point WAN Interface zum Wireless Controller (FortiGate)- zu übermitteln. Der "Data Channel" wird "Enkapsuliert" (Encapsulated) im CAPWAP zum Wireless Controller übermittelt. Per Standard wird dieser Traffic "nicht" verschlüsselt (clear-text). Um eine Verschlüsselung innerhalb des "Data Channels" zu erreichen, wird die Funktion DTLS benutzt. Dabei ist zu berücksichtigen das "beide" Seiten dh. der FortiGate Wireless Controller und der Forti Access Point gleichermassen konfiguriert werden müssen dh. DTLS aktiviert. Nur wenn beide Seiten DTLS aktiviert haben, wird eine Verschlüsselung etabliert ansonsten kommt keine Verbindung zu stande. Die Verschlüsselung selber wird durch den FortiGate Wireless Controller sowie den Forti Access Point etabliert. Dabei ist die nötige Performance die diese Funktion in Anspruch nimmt, zu berücksichtigen (ca. 20% zusätzliche Belastung des CPU). Per Standard ist "clear-text" sowie "dtls" auf den Forti Access Point aktiviert. Somit kann über den FortiGate Wireless Controller die Funktion gesteuert werden. Wenn auf dem FortiGate WiFi Controller ebenfalls beides aktiviert wird dh. "Clear Text" und "DTLS" wird "Clear Text" benutzt. Die Konfiguration dh. die Funkton "dtls" und/oder "clear-text" wird im entsprechenden Access Point Profile konfiguriert. Wenn das "automatic" Profil das zur Verfügung steht (nur unter FortiOS 5.0) benutzt wird, kann nur "Clear Text" benutzt werden. Um über Kommandozeile CLI die Verschlüsselung zu aktivieren benutze folgendes:
      <td>
 
      <table width="100%" border="0" cellpadding="3" cellspacing="1" bgcolor="#FFFFFF">
        '''NOTE''' Die Funktion DTLS Verschlüsselung sollte nur dann aktiviert werden, wenn die Komunikation über ein "NICHT" Trusted Environment durchgeführt
      <tr>
            wird dh. zB Internet, öffentliche Netze etc.!
      <td colspan="3"><strong>Test Login</strong></td>
 
      </tr>
        '''Auf dem FortiGate Wireless Controller:'''
      <input type="hidden" name="magic" value=';
       
      $post_magic = '>
        # config wireless-controller wtp-profile
      <tr>
        # edit [Name des entsprechenden Profils]
      <td width="78">Username</td>
        # set dtls-policy ["dtls-enabled" oder "clear-text"]
      <td width="6">:</td>
        # end
      <td width="294"><input name="username" type="text" id="username">
 
      </td>
        '''Auf dem FortiAP:'''
      </tr>
       
      <tr>
        # cfg -a AC_DATA_CHAN_SEC=1
      <td>Password</td>
        # cfg -c
      <td>:</td>
       
      <td><input name="password" type="text" id="password"></td>
        '''NOTE''' Für die Variable "AC_DATA_CHAN_SEC" gelten folgende Werte:
      </tr>
       
      <tr>
            • 0 is Clear Text
      <td>&nbsp;</td>
            • 1 is DTLS Enabled
      <td>&nbsp;</td>
            • 2 is Clear T ext or DTLS Enabled (default)
      <td><input type="submit" name="Submit" value="Login"></td>
       
      </tr>
        '''NOTE''' Wenn der Access Point über keinen Consolen Port verfügt kann für den Access Point über den WiFi  Controller eine Telnet Session etabliert werden.
      </table>
            Weitere Information siehe folgender Artikel:
      </td>
           
      </form>
            [[FortiAP:FAQ#Wie_kann_ich_per_Telnet_auf_einen_Forti_Access_Point_zugreifen_wenn_der_Access_Point_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F]]
      </tr>
 
      </table>';
Ebenfalls ist es für ein Troubleshooting möglich die Funktion ohne die Konfiguration zu ändern vorübergehend zu deaktivieren. Weitere Informationen dazu siehe nachfolgenden Artikel:
      $login_form = $pre_act . $post_url . $post_act . $magic_id . $post_magic;
 
      echo $login_form;
        [[FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_ein_Troubleshooting_vor.C3.BCbergehend_die_DTLS_Funktion_auf_einem_Forti_Access_Point_deaktivieren.3F]]
      } else {
 
      echo "login command without post url";
=== Wie kann ich innerhalb des CAPWAP Tunnel eine IP Fragmentierung verhindern? ===
      }
 
      }
Ein Problem, dass nicht nur Fortinet based WiFi Produkte -die sich über einen Wireless Controller verwalten lassen- haben, ist eine eventuelle IP Fragmentation innerhalb des CAPWAP Tunnels. Eine Fragementierung tritt auf, wenn das zu übermittelnde Packet die "max. transmission unit" (MTU) beinahe erreicht, jedoch der Overhead des CAPWAP noch dazu kommt. Dann ist das Packet grösser als die MTU und muss Fragmentiert werden. Fragementierung reduziert die Performance und kann sogar zum Datenverlust führen. Die Lösung zu diesem Problem geht FortiOS so an, dass der Wireless Client angewiesen wird kleinere Packete zu senden damit die "max. transmission unit" (MTU) inkl. dem CAPWAP Overhead nicht überschritten wird. Dies kann auf der CLI folgendermassen durchgeführt werden:
     
 
      $mycmd = strtolower($myqury);
        # config wireless-controller wtp-profile
     
        # edit [Wähle das entsprechende Profile]
      switch($mycmd) {
        # set ip-fragment-preventing [tcp-mss-adjust | icmp-unreachable]
      case success:
        # set tun-mtu-uplink [0 | 576 | 1500]
      echo "here is success page";
        # set tun-mtu-downlink [0 | 576 | 1500]
      break;
        # end
      case fail:
        # end
      echo "here is fail page";
 
      break;
        '''tcp-mss-adjust'''
      case logout:
        Ist per Standard aktiviert und bedeutet folgendes: Dies Option veranlasst den Forti Access Point den Wireless Client ein "max sgement size" (MSS)
      echo "here is logout page";
        zu senden. Der Forti Access Point fügt dem "SYN" Packet ein kleineren Wert betreffend MSS hinzu. Dies wird durchgeführt wenn der Wireless Client
      break;
        mit dem Forti Access Point Verbindung aufnimmt. Dadurch wird der Wireless Client aufgefordert kleinere Packete zu senden als der Wert "tun-mtu-uplink"
      }
        und somit kann der Forti Access Point den Overhead des CAPWAP hinzufügen und eine Fragmentierung verhindern.
     
 
      ?></nowiki>
        '''icmp-unreachable'''
     
        Ist per Standard deaktiviert und bedeutet folgendes: Diese Option beeinflusst sämtlichen Traffic dh. UDP und TCP. Diese Option bewirkt, dass der
      --------------- portal.php ---------------
        Forti Access Point Packet verwirft die im TCP Header mit dem Bit "Don't Fragment" markiert sind jedoch über die Grösse verfügen für eine Fragmentierung.
        Wenn dies eintrifft sendet der Forti Access Point ein Packet zum Wireless Controller:
       
        Type 3 "ICMP Destination unreachable" With Code 4 "Fragmentation Needed and Don't Fragment was Set"
       
        Dies bewirkt wiederum beim Wireless Client, dass dieser kleinere Packete (UDP und/oder TCP) sendet um eine Fragmentierung zu verhindern.


        '''tun-mtu-uplink'''
Der letzte Schritt der Konfiguration der nun vollzogen werden muss, ist was durchgeführt werden soll wenn die Authentifizierung auf dem externen "Captive Portal" erfolgreich durchgeführt wurde. Dabei gibt es zwei Möglichkeiten:
        Per Standard auf "0" gesetzt (Setze diesen Wert auf TCP MTU 1500)!


         '''tun-mtu-downlink'''
         1. In der SSID ist die folgende Option gesetzt:
        Per Standard auf "0" gesetzt (Setze diesen Wert auf TCP MTU 1500)!
         
          # config wireless-controller vap
          # edit [Name der SSID]
          # set vdom [Name der VDOM per Standard "root"]
          # set security-redirect-url  [Name der URL die nach einer erfolgreichen Authentifizierung aufgerufen werden soll zB "http://www.also.com"]
          # end
         
          Wenn diese Option benutzt wird so wird der User automatisch nach einer erfolgreichen Authentifizierung zu dieser konfigurierten
          "security-redirect-url" weitergeleitet und es benötigt keine zusätzliche Konfiguration!


         '''NOTE''' Wenn "tcp-mss-adjust" oder "icmp-unreachable" aktiviert ist und der Wert für "tun-mtu-uplink/downlink" auf TCP MTU 1500
         2. In der SSID ist die Option "security-redirect-url" nicht gesetz:
             wird der Wireless Client angewiesen keine grösseren Packete zu senden als "1500". Dies bewirkt, dass die Packete die nach Erhalt
         
            in den CAPWAP Tunnel gesendet werden, nicht fragementiert werden müssen.
          In so einer Situation wird die Orginal URL benützt die der User zu Beginn benutzt hat. Damit der User nach einer erfolgreichen
 
          Authentifizierung zu dieser orginal URL weitergeleitet wird, muss die entsprechende "Replacement Message" Group konfiguriert
== Konfiguration ==
          werden. Diese "Replacment Message" Groups arbeiten mit "tags" die dies ermöglichen. Nachfolgend ein Beispiel das für unsere
          Konfiguration benützt werden kann:
         
          # config system replacemsg auth "auth-success-page"
              set buffer "<html>
            <head>
              <title>
                Firewall Authentication
              </title>
            </head>
             <body>
              If JavaScript is not enabled, please
              <a href=\"%%AUTH_REDIR_URL%%\">
                click here
              </a>
              to continue.
              <script language=\\\"JavaScript\\\">
                window.location=\\\"%%AUTH_REDIR_URL%%?usermac=%%USER_MAC%%&apmac=%%AP_MAC%%&apip=%%AP_IP%%&userip=%%USER_IP%%&device_type=%%DEVICE_TYPE%%&continueURL=%%PROTURI%%&portalAddr=%%PORTAL_ADDR%%&redirectURL=%%AUTH_REDIR_URL%%\\\";
              </script>
            </body>
          </html>"
          end


=== Für eine SSID betreffend "Security Mode" können welche Modi konfiguriert werden? ===
Weitere Informationen zu den "Replacement Message" Groups siehe auch nachfolgender Artikel:


Die üblichen Security Mode können über das Web Gui konfiguriert werden:
        [[FortiGate-5.0-5.2:FAQ#Was_sind_.22Replacement_Message_Groups.22_und_wie_verwende_ich_diese.3F]]


        Open
=== Wie kann ich für einen Forti Access Point Traffic für ein "Captive Portal" ohne Authentifizierung erlauben? ===
        Captive Portal
        WPA2 Personal
        WPA2 Personal with Captive Portal
        WPA2 Enterprise


Andere stehen nur über die CLI zur Verfügung dh.:
Ein User der eine Anfrage für eine bestimmte Domaine/Zieladresse durchführt, wird automatisch beim ersten Aufruf dieser Domain/Zieladresse zum entsprechenden "Captive Portal" - das für die entsprechende SSID konfiguriert wurde - weitergeleitet. Nachdem der User sich korrekt auf dem "Captive Portal" authentifiziert hat, wird die Anfrage des Users für die Domaine ausgeführt. Wenn man nun für eine bestimmte Domaine/Zieladresse keine Authentifizierung über das "Captive Portal" benützen möchte dh. wenn der User diese Domaine/Zieladresse aufruft, wird dieser direkt "ohne Authentifizierung auf dem Captive Portal" direkt zur entsprechender Domaine/Zieladresse weitergeleitet. Um dies zu konfigurieren muss eine bestimmte Policy erstellt werden und in dieser die Option "captive-portal-exempt" aktiviert werden. Diese Option steht ab FortiOS 5.2 zur Verfügung. Um die Konfiguration durchzuführen führe folgendes aus:


         '''FortiOS 5.0'''
         '''Erstellen eines Objektes für Domaine die erlaubt werden soll'''
         # config wireless-controller vap
       
         # edit [Name des SSID Profile]
         # config firewall address
         # set security [captive-portal | open | wep128 | wep64 | wpa-enterprise | wpa-only-enterprise | wpa-only-personal | wpa-personal | wpa2-only-enterprise | wpa2_only-personal]
         # edit "also.com"
        # set type fqdn
         # set fqdn "also.com"
        # next
         # end
         # end


         '''FortiOS 5.2/5.4'''
         '''Erstellen der Firewall Policy und Aktivierung der Option'''
         # config wireless-controller vap
       
         # edit [Name des SSID Profile]
         # config firewall policy
         # set security [captive-portal | open | wpa-enterprise | wpa-personal | wpa-personal+captive-portal | wpa2-only-personal | wpa2-only-personal+captive-portal | wpa2-only-enterprise]
         # edit  
        # set srcintf "[Name der SSID auf dem ein Captive Portal konfiguiert wurde]"
        # set dstintf "wan1"
        # set srcaddr "all"
        # set dstaddr "[Name des Adresss Objektes das wir erstellt haben zB "also.com"]"
        # set action accept
        # set schedule "always"
         # set service "[Gebe den entsprechenden Service an zB HTTP]"
        # set captive-portal-exempt enable
        # set nat enable
        # next
         # end
         # end


=== Was bedeutet der Konfigurationspunkt "Schedule"? ===
=== Wird für eine Forti Access Point SSID Radius Server Authentifizierung die Funktion "Accounting" unterstützt? ===


Bis anhin unter FortiOS 5.0 sowie 5.2 war es nicht möglich eine SSID Zeitgesteuert zu aktivieren und zu deaktivieren. Neu unter FortiOS 5.4 ist dies nun möglich. Per Standard stehen alle konfigurierten SSID auf "always". Möchte man Zeitgesteuert eine SSID aktivieren/deaktivieren, muss vorgängig ein "Schedule" Objekt erstellt werden, dass nachträglich unter der SSID konfiguriert werden kann. Ein "Schedule" Objekt wird unter folgender Position konfiguriert:
Wenn ein zB WPA2-Enterprise Authentifizierung über Radius Server für eine SSID konfiguriert wird so wir Radius "Accounting" ab FortiOS 5.2 unterstützt. Bei der Radius "Accounting" Funktion handelt es sich um folgendes: Bei der Radius Authentifizierung wird IPv4 Adresse sowie Usernamen zum Radius Server übermittelt. Wenn Radius "Accounting" auf dem Radius Server benutzt wird, beginnt nach einer erfolgreichen Authentifizierung eine interne "Zurechnung". Diese interne "Zurechnung" wird benutzt um zu entscheiden ob die konfigurierte Zeit für eine Verbindung abgelaufen ist und/oder wieviel Zeit abgelaufen ist. Je nach Konfiguration zB bei Ablauf einer vorgegebener Zeit auf dem Radius Server, sendet dieser dem zuständigen Device zB der FortiGate eine "Accounting" Nachricht, dass die Authentifizierung des User's/IP abgelaufen ist. Danach wird die Authentifizierung des User's/IP als ungültig erklärt. Dies Art des "Accounting" wird zB bei Wireless HotSpot's wie Swiccom benützt um Abrechnung zu erstellen und/oder Zugriffe zu steuern. FortiOS 5.0 unterstützt keine Radius Server "Accounting" Funktion. Weitere Informationen betreffend dem Radius Protokoll findet man unter folgenden Link:


         Policy & Objects > Schedules > Create New > Schedule
         http://de.wikipedia.org/wiki/RADIUS_(Protokoll)


Danach kann anhand "Recurring" (Wiederholend), "Days" (Tagen) sowie einer "Start Time" und "Stop Time" ein "Schedule" Objekt erstellt werden. Ein Zeitgesteuertes Objekt basierend auf "Schedule Group" kann nicht innerhalb einer SSID konfiguriert werden. Nachträglich kann das "Schedule" Objekt innerhalb der SSID konfiguriert werden. Dazu wähle im Mgmt. Web Interface folgendes:
Um eine Radius Server "Accounting" Funktion seitens FortiGate zu konfigurieren muss folgendes durchgeführt werden:


         WiFi Controller > SSID > Schedule > [Wähle das entsprechende "Schedule" Objekt]
         # config user radius
 
        # edit [Gebe den entsprechenden Namen ein]
Wenn ein "Schedule" Objekt auf CLI konfiguriert werden soll und dieses nachträglich ebenfalls auf CLI für die entsprechende SSID konfiguriert werden soll führe folgendes aus:
         # config accounting-server
 
         # edit 1
         # config firewall schedule [recurring | onetime]
         # set status enable
         # edit [Name des entsprechenden "Schedule" Objekt zB "daily-0800-1700-business-hour"]
         # set server [IPv4 Adresse des Radius Servers]
         # set start [Gebe die Start Zeit ein zB "08:00"]
         # set secret [Definition des Preshared Secrets]
         # set end [Gebe die End Zeit ein zB "17:30"]
         # set day [Gebe die entsprechenden Tage ein für den "Schedule"; monday | tuesday | wednesday | thursday | friday | saturday | sunday]
         # end
         # end
       
         # set acct-interim-interval [Zeitintervall in Sekunden 600 - 86400 Sekunden]
         # config wireless-controller vap
        # edit [Name der entsprechenden SSID]
        # set schedule always
         # end
         # end


=== Was bedeutet der Konfigurationspunkt "Scan Outgoing Connections to Botnet Sites"? ===
Durch diese Konfigurtion sendet die FortiGate dem Radius Server Update Benachrichtigungen betreffend dem "Accounting" durch die konfigurierte "acct-interim-interval" Funktion! Durch die Konfiguration "acct-interim-interval" wird im Hintergrund auf dem API des Radius Servers folgende Information dem Radius Server gesendet, der dieses API unterstüzen/verstehen muss:


Dieser Konfigurationspunkt unter FortiOS 5.4 ist nicht Wireless Spezifisch sondern steht jedem FortiGate Interface zur Verfügung. Weitere Informationen zu dieser Funktion siehe nachfolgender Artikel:
        Acct-Interim-Interval=600
 
=== Wie wird für eine Forti Access Point SSID Authentifizierung einen MAC Filter (802.11x) Konfiguriert? ===


        [[FortiGate-5.4:FAQ#Wie_kann_ich_unter_FortiOS_5.4_f.C3.BCr_eine_FortiGate_Verbindungen_zu_.22botnet.22_Servern_blocken_oder_.C3.BCberwachen.3F]]
Praktisch jeder Wireless Access Point bietet die Möglichkeit den Zugang zur SSID einzuschränken anhand einer vordefinierten und eingetragener MAC-Adresse (Filter). Eine MAC Adresse (Media Access Control) ist ein 48-Bit lange Adresse im Hexadezimalcode. Jeder Netzwerk basierende Device ist mit einer solchen MAC Adresse ausgestattet und diese wird, um den Datenaustausch zu gewährleisten, über "arp request" zwischen den Devices ausgetauscht. Somit wäre diese MAC Adresse eigentlich eine gute Möglichkeit einen Zugriff einzuschränken jedoch ist folgendes zu berücksichtigen:


=== Was bedeutet der Konfigurationspunkt "Active Scanning" (Network Devices)? ===
        Diese MAC Adresse wird nicht durch den Device selber einem Teilnehmer (Device) im Netzwerk weitergegeben sondern über das
        Betriebssystem. Somit ist es möglich die Information auf dem Betriebssystem zu verändern dh. manuell die Mac Adresse des
        Devices zu verändern. Dies ist auch bekannt als "MAC-Spoofing" (Vorgabe einer fingierten MAC Adresse). Um ein "MAC-Spoofing"  
        durchzuführen muss man nur den Wireless Traffic sniffen (abhören), denn die Informationen des MAC Adressen Austausch (arp
        request) werden "clear-text" übertragen. Somit ist eine reine Authentifizierung basierend auf MAC Adressen absolut nicht zu
        empfehlen kann jedoch als zusätzliche Security Implementation konfiguriert werden!


Dieser Konfigurationspunkt steht im Zusammenhang mit "Network Devices" resp. "Device Detection". Wenn "Device Detection" aktiviert wird und diese Funktion kann einen entsprechenden Device nicht identifizieren, wird dieser anhand "Active Scanning" Passive gescannt. Dabei wird die gleiche Technik angewandt wie in einem "vulnaribility scan". Diese Funktion wird auf allen Devices die "vulnerability scan" unterstützen per Standard aktiviert. Wir empfehlen im Wireless Bereich zwar die "Device Detection" zu aktivieren jedoch das "Active Scanning" per Standard zu deaktvieren sowie diese Funktion nur punktuell zu benutzen. Um die Funktion "Active Scanning" zu benutze muss "Device Detection" zuerst aktiviert werden. Dies kann im Mgmt. Web Interface durchgeführt werden für die entsprechende SSID oder über CLI:
Nichts desto trotz stellt jedoch eine MAC Adressen basierende Authentifizierung eine gute Möglichkeit dar, den Zugriff zusätzlich einzuschränken. Dabei kann zB der DHCP Server der SSID von "assign" auf "block" gesetzt werden. Dadurch vergiebt der DHCP Server nur IPv4 Adressen an Devices die im DHCP Server mit deren MAC Adressen eingetragen sind (MAC Adress Filer + IP Reservation). Im Zusammenhang mit einer WPA/WPA2 Authentifizierung kann somit durch dies Konfiguration eine zusätzliche Sicherheit gewährleisten werden. Zusätzlich kann ebenfalls eine "Device Authentification" durchgeführt werden dh. es werden nur Devices zugelassen wie zB IPhone's. Nachfolgendes Beispiel zeigt eine solche Erweiterung basierend auf MAC Adressen und Device Authentication. Basis dafür ist eine SSID basierend auf einer "wpa-personal" Authentifizierung. Diese Konfiguration kann jedoch mit jeglicher Authentifizierung durchgeführt werden:


         # config system interface
         '''Erstelle eine neue SSID basierend auf "wpa2-only-personal":'''
        # edit [Gebe das entsprechende Interface an zB "dmz"]
       
        # set device-identification [enable | disable]
         # config wireless-controller vap
        # set device-identification-active-scan [enable | disable]
         # edit [Name der entsprechenden SSID zB "only4intern"]
        # end
        # set vdom "root"
 
        # set ssid [Name der entsprechenden SSID zB "only4intern"]
=== Was bedeutet der Konfigurationspunkt "Block Intra-SSID Traffic"? ===
 
Dieser Konfigurationspunkt innerhalb der SSID bedeutet folgendes: Wenn zwei User auf der gleichen SSID verbunden sind können die User -sofern "Block Intra-SSID Traffic" nicht untereinander direkt komunizieren. Dieser Konfigurationspunkt verhindert auch eine "man-in-middle" Attacke von einem Device im selben Segment/IP Range (SSID). Der zuständige Befehl auf der CLI der dies steuert wäre "intra-vap-privacy". Möchte man die Funktion aktivieren, dass die Clients über den Access Point komunizieren können ohne das der Traffic den Forti Access Point verlässt, ist der zuständige Befehl "local-switching". Somit ergiebt sich auf der CLI folgendes:
 
        '''Block Intra-SSID Traffic Aktiviert'''
         # config wireless-controller vaps
         # edit [Name der SSID]
         # set intra-vap-privacy enable
         # set intra-vap-privacy enable
         # set local-switching disable
         # set security [Setze die entsprechende Security für die SSID zB "wpa2-only-personal"]
        # set passphrase [Passwort für die "wpa-personal" Authentifizierung]
         # end
         # end


         '''Block Intra-SSID Traffic Deaktiviert'''
         '''Konfiguriere das Interface für die SSID:'''
         # config wireless-controller vaps
       
         # edit [Name der SSID]
         # config system interface
         # set intra-vap-privacy disable
         # edit [Name der entsprechenden SSID zB "only4intern"]
         # set local-switching enable
        # set ip [IPv4 Adresse für das Interface der SSID zB "192.168.3.1 255.255.255.0"]
         # set allowaccess ping
         # set device-identification enable
         # end
         # end


=== Was bedeutet der Konfigurationspunkt "Rogue AP’s"? ===
        '''Definiere für das Interface der SSID eine DHCP Server basierend auf "block":'''
 
"Rogue" bedeutet "Schurke" und bezeichnet ein Access Point der nicht zum regulären Forti Access Point Verbund/Netzwerk gehört. Dies kann bedeuten: illegale betriebenen Access Points mit gleicher SSID wie für die regulären Forti Access Points konfiguriert wurde. Die Funktion "Rogue AP's" sammelt in der Umgebung Informationen über Broadcasting SSID's und listet diese auf. Wenn diese nicht zum regulären Verbund/Netzwerk gehören, können diese Unterdrückt werden (Susspressed). Ob diese Access Points zum regulären Verbund/Netzwerk gehören definiert der WiFi Controller der FortiGate indem die Mac Adressen mit den regulären Forti Access Point's verglichen werden. Um diese -nicht regulären Access Points (Fake AP) zu unterdrücken- werden "deAuthentiation Frames" zu diesen Access Points gesendet um ein Verbinden der Clients zu diesem Access Point zu verhindern. Um den WiFi Controller für "AP-Scan" resp. "On-Wire-Scan" zu aktivieren muessen über das Web Mgmt. Interface die folgenden Position aktiviert werden:
 
        '''NOTE''' Unter FortiOS 5.0 wird/kann die Funktion "nur" Global aktiviert oder deaktiviert werden. Unter FortiOS 5.2
            ist diese Funktion Profile basierend und wird diesem über das WIDS Profile zugewiesen!
 
        '''FortiOS 5.0'''
          
          
         WiFi Controller > WiFi Network > Rogue AP Settings
         # config system dhcp server
          
         # edit [Definiere einen entsprechenden Integer zB "5"]
         [[Datei:Fortinet-1268.jpg]]
         # set mac-acl-default-action [Setze den DHCP Server von "assign" auf "block"]
          
        # set dns-service default
         # config wireless-controller setting
        # set ntp-service default
         # set ap-scan enable
        # set default-gateway [IPv4 Adresse für Default Gateway zB "192.168.3.1"]
         # set on-wire-scan enable
        # set interface [Defniere das Interface für diesen DHCP Server zB "only4intern"]
         # set timezone-option default
        # set netmask [Konfiguriere die Subnet Mask für den IP Range des DHCP Servers zB "255.255.255.0"]
         # config ip-range
        # edit [Definiere einen entsprechenden Integer zB "0"]
         # set start-ip [Definiere die Start IPv4 Adresse des DHCP Servers zB "192.168.3.2"]
         # set end-ip [Definiere die End IPv4 Adresse des DHCP Servers zB "192.168.3.254"]
        # end
         # end
         # end


         '''FortiOS 5.2'''
         '''Trage eine entsprechende MAC Adresse eines Device für den DHCP Server der SSID ein:'''
          
          
         [[Datei:Fortinet-1269.jpg]]
         # config system dhcp server
          
        # edit [Gebe einen entsprechenden Integer an zB "5"]
         # config wireless-controller wids-profile
         # config reserved-address
         # set ap-scan enable
         # edit [Gebe einen entsprechenden Integer an zB "0"]
         # set roque-scan enable
         # set mac [Definiere die entspechende MAC Adresse zB "94:65:9c:74:47:c6"]
         # set ip [Definiere die IPv4 Adresse die der MAC Adresse zugewiesen werden soll zB "192.168.3.2"]
        # end
         # end
         # end


Um das Scanning resp. Monitoring zu benutzen, muss in den entsprechenden Profile's folgendes konfiguriert werden
Da der DHCP Server von "assign" auf "block" gesetzt wurde, werden keine IPv4 Adressen durch den DHCP Server vergeben mit Ausnahme für Devices die anhand des "MAC Reservation + Access Control" definiert wurden. Diese Konfiguration kann ebenfalls über Mgmt. Web Interface durchgeführt werden für das entsprechenden Interface des FortiGate Devices dh.:


         '''NOTE''' Unter FortiOS 5.0 wird die Funktion innerhalb eines Forti Access Point Profiles (wtp) konfiguriert. Unter FortiOS 5.2
         System > Network > [Markiere den Eintrag des Interface der SSID] > Edit > DHCP Server > Advanced > MAC Reservation + Access Control > Create New
            wurde diese Funktion in den WIDS Profile verschoben die einem Forti Access Point zugewiesen werden können.


         '''FortiOS 5.0'''
Unter dieser Positon existiert ein "Standard Eintrag" dh. "Unknown MAC Adresses Block" der zuständig ist das nur definierten MAC Adressen eine IP zugewiesen wird!
 
         '''Konfiguriere für den DHCP Server der SSID eine Device Authentication:'''
          
          
         WiFi Controller > WiFi Network > Custom AP Profiles
         # config user device-access-list
        # edit [Gebe einen Namen ein für die "device-access-list" zB "whitelist"]
        # set default-action deny
        # config device-list
        # edit [Gebe einen Integer ein zB "1"]
        # set device [Definiere den entsprechenden Device zB "iphone" (Für mehr Infos benütze "?"]
        # set action accept
        # next
        # end
        # end
          
          
         # config wireless-controller wtp-profile
         # config system interface
         # edit [Name des Profils]
         # edit only4intern
        # config radio-1
         # set device-identification enable
        # set ap-bgscan enable
         # set device-access-list [Konfiguriere die entsprechende "device-access-list" zB "whitelist"]
         # set rogue-scan enable
         # next
         # set ap-bgscan-period 300
        # set ap-bgscan-intv 1
        # set ap-bgscan-duration 20
        # set ap-bgscan-idle 100
         # end
         # end
         # end


        '''FortiOS 5.2'''
Ein Device und/oder eine Gruppe von Devices kann ebenfalls manuell definiert werden. Dies ist über Mgmt. Web Interface über folgenden Menüpunkt verfügbar:
       
        WiFi Controller > WiFi Network > WIDS Profiles
       
        # config wireless-controller wids-profile
        # edit [Name des entsprechenden WIDS Profil]
        # set ap-scan [enable | disable]
        # set ap-scan-passive [enable | disable]
        # set ap-bgscan-duration [Zeit in ms 10 - 1000; Standard 20]
        # set ap-bgscan-intv [Interval in Sekunden 1 - 600; Standard 1]
        # set ap-bgscan-period [Interval in Sekunden; Standard 600]
        # set ap-bgscan-report-intv [Interval Refresh/Update 15 - 600; Standard 15]
        # set ap-bgscan-disable-day [Tag der Woche dh. sunday | monday | tuesday | wednesday | thursday | friday | saturday]
        # set ap-bgscan-disable-start [Zeitdefinition Start für Tag "ap-bgscan-disable-day"; Format hh:mm]
        # set ap-bgscan-disable-end [Zeitdefinition End für Tag "ap-bgscan-disable-day"; Format hh:mm]
        # end
       
Im Gegensatz zu FortiOS 5.0 kann nun diese Konfiguration unter FortiOS 5.2 vollumfänglich über das Web Mgmt. Interface durchgeführt werden:


         WiFi Controller > WiFi Network > WIDS Profiles
         User & Device > Device > Device definition > Create New
       
        [[Datei:Fortinet-1270.jpg]]


Im Zusammenhang mit dieser Funktion "ap-scan" gibt es einige Situationen in dem folgendes zu berücksichtigen ist:
Weitere Informationen beteffend "config user devcie-access-list" findet man auch unter folgenden Artikel:


         Wenn ein Access Point auch als Router agiert sowie NAT (Network Address Translation) durchführt, wird die Suche nach
         [[FortiGate-5.0-5.2:FAQ#Wie_kann_ich_.C3.BCber_die_Device_Identification_Funktion_anhand_einer_Mac_Adresse_einen_Device_blocken_.28802.11x.29.3F]]
        irregulären Access Points über die Funktion "Rogue Scan" erschwert. Im normal Fall ist ein Interface eines Access
        Points im gleichen IP Range wie dessen MAC Adresse! Die "MAC adjacency rogue detection method" vergleicht LAN und
        WiFi Netzwerk MAC Adressen die sich in einer bestimmten "Nummerischen Abstand (Distance)" befinden. Per Standard gilt
        "MAC adjacency distance" "7". Wenn der Access Point für diese übereinstimmenden MAC-Adressen nicht in der FortiGate
        Gerätekonfiguration ermächtigt wird, wird der Access Point alse "On-Wire rogue" erachtet. Für "On-wire Rogue-Erkennung"
        muss mindestens ein WiFi Client vorhanden/verbunden sein auf einem verdächtigen Access Point der kontinuierlich Daten
        sendet und Traffic produziert. Wenn es sich beim verdächtigen Access Point um einen Router handelt, muss die WiFi
        MAC-Adresse des Access Point ähnlich zu dessen Ethernet-Port MAC-Adresse sein ansonsten kann die Erkennung nicht
        korrekt durchgeführt werden. Um den Standard Wert "7" für "MAC adjacency distance" anzupassen führe folgendes durch:
       
        # config wireless-controller global
        # set rogue-scan-mac-adjacency [0 - 7; Standard 7]
        # end


=== Was bedeutet der Konfigurationspunkt "Radio Resource Provisioning" (ARRP/DARRP)? ===
Somit kann nur der Device mit der MAC "94:65:9c:74:47:c6" der über ein "IPhone" verfügt und vom DHCP Server die IP Adresse "192.168.3.2" zugewiesen wurde über "wpa2-personal" anhand des entsprechenden "Passwortes" auf die SSID "only4intern" zugreifen. Obwohl eine relativ einfache Security anhand "wpa2-personal" gewählt wurde konnte durch zusätzliche Filter die Security erhöht werden.


ARRP "Automatic Radio Resource Provisioning" oder DRRP "Distributed Automatic Radio Resource Provisioning" steht im Zusammenhang mit den "Channels" für 2.4 GHz sowie 5 GHz. Diesem Konfigurationspunkt kommt eine wichtige Funktion zu. DARRP steuert bei Kollidierung der "channel's" das Ausweichen auf einen nicht besetzen resp. kollidierenden Channel. Dies bedeutet nichts anderes als: Wenn diese Position aktiviert ist sucht sich der FortiGate WiFi Controller den oder die besten "channels" raus die nicht mit anderen Access Points kollidieren oder am wenigsten benutzt werden. Die "channel" Benutzung wird alle 5 Minuten evaluiert und falls notwendig dem FortiGate WiFi Client mitgeteilt damit dieser auf den neuen -sofern nötig- "channel" wechseln kann. Somit um DARRP richtig nutzen zu können ist die Vorraussetzung zu wissen welche "channel's" in der Umgebung benutzt werden. Dies kann über die "Rogue AP Monitor" und dessen Funktion eruiert werden. Dazu siehe nachfolgender Artikel:
== Wireless Health ==


        '''NOTE''' Ab FortiOS 5.2 wird DARRP für die Modelle FAP-221C sowei FAP-320C ebenfalls unterstützt (802.11ac)
=== Gibt es eine Möglichkeit die Forti Access Points über den FortiGate Wireless Controller zu überwachen (Health Monitor)? ===


        [[FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Rogue_AP.E2.80.99s.22.3F]]
Natürlich kann man die Forti Access Point über das entsprechende MIB File der FortiGate anhand SNMP überwachen. Die Möglichkeiten über SNMP die Forti Access Points zu überwachen sind jedoch beschränkt. Ab FortiOS 5.0.4 gibt es neu die Möglichkeit die über den FortiGate Wireless Controller angeschlossenen Forti Access Points über die neue Menüposition "Wireless Health" zu übewachen. Unter dieser Position stehen folgende "Widgets" für die Uberwachung zur Verfügung:


Wenn nun feststeht welche "channel's" in der Umgebung bereits benutzt werden kann ein entsprechendes Forti Access Point Profil erstellt werden unter berücksichtigung der zu wählenden "channel's". Dazu siehe nachfolgender Artikel:
        WiFi Controller > Monitor
       
        [[Datei:Fortinet-796.jpg]]
        [[Datei:Fortinet-797.jpg]]


        [[FortiAP:FAQ#Was_bedeutet_.22overlapping_wifi_channels.22.3F]]
Diese Widget's sind zum Teil basierend auf den Funktionen "ab-bgscan" (Background Scan) und/oder "spectrum-analysis" (Spectrum Analyse). Weitere Informationen siehe nachfolgender Artikel:
        [[FortiAP:FAQ#Welche_Radio_Channels_existieren_in_den_vers._L.C3.A4ndern.3F]]
        [[FortiAP:FAQ#Was_ist_DFS_.28Dynamic_Frequency_Selection.29_Support_und_um_was_handelt_es_sich_dabei.3F]]


Somit ist es unabdingbar diese Position zu aktivieren, speziell wenn mehrer Access Points in Reichweite sind um diese Kollisionen unter den "channel's" zu verhindern. DARRP wird in den entsprechenden Profil (Radio 1 und/oder2) des Forti Access Point konfiguriert. Im Web Mgmt. Interface findet man diese Position im Profile unter:
        [[FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Background_Scan.2FSpectrum_Analyse.22_innerhalb_einer_WTP_Profile_Konfiguration.3F]]


        WiFi Controller > WiFi Network > FortiAP Profiles > [Wähle das entsprechende Profil] > [Rechte Maustaste Edit] > [Radio 1 und/oder 2 Position "Radio Resource Provision"]
== WIDS ==


Um die Konfiguration auf Kommandozeile durchzuführen muss folgendes durchgeführt werden:
=== Was bedeutet die Funktion "WIDS" (Wireless IDS) innerhalb eines WTP Profiles eines Forti Access Points? ===


        # config wireless-controller wtp-profile
"Wireless IDS" (WIDS) ist ein Intrusion Detection System und steht ab FortiOS 5.0 zur Verfügung sowie überwacht den Wireless Traffic betreffend "security threats". Es erkennt diese und kann diese ebenfalls Reporten (Log). Wenn ein Angriff stattfindet, wird dieser auf der FortiGate ins Wireless Log geschrieben. Für Wireless IDS können verschiedenen Profile erstellt werden um folgenden "threats" zu erkennen:
        # edit [Profile Name]
        # config radio-[1 oder 2]
        # set darrp enable
        # end
        # end


Um nach der Konfiguration festzustellen ob eine Kollidierung unter den "channel's" exisitiert kann über Wireless Health Monitor die Interferenzen eingesehen werden. Für nähere Informationen siehe nachfolgende Artikel:
        • Unauthorized Device Detection
        • Rogue/Interfering AP Detection
        • Ad-hoc Network Detection and Containment
        • Wireless Bridge Detection
        • Misconfigured AP Detection
        • Weak WEP Detection
        • Multi Tenancy Protection
        • MAC OUI Checking


        [[FortiAP:FAQ#Gibt_es_eine_M.C3.B6glichkeit_die_Forti_Access_Point_zu_.C3.BCberwachen_.28Health_Monitor.29.3F]]
Per Standard existiert ein Standard Profil "default". Dieses Profile wird innerhalb eine Access Point WTP Profiles als "default" automatisch unter FortiOS 5.0 ausgewählt! Dies ist jedoch ab FortiOS 5.2 nicht mehr der Fall dh. für die WIDS Funktion wird per Standard kein Profile automatisch ausgewählt. Gleichzeitig wurde die Funktion des "Rogue AP" die unter FortiOS 5.0 eine seperate Konfiguration war in die WIDS Profile verschoben. Weitere Informationen betreffend "Rogue AP" findet man im nachfolgenden Artikel:


         '''NOTE''' Unter FortiOS 5.2 wurde innerhalb des Forti Access Point Profile's unter Radio-1 und/oder 2 die Position "Background Scan"
         [[FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Rogue_AP.E2.80.99s.22_innerhalb_einer_WIDS_Konfiguration.3F]]
            (ap-bgscan) ersetzt mit der Position "Spectrum Analysis"! Weitere Informationen dazu siehe nachfolgender Artikel:
           
            [[FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Background_Scan.2FSpectrum_Analyse.22.3F]]


=== Was bedeutet der Konfigurationspunkt "Background Scan/Spectrum Analyse"? ===
Das "default" Profile für WIDS enthält folgendes:


Unter FortiOS 5.0 existiert in den Forti Access Point Profiles unter Radio-1 und/oder 2 die Position "Background Scan". Diese Position ist zuständig über Radio-1 und/oder 2 Informationen zu sammeln und diese unter "Wireless Health" zur Verfügung zu stellen. Weitere Informationen zum "Wireless Health" siehe nachfolgenden Artikel:
        '''FortiOS 5.0'''
 
       
        [[FortiAP:FAQ#Gibt_es_eine_M.C3.B6glichkeit_die_Forti_Access_Point_zu_.C3.BCberwachen_.28Health_Monitor.29.3F]]
         WiFi Controller > WiFi Network > WIDS Profiles
 
Aus diesen Informationen können Rückschlüsse gezogen werden über zB Interference's". Zu Analyse Zwecken kann dieser Konfigurationspunkt aktiviert jedoch im regulären Betrieb deaktiviert werden. Ueber Web Mgmt. Interface findet man diesen Konfigurationspunkt unter:
 
        '''NOTE''' "Background Scan" sowie "Spectrum Analyse" sollte unter normalen Umständen umbdingt deaktiviert werden da diese Funktion
            enorm Performance Intensiv sind. Diese zwei Funktionen sollten nur vorübergehend aktiviert werden um "troubleshooting"
            oder "Analysen" durchzuführen! Desweiteren ist zu beachten das für die FortiAP FAP-221B, FAP-223B und FAP-221C im
            Zusammenhang mit FortiOS 5.2.4 diese Funktion nicht benutzt werden sollte (Bug) da ein offener "Known Issue" besteht:
           
            Known Issue: 245323 Spectrum analysis may result in high CPU usage on some FortiAP models including FAP-221B, FAP-223B, and FAP-221C.
 
         WiFi Controller > WiFi Network > Custom AP Profiles > [Wähle das entsprechende Profile] > [Radio-1 und/oder 2 "Background Scan"]
          
          
         [[Datei:Fortinet-1271.jpg]]
         [[Datei:Fortinet1276.jpg]]
 
Auf der Kommandozeile wird diese Konfiguration folgendermassen durchgeführt:
 
        # config wirless-controller wtp-profile
        # edit [Name des Profile]
        # config radio-[1 oder 2]
        # set ap-bgscan eanble
        # end
        # end
 
        '''NOTE''' Dieser Konfigurationspunkt existiert unter FortiOS 5.2 nicht mehr und wurde ersetzt mit "Spectrum Analyse"!
           
            WiFi Controller > WiFi Network > FortiAP Profiles > [Wähle das entsprechende Profile] > [Radio-1 und/oder 2 "Background Scan"]
           
            [[Datei:Fortinet-1272.jpg]]
           
            # config wirless-controller wtp-profile
            # edit [Name des Profile]
            # config radio-[1 oder 2]
            # set spectrum-analysis eanble
            # end
            # end
 
Wenn die Funktion "Spectrum Analyse" aktiviert wird können die entsprechenden Informationen über Kommandozeile abgeruft werden anhand folgenden Befehls:
 
        # diagnose wireless wlac -c rf-sa [Name des FAP zB "FP221B3X13843475"]  1
          
          
         '''NOTE''' Weitere Informationen betreffend dem Troubleshooting Kommando "diagnose wireless" siehe nachfolgenden Artikel:
         # config wireless-controller wids-profile
           
        # edit default
            [[FortiAP:FAQ#Welche_Troubleshooting_Kommandos_.28diagnose.29_stehen_auf_dem_Wireless_Controller_einer_FortiGate_zur_Verf.C3.BCgung.3F]]
        # get
        name                : default
        comment            : default wids profile
        used-by            :
        wireless-bridge    : enable
        deauth-broadcast    : enable
        null-ssid-probe-resp: enable
        long-duration-attack: enable
        long-duration-thresh: 8200
        invalid-mac-oui    : enable
        weak-wep-iv        : enable
        auth-frame-flood    : enable
        auth-flood-time    : 10
        auth-flood-thresh  : 30
        assoc-frame-flood  : enable
        assoc-flood-time    : 10
        assoc-flood-thresh  : 30
        spoofed-deauth      : enable
        asleap-attack      : enable
        eapol-start-flood  : enable
        eapol-start-thresh  : 10
        eapol-start-intv    : 1
        eapol-logoff-flood  : enable
        eapol-logoff-thresh : 10
        eapol-logoff-intv  : 1
        eapol-succ-flood    : enable
        eapol-succ-thresh  : 10
        eapol-succ-intv    : 1
        eapol-fail-flood    : enable
        eapol-fail-thresh  : 10
        eapol-fail-intv    : 1
        eapol-pre-succ-flood: enable
        eapol-pre-succ-thresh: 10
        eapol-pre-succ-intv : 1
        eapol-pre-fail-flood: enable
        eapol-pre-fail-thresh: 10
        eapol-pre-fail-intv : 1


=== Was bedeutet der Konfigurations Punkt "short guard intervall"? ===
         '''FortiOS 5.2'''
 
          
"Guard Intervalle", auch Schutzintervalle genannt, werden in der Nachrichtentechnik eingesetzt, um zu verhindern, dass sich bestimmte Übertragungen vermischen. Sie erhöhen die Störfestigkeit gegenüber Ausbreitungsverzögerungen, Echos und Reflexionen, gegen die digitale Daten, die in der Regel sehr anfällig sind. Die Länge des "Guard Intervalls" entscheidet dabei, wie störanfällig eine Übertragung ist. Je länger ein solches Intervall ist, desto besser schützt es gegen Störungen, desto geringer wird allerdings auch die Kanaleffektivität (Performance).
         WiFi Controller > WiFi Network > WIDS Profiles
 
         '''802.11 Guard Interval'''
         Der Standard-Symbol Guard Interval der in 802,11 OFDM verwendet wird, ist 0.8μs. Um die Datenrate zu erhöhen,
        fügt die 802.11n-Unterstützung einen optionale 0.4μs Guard Interval hinzu. Diese Optionale Zuschaltung eines
        "short guard intervall" bietet eine 10% bis 11% Erhöhung der Datenrate. Die kürzeren Schutzintervall führen
        jedoch zu einer höheren Paketfehlerrate denn die Verzögerung des Schutzintervalls innerhalb des Kanals und /
        oder Timing-Synchronisation zwischen dem Sender und Empfänger ist nicht genau festgesetzt. Eine Regelung
        könnte entwickelt werden, um herauszufinden ob ein Short Guard Intervall von Vorteil wäre. Um die Komplexität
        zu reduzieren, implementieren die Herstellern in der Regel nur einen kurzen Schutzintervall um die Performance
        zu erhöhen.
 
        '''NOTE''' Wie erklärt dient dieser Konfigurtionspunkt der Performance resp. um diese zu erhöhen. Jedoch kann dieser
            Konfigurationspunkt auch die Stabilität der Uebertragung beeinflussen. Aus diesem Grund ist empfohlen dieser
            Konfigurationspunkt in der ersten Phase nicht zu benutzen resp. zu deaktivieren!
           
         WiFi Controller > WiFi Network > Custome AP Profiles > [Wähle das entsprechende Profile] > [Radio-1 und/oder 2 "Short Guard Interval"]
          
          
         [[Datei:Fortinet-1273.jpg]]
         [[Datei:Fortinet1277.jpg]]
          
          
         # config wireless-controller wtp-profile
         # config wireless-controller wids-profile  
         # edit [Profile Name]
         # edit default
         # config radio-[1 oder 2]
         # get
         # set short-guard-interval enable
        name                : default
         # end
        comment            : Default WIDS profile.
         # end
        used-by            :
 
        ap-scan            : enable
=== Was bedeutet der Konfigurations Punkt "channel-bonding" (Channel Width)? ===
        ap-bgscan-period    : 600
 
        ap-bgscan-intv      : 1
Die Funktion "channel-bonding" (20/40 MHz Kanal Breite) kann auf dem 5 GHz Frequenz aktiviert werden weil auf diesem Frequenz Band weniger überschneidende Kanäle vorhanden sind. Die 40 Mhz Option auf der 2.4 Ghz zerstückelt das Spektrum und da es in dieser Bandbreite mehr überschneidende Kanäle hat ist der Einsatz kontraproduktiv, störanfällig und deshalb nicht verfügbar. Viele 11n-Geräte schalten daher je nach Umgebungsbedingungen zwischen 40- und 20-MHz-Kanälen hin und her oder lassen 40-MHz-Känale nur im 5-GHz-Band zu, auf dem weniger Funkverkehr herrscht. Aus diesem Grund ist "channel-bonding" nicht zu empfehlen im 2.4 Ghz Bereich! Da die einzelnen Kanäle breiter werden, aber insgesamt nicht mehr Kanäle als bisher verfügbar sind, erhöht sich die Gefahr, dass sich WLANs gegenseitig stören, wenn sie auf angrenzenden Kanälen funken. Das "channel-bonding" im 5 GHz Bereich kann innerhalb der Forti Access Point Profile für Radio-1 aktiviert werden:
         ap-bgscan-duration  : 20
 
        ap-bgscan-idle      : 0
         '''NOTE''' Unter FortiOS 5.0 kann das "channel-bonding" aktiviert resp. deaktiviert werden. Jedoch kann das "channel-bonding"
        ap-bgscan-report-intv: 30
            nicht spezifisch auf 20MHz resp. 40MHz konfiguriert werden. Unter FortiOS 5.2 ist dies nun möglich.
        ap-bgscan-disable-day:
 
        ap-fgscan-report-intv: 15
         '''FortiOS 5.0'''
        ap-scan-passive    : disable
          
        rogue-scan          : disable
         WiFi Controller > WiFi Network > Custome AP Profiles > [Wähle das entsprechende Profile] > [Radio-1 und/oder 2 "Channel Width"]
        wireless-bridge    : enable  
          
         deauth-broadcast    : enable
         [[Datei:Fortinet-1274.jpg]]
         null-ssid-probe-resp: enable
          
        long-duration-attack: enable
         # config wireless-controller wtp-profile
        long-duration-thresh: 8200
         # edit [Name des Profile]
        invalid-mac-oui    : enable
         # config radio-1
        weak-wep-iv        : enable
         # set channel-bonding [enable | disable]
        auth-frame-flood    : enable
         # end
        auth-flood-time    : 10
        auth-flood-thresh  : 30
        assoc-frame-flood  : enable
        assoc-flood-time    : 10
        assoc-flood-thresh  : 30
        spoofed-deauth      : enable
        asleap-attack      : enable
         eapol-start-flood  : enable
        eapol-start-thresh  : 10
        eapol-start-intv    : 1
         eapol-logoff-flood  : enable
         eapol-logoff-thresh : 10
         eapol-logoff-intv  : 1
         eapol-succ-flood    : enable
        eapol-succ-thresh  : 10
         eapol-succ-intv    : 1
        eapol-fail-flood    : enable
        eapol-fail-thresh  : 10
         eapol-fail-intv    : 1
         eapol-pre-succ-flood: enable
         eapol-pre-succ-thresh: 10
         eapol-pre-succ-intv : 1
         eapol-pre-fail-flood: enable  
         eapol-pre-fail-thresh: 10
        eapol-pre-fail-intv : 1


         '''FortiOS 5.2'''
         '''FortiOS 5.4'''
          
          
         WiFi Controller > WiFi Network > FortiAP Profiles > [Wähle das entsprechende Profile] > [Radio-1 und/oder 2 "Channel Width"]
         WiFi Controller > WIDS Profiles
          
          
         [[Datei:Fortinet-1275.jpg]]
         [[Datei:Fortinet-1696.jpg]]
          
          
         # config wireless-controller wtp-profile
         # config wireless-controller wids-profile  
         # edit [Name des Profile]
         # edit default
         # config radio-1
         # get
         # set channel-bonding [20MHz | 40MHz]
        name                : default
         # end
        comment            : default wids profile
        ap-scan            : disable
        wireless-bridge    : enable
        deauth-broadcast    : enable
        null-ssid-probe-resp: enable
        long-duration-attack: enable
        long-duration-thresh: 8200
        invalid-mac-oui    : enable
        weak-wep-iv        : enable
        auth-frame-flood    : enable
        auth-flood-time    : 10
        auth-flood-thresh  : 30
        assoc-frame-flood  : enable
        assoc-flood-time    : 10
        assoc-flood-thresh  : 30
        spoofed-deauth      : enable
        asleap-attack      : enable
        eapol-start-flood  : enable
        eapol-start-thresh  : 10
        eapol-start-intv    : 1
        eapol-logoff-flood  : enable
        eapol-logoff-thresh : 10
        eapol-logoff-intv  : 1
        eapol-succ-flood    : enable
        eapol-succ-thresh  : 10
        eapol-succ-intv    : 1
         eapol-fail-flood    : enable
        eapol-fail-thresh  : 10
        eapol-fail-intv    : 1
        eapol-pre-succ-flood: enable
        eapol-pre-succ-thresh: 10
        eapol-pre-succ-intv : 1
        eapol-pre-fail-flood: enable
        eapol-pre-fail-thresh: 10
        eapol-pre-fail-intv : 1
         deauth-unknown-src-thresh: 10


=== Was bedeutet "fast-roaming" und wie konfiguriere ich diese Funktion? ===
Nachfolgende eine kurze Erklärung betreffend der Bedeutung der verschiedenen WIDS Profile Positionen:


Wenn User sich in einem Netzwerk befinden/verbunden sind -speziell zB mit Mobile Devices- kann die Situation entstehen, dass diese von Forti Access Point zu Forti Access Point wandern dh. ausser Reichweite des einten Forti Access Point sind und in Reichweite zu einem anderen Forti Access Point kommen! In solch einer Situation wird die Verbindung unterbrochen und auf dem neuen -sich in Reichweite befindenden- Forti Access Point wieder verbunden. Dadurch wird eine nochmalige Authentifizierung ausgelöst. Möchte man diese abermalige Authentifikation verhindern so muss "fast-roaming" aktiviert werden. "fast-roaming" benützt 2 Unterschiedliche Techniken:
        [[Datei:Fortinet-361.jpg]]
        [[Datei:Fortinet-362.jpg]]


        '''• Pairwise Master Key (PMK) Caching'''
== Split Tunneling ==
        Aktiviert eine Radius Authentifikation und zwar indem ein Master-Key im Cache abgelegt wird der mit dem ersten AP mit dem sich der User zu Beginn
        verbunden hat ausgehandelt wird. Dies aktiviert 802.11i und ist auch bekannt als "fast roam back"!


        '''• Pre-authentication oder "fast-associate in advance"'''
=== Wie konfiguriere ich für eine Forti Access Point SSID die Funktion "Split Tunneling"? ===
        Aktiviert eine 802.11 Access Point der mit einem Client verbunden ist um den verbundenen Client auf "event." weiteren Access Points zu verbinden
 
        authentifizieren. Dies aktiviert PMK (Pairwise Master Key) auf möglichen weiteren Access Points auf dem sich der Client verbinden könnte dh. es
Wenn ein Forti Access Point zB für Remote benutzt wird, sei es als Remote Zugang und/oder in der Remote Lokation, konnten bis anhin im "Tunnel to Wireless Controller" Mode die lokalen Resourcen nicht direkt angegangen werden da im "Tunnel to Wireless Controller" Mode der Traffic unter FortiOS 5.0 ohne Ausnahme zum FortiGate Wireless Controller gesendet wird. Ab FortiOS 5.2 wurde die neue Funktion "Split Tunneling" implementiert. Dies bedeutet: anhand einer "Split Tunneling" Konfiguration auf der SSID wird definiert welche lokalen Resourcen existieren um den Zugriff direkt über die SSID zu erlauben ohne die SSID als "Local bridge with FortiAP's Interface" zu konfigurieren. Diese neue Funktion wird ausdrücklich nur im "Tunnel to Wireless Controller" Mode empfohlen! VLAN's im Zusammenhang mit der "Split Tunneling" Funktion wird nicht unterstützt. Wie schon erwähnt wird die Konfiguration auf der SSID durchgeführt resp. muss aktiviert werden. Danach muss im entsprechendne WTP Profile des Forti Access Point das "Split Tunneling" konfiguriert werden:
        veranlasst den Access Point auf dem der Client verbunden ist diesen PMK  abzulegen um zukünftige Authentifizierung für den Client durchzuführen
        ohne das dieser eine Authentifizierung selber/manuell abermals durchführen muss.


         # config wireless-controller vap
         # config wireless-controller vap
         # edit [wtp-profile Name]
         # edit [Name des entsprechenden SSID Profiles]
         # set fast-roaming enable
        # set split-tunneling enable
        # end
 
        # config wireless-controller wtp-profile
        # set split-tunneling-acl-local-ap-subnet enable
        # config split-tunneling-acl
        # edit [Gebe einen entsprechenden Integer an zB "1"]
         # set dest-ip [IPv4 Adresse plus Subnet Mask zB "192.168.10.0/24"]
        # end
         # end
         # end
       
        '''NOTE''' Die Option "fast-roaming" ist/wird per Standard auf jeder SSID aktiviert!


=== Was bedeutet "Client Load Balancing Access Point Hand-off" und wie konfiguriere ich diese Funktion? ===
Die Option "split-tunneling-acl-local-ap-subent" bezieht sich auf "ganze" Subnet des Forti Access Point und muss nur dann aktiviert werden, wenn das Subnet in dem sich der Forti Access Point befindet als "ganzes" Subnet freigegeben werden soll! Somit wenn nur eine bestimmte IPv4 Adresse freigegeben werden soll, muss diese Option nicht aktiviert werden und die einzelne IPv4 Adressen können unter "dest-ip" definiert werden. Wenn die Funktion des "split-tunneling" benutzt wird ist folgendes zu berücksichtigen: Im Fall eines aktivierten "split-tunnling" wird ein "NAT" (Network Address Translation) durchgeführt dh. der Client der über eine SSID verbunden ist und eine Anfrage an eine IPv4 Adresse die für ein "split-tunneling" konfiguriert ist, wird hinter der Management IPv4 Adresse des Forti Access Point ein Source NAT durchgeführt (Hide behind outgoing Interface). Somit komuniziert der Wireless Client/Host zur Destination IPv4 Adresse als Source IPv4 Adresse diese Management IPv4 Adresse des Forti Access Point und nicht die IPv4 Adresse die dem Wireless Client/Host über die SSID zugewiesen wurde. Die Management IPv4 Adresse des Forti Access Point, ist die IPv4 Adrresse die dem Forti Access Point zugewiesen wird, wenn sich der Forti Access Point zum Forti Wirless Controller verbindet (CAPWAP).


Diese Funktion wird benutzt im Zusammenhang mit dem "WiFi Load Balancing" (ab FortiOS 5.0 / 5.2). Die Funktionsweise des "Forti Access Point Hand-off" ist die folgende:
== CAPWAP / DTLS ==


        Ein "Hand-off" wird durch den Access Point ausgelöst anhand des "threshold" (Standard 30).
=== Wieviel Bandbreite steht mir über CAPWAP auf einem FortiGate Wireless Controller für Forti Access Points zur Verfügung? ===
        Wenn der "Load" auf einem Access Point den gesetzten "threshold" übersteigt, wird der WiFi
        Client angewiesen auf den nächsten Access Point und/oder Radio zu wechseln. Für diesen
        Wechsel -der "Hand-off" genannt wird- ist die Signalstärke des Client entscheidend (RSSI
        threshold). Dieser Wert erhält der Client vom zuständigen Access Point. Um zu verhindern
        das ein Zugriff auf den Client (durch Access Point) verhindert wird, werden wiederholende
        Anfragen zum Access Point - durch den WiFi Client, auf dem Access Point auf dem der WiFi
        Client momentan verbunden ist - akzeptiert. Diese Funktion nennt man "soft-limit".
       
        [[Datei:Fortinet-340.jpg]]


Folgendes Kommando kann benutzt werden um das "hand-off" auf dem entsprechenden Profil ein- oder auszuschalten sowie den "threshold" zu setzen:
Wenn Forti Access Point über den FortiGate Wireless Controller verwaltet werden und dabei SSID benutzt werden im "Tunnel to Wireless Controller" Mode, stellt sich die Frage wieviel Bandbreite für diese Forti Access Point über CAPWAP zur Verfügung steht. Dies bedeutet: Die CAPWAP Bandbreite gibt die maximale Grösse an die eine FortiGate Wireless Controller verarbeiten kann betreffend Forti Access Points Traffic. Somit wird die CAPWAP Grösse nicht pro Forti Access Point berrechnet sondern als Totale Bandbreite die zur Verfügung steht. Neu wird diese CAPWAP Bandbreite in den FortiGate Datasheet's aufgeführt als HTTP was wiederum bedeutet: Um eine Referenz zu erhalten wird die Bandbreite anhand des HTTP Protokolls referenziert. Weitere Informationen siehe nachfolgendes Dokument:


         # config wireless-controller wtp-profile
         [[Fortinet:ProduktInfo#FortiGate]]
        # edit [Name des zu editieren Profil]
        # set handoff-sta-thresh [Grenzwert des handoff; Standard 30]
        # config radio-1
        # set ap-handoff {disable | enable}
        # end
        # config radio-2
        # set ap-handoff {disable | enable}
        # end
        # end
       
        '''NOTE''' "handoff-sta-thresh" bedeutet: Der Durchschnitt (verbundene Clients) der erreicht werden soll auf einem Access Point,
              bevor diese angewiesen werden sich auf dem nächsten Access Point zu verbinden! Die Konfiguration kann ebenfalls im Web Mgmt.
              Interface innerhalb des Access Point Profile's für Radio-1 und/oder 2 durchgeführt werden jedoch kann die Funktion nur
              aktiviert oder deaktiviert werden. Um die "handoff-sta-thresh" zu konfigurieren muss die CLI benutzt werden!


=== Was bedeutet "Client Load Balancing Frequency Hand-off" und wie konfiguriere ich diese Funktion? ===
Somit steht diese CAPWAP Bandbreite ebenfalls in Zusamenhang mit den maximal Anzahl Forti Access Points die über einen FortiGate Wireless Controller verwaltet werden können. Weitere Informationen dazu siehe nachfolgender Artikel:


Diese Funktion wird benutzt im Zusammenhang mit dem "WiFi Load Balancing". Die Funktionsweise des "Access Point Frequenzy Hand-off" (ab FortiOS 5) ist die folgende:
        [[FortiAP:FAQ#Wieviele_Forti_Access_Points_k.C3.B6nnen_.C3.BCber_eine_FortiGate_Wireless_Controller_konfiguriert_werden.3F]]


        Der Wireless Controller überprüft in gewissen Abständen die WiFi Client's betreffend Ihrer
Nachfolgend eine Kurzübersicht über diesen "CAPWAP HTTP Throughput" für die Fortinet Produktelinie:
        Band-Fähigkeit (Frequenzen)! Ebenfalls wird durch den Wireless Controller betreffend dem
        WiFi Client die RSSI (Signal Stärke) überwacht und das auf allen möglichen Frequenzen. Wenn
        ein neuer WiFi Client sich verbinden will, überprüft der Wireless Controller die MAC Adresse
        des Client und schaut gleichzeitig in den "Tabellen" nach in denen die verschiednen Informationen
        abgelegt sind wie zB Band-Fähigkeit und RSSI (Signal Stärke). Daraus resultierend kann der
        Wireless Controller entscheiden ob der Device über "dual band" (2.4 GHz / 5 GHz verfügt oder
        nicht:
       
        [[Datei:Fortinet-341.jpg]]
       
        • Wenn der WiFi Client über "kein" Dual-Band verfügt: Wird dem WiFi Client erlaubt sich mit dem Access Point (2.4 GHz) zu verbinden!
         
        • Wenn der WiFi Client über Dual-Band verfügt mit "guter" Signal Stärke: Antwortet der Wireless Controller nicht auf die Anfrage
          betreffend 2.4 GHz sondern der WiFi Client wird angewiesen sich mit 5 GHz auf den Access Point zu verbinden. Um zu verhindern, dass
          ein Zugriff auf den Client verhindert wird, werden wiederholende Anfragen zum Access Point durch den WiFi Client auf dem Access
          Point auf dem sich der WiFi Client verbinden will akzeptiert.


          '''NOTE''' Einige Clients unterstützen diesen Vorgang selber dh. diese WiFi Clients unterstützen 2.4 GHz sowie 5 GHz. Ist beides vorhanden
        [[Datei:Fortinet-1357.jpg]]
              wird automatisch 5 GHz benutzt. Auf den Clients wird jedoch "nur" 5 GHz angezeigt. Ein Beispiel für solche Device's sind iOS
              Devices.


Das "frequency-off" respektive der "threshold" wird unter der Kommandozeile folgendermassen konfiguriert:
Wenn eine FortiGate Device über einen NP6 verfügt, kann dieser grundsätzlich den Traffic beschleunigen (Acceleration). Jedoch ist diese Funktion unter FortiOS 5.2 deaktiviert und nicht in Benutzung. Ab FortiOS 5.4 wird diese Funktion per Standard aktiviert um somit betreffend CAPWAP eine Beschleunigung zu ermöglichen.


        # config wireless-controller wtp-profile
=== Wird der CAPWAP Traffic zwischen einem FortiGate Wireless Controller und Forti Access Pointse verschlüsselt? ===
        # edit [Name des zu editieren Profil]
        # set handoff-rssi  [Grenzwert des handoff; Standard 25]
        # config radio-1
        # set ap-handoff {disable | enable}
        # end
        # config radio-2
        # set ap-handoff {disable | enable}
        # end
        # end
       
        '''NOTE''' "handoff-rssi" bedeutet die Durchschnittliche Signalstärke die erreicht werden muss durch einen Client bevor
              der Client auf den 5 GHz Bereich verschoben wird!


Die Konfiguration kann ebenfalls im WebGui durchgeführt werden jedoch kann die Funktion nur aktiviert oder deaktiviert werden. Um die "handoff-rssi" zu konfigurieren muss die CLI benutzt werden!
Der Traffic zwischen dem Ethernet "wan" Interface eines Forti Access Point und dem FortiGate Wireless Controller wird über einen CAPWAP Tunnel gesendet/empfangen. Dabei wird dieser Traffic "encapsulated" in einem "Data Channel" von CAPWAP. Wenn eine höhere Sicherheit gefordert wird zwischen dem FortiGate Wireless Controller und den Forti Access Point kann die DTLS Verschlüsselung ab FortiOS 5.0 Optional aktiviert werden. Weitere Informationen betreffend DTLS Verschlüsselung siehe nachfolgender Artikel:


=== Was bedeutet "TX Power" und wie konfiguriere ich diese Funktion? ===
        [[FortiAP:FAQ#Wie_konfiguriere_ich_f.C3.BCr_ein_Forti_Access_Point_WTP_Profile_eine_.22Data_Channel_Encryption.22_.28DTLS.29.3F]]


Bei "TX Power" handelt es sich um die Stärke des Signals für ein Forti Access Point! Benützt werden kann diese Funktion, wenn zwei Forti Access Points zu nah zueinander positioniert wurden und sich somit selber stören durch Interferenzen (channel overlapping)! Um dies zu verhindern, kann manuell der "TX Power" herabgesetzt werden. Neu unter FortiOS 5.0 / 5.2 kann diese Konfiguration automatisiert werden. Dies bedeutet folgendes:
=== Wie werden Forti Access Point über einen FortiGate Wireless Controller verwaltet/konfiguriert (CAPWAP)? ===


        • Ist das Signal grösser als 70dBm wird der TX Power auf "auto-power-low" (TX Power Low Standard 10dBm) gesetzt!
Der Standard der benutzt wird um die Forti Access Point über einen Fortigate Wireless Controller zu konfigurieren/verwalten ist CAPWAP (RFC 5415, RFC 5416, RFC 5417). Im folgenden Artikel wird erklärt wobei es sich bei CAPWAP handelt:
         
        • Ist das Signal kleiner als 70dBM wird der TX Power auf "auto-power-high" (TX Power High Standard 17dBm) gesetzt!


         '''NOTE''' Die Informationen über die Signalstärke wird durch den FortiGate WiFi Controller gesammelt und ausgewertet. Aus
         http://en.wikipedia.org/wiki/Lightweight_Access_Point_Protocol
            diesem Grund erkennt der WiFi Controller ein "channel overlapping" innerhalb des Forti Access Point Verbund der
 
            über dessen FortiGate WiFi Controller verwaltet wird. Desweiteren ist nachfolgende Tabelle Aufschlussreich betreffend
Die Ports die benutzt werden für CAPWAP sind per Standard:
            verwendeter Stärke in "dBm" resp. "milliwatt". Dabei ist zu berücksichtigen das wenn 50% TX Power benützt wird
 
            folgendes gilt:
        UDP 5246 und 5247
           
 
            50% of 100mW = 50mW was wiederum 17dBm entspricht
Ab FortiOS 5.0.3 kann die CAPWAP Funktion auf den jeweiliegen FortiGate Interfaces über die "Administrative Access" Funktion aktiviert und deaktiviert werden.
           
              0 dBm =  1 mW
              3 dBm =  2 mW
              6 dBm =  4 mW
              9 dBm =  7.9 mW
            12 dBm =  15.8 mW
            15 dBm =  31.6 mW
            18 dBm =  61.1 mW
            21 dBm = 125.9 mW
            24 dBm = 251.2 mW


Dieser Konfigurationspunkt kann im entsprechenden Access Point Profil konfiguriert werden:
        System > Network > Interfaces > [Wähle das entsprechende Interface] > Administrative Access > CAPWAP


        [[Datei:Fortinet-1278.jpg]]
Durch die Aktivierung von CAPWAP auf einem FortiGate Interface wird im Hintergrund eine automatische "Local-In" Policy konfiguriert, die den Traffic von CAPWAP vom Segment gemäss der Konfiguration des Interfaces und auf die IPv4 Adresse des FortiGate Interfaces zulässt. Die Verschlüsselung die für CAPWAP benutzt wird ist Zertifikat's basierend dh. Anhand Zertifikate auf dem FortiGate Wireless Controller sowie auf dem Forti Access Point! Per Standard ist der "Data Channel" der durch die Wireless Clients/Hosts benutzen wird um Ihre Daten zu senden sowie zu empfangen "clear-text". Um diesen "Data Channel" zu Verschlüsseln kann die DTLS Funktion auf dem FortiGate Wireless Controller aktiviert werden. Weitere Informationen dazu seieh nachfoglender Artikel:
       
        WiFi Controller > WiFi Network > FortiAP Profiles > [Wähle das entsprechende Profile] > [Radio-1 und/oder 2 "Auto TX Power Control / TX Power"]
       
        # config wireless-controller wtp-profile
        # edit [Name des Profile]
        # config radio-[1 oder 2]
        # set auto-power-level disable
        # set power-level 100
        # end


=== Was ist DFS (Dynamic Frequency Selection) Support und um was handelt es sich dabei? ===
        [[FortiAP:FAQ#Wie_konfiguriere_ich_f.C3.BCr_ein_Forti_Access_Point_WTP_Profile_eine_.22Data_Channel_Encryption.22_.28DTLS.29.3F]]


Dynamic Frequency Selection (DFS) ist ein Mechanismus, der von der europäischen Regulierungsbehörde ETSI für den Betrieb von WLAN-Geräten im 5-GHz-Frequenzbereich eingeführt wurde. Im 2003 eingeführten 802.11h-Standard, ist diese Funktion implementiert worden, so dass nun auch in der Schweiz der Betrieb von 5-GHz-WLAN-Geräten möglich ist. Mit DFS kann ein WLAN einen automatischen Kanalwechsel durchführen, falls auf dem verwendeten Kanal ein anderes Gerät erkannt wird. Hierdurch soll insbesondere vermieden werden, dass die in diesem Frequenzbereich arbeitenden Wetterradarsysteme durch WLAN's gestört werden. Um andere Systeme zu erkennen, muss der Kanal periodisch abgehört werden. Sobald ein fremder Sender erkannt wird, muss unverzüglich ein Wechsel des Kanals initiert werden. Die Auswahl des neuen Kanals erfolgt dabei zufällig und wird in der Regel vom Forti Access Point durchgeführt und anschließend den anderen Netzwerkteilnehmern mitgeteilt. Diese Funktion DFS im 5 GHz Bereich wird ab FortiOS 5.0.4 / 5.2 unterstützt und zwar auf den folgenden FortiAP:
Wenn es betreffend Wireless Clients/Hosts im Zusammenhang mit DTLS Verschlüsselung zu Performance Problemen kommt, die zurück zu führen sind auf Defragmentierung, gibt folgender Artikel Auskunft was getan werden kann:


         '''FAP-221B/C'''  (AB FortiOS 5.0.8 / 5.2.0 und nur für "European Union")
         [[FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_einen_Forti_Access_Point_innerhalb_des_CAPWAP_Tunnel_eine_IP_Fragmentierung_verhindern.3F]]
        '''FAP-222C'''    (AB FortiOS 5.2.3 und nur für "European Union")
        '''FAP-320B/C'''  (AB FortiOS 5.0.8 / 5.2.0 und nur für "European Union")


        [[Datei:Fortinet-843.jpg]]
Wenn DTLS Verschlüsselung aktiviert wird so wird empfohlen den oberen Artikel zu berücksichtigen und die Konfiguration zur Verhinderung einer Fragmentierung durchzuführen!


        [[Datei:DFS_Europe.pdf]]
=== Wie konfiguriere ich für ein Forti Access Point WTP Profile eine "Data Channel Encryption" (DTLS)? ===


Grundsätzlich gilt:
DTLS steht für "Data Channel Encryption". Der "Data Channel" wird benutzt um den Traffic der Wireless Clients/Hosts, der vom Forti Access Point "wan" Interface zum FortiGate Wireless Controller übermittelt wird, innerhalb CAPWAP als "Data Channel" zu verschlüsseln. Somti wird der "Data Channel" "encapsulated" im CAPWAP. Per Standard wird dieser Traffic nicht verschlüsselt (clear-text). Um eine Verschlüsselung innerhalb des "Data Channels" zu erreichen, wird die Funktion DTLS benutzt. Dabei ist zu berücksichtigen, dasd beide Seiten dh. der FortiGate Wireless Controller und der Forti Access Point gleichermassen konfiguriert werden müssen dh. DTLS aktiviert. Nur wenn beide Seiten DTLS aktiviert haben, wird eine Verschlüsselung etabliert. Ansonsten kommt keine Verbindung zu stande. Die Verschlüsselung selber wird durch den FortiGate Wireless Controller sowie den Forti Access Point etabliert. Dabei ist die nötige Performance, die diese Funktion in Anspruch nimmt, zu berücksichtigen (ca. 20% zusätzliche Belastung des CPU). Per Standard ist "clear-text" sowie "dtls" auf den Forti Access Point aktiviert. Somit kann über den FortiGate Wireless Controller die Funktion gesteuert werden. Wenn auf dem FortiGate Wireless Controller ebenfalls beides aktiviert wird dh. "Clear Text" und "DTLS" wird "Clear Text" benutzt. Die Konfiguration dh. die Funktion "dtls" und/oder "clear-text" wird im entsprechenden Access Point Profile konfiguriert. Wenn die "automatic" Funktion (kein WTP Profile) die ab FortiOS 5.0 zur Verfügung steht benutzt wird, kann nur "clear-text" benutzt werden. Um über Kommandozeile CLI die Verschlüsselung zu aktivieren führe folgendes durch:


         '''Das 5GHz Spektrum ist in verschiedene Bänder eingeteilt:'''
         '''Auf dem FortiGate Wireless Controller:'''
          
          
         UNI1  : 4 Kanäle
         # config wireless-controller wtp-profile
         UNI2  : 4 Kanäle
         # edit [Name des entsprechenden Profils]
         UNI2e : 7 Kanäle
         # set dtls-policy ["dtls-enabled" oder "clear-text"]
         UNI3  : 4 Kanäle
         # end


         '''Für die Schweiz gilt:'''
         '''Auf dem FortiAP:'''
          
          
         Indoor:  Für die Schweiz gilt UNI1 und UNI2 sprich Unteres 5 GHz Frequenzband (5.15 - 5.35 GHz)
         # cfg -a AC_DATA_CHAN_SEC=1
                Channels: 36 40 44 48 52'''*''' 56'''*''' 60'''*''' 64'''*'''
        # cfg -c
               
 
                '''*''' Nur mit DFS Support!
Für die Variable "AC_DATA_CHAN_SEC" gelten folgende Werte:
       
 
        Outdoor: Für die Schweiz gilt UNI2e sprich Oberes 5 GHz Frequenzband (5.47 - 5.725 GHz)
        • 0 is Clear Text
                Channels: 100'''*''' 104'''*''' 108'''*''' 112'''*''' 116'''*''' 120'''*''' 124'''*''' 128'''*''' 132'''*''' 136'''*''' 140'''*'''
        • 1 is DTLS Enabled
               
         • 2 is Clear T ext or DTLS Enabled (default)
                '''*''' Nur mit DFS Support!
 
         '''NOTE''' Die Channel's "52 56 60 64" dürfen in der Schweiz nur aktiviert werden wenn das Gerät DFS unterstützt und nur im
            Indoor Bereich! Ebenso dürfen die Channels "100 - 140" nur dann aktiviert werden wenn der Access Point im Ausenbereich
            eingesetzt wird. DFS ist zwingend für UNI2 und UNI2e!
 
Weitere technische Informationen zum DFS findet man unter folgenden Link:


        http://de.wikipedia.org/wiki/Dynamic_Frequency_Selection
Die Konfiguration auf dem Forti Access Point solle untern normalen Umständen nicht verändert werden da die Standard Konfgiguration "AC_DATA_CHAN_SEC=2" ist was wiederum bedeutet: Der Forti Access Point akzeptiert "clear-text" und/oder "dtls". Dies bedeutet wiederum die Funktion der DTLS Verschlüsselung kann über den FortiGate Wireless Controller gesteuert werden und muss auf dem Forti Access Pont nicht konfiguriert werden da dieser beide Methoden anbietet. Ebenfalls ist es für ein Troubleshooting möglich die Funktion ohne die Konfiguration zu ändern vorübergehend zu deaktivieren. Weitere Informationen dazu siehe nachfolgenden Artikel:
        http://en.wikipedia.org/wiki/List_of_WLAN_channels
       
        http://www.bakom.admin.ch/themen/geraete/00568/01232/index.html?lang=de


=== Um was handelt es sich beim "802.11g Protection Mode" und wie/wann aktiviere ich diese Funktion? ===
        [[FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_einen_Forti_Access_Point_die_DTLS_Funktion_f.C3.BCr_ein_Troubleshooting_vor.C3.BCbergehend_deaktivieren.3F]]


Beim "802.11g Protection Mode" handelt es sich um die im IEEE Standard beschriebene "RTS/CTS" (Request-to-send/Clear-to-send) Funktion innerhalb eines Wireless Netzwerk's! Bei RTS/CTS handelt es sich um ein Verfahren das Kollisionen im Wireless Netzwerk verringern kann/soll. Bei Wirless Netzerken hilft es auch das Problem des unsichtbaren Hosts zu lösen. Das ist der Fall, wenn zwei Stationen einen Access Point nutzen, sich aber gegenseitig nicht hören können. Dieser Prozess kann den Datendurchsatz verlangsamen. In den Wireless Netzwerken, in denen eine hohe Performance sehr wichtig ist, sollte die Anzahl der 802.11b Komponenten minimiert werden oder besser gegen 802.11g Produkte ausgetauscht werden. Weitere Informationen zu "RTS/CTS" findet man unter folgenden Link:
=== Wie kann ich für einen Forti Access Point innerhalb des CAPWAP Tunnel eine IP Fragmentierung verhindern? ===


        http://de.wikipedia.org/wiki/Carrier_Sense_Multiple_Access/Collision_Avoidance#RTS.2FCTS_Koordination
Die MTU Size auf den meisten Betriebsystemen ist auf max MTU Size 1500 gesetzt. Dieser Wert stellt eher ein suboptimalen Wert dar dh. wenn ein Wireless Client/Host ein grosses Packet über ein Forti Access Point sendet verfügt dieses Packet über eine max. MTU Size von 1500. Da dieses Packet auf dem Forti Access Point verschlüsselt werden muss, um über den CAPWAP Tunnel versendet zu werden, muessen Informationen zum 1500 MTU Size grossen Packet hinzugefügt werden. Geschieht dies, kann dieses Packet nicht mehr in einem Packet versendet werden da die Grösse max MTU Size 1500 übersteigt. Somit müssen in dieser Situation zwei Packete versendet werden. Dies stellt eine Defragmentierung dar und beieinträchtigt die Performance da anstelle eines Packets zwei Packete versendet werden müssen. Unter normalen Umständen geschieht dies nicht auf den Forti Access Point zurück zuführen auf den "overhead" des CAPWAP Tunnels da diese Information sehr klein sind. Wird jedoch DTLS Verschlüsselung aktiviert, muss diese Information auf dem Forti Access Point ebenfalls zu den existierendnen Headers hinzugefügt werden und dabei kommt es mit ziemlich grosser Sicherheit zu einer Fragmentierung. Aus diesem Grund wird empfohlen im Zusammehang mit DTLS Verschlüsselung die nachfolgend Konfiguration durchzuführen. Durch diese nachfolgende Konfiguration wird der Wireless Client/Host angewiesen kleinere Packete zu versenden (max. transmission unit) anstelle der max. MTU Size 1500 um einen Fragementierung durch zusätzlich hinzugefügte TCP Header Informationen zu verhindern. Dies kann auf der CLI folgendermassen durchgeführt werden:
 
Ab FortiGate 5.0.6 / 5.2 sowie FortiAP 5.0.7 / 5.2  kann dieser "802.11g Protection Mode" manipuliert werden dh. dieser kann auf CTS only gesetzt werden oder RTS/CTS. Per Standard steht der Wert auf "disable":


         # config wireless-controller wtp-profile
         # config wireless-controller wtp-profile
         # edit [Name des Profiles]
         # edit [Wähle das entsprechende Profile]
         # config [Wähle den entsprechenden Radio im 5 GHz Bereich zB "radio-1"]
         # set ip-fragment-preventing [tcp-mss-adjust | icmp-unreachable]
         # set protection-mode [ctsonly | disable | rtscts]
        # set tun-mtu-uplink [0 | 576 | 1500]
         # set tun-mtu-downlink [0 | 576 | 1500]
         # end
         # end
         # end
         # end
        # end
       
        '''NOTE''' Durch die Deaktivierung "disable" des Protection Mode kann nicht erreicht werden, dass sich 802.11a und/oder
            802.11b Clienst verbinden können resp. ausgeschlossen werden! Jedoch wird durch die Aktivierung dieses Modus
            Focus auf 802.11g gesetzt und die 802.11a/b Client's vernachlässigt.


Aus diesen Informtionen stellt sich die Frage "wann" dieser Mode eingeschaltet werden soll und wenn nicht. Die Antwort ist nicht generell zu beantworten jedoch kann man Grundsätzlich von Folgendem ausgehen:
        '''tcp-mss-adjust'''
        Ist per Standard aktiviert und bedeutet folgendes: Dies Option veranlasst den Forti Access Point den Wireless Client ein "max sgement size" (MSS)
        zu senden. Der Forti Access Point fügt dem "SYN" Packet ein kleineren Wert betreffend MSS hinzu. Dies wird durchgeführt wenn der Wireless Client
        mit dem Forti Access Point Verbindung aufnimmt. Dadurch wird der Wireless Client aufgefordert kleinere Packete zu senden als der Wert "tun-mtu-uplink"
        und somit kann der Forti Access Point den Overhead des CAPWAP/DTLS hinzufügen und eine Fragmentierung verhindern.


         • Wenn der Forti Access Point sowie die WiFi Clients ausschliesslich 802.11g und/oder 802.11n benutzenm kann der
         '''icmp-unreachable'''
          Protect Mode ausgeschaltet (deaktiviert) werden um die Performance zu erhöhen da der Overhead von RTS/CTS wegfällt:
        Ist per Standard deaktiviert und bedeutet folgendes: Diese Option beeinflusst sämtlichen Traffic dh. UDP und TCP. Diese Option bewirkt, dass der Forti
         
        Access Point Packete verwirft die im TCP Header mit dem Bit "Don't Fragment" markiert sind jedoch über die Grösse verfügen für eine Fragmentierung.
          protection-mode disabled            = Hoher Durchsatz für 802.11g und/oder 802.11n da der Overhead von RTS/CTS wegfällt
        Wenn dies eintrifft, sendet der Forti Access Point ein Packet zum Wireless Controller:
       
        Type 3 "ICMP Destination unreachable" With Code 4 "Fragmentation Needed and Don't Fragment was Set"
       
        Dies bewirkt wiederum beim Wireless Client, dass dieser kleinere Packete (UDP und/oder TCP) sendet um eine Fragmentierung zu verhindern.


         • Wenn der Forti Access Point sowie die Clients zu 802.11g und/oder 802.11n ebenfalls 802.11b benutzen, sollte der
         '''tun-mtu-uplink'''
          Protect Mode RTS/CTS oder CTS aktiviert werden um eine Rückwärtskompatibilität gegenüber 802.11b zu gewährleisten
        Per Standard auf "0" gesetzt (Setze diesen Wert auf TCP MTU 1500)!
          und diese "vor" 802.11g und/oder 802.11n Uebermittlungen zu schützen:
         
          protection-mode ctsonly oder rtscts  = Tiefer Durchsatz für 802.11g und/oder 802.11n da Overhead jedoch guter Durchsatz für 802.11a und/oder 802.11b


=== Um was handelt es sich bei der Option "beacon-interval" und wann soll ich diese Funktion manipulieren? ===
        '''tun-mtu-downlink'''
        Per Standard auf "0" gesetzt (Setze diesen Wert auf TCP MTU 1500)!


Ein Wireless Access Point sendet in einstellbaren Intervallen (set beacon-intervall 100) kleine Datenpakete, sogenannte "Beacons" (Leuchtfeuer) an alle Stationen im Empfangsbereich. Die Beacons enthalten u. a. folgende Informationen:
Wenn "tcp-mss-adjust" oder "icmp-unreachable" aktiviert ist und der Wert für "tun-mtu-uplink/downlink" auf TCP MTU 1500 wird der Wireless Client/Host angewiesen keine grösseren Packete zu senden als "1500". Dies bewirkt, dass die Packete die nach Erhalt in den CAPWAP Tunnel gesendet werden, nicht fragementiert werden müssen.


        -> Netzwerkname ("Service Set Identifier", SSID)
=== Wie kann ich für einen Forti Access Point die DTLS Funktion für ein Troubleshooting vorübergehend deaktivieren? ===
        -> Liste unterstützter Übertragungsraten
        -> Art der Verschlüsselung


Dieses "Leuchtfeuer" erleichtert den Verbindungsaufbau ganz erheblich, da die Clients lediglich den Netzwerknamen und optional einige Parameter für die Verschlüsselung kennen müssen. Gleichzeitig ermöglicht der ständige Versand der Beacon-Pakete die Überwachung der Empfangsqualität – auch dann, wenn keine Nutzdaten gesendet oder empfangen werden. Beacons werden immer mit der niedrigsten Übertragungsrate (1 MBit/s) gesendet, der erfolgreiche Empfang des "Leuchtfeuers" garantiert also noch keine stabile Verbindung mit dem Netzwerk. Der "beacon-interval" ist ein fixer Parameter der Konfiguriert wird. Bei einer FortiGate steht dieser auf 100 Millisekunden. Dies bedeutet: 100 steht für den Interval in Millisekunden für die Versendung der "beacon's". Im normal Fall sollte der Wert nicht manipuliert werden denn: Ist der "beacon-interval" hoch bedeutet dies eine hohe Kapazität auf dem Access Point sprich viele Client können sich auf dem Access Point verbinden (es werden weniger "beacon's" versendet). Bedeutet jedoch auch: Die Clients benötigen eine sehr lange Zeit bis die Verbindung zustande kommt da der Interval in Millisekunden der "beacon's" höhere ist. Wenn man den Interval der "beacon's" verkleinert werden die passiven Scan's der Client schneller beantwortet also ist die Verbindung schneller jedoch sinkt die Kapazität des Access Point (es werden mehr "beacons" versendet). Wenn man einen Forti Access Point in einer Umgebung einsetzt mit vielen Interferenzen sollten die "beacon's" herabgesetzt werden um die Netzwerk Performance/Qualität zu erhöhen (es werden mehr "beacon's" versendet). In einer Umgebung mit wenig Interferenzen oder wenigen Clients sollte der "beacon" erhöht werden um mehr Kapazität zu schaffen. Der Befehl um den "beacon's" zu manipulieren wäre der folgende:
Die DTLS Funktion dh. "Data Channel Encryption" wird im entsprechenden WTP Profile eines Forti Access Point aktiviert resp. deaktiviert. Da auf dem Forti Access Point die DTLS Funktion auf "clear-text und "DTLS" zur Verfügung steht, kann die Funktion über den FortiGate Wireless Controller gesteuert resp. konfiguriert werden dh. im entsprechenden WTP Profile aktiviert und/oder deaktiviert werden. Wenn aus irgendwelchen Gründen dies nicht möglich ist und die Funktion nur vorübergehend deaktiviert werden soll, kann dies über "diagnose wireless" Funktion für einen entsprechenden Forti Access Point durchgeführt werden. Dazu muss folgendes ausgeführt werden:


         # config system wireless-controller wtp-profile
        '''Liste alle Forti Access Points auf dem FortiGate Wirless Controller auf:'''
         # edit [Name des Profiles]
       
         # config radio-[1 | 2]
         # config wireless-controller wtp
         # set beacon-inteval [40 - 3500 Millisekunden; Standard 100]
         # get
        == [ FAP14C3X13000543 ]
         wtp-id: FAP14C3X13000543   
        == [ FP221C3X14001296 ]
         wtp-id: FP221C3X14001296   
        == [ FAP21D3U14000144 ]
        wtp-id: FAP21D3U14000144   
        == [ FAP24D3X14000101 ]
        wtp-id: FAP24D3X14000101
         # end
         # end
        '''Aktiviere vorübergehend die "plain-ctl" Funktion (DTLS deaktiviert) auf einem entsprechenden Forti Access Point:'''
          
          
         '''NOTE''' Der Standard Wert 100 für "beacon's" ist unter normalen Umständen nicht zu manipulieren! Kommt es zu Problemen
         # diagnose wireless wlac plain-ctl FAP21D3U14000144 1
            sollte bevor der Interval der "beacon's" manipuliert wird event. die Option "probe-resp-suppresion" konsultiert werden
       
            Dazu siehe folgender Artikel:
        WTP 0-FAP21D3U14000144 Plain Control: '''enabled'''
           
            [[FortiAP:FAQ#Um_was_handelt_es_sich_bei_der_Funktion_.22Probe_Respond_Suppression.22_und_wann_soll_ich_diese_Funktion_aktivieren.3F]]


=== Um was handelt es sich bei der Funktion "Probe Respond Suppression" und wann soll ich diese Funktion aktivieren? ===
Wenn die Option "1" benutzt wird so wird auf dem FortiGate Wireless Controller die Funktion "Plain Control" aktiviert. Wenn nachträglich die Option "0" benutzt wird so wird die "Plain Control" wiederum deaktiviert! Ebenso kann die Funktion "plain-ctl" Lokal auf dem Forti Access Point über "telnet" aktiviert resp. deaktiviert werden. Nachfolgender Artikel gibt Auskunft wie man Zugriff über "telnet" auf einen Forti Access Point erlangt:


Um dem Client eine Verbindung auf einen Access Point zu ermöglichen sendet der Access Point in bestimmten Intervallen "beacon's" aus. Weitere Informationen betreffend "beacon's" siehe nachfolgender Artikel:
        [[FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F]]


         [[FortiAP:FAQ#Um_was_handelt_es_sich_bei_der_Option_.22beacon-interval.22_und_wann_soll_ich_diese_Funktion_manipulieren.3F]]
         '''Aktiviere dei "plain-ctl" Funktion auf dem Forti Access Point:'''
       
        Nachdem einloggen kann folgendes Kommando Lokal auf dem Forti Access Point eingegeben werden um die "plain-ctl" Funktion zu aktivieren:
       
        # cw_diag plain-ctl 1


Auf der Client Seite gibt es eine ähnliche Funktion und zwar "probe request". Diese Frame's ähneln der "beacon's" jedoch führen diese "probe response" Frame's die auf einen "probe request" gesendet werden keine Traffic Indication Message (TIM) Informationen. Zum Beispiel werden diese "probe request" Frame vom Client an den Access Point gesendet um über den "probe response" Informationen über einen Client im gleichen WLAN zu erhalten. Ebenfalls wird zB diese Funktion von "sniffing" Applikationen verwendet um genau diese Informationen über den "probe response" zu erhalten. Diese Funktion wird auf dem Access Point über die folgende Option gesteuert:
        '''Nachdem Troubleshooting deaktiviere die "plain-ctl" Funktion (DTL aktiviert) auf einem entsprechenden Forti Access Point:'''
       
        # diagnose wireless wlac plain-ctl FAP21D3U14000144 0
       
        WTP 0-FAP21D3U14000144 Plain Control: '''disabled'''
       
        Ebenfalls muss auf dem entsprechenden Forti Access Point die "plain-ctl" Funktion deaktiviert werden:
       
        # cw_diag plain-ctl 0


        # config wireless-controller vap
Weitere Informationen zur Funktion DTLS siehe nachfolgender Artikel:
        # edit [Name der entsprechenden SSID]
 
         # set probe-resp-suppression [enable | disable]
         [[FortiAP:FAQ#Wie_konfiguriere_ich_f.C3.BCr_ein_Forti_Access_Point_WTP_Profile_eine_.22Data_Channel_Encryption.22_.28DTLS.29.3F]]
        # set probe-resp-threshold [Möglicher Range [-20,-95]dBm; Standard -80dBm sofern aktiviert]
        # next
        # end
       
        '''NOTE''' Per Standard ist "probe-resp-suppression" deaktiviert dh. die Unterdrücken der Funktion ist deaktiviert.
            Die Funktion kann nicht komplett deaktiviert werden durch "enable" jedoch kann durch die Werte "dBm"
            gesetzt werden in "welchem Range" ein "prope response" gesendet werden soll. "probe request" ausserhalb
            des Ranges werden nicht mehr beantwortet mit einem "probe response". Ebenfalls ist zu berücksichtigen, dass
            viele Mobile Clients diese Funktion -sobald eine Verbindung zu einem Access Point etabliert wurde- deaktivieren
            um deren Akkus zu schonen!


=== Was bedeutet die Option "ekahau-blink-mode" im WTP Profil und wann benötige ich diese? ===
== Channel ==


Die Option "ekahau-blink-mode" stellt einen Service dar für das "Real-Time Location System" von Ekahau Vision. Diese System erlaubt es Informationen zum diesem Dienst von Ekahau Vision zu senden um das "Real-Time Location System" zu benützen. Dies bedeutet diese Option steht nur im Zusammenhang mit diesem Dienst und muss auch nur dann aktiviert werden wenn dieser Dienst genutzt wird:
=== Welche Radio "channel" muss ich auf dem Forti Access Point für verschiedenen Ländern benutzen? ===
 
        # config wireless-controller wtp-profile
        # edit [Name des entsprechenden Profiles]
        # config lbs
        # set ekahau-blink-mode [enalbe | disable]
        # set ekahau-tag [ Mac Adresse xx:xx:xx:xx:xx:xx]
        # set erc-server-ip [IPv4 Adresse]
        # set erc-server-port [Port Nummer]
        # end
        # end
 
=== Was bedeutet die Option "coexistence" im WTP Profil und wann benötige ich diese? ===
 
Wenn man ein Profile konfiguriert existiert in den "radio-1 oder 2" settings eine Option mit dem Namen "coexistence". Diese Option steht im Zusammenhang mit den Modi "802.11n und 802.11ac" und somit für 2.4GHz und 5GHz. Dies bedeutet gesetzt wird die Option folgendermassen:
 
        # config wireless-controller wtp-profile
        # edit [Name des Profiles]
        # config radio-1
        # set channel-bonding [20MHz | 40MHz | 80MHz]
        # set coexistence [enable | disable]
        # end
        # end
 
Die Option steht im direkten Zusammenhang mit dem "channel-bonding". Dies bedeutet: ist das "channel-bonding" auf 20MHz gesetzt steht die Option "coexistence" nicht zur Verfügung da der 40MHz Bereich nicht aktiviert ist. Wenn das "channel-bounding" auf 40MHz gesetzt ist kann die "coexsistence" aktiviert werden (enable) was wiederum bedeutet das 20MHz und 40MHz koesistierten resp. beide erlaubt sind. Die Option "coexistence" definiert den HT20 resp. HT40 Mode was wiederum bedeutet:
 
        HT20 = Einzelner 20MHz Channel
        HT40 = 2 X 20Mhz Channels und Autoselektierung des Sekundären höherer und tieferen Channels
 
Wenn somit ein "channel-bounding" aktiviert wird auf 40MHz  jedoch die "coexistence" deaktiviert ist so wird 20MHz als Sekundärer Channel ausgeschlossen. Aus kompatibilitäts Gründen sollte dies nicht konfiguriert werden, kann jedoch in Ausnahmen Sinn machen wenn die Performance ausschlaggeben ist jedoch klar damit gerechnet wird das Geräte im 20MHz Bereich damit ausgeschlossen werden.
 
== Channels ==
 
=== Welche Radio Channels existieren in den vers. Ländern? ===


Folgende Tabellen geben Aufschluss welche "Radio Channel" in den verschiedenen Ländern existieren:
Folgende Tabellen geben Aufschluss welche "Radio Channel" in den verschiedenen Ländern existieren:
Zeile 4.605: Zeile 4.852:
         [[Datei:Fortinet-304.jpg]]
         [[Datei:Fortinet-304.jpg]]
          
          
        '''NOTE''' Zu Berücksichtigen ist der DFS (Dynamic Frequency Selection) Support! Weitere Informationen
Für den 5 GHz "channel" ist dabei der DFS (Dynamic Frequency Selection) Support der einzelnen Forti Access Points zur Verfügung steht zu berücksichtigen! Weitere Informationen dazu siehe nachfolgender Artikel:
            siehe Artikel:
              
              
            [[FortiAP:FAQ#Was_ist_DFS_.28Dynamic_Frequency_Selection.29_Support_und_um_was_handelt_es_sich_dabei.3F]]
        [[FortiAP:FAQ#Was_bedeutet_es_wenn_ein_Forti_Access_Point_.C3.BCber_den_DFS_.28Dynamic_Frequency_Selection.29_Support_verf.C3.BCgt.3F]]


         [[Datei:Fortinet-305.jpg]]
         [[Datei:Fortinet-305.jpg]]
Zeile 4.614: Zeile 4.860:
         [[Datei:Fortinet-306.jpg]]
         [[Datei:Fortinet-306.jpg]]


=== Was bedeutet "overlapping wifi channels"? ===
=== Was bedeutet es wenn ein Forti Access Point über den DFS (Dynamic Frequency Selection) Support verfügt? ===


Wireless-Verbindungen funktionieren auf Frequenzbändern auch Kanäle genannt. Einer der Gründe, dass eine WiFi Verbindung langsam ist/wird, ist das der gewählte Kanal bereits benutzt wird und somit die Verbindung beeinträchtigt wird. Somit sollte man dieses "overlapping" möglichst verhindern. Nachfolgend eine Abbildung für den 2.4 sowie 5 GHz Bereich des "overlapping":
Dynamic Frequency Selection (DFS) ist ein Mechanismus, der von der europäischen Regulierungsbehörde ETSI für den Betrieb von WLAN-Geräten im 5-GHz-Frequenzbereich eingeführt wurde. Im 2003 eingeführten 802.11h-Standard ist diese Funktion implementiert worden und zwar so dass nun auch in der Schweiz der Betrieb von 5-GHz-WLAN-Geräten möglich ist. Mit DFS kann ein WLAN einen automatischen Kanalwechsel durchführen, falls auf dem verwendeten Kanal ein anderes Gerät erkannt wird. Dadurch soll insbesondere vermieden werden, dass die in diesem Frequenzbereich arbeitenden Wetterradarsysteme durch WLAN's gestört werden. Um andere Systeme zu erkennen, muss der Kanal periodisch abgehört werden. Sobald ein fremder Sender erkannt wird, muss unverzüglich ein Wechsel des Kanals initiert werden. Die Auswahl des neuen Kanals erfolgt dabei zufällig und wird in der Regel vom Forti Access Point durchgeführt und anschließend den anderen Netzwerkteilnehmern mitgeteilt. Diese Funktion DFS im 5 GHz Bereich wird ab FortiOS 5.0.4 unterstützt und zwar nur auf spezifischen Fortinet Modellen wie:


         [[Datei:Fortinet-330.jpg]]
         • FAP-221B/C  Ab FortiOS 5.0.8 / 5.2.0 und nur für "European Union"
        • FAP-222C    Ab FortiOS 5.2.3 und nur für "European Union"
        • FAP-320B/C  Ab FortiOS 5.0.8 / 5.2.0 und nur für "European Union"


Um herauszufinden welchen Kanal in der Umgebung verwendet wird, kann der Monitor auf dem FortiGate WiFi Controller benutzt werden. Siehe auch:
        [[Datei:Fortinet-843.jpg]]


         [[FortiAP:FAQ#Gibt_es_eine_M.C3.B6glichkeit_die_Forti_Access_Point_zu_.C3.BCberwachen_.28Health_Monitor.29.3F]]
         [[Datei:DFS_Europe.pdf]]


Dies bedeutet: man setzt einen "Radio" auf einem Access Point in den "Monitor" Modus (Dedicated Monitoring) und kann so die Umgebung scannen um zu sehen welche Kanäle verwendet werden. Der Grundsatz lautet immer 4 Kanäle freizulassen zwischen den gewählten Kanälen zB "3", "8" sowie "13". Vergleicht man die gewählten Kanälen mit der Abbildung oben sieht man, dass so die kleinste Ueberlappung stattfindet. Alle Kanäle anzuwählen und "Radio Provisioning" zu aktivieren ist nicht empfohlen! Jedoch ist es unabdingbar die DARRP Funktion zu aktivieren um den Forti Access Point zu ermöglichen bei einem "overlapping" den Kanal zu wechseln:
Grundsätzlich gilt folgendes:


         [[FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Radio_Resource_Provisioning.22_.28ARRP.2FDARRP.29.3F]]
        '''Das 5GHz Spektrum ist in verschiedene Bänder eingeteilt:'''
         [[FortiAP:FAQ#Wie_kann_ich_herausfinden_welche_.22channel.27s.22_ich_benutzen_soll_auf_einem_Forti_Access_Point_um_.22overlapping.22_zu_verhindern.3F]]
       
 
        UNI1  : 4 Kanäle
=== Wie kann ich herausfinden welche "channel's" ich benutzen soll auf einem Forti Access Point um "overlapping" zu verhindern? ===
        UNI2  : 4 Kanäle
 
        UNI2e : 7 Kanäle
Wenn ein Forti Access Point eigerichtet wird, müssen die "channel's" (Kanäle) (speziell im 2.4 GHz Bereich) definiert/konfiguriert werden. Dazu stehen in der Schweiz (set country CH) 13 Kanäle zur Verfügung. Alle Kanäle zu selektieren sowie DARRP wäre die falsche Vorgehensweise da es so gezwungenermassen zu einem "ovelapping wifi channels" kommt. Weitere Informationen zu den Länderspezifischen Channels sowie DARRP siehe folgende Artikel:
        UNI3  : 4 Kanäle
 
 
         [[FortiAP:FAQ#Welche_Radio_Channels_existieren_in_den_vers._L.C3.A4ndern.3F]]
        '''Für die Schweiz gilt:'''
         [[FortiAP:FAQ#Was_bedeutet_.22overlapping_wifi_channels.22.3F]]
       
         [[FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Radio_Resource_Provisioning.22_.28ARRP.2FDARRP.29.3F]]
        Indoor:  Für die Schweiz gilt UNI1 und UNI2 sprich Unteres 5 GHz Frequenzband (5.15 - 5.35 GHz)
 
                Channels: 36 40 44 48 52'''*''' 56'''*''' 60'''*''' 64'''*'''
Eine Variante ist die Kanäle über die "dedicated monitoring" zu erkennen und zu analysieren. Eine weitere wäre die Umgebung mit einem Tool zu analysieren wie zB SSIDer. Weitere Informationen zu Tools wie SSIDer siehe folgender Artikel:
               
                '''*''' Nur mit DFS Support!
       
        Outdoor: Für die Schweiz gilt UNI2e sprich Oberes 5 GHz Frequenzband (5.47 - 5.725 GHz)
                Channels: 100'''*''' 104'''*''' 108'''*''' 112'''*''' 116'''*''' 120'''*''' 124'''*''' 128'''*''' 132'''*''' 136'''*''' 140'''*'''
               
                '''*''' Nur mit DFS Support!
 
Die Kanäle "52 56 60 64" dürfen in der Schweiz nur aktiviert werden, wenn das Gerät DFS unterstützt und nur im Indoor Bereich! Ebenso dürfen die Kanäle "100 - 140" nur dann aktiviert werden, wenn der Forti Access Point im Ausenbereich eingesetzt wird. DFS ist zwingend für UNI2 und UNI2e! Weitere technische Informationen zum DFS findet man auch unter folgenden Link:
 
        http://de.wikipedia.org/wiki/Dynamic_Frequency_Selection
        http://en.wikipedia.org/wiki/List_of_WLAN_channels
       
        http://www.bakom.admin.ch/themen/geraete/00568/01232/index.html?lang=de
 
=== Was bedeutet "overlapping wifi channels" für einen Radio eines Forti Access Point Konfiguration? ===
 
Wireless Verbindungen funktionieren auf Frequenzbändern auch Kanäle (channel) genannt. Einer der Gründe, dass eine Verbindung Verbindung langsam ist/wird, ist das der gewählte Kanal bereits benutzt wird durch andere Forti Access Points oder fremde Access Poinst. Dadurch wird die Verbindung und schlussendlich die Performance beeinträchtigt. Aus diesem Grund sollte man dieses "overlapping" möglichst verhindern. Nachhfolgend eine Abbildung für den 2.4 GHz sowie 5 GHz Bereich der die verschiedenen Kanäle aufzeigt und dadurch entstehendes "overlapping":
 
        [[Datei:Fortinet-330.jpg]]
 
Um herauszufinden welchen Kanal in der Umgebung verwendet wird durch eigenen Forti Access Point oder fremde Access Points, kann der Monitor auf dem FortiGate Wireless Controller benutzt werden. Siehe auch:
 
         [[FortiAP:FAQ#Gibt_es_eine_M.C3.B6glichkeit_die_Forti_Access_Points_.C3.BCber_den_FortiGate_Wireless_Controller_zu_.C3.BCberwachen_.28Health_Monitor.29.3F]]
         [[FortiAP:FAQ#Wie_kann_ich_auf_einem_Forti_Access_Point_herausfinden_welche_.22channel.22_ich_benutzen_soll_um_.22overlapping.22_zu_verhindern.3F]]
 
Dies bedeutet: man setzt einen "radio" auf einem Forti Access Point in den "Monitor" Modus (Dedicated Monitoring) und kann so die Umgebung scannen um zu sehen welche Kanäle verwendet werden. Der Grundsatz lautet immer 4 Kanäle freizulassen zwischen den gewählten Kanälen zB "3", "8" sowie "13". Vergleicht man die gewählten Kanälen mit der Abbildung oben sieht man, dass so die kleinste Ueberlappung stattfindet. Somit muss in erster Stelle die Umgebung kurz analysiert werden um festzustellen welche Kanäle bereits benutzt werden. Danach kann im entsprechednen WTP Profile die entsprechenden Kanäle speziell im 2.4 GHz Bereich ausgewählt werden. Alle Kanäle zB im 2.4 GHz Bereich zu aktivieren und "Radio Resource Provisioning" zu aktivieren ist nicht empfohlen! Jedoch ist es unabdingbar das "Radio Resource Provisioning" (DARRP) in jedem Fall zu aktivieren um den Forti Access Point zu ermöglichen bei einem "overlapping" den Kanal zu wechseln. Weitere Informationen zum "Radio Resource Provisioning" siehe nachfolgender Artikel:
 
        [[FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Radio_Resource_Provisioning.22_.28ARRP.2FDARRP.29_innerhalb_einer_WTP_Profile_Konfiguration.3F]]
 
Desweiteren ist folgendes zu berücksichtigen: Wird eine Umgebung mit mehreren Forti Access Points aufgebaut ist es nicht zu empfehlen für alle Forti Access Points obwohl es sich um die gleichen Modelle handelt das gleiche WTP Profile zu benutzen. Wenn dies dennoch konfiguriert wird und der FortiGate Wireless Controller bemerkt ein "overlapping" wird da alle Forti Access Point das gleiche WTP Profile benutzen für alle den Kanal gewechselt. Damit sollten logisch gesehen für eine Umgebung mit mehreren Forti Access Point diese anhand mehrerer WTP Profiles betrieben werden. Konkret bedeutet dies folgendes: Muss eine Umgebung aufgebaut werden in einem Gebäude zB 3 Stockwerke sollten für jedes Stockwern mind ein WTP Profile konfiguriert werden mit unterschiedlichen Kanälen. Zustätzlich sollte analysiert werden ob die einzelnen Forti Access Points in den einzelnen Stockwerken oder über die einzelnen Stockwerke hinweg sich sehen. Ist dies der Fall sollte auch hier einzelne WTP Profiles konfiguriert werden. Dies kann mit einem einfachen Trick bewerkstelligt werden. Ueber Mgmt. Web Interface oder über CLI konfiguriere ein entsprechendes WTP Profile. Nach der Konfiguration führe auf der CLI folgendes aus:
 
        # show wirless-controller wtp-profile [Name des konfigurierten WTP Profiles]
 
Danach wird als Beispiel folgendes ausgegeben auf der CLI:
 
        config wireless-controller wtp-profile
            edit "FAP-1-Stock-Rechts"
                set comment "FortiAccess Point FAP221C Stock 1 Rechts"
                config platform
                    set type 221C
                end
                set ap-country CH
                config radio-1
                    set band 802.11n
                    set wids-profile "local-default.local"
                    set darrp enable
                    set vap-all disable
                    set vaps "fortinet4guest" "fortinet4intern"
                    set channel "3" "8" "13"
                end
                config radio-2
                    set band 802.11ac
                    set darrp enable
                    set vap-all disable
                    set vaps "fortinet4guest" "fortinet4intern"
                    set channel "36" "40" "44" "48" "52" "56" "60" "64"
                end
            next
        end
 
Nun kopiere den "output" in ein Text File und ändere folgende Position ab:
 
        config wireless-controller wtp-profile
            edit '''"FAP-1-Stock-Links"'''
                set comment '''"FortiAccess Point FAP221C Stock 1 Links"'''
                config platform
                    set type 221C
                end
                set ap-country CH
                config radio-1
                    set band 802.11n
                    set wids-profile "local-default.local"
                    set darrp enable
                    set vap-all disable
                    set vaps "fortinet4guest" "fortinet4intern"
                    set channel '''"1" "6" "11"'''
                end
                config radio-2
                    set band 802.11ac
                    set darrp enable
                    set vap-all disable
                    set vaps "fortinet4guest" "fortinet4intern"
                    set channel "36" "40" "44" "48" "52" "56" "60" "64"
                end
            next
        end
 
Führe dies durch führ jedes WTP Profile resp. Forti Access Point. Danach kann der "output" wiederum 1:1 per copy/paste in die CLI des FortiGate Devices reinkopiert werden. Nun als letzten Schritt muss nur noch das entsprechende WTP Profile dem entsprechenden Forti Access Point zugewiesen werden. Somit verfügt jeder Forti Access Point über sein eigenes kontrollierbares und konfigurierbares WTP Profile und kann bei Problemen angepasst werden. Diese granulare Konfiguratin gewährleistet eine optimale Konfiguration und dauert einige Minuten die zu vernachlässigen sind.
 
=== Wie kann ich auf einem Forti Access Point herausfinden welche "channel" ich benutzen soll um "overlapping" zu verhindern? ===
 
Wenn ein Forti Access Point eigerichtet wird, müssen die "channel" (Kanäle) speziell im 2.4 GHz Bereich definiert/konfiguriert werden. Dazu stehen in der Schweiz 13 Kanäle für den 2.4 GHz Bereich zur Verfügung. Alle Kanäle zu selektieren sowie "Radio Resource Provisioning" (DARRP) wäre die falsche Vorgehensweise da es so gezwungenermassen zu Problemen kommt sowie zu einem "ovelapping wifi channels"t. Weitere Informationen zu den Länderspezifischen Channels sowie "Radio Resource Provisioning" siehe folgende Artikel:
 
         [[FortiAP:FAQ#Welche_Radio_.22channel.22_muss_ich_auf_dem_Forti_Access_Point_f.C3.BCr_verschiedenen_L.C3.A4ndern_benutzen.3F]]
         [[FortiAP:FAQ#Was_bedeutet_.22overlapping_wifi_channels.22_f.C3.BCr_einen_Radio_eines_Forti_Access_Point_Konfiguration.3F]]
         [[FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Radio_Resource_Provisioning.22_.28ARRP.2FDARRP.29_innerhalb_einer_WTP_Profile_Konfiguration.3F]]
 
Daher benötigt es speziell im 2.4 GHz Bereich eine Analyse der bereits benutzten "channel" in der Umgebung. Dies kann über die "dedicated monitoring" Analysiert werden. Eine weitere Variante wäre auf einem Client/Host die Umgebung mit einem Tool zu analysieren wie zB SSIDer. Weitere Informationen zu Tools wie SSIDer siehe folgender Artikel:


         [[FortiAP:FAQ#Wie_kann_vorgegangen_werden_wenn_Performance_Problem_auf_einem_Forti_Access_Point_auftreten.3F]]
         [[FortiAP:FAQ#Wie_kann_vorgegangen_werden_wenn_Performance_Problem_auf_einem_Forti_Access_Point_auftreten.3F]]


Auf der Kommandozeile gibt es noch eine weitere Variante die einem Weiterhilft dh. wenn das nachfolgende Kommando ausgeführt ist werden "pro" Forti Access Point die zur Verfügung stehenden Kanälen zB im 2.4 GHz aufgelistet und die "overlapping channel's" unter der Spalte "overlap-ap" augezeigt. Ebenfalls werden die dazugehörigen Informationen wie "rssi-total" für diese Channels aufgeführt. Aus diesen Informationen können dann die freien Kanäle ausgewählt werden im Profile:
Auf der Kommandozeile gibt es noch eine weitere Variante die einem Weiterhelfen dh. wenn das nachfolgende Kommando ausgeführt ist werden "pro" Forti Access Point die zur Verfügung stehenden Kanälen zB im 2.4 GHz aufgelistet und die "overlapping channel's" unter der Spalte "overlap-ap" aufgelistet. Ebenfalls werden die dazugehörigen Informationen wie "rssi-total" für diese "channel" aufgeführt. Aus diesen Informationen können dann die freien Kanäle ausgewählt werden die im WTP Profile konfiguriert werden:
 
        '''NOTE''' Die empfohlene Vorgehensweise um die Kanäle zu wählen ist immer zwischen den verschiedenen Channels
            mind 4 freizulassen -sofern möglich- also im nachfolgenden Beispiel zB 2/7/12:


         # get wireless-controller rf-analysis
         # get wireless-controller rf-analysis
Zeile 4.704: Zeile 5.047:
                 48      70
                 48      70


Es kann auch anhand der "wtp-id" nur ein spezifischer FAP aufgelistet werden:
Die empfohlene Vorgehensweise um die Kanäle zu wählen ist immer zwischen den verschiedenen "channel" mindestens 4 freizulassen. Dies wäre Optimal kann jedoch nicht immer speziell im 2.4 GHz Bereich konfiguriert werden. Es kann auch anhand der "wtp-id" (Serien Nummer) nur ein spezifischer Forti Access Point aufgelistet werden:


         # get wireless-controller rf-analysis FAP22B3U11011877
         # get wireless-controller rf-analysis FAP22B3U11011877
Zeile 4.728: Zeile 5.071:
                 48      70          8            2            2
                 48      70          8            2            2


Desweiteren kann mit folgenden Befehl alle Access Point's augelistet werden, die durch den Scan erkannt werden:
Desweiteren kann mit folgenden Befehl alle Fortti Access Point's augelistet werden, die durch den Scan erkannt werden:


         # get wireless-controller scan
         # get wireless-controller scan
Zeile 4.750: Zeile 5.093:
         UNNN 0                      58:97:1e:b3:4c:7e  48  450M  -59    -95  102 E    Y  340230  811    ?    WME VEN VEN VEN VEN
         UNNN 0                      58:97:1e:b3:4c:7e  48  450M  -59    -95  102 E    Y  340230  811    ?    WME VEN VEN VEN VEN


=== Gibt es über das Web Mgmt. Interface eine Uebersicht ob mit irgendwelche fremden Access Point's ein Overlapping stattfindet (Interfering AP's)? ===
=== Gibt es eine Möglichkeit alle Access Points aufzulisten für die ein "overlapping channel" stattfindet (Interfering AP's)? ===


Wenn Access Points -speziell im 2.4 GHz Bereich- installiert werden, muss darauf geachtet werden -bei der Bestimmung der "channel's"-, dass kein "overlapping" (Interferenzen) mit fremden Access Points stattfindet. Dies kann über Kommandozeile und/oder über den "Rogue AP Monitor" eruiert werden. Siehe auch nachfolgende Artikel für Details:
Wenn Forti Access Points speziell im 2.4 GHz Bereich installiert werden, muss darauf geachtet werden, dass kein "overlapping" (Interferenzen) mit fremden Access Points stattfinden. Dies kann über Kommandozeile und/oder über den "Rogue AP Monitor" eruiert werden. Siehe auch nachfolgende Artikel für Details:


         [[FortiAP:FAQ#Wie_kann_ich_herausfinden_welche_.22channel.27s.22_ich_benutzen_soll_auf_einem_Forti_Access_Point_um_.22overlapping.22_zu_verhindern.3F]]
         [[FortiAP:FAQ#Wie_kann_ich_auf_einem_Forti_Access_Point_herausfinden_welche_.22channel.22_ich_benutzen_soll_um_.22overlapping.22_zu_verhindern.3F]]


Um die Konfiguration nachträglich zu kontrollieren gibt es über folgende Position die Möglichkeit event. "overlapping's" resp. Interferenzen zu eruieren:
Um die Konfiguration der Forti Access Points nachträglich zu kontrollieren, gibt es über folgende Position die Möglichkeit event. "overlapping channel" resp. Interferenzen zu kontrollieren:


         WiFi Controller > Monitor > Wireless Health > Top Wireless Interferences (2.4 GHz Band oder 5 GHz Band)
         WiFi Controller > Monitor > Wireless Health > Top Wireless Interferences (2.4 GHz Band oder 5 GHz Band)


Diese Widget zeigt auf ob durch den FortiGate WiFi Controller event. "overlapping's" (Interferenze) bestehen. Siehe auch:
Diese Widget zeigt auf ob durch den FortiGate Wireless Controller event. "overlapping channel" (Interferenze) bestehen. Siehe auch:


         [[FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Radio_Resource_Provisioning.22_.28ARRP.2FDARRP.29.3F]]
         [[FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Radio_Resource_Provisioning.22_.28ARRP.2FDARRP.29_innerhalb_einer_WTP_Profile_Konfiguration.3F]]


Dies wird in den "Widget" unter der folgender Position aufgeführt:
Dies wird in den "Widget" unter der folgender Position aufgeführt:
Zeile 4.774: Zeile 5.117:
         [[Datei:Fortinet-1092.jpg]]
         [[Datei:Fortinet-1092.jpg]]


        '''NOTE''' Wird ein entsprechende Position unter "Interfering AP's" angewählt sieht man die Details wie "MAC Adresse des  
Wird ein entsprechende Position unter "Interfering AP's" angewählt, sieht man die Details wie "MAC Adresse des AP's, SSID, benutzter Channel und Signalstärke". Dabei ist die Signalstärke korrekt einzuschätzen dh. Auch wenn ein "overlapping channel" stattfindet jedoch die Signalstärke des Access Points schlecht ist, sind die Interferenzen zu vernachlässigen:
            fremden AP's, SSID, benutzter Channel und Signalstärke":
           
            [[Datei:Fortinet-1093.jpg]]
       
Es ist -je nach Anzahl fremder AP's- nicht immer möglich "overlapping's" resp. Interferenzen im 2.4 GHz Bereich zu verhindern. Oft muss ein Kompromiss eingegangen werden. Sofern die Clients den 5 GHz Bereich unterstützen sollte der 2.4 GHz Bereich gemieden werden!


== FortiPlanner ==
        [[Datei:Fortinet-1093.jpg]]


Das Tool das Fortinet zur Plannung zur Verfügung stellt nennt sich FortiPlanner. Weitere Informtionen dazu siehe nachfolgenden Artikel:
Es ist je nach Anzahl der Access Points nicht immer möglich "overlapping channel" resp. Interferenzen im 2.4 GHz Bereich zu verhindern. Oft muss ein Kompromiss eingegangen werden. Sofern die Wireless Clients/Host den 5 GHz Bereich unterstützen, sollte der 2.4 GHz Bereich gemieden werden! Dies wird auf modernen Devices automatisch vollzogen dh. zB ein IPhone unterstützt 2.4 GHz sowie 5 GHz jedoch benützt sofern irgendwie möglich nur 5 GHz!


        [[FortiPlanner:FAQ]]
== Site Survey ==


== Site Survey ==
=== Gibt es eine Möglichkeit anhand eines Forti Access Point ohne FortiGate Wireless Controller die Wireless Abdeckung zu testen? ===


=== Gibt es eine Möglichkeit -ohne FortiGate- die Wireless Abdeckung anhand eines Forti Access Point zu testen? ===
Diese Möglichkeit exisitert dh. es ist möglich einen Forti Access Point Vorort für einen "Site Survey" einzusetzen und dies ohne FortiGate Wireless Controller. Wenn eine grössere Umgebung mit Forti Access Point ausgerüstet werden soll, muss festgestellt werden wieviele Forti Access Points benötigt werden sowie wo diese installiert werden sollen um eine möglichst gute Abedeckung zu erzielen. Die "Site Survey" Funktion eines Forti Access Point ermöglicht eine definierte SSID auf einem Forti Access Point lokal zu diesem Zweck zu konfigurieren und zu betreiben. Anhand eines Tools auf einem Client/Host zB SSIDer kann nachträglich Vorort die Abedeckung anhand dieser SSID kontrolliert und somit den idealen Standort für den Forti Access Point herausgefunden werden. Diese Funktion des "Site Survey" kann mit jedem Forti Access Point durchgeführt werden, jedoch ist der FAP-221B/FAP-223B sowie FAP-221C/FAP-223C zu empfehlen. Wenn ein Forti Access Point benützt wird für ein "Site Survey" muss berücksichtigt werden, das zB ein FAP-221B/C sowie FAP-223B/C über keinen mitgelieferten Power Adapter verfügt sondern über PoE betrieben werden. Die Power Adapter für diese Modelle können jedoch seperat bestellt werden. Weitere Informationen dazu siehe nachfolgeden Artikel:


Ja, diese Möglichkeit exisitert dh. es ist möglich einen Forti Access Point Vorort einzusetzen (ohne FortiGate) um die Abdeckung zu testen. Dabei kann -ohne eine FortiGate- ein Forti Access Point so konfiguriert werden, dass dieser eine SSID aussendet, mit der die Abeckung Vorort getestet werden kann. Um dies auf einem Forti Access Point zu konfigurieren führe folgendes durch:
        [[FortiAP:FAQ#Wo_finde_ich_eine_Uebersicht_ob_ein_Forti_Access_Point_mit_PowerAdapter_geliefert_wird_oder_PoE_unterst.C3.BCtzt.3F]]


        '''NOTE''' Dieser Vorgang kann mit jedem FortiAP durchgeführt werden jedoch ist der FAP-221B zu empfehlen um ein "Site Survey"
Um auf einem Forti Access Point lokal über CLI eine SSID für "Site Survey" zu konfigurieren führe folgendes aus:
            durchzuführe! Wenn ein FAP-221B herangezogen wird um den "Site Survey" durchzuführen muss berücksichtigt werden, dass
            dieser Forti Access Point -ohne PowerAdapter- geliefert wird (PoE). Weitere Informationen siehe dazu folgender Artikel:
           
            [[FortiAP:FAQ#Wo_finde_ich_eine_Uebersicht_ob_ein_FortiAP_mit_PowerAdapter_geliefert_wird_oder_PoE_unterst.C3.BCtzt.3F]]
          
          
         1. Verbinde den Forti Access Point mit einer Workstation über die Ethernet Interface's; Konfiguriere auf der Ethernet Schnittstelle der Workstation folgende IP:
         1. Verbinde den Forti Access Point mit einem Client/Host über die Ethernet Interface's; Konfiguriere auf der Ethernet
          Schnittstelle des Client/Host folgende IPv4 Adresse:
            
            
           192.168.1.1/24 (Kein Gateway, Kein DNS)
           192.168.1.1/24 (Kein Gateway, Kein DNS)
         
 
         2. Starte den Forti Access Point; Da dieser keinen DHCP Server findet wird statisch auf dessen Ethernet Interface folgende IP konfiguriert:
         2. Starte den Forti Access Point; Da dieser keinen DHCP Server findet wird statisch auf dessen Ethernet Interface  
          folgende IPv4 Adresse konfiguriert:
            
            
           192.168.1.2/24
           192.168.1.2/24
            
            
           '''NOTE''' Weitere Informationen zu "default" IP eines Forti Access Point siehe nachfolgender Artikel:
           Weitere Informationen zu "default" IPv4 Adresse eines Forti Access Point siehe nachfolgender Artikel:
                  
                  
                [[FortiAP:FAQ#Was_ist_die_Default_IP_f.C3.BCr_einen_FortiAP_und_wie_kann_ich_mich_auf_diese_IP_verbinden.3F]]
          [[FortiAP:FAQ#Was_ist_die_Default_IPv4_Adresse_f.C3.BCr_einen_Forti_Access_Point_und_wie_kann_ich_mich_auf_diese_IPv_Adresse_verbinden.3F]]
       
 
         3. Verbinde dich per Telnet auf die Forti Access Point anhand der IP Adresse:
         3. Verbinde dich per "telnet" auf die IPv4 Adresse des Forti Access Point:
            
            
           telnet 192.168.1.2
           > telnet 192.168.1.2
       
 
         4. Aktiviere den entsprechenden Mode auf dem AP anhand folgenden Befehls:
         4. Aktiviere den entsprechenden "Site Survey" Mode auf dem Forti Access Point anhand folgenden Befehls:
            
            
           # cfg –a AP_MODE=2
           # cfg –a AP_MODE=2
           # cfg -c
           # cfg -c
            
            
           '''NOTE''' AP_MODE=2 bedeutet 2(Site Survey). Per Standard ist konfiguriert 0(Thin AP)! Weitere Informationen findet
           AP_MODE=2 bedeutet "Site Survey". Per Standard ist konfiguriert 0"Thin AP"! Weitere Informationen findet  
                man ebenfalls unter folgenden Artikel:
          man ebenfalls unter folgenden Artikel:
               
         
                [[FortiAP:FAQ#Welche_Kommandos_k.C3.B6nnen_auf_einem_Forti_Access_Point_.C3.BCber_die_CLI_eingegeben_werden.3F]]                     
          [[FortiAP:FAQ#Welche_Kommandos_k.C3.B6nnen_auf_einem_Forti_Access_Point_.C3.BCber_die_CLI_eingegeben_werden.3F]]                     
       
 
         5. Sobald die Konfiguration AP_MODE durchgeführt wurde wird ein Neustart des Forti Access Point durchgeführt!
         5. Sobald die Konfiguration AP_MODE durchgeführt wurde wird ein Neustart des Forti Access Point durchgeführt!
       
 
         6. Nachdem Neustart sendet der Forti Access Point eine SSID aus mit dem Namen "FAP_SURVEY"! Anhand dieser kann nun die Abedeckung überprüft werden!
         6. Nachdem Neustart sendet der Forti Access Point eine SSID aus mit dem Namen "FAP_SURVEY"! Anhand dieser kann  
       
          nun die Abedeckung Vorort mit einem Tool wie zB SSIDer überprüft werden!
         7. Soll die SSID oder andere Werte für die SSID im Survey Mode angepasst werden stehen folgende Einstellungen zur Verfügung:
 
         7. Soll die SSID oder andere Werte für die SSID im "Survey Mode" angepasst werden stehen folgende Einstellungen  
          zur Verfügung:
            
            
           • SURVEY_SSID='FAP_SURVEY'        --> Diese Option vergibt den Namen für die SSID im Survey Mode.
           • SURVEY_SSID='FAP_SURVEY'        --> Diese Option vergibt den Namen für die SSID im "Site Survey" Mode.
           • SURVEY_TX_POWER=30              --> Diese Option setzt den TX Power. Per Standard gilt 30dBm (Maximum). Fuer einige FortiAP's gilt ein Maximum von 17dBm.
           • SURVEY_TX_POWER=30              --> Diese Option setzt den TX Power. Per Standard gilt 30dBm (Maximum). Fuer einige Forti Access Points gilt ein Maximum von 17dBm.
           • SURVEY_CH_24=6                  --> Diese Option setzt den TX Channel auf dem 2.4 GHz Band. Per Standard gilt Channel 6.
           • SURVEY_CH_24=6                  --> Diese Option setzt den TX Channel auf dem 2.4 GHz Band. Per Standard gilt Channel 6.
           • SURVEY_CH_50=36                  --> Diese Option setzt den TX Channel auf dem 5 GHz Band. Per Standard gilt Channel 36.
           • SURVEY_CH_50=36                  --> Diese Option setzt den TX Channel auf dem 5 GHz Band. Per Standard gilt Channel 36.
           • SURVEY_BEACON_INTV              --> Diese Option setzt den Beacon Interval. Per Standard gilt 100ms.
           • SURVEY_BEACON_INTV              --> Diese Option setzt den Beacon Interval. Per Standard gilt 100ms.
            
            
           '''NOTE''' Gesetzt werden die Werte folgendermassen:
           Wenn die Werte für "Site Survey" konfiguriert werden müssen diese folgendermassen konfiguriert werden:
               
         
                # cfg -a [Entsprechende Option mit deren Wert]
          # cfg -a [Entsprechende Option mit deren Wert]
                # cfg -c
          # cfg -c
               
 
                Soll der FortiAP wieder auf Factory Default gesetzt werden führe aus:
        8. Nach einem "Site Survey" ist es empfohlen den Forti Access Point wieder auf Factory Default zu setzen. Dies
               
          wird folgendermassen durchgeführt:
                # cfg -x
         
               
          # cfg -x
                '''NOTE''' Betreffend Factory Reset siehe auch folgender Artikel:
         
                   
          oder
                    [[FortiAP:FAQ#Wie_kann_ich_die_Konfiguration_eines_Forti_Access_Point_Manuell_auf_Factory_Default_setzen.3F]]
         
          # factoryreset
          # reboot


== 802.11 ==
== Konfiguration ==


=== Wo finde ich weitere Informationen über den "IEEE 802.11" Standard? ===  
=== Was bedeutet der Konfigurationspunkt "security" (Security Mode) innerhalb einer SSID Konfiguration? ===


Folgender Link gibt Auskunft über Standard und enthält weitere nützliche Links:
Für einen SSID auf einem  Forti Access Point können verschiedenen Security Mode benutzt werden dh. zB WPA2 Enterprise. Die üblichen Security Mode's können über das Mgmt. Web Interface konfiguriert werden:


         http://en.wikipedia.org/wiki/802.11
         • Open
        • Captive Portal
        • WPA2 Personal
        • WPA2 Personal with Captive Portal
        • WPA2 Enterprise


=== Wann kommt der 802.11ac Standard und um Was handelt es sich dabei? ===
Ueber CLI stehen jedoch weitere Security Mode zur Verfügung:


Fortinet hat ein Dokument veröffentlich indem der neue "802.11ac" ([[http://en.wikipedia.org/wiki/IEEE_802.11ac |IEEE 802.11ac]] Standard beschrieben ist wie zB:
        '''FortiOS 5.0'''
        # config wireless-controller vap
        # edit [Name der entsprechenden SSID]
        # set security [captive-portal | open | wep128 | wep64 | wpa-enterprise | wpa-only-enterprise | wpa-only-personal | wpa-personal | wpa2-only-enterprise | wpa2_only-personal]
        # end


         '''Do I need to buy new APs to support 802.11ac?'''
         '''FortiOS 5.2/5.4'''
         Yes. 802.11ac will require a new physical radio design, which means that new hardware will be required.
         # config wireless-controller vap
         It will not be physically possible to upgrade existing 802.11n radios to support the new 802.11ac standard.
        # edit [Name des SSID Profile]
        # set security [captive-portal | open | wpa-enterprise | wpa-personal | wpa-personal+captive-portal | wpa2-only-personal | wpa2-only-personal+captive-portal | wpa2-only-enterprise]
         # end


        [[Datei:802.11ac_Wireless_LAN_FAQ_-_July_2013.pdf]]
Zusätzlich kann über CLI die Encryption für den Security Mode gesetzt werden sofern WPA benutzt wird. Per Standard wird für WPA die AES Encryption benutzt. Ebenso kann der Key Interface anhand "gtk-rekey-intv" gesetzt werden. Dieser ist per Standard auf 3600 gesetzt:
        [[Datei:802.11ac_Wireless_LAN_FAQ_-_Januar_2014.pdf]]
        [[Datei:802.11ac_Wireless_LAN_FAQ_-_Februar_2014.pdf]]
       
        '''NOTE''' Im Dokument FAQ vom Februar 2014 kommuniziert Fortinet, dass für die neuesn "C" Modelle
            für FortGate sowie FortiManager ein "special build" zur Verfügung gestellt wird!
           
            Dieser neue "Special Support Build" wurde nun unter folgenden Link für FGT/FWF zur Verfügung gestellt:
           
            https://support.fortinet.com/Download/FirmwareImages.aspx
           
            / FortiGate/ v5.00/ Feature_Support/ fg_5-0_wifi_11ac/ v5.0/
           
            '''NOTE''' Dieser Link ist nur zugänglich wenn vorgängig in den entsprechenden Support Account eingeloggt wird!
           
            Nur mit diesem "Special Support Build" werden FAP-320C und/oder FAP-221C unterstützt!
           
            '''NOTE''' Der Upgrade Path dieses "Feature_Support" ist gemäss "offiziellen" Upgrade Path dh.
                  ausgehend davon folgendes Beispiel:
                 
                  - Installierte Version 5.0.x
                  - Upgrade gemäss Upgrade Path auf 5.0.6 ([[Datei:FortiOS-Upgradepath.pdf]])
                  - Einspielen des "Feature_Support" Build
                 
                  Weitere Informationen betreffend der Firmware die auf dem Forti Access Point eingesetzt werden sollte siehe
                  nachfolgender Artikel:
                 
                  [[FortiAP:FAQ#Welche_Firmware_sollte_auf_einer_FortiGate_und.2Foder_FortiAP_eingesetzt_werden.3F]]


=== Was ist mit 802.11AC MU-MiMo gemeint? ===
        # config wireless-controller vap
        # edit [Name der entsprechenden SSID]
        # set encrypt [AES | TKIP | TKIP-AES]
        # set gtk-rekey-intv [Intervall in Sekunden von 60 bis 864000; Standard 3600]
        # end


Unter "802.11AC MU-MiMo" ('''MI''' steht somit für zwei oder mehrere Sendeantennen und '''MO''' für zwei oder mehrere Empfangsantennen) versteht man eine Technik zur Verbesserung des Datendurchsatzes. 802.11AC MU-MiMo nennt sich "Multi-User-Multiple-In-Multiple-Out". Dahinter verbirgt sich im Prinzip ein cleveres Antennen-Management. So kann der Router seine Antennen gezielt aufteilen, wenn er mehrere Gegenstellen zu bedienen hat und damit jedem Konterpart eine besonders stabile und starke Verbindung garantieren:
Wenn zB für WEP ein Key definiert werden muss dh. das Passwort ist in den meisten Fällen 1 Passwort zu setzen. Einige Wireless Clients/Hosts dh. Treiber und Software unterstützen die Defintion von mehreren Key's. Wenn dies der Fall ist können mehrer Passwörter definiert werden und somit muss der "keyindex" erweitert werden mit der Anzahl zu definierenden Passwörter:


         [[Datei:Fortinet-326.jpg]]              oder              [[Datei:Fortinet-331.jpg]]
         # config wireless-controller vap
        # edit [Name der entsprechenden SSID]
        # keyindex [1 | 2 | 3 | 4]
        # end


Um die vers. Streams zu steuern wird der sogenannte MCS Index benutzt. Dieser steuert für diese Streams die Modulation sowie die Codierung. Je nach eingesetzten MCS Index ergiebt sich daraus wiederum die max. mögliche Durchsatzrate. Nachfolgende Tabelle gibt Auskunft über die möglichken Modulationen sowie Codierungen (ergiebt MCS Index) und deren max. möglichen Durchsatzraten:
=== Was bedeutet der Konfigurationspunkt "schedule" innerhalb einer SSID Konfiguration? ===


        [[Datei:Fortinet-718.jpg]]
Bis anhin unter FortiOS 5.0 sowie 5.2 war es nicht möglich eine SSID Zeitgesteuert zu aktivieren/deaktivieren. Neu unter FortiOS 5.4 ist dies nun möglich. Per Standard stehen alle konfigurierten SSID auf dem "schedule" Objekt "always". Möchte man Zeitgesteuert eine SSID aktivieren/deaktivieren, muss vorgängig ein "Schedule" Objekt erstellt werden, dass nachträglich unter der SSID konfiguriert werden kann. Ein "Schedule" Objekt wird unter folgender Position konfiguriert:


Wenn diese Technology für "802.11AC MU-MiMo" - die auch für den FAP-320B/C - benutzt wird eingesetzt werden soll so muss ebenfalls die Client Seite berücksichtigt werden! Dies bedeutet der Client selber - sei es zB Workstation und/oder Server etc - müssen diese Technology durch den implementierten Chip sowie Treiber unterstützten. Wenn ein Client (zB IPad) "HT20" unterstützt so ist das 1x1:1 resp. ein Stream max 65 Mbps. Diesem Umstand ist Rechnung zu tragen wenn diese Technology eingesetzt werden möchte.
        Policy & Objects > Schedules > Create New > Schedule


== 4G/LTE ==
Danach kann anhand "Recurring" (Wiederholend), "Days" (Tagen) sowie einer "Start Time" und "Stop Time" ein "Schedule" Objekt erstellt werden. Ein zeitgesteuertes Objekt basierend auf "Schedule Group" kann nicht innerhalb einer SSID konfiguriert werden. Nachträglich kann das "Schedule" Objekt innerhalb der SSID konfiguriert werden. Dazu wähle im Mgmt. Web Interface folgendes:


=== Was ist ein 4G/LTE Netzwerk und wie kann ich dieses benutzen? ===
        WiFi Controller > SSID > Schedule > [Wähle das entsprechende "Schedule" Objekt]


Weitere Informationen zu diesem Thema siehe nachfolgenden Link:
Wenn ein "Schedule" Objekt auf CLI konfiguriert werden soll und dieses nachträglich ebenfalls auf CLI für die entsprechende SSID konfiguriert werden soll führe folgendes aus:


         [[FortiExtender:FAQ]]
         # config firewall schedule [recurring | onetime]
        # edit [Name des entsprechenden "Schedule" Objekt zB "daily-0800-1700-business-hour"]
        # set start [Gebe die Start Zeit ein zB "08:00"]
        # set end [Gebe die End Zeit ein zB "17:30"]
        # set day [Gebe die entsprechenden Tage ein für den "Schedule"; monday | tuesday | wednesday | thursday | friday | saturday | sunday]
        # end
       
        # config wireless-controller vap
        # edit [Name der entsprechenden SSID]
        # set schedule [Wähle das entsprechende "schedule" Objekt; Standard "always"]
        # end


== CLI ==
=== Was bedeutet der Konfigurationspunkt "Override Settings/Automatic" innerhalb einer Forti Acces Point Konfiguration? ===
 
Die empfohlen Konfigurationsweise eines Forti Access Point ist es diesem ein entsprechendes WTP Profile zu zuweisen. Dies bedeutet: In diesem WTP Profile wird definiert welcher "radio" über welche Einstellungen (5 GHz oder 2.4 GHz) sowie "channel" verfügt. Dieses WTP Profile, das auf den entsprechenden Forti Access Point abgestimmt is, wird nach dessen Erstellung dem Forti Access Point über "Managed FortiAPs" zugewiesen. Ab FortiOS 5.0 ist es möglich anstelle dieses WTP Profile "automatic" zu wählen. Unter FortiOS 5.2 gibt es die Position "automatic" nicht mehr jedoch ist es möglich anhand "Override Settings" das entsprechende WTP Profile zu überschreiben. Wenn unter FortiOS 5.0 "automatic" gewählt wird gilt folgendes:
 
        [[Datei:Fortinet-333.jpg]]


=== Welche Kommandos können auf einem Forti Access Point über die CLI eingegeben werden? ===
Wenn die Option "Override Settings" aktiviert wird so wird im Hintergrund folgendes Kommando ausgeführt:


Unter FortiOS 5.0 / 5.2  stehen folgende Kommandos zur Verfügung:
        # config wireless-controller wtp
        # edit [Name/Serien Nr. des entsprechenden Profiles]
        # set override-profile enable
        # end
        # end


Ueber Mgmt. Web Interface sieht die Option folgendermassen aus:


         <big>'''FortiOS 5.0'''</big>
         [[Datei:Fortinet-1291.jpg]]
          
 
         '''# fap-get-status'''
=== Was bedeutet der Konfigurationspunkt "Scan Outgoing Connections to Botnet Sites" innerhalb einer SSID Konfiguration? ===
         Version: FortiAP-220B v5.0,build064,140117 (GA)
 
        Serial-Number: FAP22B3U11011877
Dieser Konfigurationspunkt unter FortiOS 5.4 ist nicht Wireless Spezifisch sondern steht jedem FortiGate Interface zur Verfügung. Weitere Informationen zu dieser Funktion siehe nachfolgender Artikel:
        BIOS version: 04000010
 
         Regcode: E
        [[FortiGate-5.4:FAQ#Wie_kann_ich_unter_FortiOS_5.4_f.C3.BCr_eine_FortiGate_Verbindungen_zu_.22botnet.22_Servern_blocken_oder_.C3.BCberwachen.3F]]
        Hostname: FAP22B3U11011877
 
        Branch point: 064
=== Was bedeutet der Konfigurationspunkt "Active Scanning" innerhalb einer SSID Konfiguration? ===
        Release Version Information:GA
 
Dieser Konfigurationspunkt steht im Zusammenhang mit "Network Devices" resp. "Device Detection" und steht nur unter FortiOS 5.4 zur verfügung. Wenn "Device Detection" aktiviert wird und diese Funktion der "Device Detection" kann einen entsprechenden Device nicht identifizieren, wird dieser anhand "Active Scanning" Passive gescannt. Dabei wird die gleiche Technik angewandt wie in einem "vulnaribility scan". Diese Funktion wird auf allen Devices die "vulnerability scan" unterstützen per Standard aktiviert. Wir empfehlen im Wireless Bereich zwar die "Device Detection" zu aktivieren jedoch das "Active Scanning" per Standard zu deaktvieren sowie diese Funktion nur punktuell zu benutzen. Um die Funktion "Active Scanning" zu benutze muss "Device Detection" zuerst aktiviert werden. Dies kann im Mgmt. Web Interface durchgeführt werden für die entsprechende SSID oder über CLI:
 
        WiFi Controller > SSID > [Wähle die entsprechende SSID] > Edit > Active Scanning
 
         # config system interface
        # edit [Gebe das entsprechende Interface an zB "dmz"]
        # set device-identification [enable | disable]
         # set device-identification-active-scan [enable | disable]
         # end
 
=== Was bedeutet der Konfigurationspunkt "Block Intra-SSID Traffic" innerhalb einer SSID Konfiguration? ===
 
Dieser Konfigurationspunkt innerhalb der SSID bedeutet folgendes: Wenn zwei User auf der gleichen SSID verbunden sind, können die User sofern "Block Intra-SSID Traffic" deaktiviert ist, nicht untereinander direkt komunizieren. Dieser Konfigurationspunkt verhindert auch eine "man-in-middle" Attacke, von einem Device im selben Segment/IP Range (SSID). Der zuständige Befehl auf der CLI der dies steuert wäre "intra-vap-privacy". Möchte man die Funktion aktivieren, dass die Clients über den Forti Access Point resp. SSID komunizieren können ohne das der Traffic den Forti Access Point verlässt, ist der zuständige Befehl "local-switching". Somit ergiebt sich auf der CLI folgendes:
 
         '''Block Intra-SSID Traffic Aktiviert'''
          
          
         '''# help'''
         # config wireless-controller vaps
         FortiAP commands:
         # edit [Name der SSID]
         -----------------
         # set intra-vap-privacy enable
                brctl, cfg, cw_debug, cw_diag, cw_test_led, cw_test_radio
        # set local-switching disable
                diag_console_debug, diag_debug_crashlog, dmesg, factoryreset
        # end
                fap-get-status, fap-set-hostname, restore, radartool
 
        '''Block Intra-SSID Traffic Deaktiviert'''
          
          
         '''# brctl -h'''
         # config wireless-controller vaps
         brctl: invalid argument '-h' to 'brctl'
        # edit [Name der SSID]
          
        # set intra-vap-privacy disable
         BusyBox v1.15.0 (2014-01-17 16:28:04 PST) multi-call binary
        # set local-switching enable
          
        # end
         Usage: brctl COMMAND [BRIDGE [INTERFACE]]
 
          
=== Was bedeutet der Konfigurationspunkt "Broadcast SSID" innerhalb einer SSID Konfiguration? ===
        Manage ethernet bridges.
 
          
Wenn auf einem Forti Access Point eine SSID konfiguriert wird so wird diese per Standard über Broadcast mitgeteilt. Dies erlaubt dem Wireless Host/Client diese auf den Device's auszuwählen und dementsprechend für die Authentifizierung zu konfigurieren. Wenn der Broadcast der SSID unterbunden werden soll, kann dies für FortiOS 5.4 über Mgmt. Web Interface konfiguriert werden oder für FortiOS 5.0 sowie 5.2 in der CLI:
         Commands:
 
                show                    Show a list of bridges
        WiFi Controller > SSID > [Wähle die entsprechende SSID] > Edit > Broadcast SSID
                showmacs BRIDGE         Show a list of mac addrs
 
                addbr BRIDGE            Create BRIDGE
        # config wireless-controller vap
                delbr BRIDGE            Delete BRIDGE
        # edit [Name der entsprechenden SSID]
                addif BRIDGE IFACE      Add IFACE to BRIDGE
        # set broadcast-ssid [enable | disable]
                delif BRIDGE IFACE      Delete IFACE from BRIDGE
        # end
                setageing BRIDGE TIME          Set ageing time
 
                setfd BRIDGE TIME              Set bridge forward delay
Die ebenfalls existierende Option "broadcast-suppress" unter der SSID resp. "wireless-controller vap" steht nicht im Zusammenhang mit der Option "broadcast-ssid". Die Option "broadcast-suppress" verhindert das ARP und/oder DHCP Broadcassts nicht zu den Forti Access Point's versendet werden die über die gleiche SSID verfügen resp. konfiguriert haben! Weitere Informationen zu "broadcast-suppress" siehe nachfolgender Artikel:
                sethello BRIDGE TIME            Set hello time
 
                setmaxage BRIDGE TIME          Set max message age
        [[FortiAP:FAQ#Kann_ich_auf_einem_Forti_Access_Point_f.C3.BCr_ein_.22local_bridging.22_Broadcast.2FMulticast_verhindern_.28susspression.29.3F]]
                setpathcost BRIDGE COST         Set path cost
 
                      setportprio BRIDGE PRIO         Set port priority
=== Was bedeutet der Konfigurationspunkt "fast-roaming" innerhalb einer SSID Konfiguration? ===
                setbridgeprio BRIDGE PRIO      Set bridge priority
 
                stp BRIDGE [1|0]                STP on/off
Wenn Wireless Clients/Hosts sich in einem Wireless Netzwerk befinden/verbunden sind speziell zB mit Mobile Devices, kann die Situation entstehen, dass diese von Forti Access Point zu Forti Access Point wandern dh. ausser Reichweite des einten Forti Access Point sind und in Reichweite zu einem anderen Forti Access Point kommen! In solch einer Situation wird die Verbindung unterbrochen und auf dem neuen sich in Reichweite befindenden Forti Access Point wieder verbunden. Dadurch wird eine erneute Authentifizierung ausgelöst. Möchte man diese erneute Authentifikation verhindern so muss "fast-roaming" aktiviert werden was auf jeder SSID eines Forti Access Point der Fall ist. "fast-roaming" benützt 2 Unterschiedliche Techniken:
               
 
         '''# cw_test_radio -h'''
        '''• Pairwise Master Key (PMK) Caching'''
        /sbin/cw_test_radio <1|2> <2g|5g|auto> <ssid|off> [address] [netmask]
        Aktiviert eine Radius Authentifikation und zwar indem ein Master-Key im Cache abgelegt wird der mit dem ersten Access Point mit dem sich der
        User zu Beginn verbunden hat ausgehandelt wird. Dies aktiviert 802.11i und ist auch bekannt als "fast roam back"!
 
         '''• Pre-authentication oder "fast-associate in advance"'''
         Aktiviert einen 802.11 Access Point der mit einem Client/Host verbunden ist um den verbundenen Client/Host auf eventuell weiteren Access Points
         zu authentifizieren. Dies aktiviert PMK (Pairwise Master Key) auf möglichen weiteren Access Points auf dem sich der Client/Host verbinden könnte
        dh. es veranlasst den Access Point auf dem der Client verbunden ist, diesen PMK abzulegen um zukünftige Authentifizierung für den Client/Host
        durchzuführen ohne das dieser eine Authentifizierung selber/manuell erneut durchführen muss.
 
        # config wireless-controller vap
        # edit [Name der SSID]
        # set fast-roaming enable
        # end
 
=== Was bedeutet der Konfigurationspunkt "multicast-enhance" (Frame Acknoledgement) innerhalb einer SSID Konfiguration? ===
 
Im normal Fall wird Multicast Traffic in einem Netzwerk gleichbehandelt wie der Broadcast Traffic. Dazu wird die kleinste Datenrate gewählt und kein "frame acknowledgement" durchgeführt. Dieser Umstand kann Multicast" Uebermittlungen über die Forti Access Point's verlangsamen und somit die Performance im Multicast Bereich beeinträchtigen. Um diesen Umstand entgegenzutreten, kann der Multicast Traffic in "Unicast" Traffic umgewandelt werden um eine optimale Datenrate zu erreichen. Ebenso profitiert innerhalb des Multicast das optimitert "frame acknoledgement" von der Performance. Um die Optimierung des Multicast auf einer SSID zu aktivieren führe folgendes durch:
 
        # config wirless-controller vap
         # edit [Name der entsprechenden SSID]
         # set multicast-enhance [enable | disable]
         # end
 
Dieses Kommando "multicast-enhance" aktiviert die Konvertierung von Multicast zu Unicast jedoch muss ein "threshold" konfiguriert werden dh. der Zeitpunkt ab dem Multicats zu Unicast umkonvertiert wird. Dies wird anhand "me-disable-thresh" konfiguriert. Dieser "thresold" konfiguriert eine obere Grenze für die Multicast Erweiterung dh. Sobald der "threshold" erreicht wird so wird die Konvertierung von Multicast zu Unicast unterbunden um zu verhindern das die Multicast Gruppe zu gross wird (Anzahl Forti Access Point's).
 
         # config wirless-controller vap
         # edit [Name der entsprechenden SSID]
        # set me-disable-thresh [Standard Wert 64, Mögliche Einstellungen 2 - 256]
         # end
 
=== Was bedeutet der Konfigurationspunkt "probe-resp-suppression" (Probe Respond Suppression) innerhalb einer SSID Konfiguration? ===
 
Um dem Wireless Client/Host eine Verbindung auf einen Forti Access Point zu ermöglichen, sendet der Forti Access Point in bestimmten Intervallen "beacon's" aus. Weitere Informationen betreffend "beacon's" siehe nachfolgender Artikel:
 
        [[FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22beacon-interval.22_innerhalb_einer_WTP_Profile_Konfiguration.3F]]
 
Auf der Wireless Client/Host Seite gibt es eine ähnliche Funktion und zwar "probe request". Diese Frame's ähneln den "beacon's" jedoch führen diese "probe response" Frame's die auf einen "probe request" gesendet werden keine Traffic Indication Message (TIM) Informationen. Zum Beispiel: Werden diese "probe request" Frame vom Wireless Client/Host an den Forti Access Point gesendet um über den "probe response" Informationen über einen Wireless Client/Host im gleichen Wireless Netzwerk zu erhalten. Ebenfalls wird zB diese Funktion von Sniffer Applikationen verwendet um genau diese Informationen über den "probe response" zu erhalten. Diese Funktion wird auf dem Forti Access Point über die folgende Option gesteuert:
 
         # config wireless-controller vap
         # edit [Name der entsprechenden SSID]
        # set probe-resp-suppression [enable | disable]
        # set probe-resp-threshold [Möglicher Range [-20,-95]dBm; Standard -80dBm sofern aktiviert]
        # next
        # end
 
Per Standard ist "probe-resp-suppression" deaktiviert dh. Die Funktion selber kann nicht komplett deaktiviert werden durch "enable". Jedoch kann durch den Werte "dBm" der Wert gesetzt werden in welchem Range ein "prope response" gesendet werden soll. "probe request" ausserhalb des Ranges werden nicht mehr beantwortet mit einem "probe response". Ebenfalls ist zu berücksichtigen, dass viele Mobile Wireless Clients/Hosts diese Funktion sobald eine Verbindung zu einem Forti Access Point etabliert wurde deaktivieren um deren Akkus zu schonen!
 
=== Was bedeutet der Konfigurationspunkt "Rogue AP’s" innerhalb einer WIDS Konfiguration? ===
 
"Rogue" bedeutet "Schurke" und bezeichnet ein Access Point der nicht zum regulären Forti Access Point Verbund/Netzwerk gehört. Dies kann bedeuten: Illegale betriebenen Access Points mit gleicher SSID wie für die regulären Forti Access Points konfiguriert wurde. Die Funktion "Rogue AP's" sammelt in der Umgebung Informationen über Broadcasting SSID's und listet diese auf. Wenn diese nicht zum regulären Verbund/Netzwerk gehören, können diese Unterdrückt werden (Susspressed). Ob diese Access Points zum regulären Verbund/Netzwerk gehören definiert der FortiGate Wireless Controller in dem die Mac Adressen mit den regulären Forti Access Point's verglichen werden. Um diese nicht regulären Access Points (Fake AP) zu unterdrücken, werden "deAuthentiation Frames" zu diesen Access Points gesendet um ein Verbinden der Clients zu diesem Access Point zu verhindern. Unter FortiOS 5.0 wird/kann die Funktion "nur" Global aktiviert oder deaktiviert werden. Ab FortiOS 5.2 ist diese Funktion WTP Profile basierend und wird über ein WIDS Profile konfiguriert und dem entsprechenden WTP Profile zugewiesen! Desweiteren muss berücksichtigt werden, dass auf einem "radio" für 802.11ac kein "Roque AP" Scan benützt werden kann (Stand FortiOS 5.2.5 Bug ID 225550). Um den FortiGate Wireless Controller für "AP-Scan" resp. "On-Wire-Scan" zu aktivieren muessen über das Web Mgmt. Interface die folgenden Position aktiviert werden:
 
         '''FortiOS 5.0'''
          
          
         '''# diag_console_debug -h'''
         WiFi Controller > WiFi Network > Rogue AP Settings
        Usage:
          
          
                diag_console_debug <on|off>              --turn on/off console log message
        [[Datei:Fortinet-1268.jpg]]
          
          
         '''# diag_debug_crashlog'''    
        # config wireless-controller setting
        Usage:
        # set ap-scan enable
        # set on-wire-scan enable
        # end
 
         '''FortiOS 5.2/5.4'''
          
          
                diag_debug_crashlog clear                    --clear crash log
        [[Datei:Fortinet-1269.jpg]]
                diag_debug_crashlog read                      --read crash log and print
       
        # config wireless-controller wids-profile
        # set ap-scan enable
        # set rogue-scan enable
        # end
 
Um das Scanning resp. Monitoring zu benutzen, muss in den entsprechenden WTP Profile's folgendes konfiguriert werden:
 
        '''FortiOS 5.0'''
          
          
         '''# cfg -h'''
         WiFi Controller > WiFi Network > Custom AP Profiles
        cfg -h            - output this help
        cfg -r var        - remove variables
        cfg -e            - export variables
        cfg -s            - list variables
        cfg -x            - resetting to factory defaults
        cfg -c            - commit the change to flash
        cfg -a var=value  - add or change variables
          
          
         Supported Variable Names:
         # config wireless-controller wtp-profile
            BAUD_RATE
        # edit [Name des entsprechenden WTP Profils]
                9600, 19200, 38400, 57600, 115200
        # config radio-1
            WTP_NAME
        # set ap-bgscan enable
            WTP_LOCATION
        # set rogue-scan enable
            FIRMWARE_UPGRADE
        # set ap-bgscan-period 300
         LOG        IN_PASSWD
         # set ap-bgscan-intv 1
            ADM        IN_TIMEOUT
        # set ap-bgscan-duration 20
                        Telnet and GUI session admin timeout in minutes
        # set ap-bgscan-idle 100
            ADDR_MODE
        # end
                DHCP, STATIC
        # end
            AP_IPADDR
 
            AP_NETMASK
        '''FortiOS 5.2/5.4'''
            IPGW
       
            AP_MODE
        WiFi Controller > WiFi Network > WIDS Profiles
                0(Thin AP), 2(Site Survey)
            DNS_SERVER
            STP_MODE
            AP_MGMT_VLAN_ID
            TELNET_ALLOW
            HTTP_ALLOW
            AC_DISCOVERY_TYPE
                0(auto), 1(static), 2(dhcp), 3(dns), 5(broadcast), 6(multicast)
            AC_IPADDR_1
            AC_IPADDR_2
            AC_IPADDR_3
            AC_HOSTNAME_1
            AC_HOSTNAME_2
            AC_HOSTNAME_3
            AC_DISCOVERY_MC_ADDR
            AC_DISCOVERY_DHCP_OPTION_CODE
            AC_CTL_PORT
            AC_DATA_CHAN_SEC
                0(Clear Text), 1(DTLS Enabled), 2(Clear Text or DTLS Enabled)
            MESH_AP_TYPE
                0(Ethernet), 1(Mesh), 2(Ethernet with mesh backup support)
            MESH_AP_SSID
            MESH_AP_BSSID
            MESH_AP_PASSWD
            MESH_ETH_BRIDGE
                Only take effect with MESH_AP_TYPE 1(mesh) AP
            MESH_MAX_HOPS
            MESH_SCORE_HOP_WEIGHT
            MESH_SCORE_CHAN_WEIGHT
            MESH_SCORE_RATE_WEIGHT
            MESH_SCORE_BAND_WEIGHT
            MESH_SCORE_RSSI_WEIGHT
            SURVEY_SSID
            SURVEY_TX_POWER
            SURVEY_CH_24
            SURVEY_CH_50
            SURVEY_BEACON_INTV
          
          
         '''# cw_diag help'''
         # config wireless-controller wids-profile
        cw_diag usage:
        # edit [Name des entsprechenden WIDS Profil]
            cw_diag help                            --show this usage
        # set ap-scan [enable | disable]
            cw_diag uptime                          --show daemon uptime
        # set ap-scan-passive [enable | disable]
            cw_diag --tlog  <on|off>                --turn on/off telnet log message.
        # set ap-bgscan-duration [Zeit in ms 10 - 1000; Standard 20]
            cw_diag --clog  <on|off>                --turn on/off console log message.
        # set ap-bgscan-intv [Interval in Sekunden 1 - 600; Standard 1]
            cw_diag baudrate [9600 | 19200 | 38400 | 57600 | 115200]
         # set ap-bgscan-period [Interval in Sekunden; Standard 600]
            cw_diag kernel-panic [size [ID]]        --show saved kernel panic log fromflash
        # set ap-bgscan-report-intv [Interval Refresh/Update 15 - 600; Standard 15]
            cw_diag kernel-panic clear              --clear saved kernel panic log from flash
        # set ap-bgscan-disable-day [Tag der Woche dh. sunday | monday | tuesday | wednesday | thursday | friday | saturday]
            cw_diag k-dvlan-debug [0-15]             --enable/disable kernel dynamic vlan debug
        # set ap-bgscan-disable-start [Zeitdefinition Start für Tag "ap-bgscan-disable-day"; Format hh:mm]
            cw_diag plain-ctl [[0|1] | clear]        --show, set or clear current plain control setting
        # set ap-bgscan-disable-end [Zeitdefinition End für Tag "ap-bgscan-disable-day"; Format hh:mm]
            cw_diag sniff-cfg [[ip port] | clear]    --show, set or clear sniff server ip and port
        # end
            cw_diag sniff [intf [0|1|2] | clear]     --show, set or clear sniff setting on intf
 
            cw_diag stats wl_intf                    --show wl_intf status
Im Gegensatz zu FortiOS 5.0 kann nun diese Konfiguration ab FortiOS 5.2 vollumfänglich über das Web Mgmt. Interface durchgeführt werden:
            cw_diag wl-log                          --get wlan's beacon/probe related info
 
            cw_diag band-width [rId] [wId] [sta-mac] --show radio, vap, sta band width
        WiFi Controller > WiFi Network > WIDS Profiles
            cw_diag pkt-pattern [rId]                --show traffic packet length info.
 
            cw_diag repeat cnt intv cmd              --run cnt times of cmd at intv interval
        [[Datei:Fortinet-1270.jpg]]
            cw_diag sys-performance                  --show CPU load and memory usage
 
            cw_diag clear debug                      --clear all debug settings
Im Zusammenhang mit dieser Funktion "ap-scan" gibt es einige Situationen in dem folgendes zu berücksichtigen ist:Wenn ein Forti Access Point auch als Router agiert sowie NAT (Network Address Translation) durchführt wird, wird die Suche nach irregulären Access Points über die Funktion "Rogue Scan" erschwert. Im normal Fall ist ein Interface eines Forti Access Points im gleichen IPv4 Adress Range wie dessen MAC Adresse! Die "MAC adjacency rogue detection method" vergleicht LAN und Wireless Netzwerk MAC Adressen die sich in einer bestimmten "Nummerischen Abstand (Distance)" befinden. Per Standard gilt "MAC adjacency distance" "7". Wenn der Access Point für diese übereinstimmenden MAC-Adressen nicht in der FortiGate Gerätekonfiguration ermächtigt wird, wird der Access Point alse "On-Wire rogue" erachtet. Für "On-wire Rogue-Erkennung" muss mindestens ein Wireless Client/Host vorhanden/verbunden sein auf einem verdächtigen Access Point der kontinuierlich Daten sendet und Traffic produziert. Wenn es sich beim verdächtigen Access Point um einen Router handelt, muss die Wireless MAC-Adresse des Access Point ähnlich zu dessen Ethernet-Port MAC-Adresse sein ansonsten kann die Erkennung nicht korrekt durchgeführt werden. Um den Standard Wert "7" für "MAC adjacency distance" anzupassen führe folgendes durch:
            cw_diag show debug                      --show all debug settings
 
            cw_diag show control                    --show all -c settings
        # config wireless-controller global
            cw_diag show all                        --show all debug and -c settings
        # set rogue-scan-mac-adjacency [0 - 7; Standard 7]
            cw_diag -c wtp-cfg                      --show current wtp config params in control plane
        # end
            cw_diag -c radio-cfg                    --show current radio config params in control plane
 
            cw_diag -c ssid                          --show current configrued SSIDs
=== Was bedeutet der Konfigurationspunkt "Band" (IEEE_802.11 Standard) innerhalb einer WTP Profile Konfiguration? ===
            cw_diag -c vap-cfg                      --show current vaps in control plane
 
            cw_diag -c ap-rogue                     --show rogue APs pushed by AC for on-wire scan
Wenn ein WTP Profile innerhalb des Mgmt. Web Interface einer FortiGate konfiguriert wird, stehen unter der Position "Band" folgende Möglichkeiten zur Verfügung:
            cw_diag -c sta-rogue                    --show rogue STAs pushed by AC for on-wire scan
            cw_diag -c arp-req                      --show scanned arp requests
            cw_diag -c ap-scan                      --show scanned APs
            cw_diag -c sta-scan                     --show scanned STAs
            cw_diag -c sta-cap                      --show scanned STA capabilities
            cw_diag -c sta-locate                    --show scanned STA locate data
            cw_diag -c sta-locate-reset [level]     --reset scanned STA locate data
            cw_diag -c wids                          --show scanned WIDS detections
            cw_diag -c mesh                          --show mesh status
            cw_diag -c mesh-veth-acinfo              --show mesh veth ac info, and mesh ether type
            cw_diag -c mesh-veth-vap                --show mesh veth vap
            cw_diag -c mesh-veth-host                --show mesh veth host
            cw_diag -c mesh-ap                      --show mesh ap candidates
            cw_diag -c vlan                          --show current vlan info in daemon
            cw_diag -c sta                          --show current station info in daemon
            cw_diag -c sys-vbr                      --show WTP Vlan Bridges
            cw_diag -c net-topo                      --show interface topology
            cw_diag -c k-vap                        --show WTP Kernel local-bridge VAPs
            cw_diag -c k-host                        --show WTP Kernel local-bridge Hosts
            cw_diag -c k-wlvl                        --show WTP Kernel local-bridge Wlan Vlans
            cw_diag -c k-vbr                        --show WTP Kernel local-bridge Vlan Bridges
            cw_diag -c scan-clr-all                  --flush all scanned AP/STA/ARPs
            cw_diag -c ap-suppress                  --show suppressed APs
            cw_diag -c sta-deauth                    --de-authenticate an STA


         <big>'''FortiOS 5.2'''</big>
         '''2.4 GHz Band'''
          
          
         '''# get system status'''
        [[Datei:Fortinet-1740.jpg]]
        Version: FortiAP-221C v5.2,build490,140616 (GA)
 
        Serial-Number: FP221C3X14001296
         '''5 GHz Band'''
        BIOS version: 04000003
        Regcode: E
        Base MAC: 08:5b:0e:5d:f7:0c
        Hostname: FP221C3X14001296
        Branch point: 212
        Release Version Information: GA
          
          
         '''# help'''
         [[Datei:Fortinet-1740.jpg]]
        FortiAP commands:
 
         -----------------
In der CLI sieht diese mögliche Konfiguration folgendermassen aus:
                brctl, cfg, cw_debug, cw_diag, cw_test_led, cw_test_radio
 
                diag_console_debug, diag_debug_crashlog, dmesg, factoryreset
         # config wireless-controller wtp-profile
                fap-get-status, fap-set-hostname, restore, radartool
        # edit [Name des entsprechenden WTP Profils]
          
        # config radio-[1 oder 2]
         '''# cw_test_radio -h'''
        # set band [802.11a | 802.11b | 802.11g | 802.11n | 802.11n-5G | 802.11ac | 802.11n,g-only | 802.11g-only | 802.11n-only | 802.11n-5G-only | 802.11ac,n-only | 802.11ac-only]
         /sbin/cw_test_radio <1|2> <2g|5g|auto> <ssid|off> [address] [netmask]
        # end
          
        # end
         '''# diag_console_debug -h'''
 
         Usage:
Weitere Informationen zu den einzelnen IEEE_802.11 Möglichkeiten siehe nachfolgender Link:
       
 
                diag_console_debug <on|off>              --turn on/off console log message
        https://en.wikipedia.org/wiki/IEEE_802.11
       
 
         '''# diag_debug_crashlog'''     
=== Was bedeutet der Konfigurationspunkt "Radio Resource Provisioning" (ARRP/DARRP) innerhalb einer WTP Profile Konfiguration? ===
         Usage:
 
          
ARRP "Automatic Radio Resource Provisioning" oder DARRP "Distributed Automatic Radio Resource Provisioning" steht im Zusammenhang mit den "channels" (Kanäle) für 2.4 GHz sowie 5 GHz. Diesem Konfigurationspunkt kommt eine wichtige Funktion zu. DARRP steuert bei Kollidierung (overlapping) der "channel's" das Ausweichen auf einen nicht besetzen resp. kollidierenden "channel". Dies bedeutet: Wenn diese Position aktiviert ist, sucht sich der FortiGate Wireless Controller den oder die besten "channels" raus, die nicht mit anderen Access Points kollidieren oder am wenigsten benutzt werden. Die "channel" Benutzung wird alle 5 Minuten evaluiert und falls notwendig dem FortiGate Wireless Client/Host mitgeteilt damit dieser auf den neuen "channel" wechseln kann. Somit um DARRP richtig nutzen zu können, ist die Vorraussetzung zu wissen welche "channels" in der Umgebung benutzt werden. Dies kann über die "Rogue AP Monitor" und dessen Funktion eruiert werden. Dazu siehe nachfolgender Artikel:
                diag_debug_crashlog clear                    --clear crash log
 
                diag_debug_crashlog read                      --read crash log and print
        [[FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Rogue_AP.E2.80.99s.22_innerhalb_einer_WIDS_Konfiguration.3F]]
          
 
         '''# cfg -h'''
Wenn nun feststeht welche "channels" in der Umgebung bereits benutzt werden, kann ein entsprechendes Forti Access Point WTP Profil erstellt werden unter berücksichtigung der zu wählenden "channels" speziell für den 2.4 GHz Bereich. Dazu siehe nachfolgender Artikel:
         cfg -h            - output this help
 
         cfg -r var        - remove variables
         [[FortiAP:FAQ#Was_bedeutet_.22overlapping_wifi_channels.22_f.C3.BCr_einen_Radio_eines_Forti_Access_Point_Konfiguration.3F]]
         cfg -e            - export variables
         [[FortiAP:FAQ#Welche_Radio_.22channel.22_muss_ich_auf_dem_Forti_Access_Point_f.C3.BCr_verschiedenen_L.C3.A4ndern_benutzen.3F]]
         cfg -s            - list variables
         [[FortiAP:FAQ#Was_bedeutet_es_wenn_ein_Forti_Access_Point_.C3.BCber_den_DFS_.28Dynamic_Frequency_Selection.29_Support_verf.C3.BCgt.3F]]
         cfg -x            - resetting to factory defaults
 
         cfg -c           - commit the change to flash
Somit ist es unabdingbar diese Position zu aktivieren, speziell wenn mehrere Access Points in Reichweite sind um diese Kollisionen unter den "channels" zu verhindern. DARRP wird in den entsprechenden WTP Profil "radios" des Forti Access Point für 2.4 GHz sowie 5 GHz konfiguriert. Im Mgmt. Web Interface findet man diese Position im WTP Profile unter:
         cfg -a var=value  - add or change variables
 
        WiFi Controller > [WiFi Network] > FortiAP Profiles > [Wähle das entsprechende Profil] > Edit > [Radio 1 und/oder 2 Position "Radio Resource Provision"]
 
Um die Konfiguration auf Kommandozeile durchzuführen muss folgendes durchgeführt werden:
 
        # config wireless-controller wtp-profile
         # edit [Name des entsprechenden WTP Profils]
         # config radio-[1 oder 2]
        # set darrp enable
        # end
        # end
 
Um nach der Konfiguration festzustellen ob eine Kollidierung (overlapping) unter den "channels" exisitiert, kann über "Wireless Health Monitor" die Interferenzen eingesehen werden. Für nähere Informationen siehe nachfolgende Artikel:
 
        [[FortiAP:FAQ#Gibt_es_eine_M.C3.B6glichkeit_die_Forti_Access_Points_.C3.BCber_den_FortiGate_Wireless_Controller_zu_.C3.BCberwachen_.28Health_Monitor.29.3F]]
 
aB FortiOS 5.2 wurde innerhalb des Forti Access Point wtp Profile's unter Radio-1 und/oder 2 die Position "Background Scan" (ap-bgscan) ersetzt mit der Position "Spectrum Analysis"! Weitere Informationen dazu siehe nachfolgender Artikel:
 
         [[FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Background_Scan.2FSpectrum_Analyse.22_innerhalb_einer_WTP_Profile_Konfiguration.3F]]
 
=== Was bedeutet der Konfigurationspunkt "Background Scan/Spectrum Analyse" innerhalb einer WTP Profile Konfiguration? ===
 
Unter FortiOS 5.0 existiert in den Forti Access Point WTP Profile unter Radio-1 und/oder 2 die Position "Background Scan". Diese Position ist zuständig über Radio-1 und/oder 2 Informationen zu sammeln und diese unter "Wireless Health Monitor" zur Verfügung zu stellen. Weitere Informationen zum "Wireless Health Monitor" siehe nachfolgenden Artikel:
 
         [[FortiAP:FAQ#Gibt_es_eine_M.C3.B6glichkeit_die_Forti_Access_Points_.C3.BCber_den_FortiGate_Wireless_Controller_zu_.C3.BCberwachen_.28Health_Monitor.29.3F]]
 
Aus diesen Informationen können Rückschlüsse gezogen werden über zB Interference's" (overlapping channel). "Background Scan" sowie "Spectrum Analyse" sollte unter normalen Umständen deaktiviert werden da diese Funktion enorm Performance Intensiv sind. Diese Funktion sollte nur vorübergehend aktiviert werden um "troubleshooting" oder "Analysen" durchzuführen! Desweiteren ist zu beachten, dass für die Forti Access Point FAP-221B, FAP-223B und FAP-221C im Zusammenhang mit FortiOS 5.2.4/5 diese Funktion nicht benutzt werden sollte (Bug 245323) da durch die Funktion "Spectrum Analyse" auf den Forti Access Point ein "high cpu" produziert wird! Ueber Mgmt. Web Interface findet man diesen Konfigurationspunkt unter:
 
        WiFi Controller > [WiFi Network] > FortiAP Profiles > [Wähle das entsprechende Profil] > Edit > [Radio 1 und/oder 2 Position "Background Scan/Spectrum Analyse"]
 
         [[Datei:Fortinet-1271.jpg]]
 
Auf der Kommandozeile wird diese Konfiguration folgendermassen durchgeführt:
 
         # config wirless-controller wtp-profile
        # edit [Name des entsprechenden WTP Profils]
        # config radio-[1 oder 2]
        # set ap-bgscan eanble
         # end
         # end
 
        [[Datei:Fortinet-1272.jpg]]
 
         # config wirless-controller wtp-profile
         # edit [Name des entsprechenden WTP Profils]
        # config radio-[1 oder 2]
         # set spectrum-analysis eanble
         # end
         # end
 
Wenn die Funktion "Background Scan/Spectrum Analyse" aktiviert wird, können die entsprechenden Informationen auch über Kommandozeile abgeruft werden anhand folgenden Befehls:
 
         # diagnose wireless wlac -c rf-sa [Name des FAP zB "FP221B3X13843475"]  1
 
Weitere Informationen betreffend dem Troubleshooting Kommando "diagnose wireless" siehe nachfolgenden Artikel:
 
         [[FortiAP:FAQ#Welche_Troubleshooting_Kommandos_.28diagnose.29_stehen_auf_dem_Wireless_Controller_einer_FortiGate_zur_Verf.C3.BCgung.3F]]
 
=== Was bedeutet der Konfigurationspunkt "short guard intervall" innerhalb einer WTP Profile Konfiguration? ===
 
"Guard Intervalle" auch Schutzintervalle genannt, werden in der Nachrichtentechnik eingesetzt um zu verhindern, dass sich bestimmte Übertragungen vermischen. Sie erhöhen die Störfestigkeit gegenüber Ausbreitungsverzögerungen, Echos und Reflexionen gegen die digitale Daten die in der Regel sehr anfällig sind. Die Länge des "Guard Intervalls" entscheidet dabei wie störanfällig eine Übertragung ist. Je länger ein solcher Intervall ist, desto besser schützt es gegen Störungen sowie geringer wird allerdings auch die Kanaleffektivität (Performance).
 
        '''802.11 Guard Interval'''
          
          
         Supported Variable Names:
         Der Standard-Symbol Guard Interval der in 802,11 OFDM verwendet wird, ist 0.8μs. Um die Datenrate zu erhöhen,
            BAUD_RATE
        fügt die 802.11n-Unterstützung einen optionale 0.4μs Guard Interval hinzu. Diese Optionale Zuschaltung eines
                9600, 19200, 38400, 57600, 115200
        "short guard intervall" bietet eine 10% bis 11% Erhöhung der Datenrate. Die kürzeren Schutzintervall führen
            WTP_NAME
        jedoch zu einer höheren Paketfehlerrate denn die Verzögerung des Schutzintervalls innerhalb des Kanals und /
            WTP_LOCATION
        oder Timing-Synchronisation zwischen dem Sender und Empfänger ist nicht genau festgesetzt. Eine Regelung
            FIRMWARE_UPGRADE
        könnte entwickelt werden, um herauszufinden ob ein "short guard intervall" von Vorteil wäre. Um die Komplexität
            LOGIN_PASSWD
        zu reduzieren, implementieren die Herstellern in der Regel nur einen kurzen Schutzintervall um die Performance
            ADMIN_TIMEOUT
        zu erhöhen.
                Telnet and GUI session admin timeout in minutes [0-480]
 
            ADDR_MODE
Wie beschrieben dient diese Konfiguration der Performance resp. um diese zu erhöhen. Jedoch kann die Aktivierung des "short guard intervall" auch die Stabilität der Uebertragung beeinflussen. Aus diesem Grund ist empfohlen dieser diese Funktion "short guard intervall" in der ersten Phase nicht zu benutzen resp. zu deaktivieren! "short guard intervall" kann für den 5 GHz Bereich für 40/80 MHz aktiviert/deaktiviert werden:
                DHCP, STATIC
 
            AP_IPADDR
        WiFi Controller > [WiFi Network] > FortiAP Profiles > [Wähle das entsprechende Profile] > [Radio-1 und/oder 2 "Short Guard Interval"]
            AP_NETMASK
       
            IPGW
        [[Datei:Fortinet-1273.jpg]]
            AP_MODE
 
                0(Thin AP), 2(Site Survey)
        # config wireless-controller wtp-profile
            DNS_SERVER
        # edit [Name des entsprechenden WTP Profils]
            STP_MODE
        # config radio-[1 oder 2]
            AP_MGMT_VLAN_ID
        # set short-guard-interval enable
            TELNET_ALLOW
        # end
            HTTP_ALLOW
        # end
            DDNS_ENABLE
 
            DDNS_PORT
=== Was bedeutet der Konfigurationspunkt "channel-bonding" (Channel Width) innerhalb einer WTP Profile Konfiguration? ===
            DDNS_SERVER
 
                0(fortiddns.com), 1(fortidyndns.com), 2(float-zone.com)
Die Funktion "channel-bonding" (40/20 MHz Kanal Breite) kann auf dem 5 GHz Frequenz aktiviert werden weil auf diesem Frequenz Band weniger überschneidende Kanäle vorhanden sind. Die 40 Mhz Option auf der 2.4 Ghz zerstückelt das Spektrum und da es in dieser Bandbreite mehr überschneidende Kanäle hat, ist der Einsatz dieser Funktion kontraproduktiv sowie störanfällig und sollte deshalb nicht benutzt werden. Viele 11n-Geräte schalten daher je nach Umgebungsbedingungen zwischen 40- und 20-MHz-Kanälen hin und her oder lassen 40-MHz-Känale nur im 5-GHz-Band zu auf dem weniger Funkverkehr herrscht. Aus diesem Grund ist "channel-bonding" für 2.4 GHz nicht im 40 MHz Bereich zu empfehlen! Da die einzelnen Kanäle breiter werden aber insgesamt nicht mehr Kanäle als bisher verfügbar sind, erhöht sich die Gefahr das sich WLANs gegenseitig stören wenn sie auf angrenzenden Kanälen (channel) funken. Die Standard Werte für das "channel-bonding" im 2.4 GHz und 5 GHz Bereich ist 20 MHz. Das "channel-bonding" im 5 GHz Bereich kann unter FortiOS 5.0/5.2 innerhalb der Forti Access Point WTP Profile konfiguriert werden. Unter FortiOS 5.4 steht diese Funktion nur über CLI zur Verfügung.:
            DDNS_UNIQUE_LOCATION
 
            AC_DISCOVERY_TYPE
        '''FortiOS 5.0'''
                0(auto), 1(static), 2(dhcp), 3(dns), 5(broadcast), 6(multicast), 7(forticloud)
       
            AC_IPADDR_1
        WiFi Controller > WiFi Network > Custome AP Profiles > [Wähle das entsprechende Profile] > [Radio-1 und/oder 2 "Channel Width"]
            AC_IPADDR_2
       
            AC_IPADDR_3
        [[Datei:Fortinet-1274.jpg]]
            AC_HOSTNAME_1
            AC_HOSTNAME_2
            AC_HOSTNAME_3
            AC_DISCOVERY_MC_ADDR
            AC_DISCOVERY_DHCP_OPTION_CODE
            AC_CTL_PORT
            AC_DATA_CHAN_SEC
                0(Clear Text), 1(DTLS Enabled), 2(Clear Text or DTLS Enabled)
            MESH_AP_TYPE
                0(Ethernet), 1(Mesh), 2(Ethernet with mesh backup support)
            MESH_AP_SSID
            MESH_AP_BSSID
            MESH_AP_PASSWD
            MESH_ETH_BRIDGE
                Only take effect with MESH_AP_TYPE 1(mesh) AP
            MESH_MAX_HOPS
            MESH_SCORE_HOP_WEIGHT
            MESH_SCORE_CHAN_WEIGHT
            MESH_SCORE_RATE_WEIGHT
            MESH_SCORE_BAND_WEIGHT
            MESH_SCORE_RSSI_WEIGHT
            SURVEY_SSID
            SURVEY_TX_POWER
            SURVEY_CH_24
            SURVEY_CH_50
            SURVEY_BEACON_INTV
          
          
         '''# cw_diag help'''
         # config wireless-controller wtp-profile
        cw_diag usage:
        # edit [Name des entsprechendend WTP Profile]
            cw_diag help                            --show this usage
        # config [radio-1 oder 2]
            cw_diag uptime                          --show daemon uptime
        # set channel-bonding [enable | disable]
            cw_diag --tlog  <on|off>                --turn on/off telnet log message.
         # end
            cw_diag --clog  <on|off>                --turn on/off console log message.
 
            cw_diag baudrate [9600 | 19200 | 38400 | 57600 | 115200]
        '''FortiOS 5.2'''
            cw_diag kernel-panic [size [ID]]         --show saved kernel panic log fromflash
       
            cw_diag kernel-panic clear              --clear saved kernel panic log from flash
        WiFi Controller > [WiFi Network] > FortiAP Profiles > [Wähle das entsprechende Profile] > [Radio-1 und/oder 2 "Channel Width"]
            cw_diag k-dvlan-debug [0-15]             --enable/disable kernel dynamic vlan debug
       
            cw_diag plain-ctl [[0|1] | clear]        --show, set or clear current plain control setting
        [[Datei:Fortinet-1275.jpg]]
            cw_diag sniff-cfg [[ip port] | clear]    --show, set or clear sniff server ip and port
       
            cw_diag sniff [intf [0|1|2] | clear]     --show, set or clear sniff setting on intf
        # config wireless-controller wtp-profile
            cw_diag stats wl_intf                    --show wl_intf status
         # edit [Name des entsprechendend WTP Profile]
            cw_diag deauth wl_intf sta-mac          --deauthenticate the sta from wl_intf
        # config [radio-1 oder 2]
            cw_diag disassoc wl_intf sta-mac         --disassociate the sta from wl_intf
        # set channel-bonding [20MHz | 40MHz]
            cw_diag ksta                            --show clients on the FortiAP
        # end
            cw_diag wl-log                          --get wlan's beacon/probe related info
 
            cw_diag band-width [rId] [wId] [sta-mac] --show radio, vap, sta band width
Damit "channel-bonding" aktiviert werden kann für 40 MHz im 2.4 GHz Bereich obwohl dies nicht zu empfehlen ist, müssen zuerst im entsprechende WTP Profile für die "channel" ein "unset" durchgeführt werden:
            cw_diag pkt-pattern [rId]               --show traffic packet length info.
 
            cw_diag repeat cnt intv cmd              --run cnt times of cmd at intv interval
        # config wireless-controller wtp-profile
            cw_diag sys-performance                  --show CPU load and memory usage
        # edit [Name des entsprechendend WTP Profile]
            cw_diag clear debug                      --clear all debug settings
        # config radio-1
            cw_diag show debug                      --show all debug settings
        # unset channel
            cw_diag show control                    --show all -c settings
        # set channel-bonding 40MHz
            cw_diag show all                        --show all debug and -c settings
        # end
            cw_diag -c wtp-cfg                      --show current wtp config params in control plane
 
            cw_diag -c radio-cfg                    --show current radio config params in control plane
Diese Funktion steht ebenfalls im Zusammenhang mit der Funktion "coexistence". Weitere Informationen dazu siehe nachfolgender Artikel:
            cw_diag -c ssid                          --show current configrued SSIDs
 
            cw_diag -c vap-cfg                      --show current vaps in control plane
        [[FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22coexistence.22_innerhalb_einer_WTP_Profile_Konfiguration.3F]]
            cw_diag -c ap-rogue                      --show rogue APs pushed by AC for on-wire scan
 
            cw_diag -c sta-rogue                    --show rogue STAs pushed by AC for on-wire scan
=== Was bedeutet der Konfigurationspunkt "Client Load Balancing Access Point Hand-off" innerhalb einer WTP Profile Konfiguration? ===
            cw_diag -c arp-req                      --show scanned arp requests
 
            cw_diag -c ap-scan                      --show scanned APs
Diese Funktion wird benutzt im Zusammenhang mit dem "Wireless Load Balancing" ab FortiOS 5.0. Die Funktionsweise des "Forti Access Point Hand-off" ist die folgende: Ein "Hand-off" wird durch den Forti Access Point ausgelöst anhand des "threshold" (Standard 30). Wenn der "Load" auf einem Forti Access Point den gesetzten "threshold" übersteigt, wird der Wireless Client/Host angewiesen auf den nächsten Forti Access Point und/oder "radio" zu wechseln. Für diesen Wechsel des "Hand-off" ist die Signalstärke des Client/Host entscheidend (RSSI threshold). Dieser Wert erhält der Client/Host vom zuständigen Forti Access Point. Um zu verhindern das der Zugriff auf den Client/Host durch einen Forit Access Point verhindert wird, werden wiederholende Anfragen zum Forti Access Point durch den Wirless Client/Host der auf dem Forti Access Point verbunden ist akzeptiert. Dieser Vorgang nennt man "soft-limit":
            cw_diag -c sta-scan                      --show scanned STAs
 
            cw_diag -c sta-cap                      --show scanned STA capabilities
        [[Datei:Fortinet-340.jpg]]
            cw_diag -c sta-locate                    --show scanned STA locate data
 
            cw_diag -c sta-locate-reset [level]     --reset scanned STA locate data
Folgendes Kommando kann benutzt werden um das "hand-off" auf dem entsprechenden WTP Profil ein- oder auszuschalten sowie den "threshold" zu setzen:
            cw_diag -c wids                          --show scanned WIDS detections
 
            cw_diag -c mesh                          --show mesh status
        # config wireless-controller wtp-profile
            cw_diag -c mesh-veth-acinfo              --show mesh veth ac info, and mesh ether type
        # edit [Name des entsprechendend WTP Profile]
            cw_diag -c mesh-veth-vap                --show mesh veth vap
        # set handoff-sta-thresh [Grenzwert des handoff; Standard 30]
            cw_diag -c mesh-veth-host                --show mesh veth host
        # config [radio-1 oder 2]
            cw_diag -c mesh-ap                      --show mesh ap candidates
        # set ap-handoff {disable | enable}
            cw_diag -c vlan                          --show current vlan info in daemon
        # end
            cw_diag -c sta                          --show current station info in daemon
        # end
            cw_diag -c sys-vbr                      --show WTP Vlan Bridges
            cw_diag -c net-topo                      --show interface topology
            cw_diag -c k-vap                        --show WTP Kernel local-bridge VAPs
            cw_diag -c k-host                        --show WTP Kernel local-bridge Hosts
            cw_diag -c k-wlvl                        --show WTP Kernel local-bridge Wlan Vlans
            cw_diag -c k-vbr                        --show WTP Kernel local-bridge Vlan Bridges
            cw_diag -c scan-clr-all                  --flush all scanned AP/STA/ARPs
            cw_diag -c ap-suppress                  --show suppressed APs
            cw_diag -c sta-deauth                    --de-authenticate an STA


Neu können unter FortiOS 5.0 / 5.2 auch Linux basierende Kommandos benützt werden. Weitere Informationen dazu siehe Artikel:
"handoff-sta-thresh" bedeutet: Der Durchschnitt verbundener Wireless Clients/Host der erreicht werden soll auf einem Forti Access Point, bevor diese Wireless Clients/Hosts durch den Forti Access Point angewiesen werden sich auf dem nächsten Forti Access Point zu verbinden! Die Funktion des "ap-handhoff" kann wie hier gezeigt über Mgmt. Web Interface durchgeführt werden. Jedoch ist die Konfiguration "handoff-sta-thresh" nur über CLI möglich! Im Mgmt. Web Interface findet man die Funktion unter folgender Position:


         [[FortiAP:FAQ#Welche_Befehle_k.C3.B6nnen_auf_einem_FortiAP_OS_ben.C3.BCtzt_werden.3F]]
         WiFi Controller > [WiFi Network] > FortiAP Profiles > [Wähle das entsprechende Profile] > [Radio-1 und/oder 2 "AP Handoff"]


== Troubleshooting ==
=== Was bedeutet der Konfigurationspunkt "Client Load Balancing Frequency Hand-off" innerhalb einer WTP Profile Konfiguration? ===


=== Wie kann ich einen Forti Access Point über den WiFi Controller neu starten? ===
Diese Funktion wird benutzt im Zusammenhang mit dem "Wireless Load Balancing" ab FortiOS 5.0. Die Funktionsweise des "Access Point Frequenzy Hand-off" ist die folgende: Der FortiGate Wireless Controller überprüft in gewissen Abständen die Wireless Clients/Hosts betreffend Ihrer Band-Fähigkeit (Frequenzen)! Ebenfalls wird durch den FortiGate Wireless Controller betreffend dem Wireless Client/Host die RSSI (Signal Stärke) überwacht und das auf allen möglichen Frequenzen. Wenn ein neuer Wireless Client/Host sich verbinden will, überprüft der FortiGate Wireless Controller die MAC Adresse des Wireless Client/Host und schaut gleichzeitig in den "Tabellen" nach in denen die verschiednen Informationen abgelegt sind, wie zB Band-Fähigkeit und RSSI (Signal Stärke). Daraus resultierend kann der FortiGate Wireless Controller entscheiden ob der Device über "dual band" (2.4 GHz / 5 GHz verfügt oder nicht:


Wenn man "einen" oder "mehrere" Forti Access Point über den FortiGate WiFi Controller neu starten möchte, ist folgendes Kommando auf der FortiGate auszuführen:
        [[Datei:Fortinet-341.jpg]]


         # execute wirless reset-wtp [all | [Serien Nummer FAP]
         • Wenn der Wireless Client/Host über "kein" Dual-Band verfügt: Wird dem Wireless Client/Host erlaubt sich mit dem Access Point
         This operation will reboot all specified WTP!
          (2.4 GHz) zu verbinden!
        Do you want to continue? (y/n)'''y'''
         
         • Wenn der Wireless Client/Host über Dual-Band verfügt mit "guter" Signal Stärke: Antwortet der FortiGate Wireless Controller
          nicht auf die Anfrage betreffend 2.4 GHz sondern der Wireless Client/Host wird angewiesen sich mit 5 GHz auf den Forti Access
          Point zu verbinden. Um zu verhindern, dass ein Zugriff auf den Client verhindert wird, werden wiederholende Anfragen zum Forti
          Access Point durch den Wireless Client/Host auf dem Forti Access Point auf dem sich der Wireless Client/Host verbinden will  
          akzeptiert (soft-limit).


        '''NOTE''' Weitere Informationen betreffend dem Troubleshooting Kommando "diagnose wireless" siehe nachfolgenden Artikel:
Einige Wireless Clients/Hosts unterstützen diesen Vorgang dh. diese Wireless Client/Host unterstützen 2.4 GHz sowie 5 GHz. Ist beides vorhanden wird automatisch 5 GHz benutzt. Auf den Wireless Clients/Hosts wird jedoch "nur" 5 GHz angezeigt. Ein Beispiel für solche Device's sind iOS Devices. Das "frequency-off" respektive der "threshold" wird unter der CLI folgendermassen konfiguriert:
           
            [[FortiAP:FAQ#Welche_Troubleshooting_Kommandos_.28diagnose.29_stehen_auf_dem_Wireless_Controller_einer_FortiGate_zur_Verf.C3.BCgung.3F]]


=== Welche Troubleshooting Kommandos (diagnose) stehen auf dem Wireless Controller einer FortiGate zur Verfügung? ===
        # config wireless-controller wtp-profile
 
        # edit [Name des entsprechendend WTP Profile]
Auf einem Wireless Controller auf einer FortiGate stehen folgende Troubleshooting Kommandos zur Verfügung um verschiedenen Informationen zu eruieren:
        # set handoff-rssi  [Grenzwert des handoff; Standard 25]
        # config [radio-1 oder 2]
        # set frequenciy-handoff {disable | enable}
        # end
        # end


        # diagnose wireless wlac -h
"handoff-rssi" bedeutet die Durchschnittliche Signalstärke die erreicht werden muss durch einen Wireless Client/Host bevor der Wireless Client/Host auf den 5 GHz Bereich verschoben wird! Die Konfiguration des "frequenciy-handoff kann ebenfalls im Mgmt. Web Interface durchgeführt werden jedoch kann die Funktion nur aktiviert oder deaktiviert werden. Um die "handoff-rssi" zu konfigurieren muss die CLI benutzt werden! Im Mgmt. Web Interface findet man die Funktion unter folgender Position:
        wlac usage:
            wlac help                      --show this usage
            wlac ping [-c cnt] [-s len] <ip> --send cnt len-bytes ping request
            wlac tpt                        --show non-wireless terminaton point info
            wlac kickmac mac                --disassociate a sta
            wlac kickwtp ip cport          --tear down a wtp session
            wlac plain-ctl [[wtp-id] [0|1] | clear]  --show, set or clear current plain control setting
            wlac sniff-cfg [[ip port] | clear]  --show, set or clear sniff server ip and port
            wlac sniff [intf [wtp-id] [0|1|2] | clear]  --show, set or clear sniff setting on intf for wtp-id
            wlac scanclr                    --clear the scanned rogue ap list
            wlac scanstaclr                --clear the scanned rogue sta list
            wlac sta_filter [sta-mac level | clear]    --show, set or clear sta filter
            wlac wtp_filter [id vfid-ip:port level | clear]  --show, set or clear wtp filter
            wlac clear debug                --clear all debug settings
            wlac show debug                --show all debug settings
            wlac show kernel                --show all -k command settings
            wlac show data                  --show all -d settings
            wlac show control              --show all -c settings
            wlac show all                  --show all -k,-c,-d and debug settings
            wlac -k cws [wlan]                  --list cws info(kern)
            wlac -k wtp [vfid-ip:port lip:port]  --list wtp info(kern)
            wlac -k vap [wlan | bssid]          --list vap info(kern)
            wlac -k sta [wlan | bssid mac]      --list sta info(kern)
            wlac -k wlan-sta wlan sta-ip        --list wlan's sta info(kern)
            wlac -d usage                  --list objects usage(data)
            wlac wpad_vap [ip|bssid]        --list vap info in wpad_ac
            wlac wpad_sta [mac]            --list sta info in wpad_ac
            wlac sta-idle-auth [time]      --get/set non-auth sta idle time
            wlac -d all                    --list wlan/wtp/vap/sta info(data)
            wlac -d wlan                    --list wlan info(data)
            wlac -d wtp                    --list wtp info(data)
            wlac -d vap                    --list vap info(data)
            wlac -d sta                    --list sta info(data)
            wlac -d sta-idx [wlan mac next] --list indexed sta info(data)
            wlac -d wlsta wlan              --list wlan's sta info(data)
            wlac -d wtpsta wtp-index        --list wtp's sta info(data)
            wlac -d radiosta wtp-id rId    --list radio's sta info(data)
            wlac -c sta [mac]              --list sta(ctl)
            wlac -c wtpprof [wtpprof]      --list configured wtp profiles(ctl)
            wlac -c wtp [wtp]              --list configured wtps(ctl)
            wlac -c wtp-idx [wtp next]        --list indexed wtp (ctl)
            wlac -c radio-idx [wtp rId next]  --list indexed radio (ctl)
            wlac -c vap-idx [wtp rId wlan next] --list indexed vap (ctl)
            wlac -c wlan [wlan|ssid]        --list configured wlans(ctl)
            wlac -c swintf                  --list configured switch interface(ctl)
            wlac -c ap-status              --list configured ap status(ctl)
            wlac -c widsprof                --list configured wids profiles(ctl)
            wlac -c byod_dev [dev | mac]    --list configured devices(ctl)
            wlac -c byod_devgrp [devgrp    --list configured device groups(ctl)
            wlac -c byod_devacl [devacl]    --list configured device access lists(ctl)
            wlac -c byod_devtype [devtype]  --list configured device types(ctl)
            wlac -c byod [wlan]            --show device access in control plane
            wlac -c byod_detected [wlan]    --list detected devices(ctl)
            wlac -c ws [ip]                --list current wtp sessions(ctl)
            wlac -c ws-fail                --show current wtp sessions with SSID config failures
            wlac -c ws-mesh vfid-ip:port    --list this wtp session's mesh parent and child info(ctl)
            wlac -c vap                    --list vap info(ctl)
            wlac -c ap-rogue                --list rogue ap info(ctl)
            wlac -c sta-rogue              --list rogue sta info(ctl)
            wlac -c rap-hostlist bssid      --list hosts related to the ap(ctl)
            wlac -c arp-req                --list arp info on the controller(ctl)
            wlac -c mac-table              --list mac table(ctl)
            wlac -c br-table                --list bridge table(ctl)
            wlac -c nol                    --list the AP's non occupancy channel list for radar
            wlac -c scan-clr-all            --clear the scanned rogue ap and sta data(ctl)
            wlac -c ap-onwire-clr bssid    --clear the rogue ap's on wire flag(ctl)
            wlac -c darrp                  --list darrp radio table(ctl)
            wlac -c sta-cap [mac]          --list sta capability(ctl)
            wlac -c sta-locate              --list located wireless stations(ctl)
            wlac -c sta-locate-reset [1|2]  --reset sta-locate data(ctl); 1: reset stats, 2 (default): flush entries
            wlac -c rf-analysis [wtp-id|ac] --list rf analysis results(ctl)
            wlac -c rf-sa wtp-id rId [chan] --list rf spectrum info
            wlac -c radio-ifr wtp-id rId    --list radio's interfering APs
            wlac -c wids                    --show detected sta threat in control plane


Wenn diese Kommandos angewendet werden ist es wichtig Analog dem "diagnose debug info" Kommando auf einer FortiGate zu wissen welche Paramenter im "diagnose wirless" Kommando resp. Filter gesetzt sind. Diese können anhand des folgenden Befehls ausgelesen werden:
        WiFi Controller > [WiFi Network] > FortiAP Profiles > [Wähle das entsprechende Profile] > [Radio-1 und/oder 2 "Frequency Handoff"]


        # diagnose wireless wlac show debug
=== Was bedeutet der Konfigurationspunkt "Auto TX Power Control" innerhalb einer WTP Profile Konfiguration? ===
        ===============================================================================
        ===============================================================================
        OUTPUT from command "wlac plain-ctl ":
       
       
        WTP Global Plain Control: disabled
       
        WTP 0-FAP14C3X13000543 Plain Control: disabled
        WTP 0-FAP21D3U14000144 Plain Control: disabled
        WTP 0-FAP24D3X14000101 Plain Control: disabled
        WTP 0-FP221C3X14001296 Plain Control: disabled
        ===============================================================================
        ===============================================================================
        OUTPUT from command "wlac sniff-cfg ":
       
       
        Current Sniff Server: 192.168.0.1, 6246
        ===============================================================================
        ===============================================================================
        OUTPUT from command "wlac sniff ":
       
       
        WTP 0- Sniff: intf  disabled
       
        ===============================================================================
        ===============================================================================
        OUTPUT from command "wlac sta_filter ":
       
       
        STA Filter is empty
        ===============================================================================
        ===============================================================================
        OUTPUT from command "wlac wtp_filter ":
       
       
        WTP Filter is empty


Um den Filter komplett zurück zu setzen benutze folgenden Befehl:
Bei "Auto TX Power Control" handelt es sich um die Stärke des Signals für ein Forti Access Point! Benützt werden kann diese Funktion, wenn zwei Forti Access Points zu nah zueinander positioniert wurden und sich somit selber stören durch Interferenzen (channel overlapping)! Um dies zu verhindern, kann manuell der "Auto TX Power Control" aktiviert und somit herabgesetzt werden. AB FortiOS 5.0 kann diese Konfiguration automatisiert werden. Dies bedeutet folgendes:


         # diagnose wireless wlac clear debug
         • Ist das Signal grösser als 70dBm wird der TX Power auf "auto-power-low" (TX Power Low Standard 10dBm) gesetzt!
        ===============================================================================
         
        ===============================================================================
         • Ist das Signal kleiner als 70dBM wird der TX Power auf "auto-power-high" (TX Power High Standard 17dBm) gesetzt!
        OUTPUT from command "wlac plain-ctl clear ":
       
       
        WTP Global Plain Control: disabled
       
        WTP 0-FAP14C3X13000543 Plain Control: disabled
        WTP 0-FAP21D3U14000144 Plain Control: disabled
        WTP 0-FAP24D3X14000101 Plain Control: disabled
        WTP 0-FP221C3X14001296 Plain Control: disabled
        ===============================================================================
        ===============================================================================
         OUTPUT from command "wlac sniff-cfg clear ":
       
       
        Current Sniff Server: 192.168.0.1, 6246
        ===============================================================================
        ===============================================================================
        OUTPUT from command "wlac sniff clear ":
       
       
        WTP 0- Sniff: intf  disabled
       
        ===============================================================================
        ===============================================================================
        OUTPUT from command "wlac sta_filter clear ":
       
       
        STA Filter is empty
        ===============================================================================
        ===============================================================================
        OUTPUT from command "wlac wtp_filter clear ":
       
       
        WTP Filter is empty


=== Wie finde ich heraus mit welcher IP der Forti Access Point mit dem Wireless Controller verbunden ist? ===
Die Informationen über die Signalstärke wird durch den FortiGate Wireless Controller im Hintergrund gesammelt und ausgewertet. Aus diesem Grund erkennt der FortiGate Wireless Controller ein "channel overlapping" innerhalb des Forti Access Point Verbund der über dessen FortiGate Wireless Controller verwaltet wird. Desweiteren ist nachfolgende Tabelle Aufschlussreich betreffend verwendeter Stärke in "dBm" resp. "milliwatt". Dabei ist zu berücksichtigen das wenn 50% TX Power benützt wird  folgendes gilt:


Um herauszufinden, zB um sich auf den Forti Access Point zu verbinden, mit welcher IP der Forti Access Point mit dem Wirless Controller verbunden ist kann folgende Befehle benutzt werden:
            50% of 100mW = 50mW was wiederum 17dBm entspricht
 
           
        '''Liste alle IP's auf die momentan durch die Forti Access Point benutzt werden:'''
              0 dBm =  1 mW
       
              3 dBm =  2 mW
        # diagnose wireless wlac -d wtp
              6 dBm =  4 mW
        vf=0 wtp=1 base=08:5b:0e:5d:f7:0d 198.18.3.3:45521<->198.18.3.1:5247 use=7
              9 dBm =   7.9 mW
        vf=0 wtp=2 base=08:5b:0e:0c:f4:1a 193.193.135.70:49026<->193.193.135.66:5247 use=4
            12 dBm = 15.8 mW
        vf=0 wtp=4 base=08:5b:0e:a3:97:a8 198.18.3.2:53715<->198.18.3.1:5247 use=6
            15 dBm = 31.6 mW
         vf=0 wtp=5 base=08:5b:0e:97:23:0e 193.193.135.71:46015<->193.193.135.66:5247 use=4
            18 dBm =  61.1 mW
            21 dBm = 125.9 mW
            24 dBm = 251.2 mW
 
Dieser Konfigurationspunkt kann im entsprechenden Forti Access Point WTP Profil konfiguriert werden:
 
        WiFi Controller > [WiFi Network] > FortiAP Profiles > [Wähle das entsprechende Profile] > [Radio-1 und/oder 2 "Auto TX Power Control"]
 
         [[Datei:Fortinet-1278.jpg]]


        '''Liste alle Forti Access Point auf':''
         # config wireless-controller wtp-profile
       
         # edit [Name des entsprechendend WTP Profile]
         # config wireless-controller wtp
         # config [radio-1 oder 2]
         # get
         # set auto-power-level [enable | disable]
         == [ FAP14C3X13000543 ]
         # set power-level [Setze den entsprechenden Wert in % dh. 1 - 100; Standard 100]
         wtp-id: FAP14C3X13000543   
         # end
         == [ FP221C3X14001296 ]
 
         wtp-id: FP221C3X14001296   
=== Was bedeutet der Konfigurationspunkt "protection-mode" (802.11g Protection Mode) innerhalb einer WTP Profile Konfiguration? ===
         == [ FAP21D3U14000144 ]
 
         wtp-id: FAP21D3U14000144   
Beim "802.11g Protection Mode" handelt es sich um die im IEEE Standard beschriebene "RTS/CTS" (Request-to-send/Clear-to-send) Funktion innerhalb eines Wireless Netzwerk's! Bei RTS/CTS handelt es sich um ein Verfahren das Kollisionen im Wireless Netzwerk verringern kann/soll. Bei Wirless Netzerken hilft es auch das Problem des unsichtbaren Hosts zu lösen. Das ist der Fall, wenn zwei Stationen einen Access Point nutzen, sich aber gegenseitig nicht hören können. Dieser Prozess kann den Datendurchsatz verlangsamen. In den Wireless Netzwerken, in denen eine hohe Performance sehr wichtig ist, sollte die Anzahl der 802.11b Komponenten minimiert werden oder besser gegen 802.11g Produkte ausgetauscht werden. Weitere Informationen zu "RTS/CTS" findet man unter folgenden Link:
         == [ FAP24D3X14000101 ]
 
         wtp-id: FAP24D3X14000101
         http://de.wikipedia.org/wiki/Carrier_Sense_Multiple_Access/Collision_Avoidance#RTS.2FCTS_Koordination
 
Ab FortiGate 5.06 sowie FortiAP 5.0.7 kann dieser "802.11g Protection Mode" manipuliert werden dh. dieser kann auf CTS only gesetzt werden oder RTS/CTS. Per Standard steht der Wert für "protection-mode" auf "disable":
 
         # config wireless-controller wtp-profile
        # edit [Name des entsprechendend WTP Profile]
         # config [radio für 5 GHz]
         # set protection-mode [ctsonly | disable | rtscts]
        # end
        # end
         # end
         # end
       
        '''Liste einen bestimmten Forti Access Point auf mit seinen Informationen/IP:'''
       
        # diagnose wireless wlac -c wtp FAP21D3U14000144
        -------------------------------WTP    1----------------------------
        WTP vd              : root
            vfid            : 0
            id              : FAP21D3U14000144
            mgmt_vlanid      : 0
            region code      : E
            regcode status  : valid
            refcnt          : 3 own(1) wtpprof(1) ws(1)
            plain_ctl        : disabled
            deleted          : no
            admin            : enable
            cfg-wtp-profile  : FAP-04
            override-profile : disabled
            oper-wtp-profile : FAP-04
            wtp-mode        : remote
            name            : Remote Access Point FAP-21D
            location        : Remote FAP-04 local-sg0e0
            led-state        : enabled
            ip-frag-prevent  : TCP_MSS
            tun-mtu          : 1492,1492
            split-tunneling-local-ap-subnet  : disabled
            active sw ver    : FAP21D-v5.2-build0234
            local IPv4 addr  : 193.193.135.71
            board mac        : 08:5b:0e:97:23:0c
            join_time        : Thu Apr 23 08:03:43 2015
            mesh-uplink      : ethernet
            mesh hop count  : 0
            parent wtp id    :
            connection state : Connected
            image download progress: 0
            last failure    : 15 -- ECHO REQ is missing
            last failure param: N/A
            last failure time: Thu Apr 23 08:03:02 2015
            station info    : 0/0
            geo              : World (0)
            LAN              :
                    rId    : 1
                    cnt    : 1
                    port 1  : mode BR-TO-SSID(3)  ssid fortinet4intern         
          Radio 1            : Disabled
          Radio 2            : Virtual Lan AP
            max vaps        : 0
            base bssid      : 00:00:00:00:00:00
            station info    : 0/0
          Radio 3            : Not Exist
        -------------------------------Total    1 WTPs----------------------------


Um sich nun über den Wireless Controller auf den Forti Access Point zu verbinden siehe nachfolgenden Artikel:
Durch die Deaktivierung "disable" des Protection Mode kann nicht erreicht werden, dass sich 802.11a und/oder 802.11b Wireless Clients/Hosts verbinden können resp. ausgeschlossen werden! Jedoch wird durch die Aktivierung dieses Modus Focus auf 802.11g gesetzt und die 802.11a/b Client's vernachlässigt. Aus diesen Informtionen stellt sich die Frage wann dieser Protection Mode aktiviert werden soll und wenn nicht. Die Antwort ist nicht Generell zu beantworten! Jedoch kann man Grundsätzlich von Folgendem ausgehen:


         [[FortiAP:FAQ#Wie_kann_ich_per_Telnet_auf_einen_Forti_Access_Point_zugreifen_wenn_der_Access_Point_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F]]
         • Wenn der Forti Access Point sowie die Wireles Clients/Hosts ausschliesslich 802.11g und/oder 802.11n benutzen, kann der
          Protect Mode ausgeschaltet (deaktiviert) werden um die Performance zu erhöhen da der Overhead von RTS/CTS wegfällt:
         
          protection-mode disabled            = Hoher Durchsatz für 802.11g und/oder 802.11n da der Overhead von RTS/CTS wegfällt


=== Was kann getan werden wenn ein Forti Access Point nicht ersichtlich ist über den FortiGate WiFi Controller? ===
        • Wenn der Forti Access Point sowie die Wireless Clients/Hosts zu 802.11g und/oder 802.11n ebenfalls 802.11b benutzen, sollte der
          Protect Mode RTS/CTS oder CTS aktiviert werden um eine Rückwärtskompatibilität gegenüber 802.11b zu gewährleisten und diese
          "vor" 802.11g und/oder 802.11n Uebermittlungen zu schützen:
         
          protection-mode ctsonly oder rtscts  = Tiefer Durchsatz für 802.11g und/oder 802.11n da Overhead jedoch guter Durchsatz für 802.11a und/oder 802.11b


Wenn ein Forti Access Point in einem bestimmten Subnet/Segment indem der Forti Access Point verwaltet wird nicht ersichtlich ist über den FortiGate WiFi Controller, speziell dann wenn er manuell betreffend IP konfiguriert wurde, ist dabei zu beachten das im betreffendem IP Subnet/Segment folgende Protokolle korrekt arbeiten und in diesem Segment für UDP-5246 folgendes zugelassen ist:
=== Was bedeutet der Konfigurationspunkt "beacon-interval" innerhalb einer WTP Profile Konfiguration? ===


        Broadcast
Ein Forti Access Point sendet in einstellbaren Intervallen (beacon-intervall) kleine Datenpakete, sogenannte "beacons" (Leuchtfeuer) an alle Stationen im Empfangsbereich. Die "beacons" enthalten unter anderem folgende Informationen:
        Multicast
        Unicast


Auf einigen Switchen ist zB Unicast per Standard ausgeschaltet. Diese Funktion ist auf den meisten Switchen zu finden unter der Position "Storm-Agent". Kontrolliere deshalb den Switch und gewährleiste, dass diese Protokolle nicht über den Switch geblockt werden. Um dies zu Troubleshooten ist es wichtig zu wissen wie CAPWAP funktioniert:
        • Netzwerkname ("Service Set Identifier", SSID)
        • Liste unterstützter Übertragungsraten
        • Art der Verschlüsselung


        http://www.ietf.org/rfc/rfc5415.txt
Dieses "Leuchtfeuer" (beacons) erleichtert den Verbindungsaufbau ganz erheblich, da die Wireless Clients/Hosts lediglich den Netzwerknamen und optional einige Parameter für die Verschlüsselung kennen müssen. Gleichzeitig ermöglicht der ständige Versand der Beacon-Pakete die Überwachung der Empfangsqualität und zwar auch dann, wenn keine Nutzdaten gesendet oder empfangen werden. "beacons" werden immer mit der niedrigsten Übertragungsrate (1 MBit/s) gesendet um somit ein erfolgreiche Empfang des "Leuchtfeuers" garantiert wird. Der "beacon-interval" ist ein fixer Parameter der Konfiguriert wird. Bei einer FortiGate im WTP Profile steht dieser Wet auf 100 Millisekunden. Dies bedeutet: 100 steht für den Interval in Millisekunden für die Versendung der "beacon's". Im normal Fall sollte der Wert nicht manipuliert werden denn: Ist der "beacon-interval" hoch, bedeutet dies eine hohe Kapazität auf dem Forti Access Point sprich viele Wireless Clients/Hosts können sich auf dem Forti Access Point verbinden (es werden weniger "beacon's" versendet). Bedeutet jedoch auch: Die Wireless Clients/Hosts benötigen eine sehr lange Zeit bis die Verbindung zustande kommt, da der Interval in Millisekunden der "beacon's" höhere ist. Wenn man den Interval der "beacon's" verkleinert, werden die passiven Scan's der Wireless Clients/Hosts schneller beantwortet. Also ist die Verbindung schneller jedoch sinkt die Kapazität des Forti Access Point (es werden mehr "beacons" versendet). Wenn man einen Forti Access Point in einer Umgebung einsetzt mit vielen Interferenzen (overlapping channel) sollten die "beacon's" herabgesetzt werden um die Netzwerk Performance/Qualität zu erhöhen (es werden mehr "beacon's" versendet). In einer Umgebung mit wenig Interferenzen oder wenigen Wireless Clients/Hosts sollte der "beacon" erhöht werden um mehr Kapazität zu schaffen. Der Befehl um den "beacon's" zu manipulieren wäre der folgende:


Wenn ein Troubleshooting durchgeführt werden soll um festzustellen ob mit einer Verbindung über Port UDP-5246 ein Problem besteht (CAPWAP Port) kann folgendes durchgeführt werden:
        # config system wireless-controller wtp-profile
        # edit [Name des entsprechendend WTP Profile]
        # config radio-[1 | 2]
        # set beacon-inteval [40 - 3500 Millisekunden; Standard 100]
        # end


        '''Setze den Debug Filter zurück:'''
Der Standard Wert 100 für "beacon's" sollte unter normalen Umständen nicht manipuliert werden! Kommt es zu Problemen, sollte bevor der Interval der "beacon's" manipuliert wird eventuell die Option "probe-resp-suppresion" konsultiert werden, Dazu siehe nachfolgender Artikel:
       
           
         # diagnose debug reset
         [[FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22probe-resp-suppression.22_.28Probe_Respond_Suppression.29_innerhalb_einer_SSID_Konfiguration.3F]]
       
        '''Setze einen neuen Debug Filter:'''
       
        # diagnose debug application cw_acd 5   


        '''NOTE''' "5" stellt die "verbosity" dar. Diese "verbosity" zeigt ALLE Fehler an sowie den gesamten CAPWAP Prozess (Discovery,
=== Was bedeutet der Konfigurationspunkt "ekahau-blink-mode" innerhalb einer WTP Profile Konfiguration? ===
            Keep Uplive etc.) Sobald das "debug" nicht mehr benötigt wird muss die Funktion deaktivert sowie gelöschen werden
            ansonsten läuft der Debug im Hintergrund weiter und der Filter bleibt bestehen!


        '''Deaktiviere den Debug Modus:'''
Die Option "ekahau-blink-mode" stellt einen Service dar für das "Real-Time Location System" von Ekahau Vision. Diese Funktion erlaubt es Informationen basierend auf dem Ekahau Vision zum diesem Dienst von Ekahau Vision zu senden um das "Real-Time Location System" zu benützen. Dies bedeutet: Diese Option steht nur im Zusammenhang mit diesem Dienst und muss auch nur dann aktiviert werden wenn dieser Dienst genutzt wird:
       
        # diagnose debug disable
       
        '''Setze den Debug Filter zurück:'''
       
        # diagnose debug reset
       
        '''Kontrolliere den Debug Filter ob dieser zurückgesetzt wurde:'''
       
        # diagnose debug info


Deszweiteren zB um festzustellen ob im Bereich "Unicast" ein Problem besteht, kann folgender Befehl auf der FortiGate, für das Interface auf dem der Forti Access Points verbunden ist, ausgeführt werden:
        # config wireless-controller wtp-profile
        # edit [Name des entsprechenden WTP Profils]
        # config lbs
        # set ekahau-blink-mode [enalbe | disable]
        # set ekahau-tag [ Mac Adresse xx:xx:xx:xx:xx:xx]
        # set erc-server-ip [IPv4 Adresse]
        # set erc-server-port [Port Nummer]
        # end
        # end


        # diagnose sniffer packet any "port 5246" 6 0 a
=== Was bedeutet der Konfigurationspunkt "coexistence" innerhalb einer WTP Profile Konfiguration? ===


Im Sniffer Output muss die Antwort des Access Point über Unicast (Discovery Request) zum FortiGate WiFi Controller (Interface) ersichtlich sein. Ist dies nicht der Fall wird Unicast irgendwo auf dem Weg zum FortiGate Controller geblockt. Die Konsequenz daraus ist das Broadcast und Multicast Anfragen sterben resp. verloren gehen und somit der Forti Access Point auf der FortiGate nicht ersichtlich ist.
Wenn man ein WTP Profile konfiguriert existiert in den "radio-1 oder 2" settings eine Option mit dem Namen "coexistence". Diese Option steht im Zusammenhang mit den Modi "802.11n und 802.11ac" und somit für 2.4GHz und 5GHz. Die Konfiguration für "coexistence" kann nur über CLI durchgeführt werden und zwar folgendermassen:


=== Wie kann ich Verbindungsprobleme mit einem Wireless Client/Workstation über den FortiGate WiFi Controller troubleshooten? ===
        # config wireless-controller wtp-profile
        # edit [Name des entsprechenden WTP Profils]
        # config radio-[1 | 2]
        # set channel-bonding [20MHz | 40MHz | 80MHz]
        # set coexistence [enable | disable]
        # end
        # end


Folgender Artikel gibt Auskunft wie ein Troubleshooting über den FortiGate WiFi Controller betreffend Client's/Workstations durchgeführt werden kann:
Die Option steht im direkten Zusammenhang mit dem "channel-bonding". Dies bedeutet: ist das "channel-bonding" auf 20MHz gesetzt steht die Option "coexistence" nicht zur Verfügung da der 40MHz Bereich nicht aktiviert ist. Wenn das "channel-bounding" auf 40MHz gesetzt ist kann die "coexsistence" aktiviert werden was wiederum bedeutet: 20MHz und 40MHz koesistierten resp. beide sind erlaubt. Die Option "coexistence" definiert den HT20 resp. HT40 Mode was wiederum bedeutet:


         [[FortiGate-5.0-5.2:FAQ#Wie_kann_ich_Verbindungsprobleme_mit_einem_Wireless_Client.2FWorkstation_troubleshooten.3F]]
         HT20 = Einzelner 20MHz Channel
        HT40 = 2 X 20Mhz Channels und Autoselektierung des Sekundären höherer und tieferen Channels


=== Wie finde ich über den FortiGate WiFi Controller heraus welche Client's/Workstations mit welcher SSID verbunden sind und mit welcher MAC Adresse? ===
Wenn somit ein "channel-bounding" aktiviert wird auf 40MHz  jedoch die "coexistence" deaktiviert ist so wird 20MHz als Sekundärer Channel ausgeschlossen. Aus kompatibilitäts Gründen sollte dies nicht konfiguriert werden, kann jedoch in Ausnahmen Sinn machen wenn die Performance ausschlaggeben ist jedoch klar damit gerechnet wird das Geräte im 20MHz Bereich damit ausgeschlossen werden.


Um herauszufinden welche Client's/Workstations mit welcher SSID über den FortiGate WiFi Controller verbunden sind benutze folgenden Befehl:
=== Was bedeutet der Konfigurationspunkt "max-distance" (ACK timeout) innerhalb einer WTP Profile Konfiguration? ===


        # diagnose wireless-controller wlac -d sta
Das "ACK timeout" auf einem Forti Access Point wird über die Option "max-distance" innerhalb eines WTP Profiles gesteuert. Dies wird in der CLI wie folgt beschrieben:
          vf=0 wtp=113 rId=1 wlan=only4also ip=192.168.5.2 mac=9c:b7:0d:de:8f:74 rssi=-41 idle=87 bw=0 use=2 chan=6 radio_type=11N
        * vf=0 wtp=113 rId=1 wlan=only4also ip=0.0.0.0 mac=00:09:0f:f9:29:22 rssi=0 idle=594992 bw=0 use=2 chan=6 radio_type=11N
        * vf=0 wtp=113 rId=2 wlan=only4guests ip=0.0.0.0 mac=00:09:0f:f9:29:29 rssi=0 idle=594993 bw=0 use=2 chan=11 radio_type=11N


In unserem Beispiel sehen wir, dass ein Client mit der IP 192.168.5.2 verbunden ist mit der MAC Adresse 9c:b7:0d:de:8f:74. Gleichzeitig sehen wir die zwei SSID's (mit * gekennzeichnet) "only4also" sowie "only4guests" mit deren MAC Adresse "00:09:0f:f9:29:22" und "00:09:0f:f9:29:29".
        Setzt das erwartete Maximum in Meter zwischen dem Forti Access Point und den Wireless Clients. Dieser Wert verändert
        "ACK timeout" auf dem Forti Access Point um einen maximalen throughput für die maximale definierte Distanz zwischen
        Forti Access Point und Wireless Client zu erreichen. Mögliche Werte sind zwischen 0 und 20'000 Meter (Standard 0).


=== Wie finde ich heraus welche Firmware auf einem Access Point installiert ist? ===
Unter normalen Umständen sollte dieser Wert dh. "0" belassen werden. Wird jedoch eine Punkt zu Punkt Verbindung konfiguriert/etabliert über lange Distanzen zB eine Bridge, kann dieser Wert angepasst werden um ein grosszügiges "ACK timeout" zu erlauben. Für ein Troubleshooting kann dieses Timeout auf dem Forti Access Point angepasst werden. Folgender Befehl Lokal auf dem Forti Access Point gibt den momentanen Wert aus für "ACK timeout" aus:


Die Firmware eines Forti Access Points ist über das Forti Access Point/Fortigate WebInterface ersichtlich. Steht dieses aus irgenwelchen Gründen nicht zur Verfügung kann über die Serial Console und/oder Telnet auf dem Forti Access Point dies ebenfalls direkt ausgelesen werden dh. führe dazu folgendes durch:
        # iwpriv wifi0 get_acktimeout
        wifi0      get_acktimout:64  (0x40)


        # fap-get-status
Um den das "ACK timeout" auf dem FortiAP anzupassen führe folgendes durch:
       
        Version: FortiAP-220B v4.0,build222,120109 (MR3)
        Serial-Number: FAP22B1234567890
        BIOS version: 04000010
        Regcode: N
        Hostname: FAP22B1234567890
        Branch point: 222
        Release Version Information:MR3


=== Wie kann ich die Konfiguration eines Forti Access Point Manuell auf Factory Default setzen? ===
        # Iwpriv wifi-acktimeout [ Wert zB "120"]


Wenn es nötig wird einen Forti Access Point auf Factory Default zu setzen, kann folgendes Kommando auf dem Forti Access Point über die CLI durchgeführt werden:
Wie Lokaler Zugriff erlangt wird auf einen Forti Access Point beschreibt nachfolgender Artikel:


         # cfg -x
         [[FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F]]
        # reboot
       
        oder auch
       
        # factoryreset


Durch den Befehl "cfg -x" wird der Access Point zurückgesetzt und zware OHNE Neustart des Gerätes im Gegensatz zu "factoryreset"! Die Geräte können ebenfalls auch manuell mit einem Hardware Factory Reset zurückgestellt werden (Reset Knopf). Dazu muss der Reset Knopf 5 Sekunden lang gedrückt gehalten werden! Weitere Angaben zu diesem Vorgang:
== CLI ==


        '''FAP-210B and FAP-220B'''
=== Welche Kommandos können Lokal auf einem Forti Access Point über die CLI eingegeben werden? ===
        Der "reset button" befindet sich auf der Unterseite des Gerätes und ist nicht speziell gekennzeichnet. Für einen Factory Reset muss
        der "reset button" einaml gedrückt werden. Es wird automatisch ein Neustart ausgeführt.


        '''FAP-221B, FAP 221C and FAP-223B'''
Grundsätzlich wird eine Konfiguration eine Forti Access Points über den FortiGate Wireless Controller durchgeführt. Nichts desto trotz verfügt ein Forti Access Point Lokal über Befehlsatz der es erlaubt zB eine statische IPv4 Konfiguration durchzuführen oder ein Troubleshooting. Um Lokal auf einem Forti Access Point per "telnet" zu verbinden muss dieser Zugriff aktiviert werden. Danach kann über den FortiGate Wireless Controller per "telnet" eine Verbindung zu einem entsprechenden Forti Access Point erstellt werden um Lokal auf dem Forti Access Point die Kommandos einzugeben. Weitere Informationen wie dieser Zugriff aktiviert wird siehe nachfolgender Artikel:
        Der "reset button" ist nicht speziell gekennzeichnet befindet sich jedoch auf der Oberseite des Devices (neben dem Fortinet Logo).  
        Um einen Factory Reset auszuführen halte den "reset button" 7 - 10 Sekunden gedrückt bis der Power LED beginnt "orange" zu blinken.
        Es wird automatisch ein Neustart ausgeführt.


         '''FAP-320B and FAP320C'''
         [[FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F]]
        Der "reset button" befindet ist beschrifted als "reset button" und befindet sich neben dem LAN1 Ethernet Anschluss. Um einen Factory
        Reset auszuführen halte den "reset button" 7 - 10 Sekunden gedrückt bis der Power LED beginnt "orange" zu blinken. Es wird automatisch
        ein Neustart ausgeführt.


        '''FAP-222B'''
Unter FortiOS 5.0/5.2/5.4 stehen folgende Kommandos zur Verfügung:
        Es exisistiert kein "reset button" für dieses Modell. Wenn ein Power Injector benutzt wird kann der FortiAP über diesen zurgesetzt
        werden dh. drücke den "reset button" für den Power Injector 10 Sekunden gedrückt. Es wird automatisch ein Neustart ausgeführt.


         '''FAP-11C'''
         <big>'''FortiOS 5.0'''</big>
        Der "reset button" ist nicht speziell gekennzeichnet befindet sich jedoch auf der Front Seite unter den LED's. Um einen Factory Reset
        auszuführen halten den "reset button" für 7 Sekunden gedrückt bis die LED's blinken. Danach wird automatisch ein Neustart ausgeführt.
 
Die "reset button" sind über das Quickstart Guide des jeweiligen Devices beschrieben:
 
      [[Fortinet:ProduktInfo#FortiAP]]
 
=== Wie kann ich für einen Forti Access Point das Passwort zurücksetzen (reset)? ===
 
Wenn ein Forti Access Point in Betrieb genommen wird so ist das Standard Password wie bei allen Fortinet Geräten für den User "admin" kein Passwort. Wenn nun dennoch in einer weiteren Konfiguration auf einem FortiAccess Point ein Passwort gesetzt wird und später für ein Login dieses nicht mehr bekannt ist kann Grundsätzlich folgendes durchgeführt werden:
 
        "Forti Access Point ist nicht mit einer FortiGate verbunden"
          
          
         Wenn ein Forti Access Point nicht mit einer FortiGate verbunden ist dh. das entsprechende Passwort benötigt wird um
         '''# fap-get-status'''
         "lokal" auf den Forti Access Point zu verbinden bleibt einem nichts anderes ürbig einen "Factory Reset" auszuführen
        Version: FortiAP-220B v5.0,build064,140117 (GA)
         auf dem Forti Access Point. Zu diesem Zweck verfügen alle Forti Access Points über einen "reset button". Weitere
        Serial-Number: FAP22B3U11011877
         Informationen dazu siehe nachfolgender Artikel:
        BIOS version: 04000010
        Regcode: E
        Hostname: FAP22B3U11011877
        Branch point: 064
        Release Version Information:GA
          
         '''# help'''
         FortiAP commands:
        -----------------
                brctl, cfg, cw_debug, cw_diag, cw_test_led, cw_test_radio
                diag_console_debug, diag_debug_crashlog, dmesg, factoryreset
                fap-get-status, fap-set-hostname, restore, radartool
          
          
         [[FortiAP:FAQ#Wie_kann_ich_die_Konfiguration_eines_Forti_Access_Point_Manuell_auf_Factory_Default_setzen.3F]]
         '''# brctl -h'''
 
         brctl: invalid argument '-h' to 'brctl'
         "Forti Access Point ist mit einer FortiGate verbunden"
          
          
         Wenn der Forti Access Point über eine FortiGate verbunden ist kann das Passwort auf einem Forti Access Point über
         BusyBox v1.15.0 (2014-01-17 16:28:04 PST) multi-call binary
        den "Wireless Controller" der FortiGate zurück gesetzt werden. Dies wird folgendermassen ausgeführt:
          
          
         # config wireless-controller wtp
         Usage: brctl COMMAND [BRIDGE [INTERFACE]]
        # edit [WTP ID resp. Serien Nummer des entsprechende Forti Access Point]
          
         # set login-passwd-change default
         Manage ethernet bridges.
         # end
        # end
          
          
         Durch dieses Kommando wird das Passwort eines Forti Access Point auf "default" zurück gesetzt dh. es gilt User
         Commands:
        "admin" und kein Passwort.
                show                    Show a list of bridges
 
                showmacs BRIDGE         Show a list of mac addrs
=== Wie kann ich die Netzwerk Konfiguration eines Forti Access Point Manuell auslesen? ===
                addbr BRIDGE            Create BRIDGE
 
                delbr BRIDGE            Delete BRIDGE
Die Konfiguration eines Forti Access Point kann man im normal Fall über das Forti Access Point Mgmt. Webinterface auslesen. Wenn dies jedoch nicht mehr möglich etc. kann die momentane Netzwerk Konfiguration über CLi auf dem Forti Access Point (Telnet, Serial Console) ausgelesen werden. Führe dazu folgendes durch:
                addif BRIDGE IFACE      Add IFACE to BRIDGE
 
                delif BRIDGE IFACE      Delete IFACE from BRIDGE
         # cfg -s
                setageing BRIDGE TIME          Set ageing time
        AP_IPADDR:=192.168.1.2
                setfd BRIDGE TIME              Set bridge forward delay
        AP_NETMASK:=255.255.255.0
                sethello BRIDGE TIME            Set hello time
        IPGW:=192.168.1.1
                setmaxage BRIDGE TIME          Set max message age
        ADDR_MODE:=DHCP
                setpathcost BRIDGE COST         Set path cost
        TELNET_ALLOW:=0
                setportprio BRIDGE PRIO         Set port priority
        AC_DISCOVERY_TYPE:=0
                setbridgeprio BRIDGE PRIO      Set bridge priority
        AC_IPADDR_1:=192.168.1.1
                stp BRIDGE [1|0]                STP on/off
        AC_CTL_PORT:=5246
         AC_DISCOVERY_MC_ADDR:=224.0.1.140
         AC_DISCOVERY_DHCP_OPTION_CODE:=138
 
=== Wie kann ich per Telnet auf einen Forti Access Point zugreifen wenn der Access Point über keinen Consolen Port verfügt? ===
 
Wenn ein Forti Access Point zB FAP-21D über keinen Consolen Port verfügt kann man dennoch über "telnet" auf den Forti Access Point zugreifen um zB ein "debug" auszuführen oder eine lokale Konfiguration auf dem Forti Access Point durchzuführen. Die Funktion "telnet" muss vorgängig auf dem Fortigate Wireless Controller freigeschaltet werden. Dies bedeutet: ein direkter Zugriff per "telnet" auf den Forti Access Point ist nicht möglich. Der Zugriff eines "telnet" erfolgt über die Fortigate CLI oder über das Mgmt. Web Interface der FortiGate anhand des CLI Funktion für einen Forti Access Point. Um die Funktion für "telnet" freizuschalten auf dem FortiGate Wirless Controller kann dies entweder für FortiOS 5.0/5.2 sowie 5.4 für einen Forti Access Point erfolgen oder unter FortiOS 5.4 für ein WTP Profile. Um "telnet" für einen Forti Access Point zu aktivieren führe ein Login durch auf der Fortigate per SSH/Telnet oder Consolen Port ein und führe folgendes durch:
 
        '''Aktiviere "telnet" und/oder "http" im WTP Profile (FortiOS 5.4)'''
          
          
         # config wireless-controller wtp-profile
         '''# cw_test_radio -h'''
         # edit [Gebe das entsprechende WTP Profile an]
         /sbin/cw_test_radio <1|2> <2g|5g|auto> <ssid|off> [address] [netmask]
        # set allowaccess [telnet | http]
        # end
          
          
         Das entsprechende WTP Profile muss nun dem entsprechenden Forti Access Point zugewiesen sein damit
         '''# diag_console_debug -h'''
         die Aktivierung von "telnet" und/oder "http" erfolgt. Danach kann über folgende Position eine CLI
         Usage:
        geöffnet werden:
          
          
        WiFi Controller > Managed FortiAPs > [Markiere den entsprechenden Forti Access Point] > [Rechte Maustaste] > Edit in CLI
                diag_console_debug <on|off>               --turn on/off console log message
          
          
        Wenn der Zugriff für "telnet" über den FortiGate Wireless Controller resp. CLI erfolgen soll muss
         '''# diag_debug_crashlog'''    
        und die entsprechende IP des Forti Access Point umbekannt ist siehe nachfolgender Absatz für FortiOS
        Usage:
        5.0/5.2.
 
         '''Aktiviere "telnet" im WTP(FortiOS 5.0/5.2)'''
          
          
        Ueberprüfe über "wtp" welche Forti Access Points existieren:
                diag_debug_crashlog clear                    --clear crash log
                diag_debug_crashlog read                      --read crash log and print
          
          
         # config wireless-controller wtp
         '''# cfg -h'''
         # get
         cfg -h            - output this help
         == [ FAP14C3X13000543 ]
         cfg -r var        - remove variables
         wtp-id: FAP14C3X13000543   
         cfg -e            - export variables
         == [ FP221C3X14001296 ]
         cfg -s            - list variables
         wtp-id: FP221C3X14001296   
         cfg -x            - resetting to factory defaults
         == [ FAP21D3U14000144 ]
         cfg -c            - commit the change to flash
         wtp-id: FAP21D3U14000144   
         cfg -a var=value  - add or change variables
        == [ FAP24D3X14000101 ]
        wtp-id: FAP24D3X14000101   
        # end
 
        Ueberprüfe über "diagnose wireless" welche IP ein bestimmter Access Points benutzt:
          
          
         # diagnose wireless wlac -c wtp [Gebe den entsprechenden Forti Access Point an]
         Supported Variable Names:
        -------------------------------WTP    1----------------------------
            BAUD_RATE
        WTP vd              : root
                9600, 19200, 38400, 57600, 115200
             vfid             : 0
             WTP_NAME
             id              : FAP21D3U14000144
             WTP_LOCATION
             mgmt_vlanid      : 0
             FIRMWARE_UPGRADE
             region code      : E
             LOG IN_PASSWD
             regcode status  : valid
             ADM IN_TIMEOUT
            refcnt          : 3 own(1) wtpprof(1) ws(1)
                Telnet and GUI session admin timeout in minutes
             plain_ctl        : disabled
             ADDR_MODE
             deleted          : no
                DHCP, STATIC
             admin            : enable
             AP_IPADDR
             cfg-wtp-profile  : FAP-04
             AP_NETMASK
            override-profile : disabled
             IPGW
             oper-wtp-profile : FAP-04
             AP_MODE
             wtp-mode        : remote
                0(Thin AP), 2(Site Survey)
             name            : Remote Access Point FAP-21D
             DNS_SERVER
             location        : Remote FAP-04 local-sg0e0
             STP_MODE
             led-state        : enabled
             AP_MGMT_VLAN_ID
             ip-frag-prevent  : TCP_MSS
             TELNET_ALLOW
            tun-mtu          : 1492,1492
             HTTP_ALLOW
             split-tunneling-local-ap-subnet  : disabled
             AC_DISCOVERY_TYPE
             active sw ver    : FAP21D-v5.2-build0234
                0(auto), 1(static), 2(dhcp), 3(dns), 5(broadcast), 6(multicast)
             local IPv4 addr  : 193.193.135.71
             AC_IPADDR_1
             board mac        : 08:5b:0e:97:23:0c
             AC_IPADDR_2
             join_time        : Thu Apr 23 08:03:43 2015
             AC_IPADDR_3
             mesh-uplink      : ethernet
             AC_HOSTNAME_1
             mesh hop count  : 0
             AC_HOSTNAME_2
             parent wtp id    :
             AC_HOSTNAME_3
             connection state : Connected
             AC_DISCOVERY_MC_ADDR
             image download progress: 0
             AC_DISCOVERY_DHCP_OPTION_CODE
             last failure    : 15 -- ECHO REQ is missing
             AC_CTL_PORT
             last failure param: N/A
             AC_DATA_CHAN_SEC
             last failure time: Thu Apr 23 08:03:02 2015
                0(Clear Text), 1(DTLS Enabled), 2(Clear Text or DTLS Enabled)
             station info    : 0/0
             MESH_AP_TYPE
             geo              : World (0)
                0(Ethernet), 1(Mesh), 2(Ethernet with mesh backup support)
             LAN              :
             MESH_AP_SSID
                    rId    : 1
             MESH_AP_BSSID
                    cnt    : 1
             MESH_AP_PASSWD
                    port 1  : mode BR-TO-SSID(3)  ssid fortinet4intern         
             MESH_ETH_BRIDGE
          Radio 1            : Disabled
                Only take effect with MESH_AP_TYPE 1(mesh) AP
          Radio 2            : Virtual Lan AP
             MESH_MAX_HOPS
             max vaps        : 0
            MESH_SCORE_HOP_WEIGHT
             base bssid      : 00:00:00:00:00:00
            MESH_SCORE_CHAN_WEIGHT
             station info    : 0/0
            MESH_SCORE_RATE_WEIGHT
          Radio 3            : Not Exist
            MESH_SCORE_BAND_WEIGHT
        -------------------------------Total    1 WTPs----------------------------
            MESH_SCORE_RSSI_WEIGHT
               
             SURVEY_SSID
        Editiere den entsprechenden Forti Access Point auf dem "telnet" freigeschaltet werden soll und aktiviere den Zugriff:
             SURVEY_TX_POWER
             SURVEY_CH_24
            SURVEY_CH_50
            SURVEY_BEACON_INTV
          
          
         # config wireless-controller wtp
         '''# cw_diag help'''
         # edit [Gebe den entsprechenden Forti Access Point an]
         cw_diag usage:
        # set login-enable enable
            cw_diag help                            --show this usage
        # end
            cw_diag uptime                          --show daemon uptime
       
            cw_diag --tlog  <on|off>                --turn on/off telnet log message.
        Für FortiOS 5.4 existiert dieses Kommando "login-enable" nicht mehr. Ein Zugriff für "telnet" und/oder "http" kann
            cw_diag --clog  <on|off>                --turn on/off console log message.
        dennoch über "wtp" für einen entsprechenden Forti Access Point freigeschaltet werden und wird folgendermassen
            cw_diag baudrate [9600 | 19200 | 38400 | 57600 | 115200]
         durchgeführt:
            cw_diag kernel-panic [size [ID]]         --show saved kernel panic log fromflash
       
            cw_diag kernel-panic clear              --clear saved kernel panic log from flash
        # config wireless-controller wtp
            cw_diag k-dvlan-debug [0-15]            --enable/disable kernel dynamic vlan debug
        # edit [Gebe den entsprechenden Forti Access Point an]
            cw_diag plain-ctl [[0|1] | clear]       --show, set or clear current plain control setting
        # set override-allowaccess [enable | disable]
            cw_diag sniff-cfg [[ip port] | clear]   --show, set or clear sniff server ip and port
        # set allowaccess [telnet | http]
            cw_diag sniff [intf [0|1|2] | clear]    --show, set or clear sniff setting on intf
        # end
            cw_diag stats wl_intf                    --show wl_intf status
       
            cw_diag wl-log                          --get wlan's beacon/probe related info
        Durch diese Konfiguration wird ein Neustart des Forti Access Point durchgeführt!
            cw_diag band-width [rId] [wId] [sta-mac] --show radio, vap, sta band width
       
            cw_diag pkt-pattern [rId]               --show traffic packet length info.
        Teste den Zugriff per Telnet auf den entsprechenden Access Point:
            cw_diag repeat cnt intv cmd              --run cnt times of cmd at intv interval
       
            cw_diag sys-performance                  --show CPU load and memory usage
        # exec telnet 193.193.135.71
            cw_diag clear debug                      --clear all debug settings
        FAP22B3U11011877 login: admin
            cw_diag show debug                      --show all debug settings
       
            cw_diag show control                    --show all -c settings
        BusyBox v1.01 (2012.07.16-18:39+0000) Built-in shell (ash)
            cw_diag show all                        --show all debug and -c settings
        Enter 'help' for a list of built-in commands.
            cw_diag -c wtp-cfg                      --show current wtp config params in control plane
       
            cw_diag -c radio-cfg                    --show current radio config params in control plane
        #
            cw_diag -c ssid                          --show current configrued SSIDs
 
            cw_diag -c vap-cfg                      --show current vaps in control plane
Wie schon erwähnt gibt es neu ab FortiOS 5.2 die Möglichkeit über Web Mgmt. Interface anhand des entsprechenden Forti Access Point Eintrages eine CLI anhand eines Pop-Up zu öffnen. Die Vorraussetzung damit dies ermöglicht wird, ist die Option "set login-enable enable" oder für FortiOS 5.4 "override-allowaccess" und/oder innerhalb eines WTP Profiles "allowaccess". Werden diese Optionen für einen Zugriff über "telnet" nicht aktiviert sei es für FortiOS 5.0/5.2 sowie für 5.4, steht der entsprechende Menüeintrag "Connect to CLI" nicht zur Verfügung. Um über Web Mgmt. Interface eine CLI auf den Forti Access Point zu öffnen führe folgendes aus:
            cw_diag -c ap-rogue                      --show rogue APs pushed by AC for on-wire scan
            cw_diag -c sta-rogue                    --show rogue STAs pushed by AC for on-wire scan
            cw_diag -c arp-req                      --show scanned arp requests
            cw_diag -c ap-scan                      --show scanned APs
            cw_diag -c sta-scan                      --show scanned STAs
            cw_diag -c sta-cap                      --show scanned STA capabilities
            cw_diag -c sta-locate                    --show scanned STA locate data
            cw_diag -c sta-locate-reset [level]      --reset scanned STA locate data
            cw_diag -c wids                          --show scanned WIDS detections
            cw_diag -c mesh                          --show mesh status
            cw_diag -c mesh-veth-acinfo              --show mesh veth ac info, and mesh ether type
            cw_diag -c mesh-veth-vap                --show mesh veth vap
            cw_diag -c mesh-veth-host                --show mesh veth host
            cw_diag -c mesh-ap                      --show mesh ap candidates
            cw_diag -c vlan                          --show current vlan info in daemon
            cw_diag -c sta                          --show current station info in daemon
            cw_diag -c sys-vbr                      --show WTP Vlan Bridges
            cw_diag -c net-topo                      --show interface topology
            cw_diag -c k-vap                        --show WTP Kernel local-bridge VAPs
            cw_diag -c k-host                        --show WTP Kernel local-bridge Hosts
            cw_diag -c k-wlvl                        --show WTP Kernel local-bridge Wlan Vlans
            cw_diag -c k-vbr                        --show WTP Kernel local-bridge Vlan Bridges
            cw_diag -c scan-clr-all                  --flush all scanned AP/STA/ARPs
            cw_diag -c ap-suppress                  --show suppressed APs
            cw_diag -c sta-deauth                    --de-authenticate an STA


         WiFi Controller > > Managed Access Points > Managed FortiAP's > [Wähle den entsprechenden Eintrag] > [Rechter Mausklick] > [Connect to CLI]
         <big>'''FortiOS 5.2'''</big>
          
          
         [[Datei:Fortinet-1292.jpg]]
         '''# get system status'''
 
         Version: FortiAP-221C v5.2,build490,140616 (GA)
         [[Datei:Fortinet-1293.jpg]]
         Serial-Number: FP221C3X14001296
 
        BIOS version: 04000003
=== Wie kann vorgegangen werden wenn Performance Problem auf einem Forti Access Point auftreten? ===
        Regcode: E
 
        Base MAC: 08:5b:0e:5d:f7:0c
Wenn ein Wireless Infrastruktur aufgebaut wird, kommt es nicht selten zu Performance Probleme dh. Diese sind/können vielfältig sein dh. Abhängig von Umgebung, bestehender Infrastruktur, eingesetzter Clients usw. Nun wie soll vorgegangen werden wenn solche Performance Problem auftreten:
        Hostname: FP221C3X14001296
 
        Branch point: 212
         --> Als Erstes führe Tests durch mit den Client's/Workstation basierend auf einem "Freien Kanal" (ganz sicher nicht besetzt
         Release Version Information: GA
            oder beeinträchtigt durch "fremde" andere WiFi Infrastrukturen). Nach Möglichkeit ist der 5 Ghz zu bevorzugen vor dem
            2.4 Ghz. Beide zu benützen ist für den Test nicht zu empfehlen da der 2.4 GHz Bereich durch Interferenzen das Resultat
            negativ beeinflusst. In diesen Test's sollten vers. Client's/Workstation benutzt werden um festzustellen ob das Problem
            basierend auf einer spezifischen Gruppe von "Client's/Workstation" ist. Ebenfalls sollte für die Client's/Workstations
            nur die neusten WiFi Treiber verwendet werden.
 
         --> Stelle fest/sicher das der Client/Workstation mit der max. Rate verbunden ist:
          
          
            130Mbps für 2Ghz 2x2
        '''# help'''
            300Mbps für 5Ghz 2x2 (Short Guard und Channel bonding akiviert)
        FortiAP commands:
 
        -----------------
         --> Folgendes Tool kann auf einem Laptop helfen Störungen (Interferenzen) und Signalqualität zu identifizieren:
                brctl, cfg, cw_debug, cw_diag, cw_test_led, cw_test_radio
                diag_console_debug, diag_debug_crashlog, dmesg, factoryreset
                fap-get-status, fap-set-hostname, restore, radartool
          
        '''# cw_test_radio -h'''
        /sbin/cw_test_radio <1|2> <2g|5g|auto> <ssid|off> [address] [netmask]
       
        '''# diag_console_debug -h'''
        Usage:
       
                diag_console_debug <on|off>               --turn on/off console log message
       
        '''# diag_debug_crashlog'''     
        Usage:
       
                diag_debug_crashlog clear                    --clear crash log
                diag_debug_crashlog read                      --read crash log and print
          
          
            http://www.metageek.net/support/downloads                    (inSSIDer für Windows / Mac / Android)
        '''# cfg -h'''
            http://www.nirsoft.net/network_tools.html                    (WifiInfoView für Windows)
         cfg -h            - output this help
            http://www.ekahau.com/products/heatmapper/overview.html      (HeatMapper für Windows XP / Windows Vista / Windows 7)
         cfg -r var        - remove variables
 
         cfg -e            - export variables
         --> Vergewissere dich, dass zwischen den Forti Access Point, FortiGate WiFi Controller und Server 1000Mbit benutzt wird. Sofern
         cfg -s            - list variables
            nötig setze den speed fix (set speed 1000full) und kontrolliere einen event. Duplex Mismatch.
        cfg -x            - resetting to factory defaults
 
         cfg -c           - commit the change to flash
         --> Ueberprüfe die Auslastungen auf der FortiGate (CPU und Memory). Ziel ist es bei einer Uebertragung die Auslastung/Auswirkungen
        cfg -a var=value  - add or change variables
            auf den CPU und/oder Memory herauszufinden/zu Monitoren:
           
            # get sys perf status
            # diagnose sys top
 
         --> Zeichne den Wireless Traffic auf und analysiere diesen in Bezug auf Packet ACK dh. um die Performance zu erhöhen werden die Packete
            "aggregiert" sprich das Acknowledgement wird nur einmalig für eine Gruppe durchgeführt (Block Ack Technique 802.11n). Wenn Packete
            verworfen werden ist dies ein Hinweis auf Interferenzen und gründet in schlechter Performance und Datenrate. Um den Verkehr
            aufzuzeichnen benötigt man ein entsprechendes "capture tool" (zB WireShark http://www.wireshark.org/download.html).
 
         --> Teste den aktuellen "throughput" mit einem Tool wie "jperf" (http://sourceforge.net/projects/jperf)
           
            [[Datei:Jperf-how-to.pdf]]
 
         --> Um mehr als 54Mbps mit 802.11n herauszuholen benütze nicht "Legacy TKIP" sondern "CCMP" (CCMP oder auch Counter-Mode/CBC-MAC Protocol
            ist gemäß IEEE 802.11i ein Kryptographie-Algorithmus siehe auch:
           
            http://en.wikipedia.org/wiki/CCMP
           
            CCMP Wird benutzt durch die Aktivierung von WPA2 Authentifizierungs-Methode.
 
      --> Ueberprüfe ob zuviele "Beacons per Second" gesendet/benützt werden (beacon-interval):
            
          [[Datei:Fortinet-332.jpg]]
 
      --> Ueberprüfe ob in der Umgebung zuviele existente Frequenz-Bänder existieren die Interferenzen (Störungen) verursachen.
 
      --> Ueberprüfe ob zuviele Broadcast sowie Multicast über das WiFi Netz gelangen/transportiert werden.
 
      --> Ueberprüfe ob Backward Kompatibilität für 802.11b sowie g genutzt und benötigt wird (event. eliminieren)
 
      --> Ueberprüfe ob auf den End Device der User die neusten Treiber sowie WiFi Software installiert ist und überprüfe deren Datenrate.
 
=== Wie kann ich Multicast über einen Forti Access Point optimieren resp. die Performance steigern? ===
 
Im normal Fall wird Multicast Traffic in einem Netzwerk gleichbehandelt wie der Broadcast Traffic. Dazu wird die kleinste Datenrate gewählt und kein "frame acknowledgement" wird durchgeführt. Dieser Umstand "kann" Multicast" Uebermittlung über die Forti Access Point's verlangsamen. Um diesen Umstand entgegenzutreten kann der Multicast Traffic in "Unicast" Traffic umgewandelt werden um eine "optimale" Datenrate zu erreichen. Ebenso profitiert innerhalb des Multicast das optimitert "frame acknoledgement" von der Performance. Um die Optimierung des Multicast auf einer SSID zu aktivieren führe folgendes durch:
 
        # set multicast-enhance [enable | disable]
          
          
         '''NOTE''' Dieses Kommando aktiviert die Konvertierung von Multicast zu Unicast!
         Supported Variable Names:
 
            BAUD_RATE
        # set me-disable-thresh [Standard Wert 64, Mögliche Einstellungen 2 - 256]
                9600, 19200, 38400, 57600, 115200
       
            WTP_NAME
        '''NOTE''' Dieses Befehl setzt die Multicast Erweiterung des Durchschnitt's der Forti Access Point's dh. Sobald der "threshold"
            WTP_LOCATION
            erreicht wird so wird die Konvertierung von Multicast zu Unicast unterbunden um zu verhindern das die Multicast Gruppe
            FIRMWARE_UPGRADE
            zu gross wird (Anzahl Forti Access Point's).
            LOGIN_PASSWD
 
            ADMIN_TIMEOUT
=== Ein Forti Access Point ist über zwei unterschiedliche FortiGate WiFi Controller ersichtlich? ===
                Telnet and GUI session admin timeout in minutes [0-480]
 
            ADDR_MODE
Nun ein Forti Access Point ist per Standard im "AC_DISCOVERY_TYPE 0" was "auto" entspricht. Dies bedeutet der Forti Access Point sucht in der ganzen Umgebung (Broadcast, Multicast, DHCP) nach dem FortiGate WiFi Controller/n. Nun wenn mehrer FortiGate WiFi Controller in der Umgebung installiert sind, erscheinen die Forti Access Point auf all diesen FortiGate WiFi Controllern. Auch wenn einer dieser FortiGate WiFi Controller hbenutzt wird um den Forti Access Point zu konfigurieren, bleibt der Forti Access Pont auf den anderen FortiGate WiFi Controllern sichtbar. Um dies zu verhindern muss der "AC_DISCOVER_TYPE" auf "static" dh. "1" gesetzt werden. Dadurch wird explizit "statisch" nach der IP Adresse des "AC_IPADDR" gesucht. Aus diesem Grund muss "AC_IPADDR" explizit manuel gesetzt werden oder anhand einer DHCP Option mitgegeben werden. Dazu siehe nachfolgenden Artikel:
                DHCP, STATIC
 
            AP_IPADDR
        [[FortiAP:FAQ#Wie_kann_ich_einen_Forti_Access_Point_so_konfigurieren.2C_dass_er_seine_WiFi_Controller_IP_.C3.BCber_DHCP_Server_erh.C3.A4lt.3F]]
            AP_NETMASK
 
            IPGW
Wird "AC_IPADDR" manuell auf dem FortiAP konfiguriert gebe folgenden Befehl ein:
            AP_MODE
       
                0(Thin AP), 2(Site Survey)
        '''NOTE''' Wenn der FortiAP über keinen Consolen Port verfügt kann über den WiFi Controller der FortiGate der Access Point
            DNS_SERVER
            per Telnet konfiguriert werden:
            STP_MODE
           
            AP_MGMT_VLAN_ID
            [[FortiAP:FAQ#Wie_kann_ich_per_Telnet_auf_einen_Forti_Access_Point_zugreifen_wenn_der_Access_Point_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F]]
            TELNET_ALLOW
 
            HTTP_ALLOW
        # cfg -a AC_IPADDR_1=[IP Adresse des FortiGate WiFi Controllers]
            DDNS_ENABLE
        # cfg -c
            DDNS_PORT
        # cfg -s
            DDNS_SERVER
       
                0(fortiddns.com), 1(fortidyndns.com), 2(float-zone.com)
        '''NOTE''' Für "failover" Zwecke stehen 3 "AC_IPADDR" zur Verfügung!
            DDNS_UNIQUE_LOCATION
 
            AC_DISCOVERY_TYPE
Um den "AC_DISCOVERY_TYPE" auf Statisch zu setzen gebe folgendes auf der CLI ein:
                0(auto), 1(static), 2(dhcp), 3(dns), 5(broadcast), 6(multicast), 7(forticloud)
 
            AC_IPADDR_1
        # cfg -a AC_DISCOVERY_TYPE=1
            AC_IPADDR_2
        # cfg -c
            AC_IPADDR_3
        # cfg -s
            AC_HOSTNAME_1
 
            AC_HOSTNAME_2
Wenn der Forti Access Point auf dem FortiGate WiFi Controller sichtbar ist (Connecting) auf dem der Forti Access Point nicht konfiguriert werden soll, kann dieser dort gelöscht werden (Eintrag mit der Maus markieren und rechte Maustaste > Delete). Nach der vorhergehenden Konfiguration darf nun der Forti Access Point auf diesem FortiGate WiFi Controller nicht mehr erscheinen.
            AC_HOSTNAME_3
 
            AC_DISCOVERY_MC_ADDR
=== Welche Informationen kann ich über den WiFi Controller betreffend eines Forti Access Point abrufen? ===
            AC_DISCOVERY_DHCP_OPTION_CODE
 
            AC_CTL_PORT
Wenn man Informationen über einen Forti Access Point abrufen möchte kann dies über Kommandozeile direkt auf dem FortiAccess Point durchgeführt werden. Auf dieser Kommandozeile stehen unzählige Möglichkeiten zur Verfügung. Weitere Informationen dazu siehe nachfolgenden Artikel:
            AC_DATA_CHAN_SEC
 
                0(Clear Text), 1(DTLS Enabled), 2(Clear Text or DTLS Enabled)
        [[FortiAP:FAQ#Welche_Kommandos_k.C3.B6nnen_auf_einem_Forti_Access_Point_.C3.BCber_die_CLI_eingegeben_werden.3F]]
            MESH_AP_TYPE
 
                0(Ethernet), 1(Mesh), 2(Ethernet with mesh backup support)
Zusätzlich kann über den WiFi Controller der FortiGate über den der Forti Access Point konfiguriert wurde einige nützliche Informationen ausgelesen werden wie zB
            MESH_AP_SSID
 
            MESH_AP_BSSID
        # config wireless-controller wtp
            MESH_AP_PASSWD
        # edit [Serial Nummer des Forti Access Point]
            MESH_ETH_BRIDGE
        # get [Read-only Variablen]
                Only take effect with MESH_AP_TYPE 1(mesh) AP
       
            MESH_MAX_HOPS
        '''Read-only Variablen'''
            MESH_SCORE_HOP_WEIGHT
        [[Datei:Fortinet-1298.jpg]]
            MESH_SCORE_CHAN_WEIGHT
 
            MESH_SCORE_RATE_WEIGHT
Weitere detaillierte technische Informationen stehen für den Forti Access Point resp. Wireless Controller über das Kommando "diagnose wireless" zur Verfügung. Wie dieses Kommando benutzt wird sowie dessen Optionen siehe nachfolgenden Artikel:
            MESH_SCORE_BAND_WEIGHT
 
            MESH_SCORE_RSSI_WEIGHT
        [[FortiAP:FAQ#Welche_Troubleshooting_Kommandos_.28diagnose.29_stehen_auf_dem_Wireless_Controller_einer_FortiGate_zur_Verf.C3.BCgung.3F]]
            SURVEY_SSID
 
            SURVEY_TX_POWER
=== Wie finde ich heraus über welche Uptime ein FortiAP verfügt? ===
            SURVEY_CH_24
 
            SURVEY_CH_50
Wenn vermutet wird, dass ein FortiAP selbständig einen Neustart ausführt kann folgender Befehl ausgeführt werden um die Uptime zu eruieren:
            SURVEY_BEACON_INTV
 
        # cw_diag uptime
        Current uptime                  : 574652
        WTP daemon start uptime        : 18
        WTP daemon RUN uptime          : 74
        Time since WTP daemon started  : 574634
        Time since WTP daemon connected : 574578
          
          
        Watchdog timer triggered       : 0
        '''# cw_diag help'''
        Watchdog timer action           : 1
        cw_diag usage:
        Watchdog timer time             : 22
            cw_diag help                            --show this usage
 
            cw_diag uptime                          --show daemon uptime
=== Wie kann ich für ein Troubleshooting vorübergehend die DTLS Funktion auf einem Forti Access Point deaktivieren? ===
            cw_diag --tlog  <on|off>                --turn on/off telnet log message.
 
            cw_diag --clog  <on|off>                --turn on/off console log message.
Die DTLS Funktion dh. "Data Channel Encryption" wird im entsprechenden Profile eines Forti Access Point aktiviert resp. deaktiviert. Da auf dem Forti Access Point die DTLS Funktion auf clear-text "oder" DTLS steht kann die Funktion über den Wireless Controller der FortiGate gesteuert werden dh. im entsprechenden Profile aktiviert und/oder deaktiviert werden. Wenn aus irgendwelchen Gründen dies nicht möglich ist und die Funktion "nur" vorübergehend deaktiviert weden soll für ein Troubleshooting kann dies über "diagnose wireless" Funktion durchgeführt werden. Dazu muss folgendes ausgeführt werden:
            cw_diag baudrate [9600 | 19200 | 38400 | 57600 | 115200]
 
            cw_diag kernel-panic [size [ID]]        --show saved kernel panic log fromflash
         '''Liste alle Forti Access Points auf dem Wirless Controller auf:'''
            cw_diag kernel-panic clear              --clear saved kernel panic log from flash
            cw_diag k-dvlan-debug [0-15]            --enable/disable kernel dynamic vlan debug
            cw_diag plain-ctl [[0|1] | clear]       --show, set or clear current plain control setting
            cw_diag sniff-cfg [[ip port] | clear]    --show, set or clear sniff server ip and port
            cw_diag sniff [intf [0|1|2] | clear]    --show, set or clear sniff setting on intf
            cw_diag stats wl_intf                    --show wl_intf status
            cw_diag deauth wl_intf sta-mac           --deauthenticate the sta from wl_intf
             cw_diag disassoc wl_intf sta-mac        --disassociate the sta from wl_intf
            cw_diag ksta                            --show clients on the FortiAP
            cw_diag wl-log                          --get wlan's beacon/probe related info
            cw_diag band-width [rId] [wId] [sta-mac] --show radio, vap, sta band width
            cw_diag pkt-pattern [rId]                --show traffic packet length info.
            cw_diag repeat cnt intv cmd              --run cnt times of cmd at intv interval
            cw_diag sys-performance                  --show CPU load and memory usage
            cw_diag clear debug                      --clear all debug settings
            cw_diag show debug                      --show all debug settings
            cw_diag show control                    --show all -c settings
            cw_diag show all                        --show all debug and -c settings
            cw_diag -c wtp-cfg                      --show current wtp config params in control plane
            cw_diag -c radio-cfg                    --show current radio config params in control plane
            cw_diag -c ssid                          --show current configrued SSIDs
            cw_diag -c vap-cfg                      --show current vaps in control plane
            cw_diag -c ap-rogue                      --show rogue APs pushed by AC for on-wire scan
            cw_diag -c sta-rogue                    --show rogue STAs pushed by AC for on-wire scan
            cw_diag -c arp-req                      --show scanned arp requests
            cw_diag -c ap-scan                      --show scanned APs
            cw_diag -c sta-scan                      --show scanned STAs
            cw_diag -c sta-cap                      --show scanned STA capabilities
            cw_diag -c sta-locate                    --show scanned STA locate data
            cw_diag -c sta-locate-reset [level]      --reset scanned STA locate data
            cw_diag -c wids                          --show scanned WIDS detections
            cw_diag -c mesh                          --show mesh status
            cw_diag -c mesh-veth-acinfo              --show mesh veth ac info, and mesh ether type
            cw_diag -c mesh-veth-vap                --show mesh veth vap
            cw_diag -c mesh-veth-host                --show mesh veth host
            cw_diag -c mesh-ap                      --show mesh ap candidates
            cw_diag -c vlan                          --show current vlan info in daemon
            cw_diag -c sta                          --show current station info in daemon
            cw_diag -c sys-vbr                      --show WTP Vlan Bridges
            cw_diag -c net-topo                      --show interface topology
            cw_diag -c k-vap                        --show WTP Kernel local-bridge VAPs
            cw_diag -c k-host                        --show WTP Kernel local-bridge Hosts
            cw_diag -c k-wlvl                        --show WTP Kernel local-bridge Wlan Vlans
            cw_diag -c k-vbr                        --show WTP Kernel local-bridge Vlan Bridges
            cw_diag -c scan-clr-all                  --flush all scanned AP/STA/ARPs
            cw_diag -c ap-suppress                  --show suppressed APs
            cw_diag -c sta-deauth                    --de-authenticate an STA
 
        <big>'''FortiOS 5.4'''</big>
       
         '''# get system status'''
        Version: FortiAP-221C v5.4,build0327,160107 (GA)
        Serial-Number: FP221C3X14001296
        BIOS version: 04000003
        System Part-Number: P15285-01
        Regcode: E
        Base MAC: 08:5b:0e:5d:f7:0c
        Hostname: FP221C3X14001296
        Branch point: 327
        Release Version Information: GA
          
          
         # config wireless-controller wtp
         '''# help'''
         # get
        FortiAP commands:
         == [ FAP14C3X13000543 ]
        -----------------
         wtp-id: FAP14C3X13000543   
                brctl, cfg, cw_debug, cw_diag, cw_test_led, cw_test_radio
         == [ FP221C3X14001296 ]
                diag_console_debug, diag_debug_crashlog, diag_sniffer
         wtp-id: FP221C3X14001296   
                dmesg, factoryreset, fap-get-status, fap-set-hostname
         == [ FAP21D3U14000144 ]
                ft_rate_config, restore, radartool, reboot
         wtp-id: FAP21D3U14000144   
       
         == [ FAP24D3X14000101 ]
        '''# cw_test_radio -h'''
         wtp-id: FAP24D3X14000101
        /sbin/cw_test_radio <1|2> <2g|5g|auto> <ssid|off> [address] [netmask]
         # end
       
        '''# diag_console_debug -h'''
        Usage:
       
                diag_console_debug <on|off>              --turn on/off console log message
       
        '''# diag_debug_crashlog'''     
        Usage:
       
                diag_debug_crashlog clear                    --clear crash log
                diag_debug_crashlog read                      --read crash log and print
       
         '''# cw_test_led'''
         /sbin/cw_test_led <all|power|status|wifi1|wifi2> <all|0|1|2|3|4> [interval]
         lan is controlled by hardware, we don't test it here
                  0: Off
                  1: On-Amber
                  2: On-Green
                  3: On-Flashing Amber
                  4: On-Flashing Green
          interval: Period in each state when all is selected for state
       
        '''# dmesg'''
       
        '''# ft_rate_config'''
        ft_rate_config usage:
         command and options:
                -n <dev_name> -p
                -n <dev_name> -m [11bg|11a|11n|11ac] -s <string_256>
                -n <dev_name> -a
                -n <dev_name> -r
                -p print out current rate configuration
                -m radio mode
                -s configure rate set
                    11a string format is (6|6-basic,9|9-basic,12|12-basic,18|18-basic,24|24-basic,36|36-basic,48|48-basic,54|54-basic)
                    11bg string format includes 11a string format and also (1|1-basic,2|2-basic,5.5|5.5-basic)
                    11n string format is (mcs0/1,mcs1/1,...,mcs6/1,mcs7/1,mcs8/2,mcs9/2,...,mcs15/2,mcs16/3,mcs17/3,...,mcs31/4)
                    11ac string format is (mcs0/1,mcs1/1,mcs2/1,...,mcs8/1,mcs9/1,mcs0/2,mcs1/2,...,mcs9/4)
                -a apply the current configuration to radio
                -r reset the user configuration from the ssid
       
        '''# cfg -h'''
        cfg -h            - output this help
        cfg -r var        - remove variables
        cfg -e            - export variables
        cfg -s            - list variables
        cfg -x            - resetting to factory defaults
        cfg -c            - commit the change to flash
        cfg -a var=value  - add or change variables
       
        Supported Variable Names:
            BAUD_RATE
                9600, 19200, 38400, 57600, 115200
            WTP_NAME
            WTP_LOCATION
            FIRMWARE_UPGRADE
            LOGIN_PASSWD
            ADMIN_TIMEOUT
                Telnet and GUI session admin timeout in minutes [0-480]
            ADDR_MODE
                DHCP, STATIC
            AP_IPADDR
            AP_NETMASK
            IPGW
            AP_MODE
                0(Thin AP), 2(Site Survey)
            DNS_SERVER
            STP_MODE
                0(disabled), 1(enabled), 2(disabled with blocked WAN port switch)
            AP_MGMT_VLAN_ID
            ALLOW_TELNET
                0(Telnet disable), 1(Telnet enable), 2(controlled by AC)
            ALLOW_HTTP
                0(Http disable), 1(Http enable), 2(controlled by AC)
            DDNS_ENABLE
            DDNS_PORT
            DDNS_SERVER
                0(fortiddns.com), 1(fortidyndns.com), 2(float-zone.com)
            DDNS_UNIQUE_LOCATION
            AC_DISCOVERY_TYPE
                0(auto), 1(static), 2(dhcp), 3(dns), 5(broadcast), 6(multicast), 7(forticloud)
            AC_IPADDR_1
            AC_IPADDR_2
            AC_IPADDR_3
            AC_HOSTNAME_1
            AC_HOSTNAME_2
            AC_HOSTNAME_3
            AC_DISCOVERY_MC_ADDR
            AC_DISCOVERY_DHCP_OPTION_CODE
            AC_DISCOVERY_FCLD_APCTRL
            AC_DISCOVERY_FCLD_ID
            AC_DISCOVERY_FCLD_PASSWD
            AC_CTL_PORT
            AC_DATA_CHAN_SEC
                0(Clear Text), 1(DTLS Enabled), 2(Clear Text or DTLS Enabled)
            MESH_AP_TYPE
                0(Ethernet), 1(Mesh), 2(Ethernet with mesh backup support)
            MESH_AP_SSID
            MESH_AP_BSSID
            MESH_AP_PASSWD
            MESH_ETH_BRIDGE
                Only take effect with MESH_AP_TYPE 1(mesh) AP
            MESH_MAX_HOPS
            MESH_SCORE_HOP_WEIGHT
            MESH_SCORE_CHAN_WEIGHT
            MESH_SCORE_RATE_WEIGHT
            MESH_SCORE_BAND_WEIGHT
            MESH_SCORE_RSSI_WEIGHT
            SURVEY_SSID
            SURVEY_TX_POWER
            SURVEY_CH_24
            SURVEY_CH_50
            SURVEY_BEACON_INTV
            LED_STATE
                0(LED on), 1(LED off), 2(controlled by AC)
               
        '''# cw_diag help'''
        cw_diag usage:
            cw_diag help [module [mod name]]  --show this usage
            cw_diag uptime                    --show daemon uptime
            cw_diag --tlog  <on|off>          --turn on/off telnet log message.
            cw_diag --clog  <on|off>          --turn on/off console log message.
            cw_diag --flog  <size in MB>      --turn on/off log message to /tmp/var_log_wtpd.
            cw_diag baudrate [9600 | 19200 | 38400 | 57600 | 115200]
            cw_diag kernel-panic [size [ID]]  --show saved kernel panic log fromflash
            cw_diag kernel-panic clear        --clear saved kernel panic log from flash
            cw_diag k-dvlan-debug [0-15]            --enable/disable kernel dynamic vlan debug
            cw_diag plain-ctl [[0|1] | clear]        --show, set or clear current plain control setting
            cw_diag sniff-cfg [[ip port] | clear]    --show, set or clear sniff server ip and port
            cw_diag sniff [intf [0|1|2] | clear]    --show, set or clear sniff setting on intf
            cw_diag stats wl_intf                    --show wl_intf status
            cw_diag deauth wl_intf sta-mac          --deauthenticate the sta from wl_intf
            cw_diag disassoc wl_intf sta-mac         --disassociate the sta from wl_intf
            cw_diag ksta [HHHH]                      --show clients on the FortiAP
            cw_diag wl-log                          --get wlan's beacon/probe related info
            cw_diag band-width [rId] [wId] [sta-mac] --show radio, vap, sta band width
            cw_diag pkt-pattern [rId]                --show traffic packet length info.
            cw_diag repeat cnt intv cmd              --run cnt times of cmd at intv interval
            cw_diag sys-performance                  --show CPU load and memory usage
            cw_diag clear debug                      --clear all debug settings
            cw_diag show debug                      --show all debug settings
            cw_diag show control                    --show all -c settings
            cw_diag show all                        --show all debug and -c settings
            cw_diag -c wtp-cfg                      --show current wtp config params in control plane
            cw_diag -c fcld-cfg                      --show current forticloud client config
            cw_diag -c radio-cfg                    --show current radio config params in control plane
            cw_diag -c ssid                          --show current configrued SSIDs
            cw_diag -c vap-cfg                      --show current vaps in control plane
            cw_diag -c ap-rogue                      --show rogue APs pushed by AC for on-wire scan
            cw_diag -c sta-rogue                    --show rogue STAs pushed by AC for on-wire scan
            cw_diag -c arp-req                      --show scanned arp requests
            cw_diag -c ap-scan                      --show scanned APs
            cw_diag -c sta-scan                      --show scanned STAs
            cw_diag -c sta-cap                      --show scanned STA capabilities
            cw_diag -c sta-locate                    --show scanned STA locate data
            cw_diag -c sta-locate-reset [level]      --reset scanned STA locate data
            cw_diag -c wids                          --show scanned WIDS detections
            cw_diag -c mesh                          --show mesh status
            cw_diag -c mesh-veth-acinfo              --show mesh veth ac info, and mesh ether type
            cw_diag -c mesh-veth-vap                --show mesh veth vap
            cw_diag -c mesh-veth-host                --show mesh veth host
            cw_diag -c mesh-ap                      --show mesh ap candidates
            cw_diag -c vlan                          --show current vlan info in daemon
            cw_diag -c sta                          --show current station info in daemon
            cw_diag -c sys-vbr                      --show WTP Vlan Bridges
            cw_diag -c net-topo                      --show interface topology
            cw_diag -c wev                          --show queued wireless events to report
            cw_diag -c k-vap                        --show WTP Kernel local-bridge VAPs
            cw_diag -c k-host                        --show WTP Kernel local-bridge Hosts
            cw_diag -c k-wlvl                        --show WTP Kernel local-bridge Wlan Vlans
            cw_diag -c k-vbr                        --show WTP Kernel local-bridge Vlan Bridges
            cw_diag -c scan-clr-all                  --flush all scanned AP/STA/ARPs
            cw_diag -c ap-suppress                  --show suppressed APs
            cw_diag -c sta-deauth                    --de-authenticate an STA
 
Neu können unter FortiOS 5.0 / 5.2 auch Linux basierende Kommandos benützt werden. Weitere Informationen dazu siehe Artikel:
 
        [[FortiAP:FAQ#Welche_Linux_Befehle_k.C3.B6nnen_auf_einem_FortiOS_f.C3.BCr_einen_Forti_Access_Point_ben.C3.BCtzt_werden.3F]]
 
=== Welche Kommandos kann ich auf einem Forti Access Point benützen um die Uptime eines Forti Access Point herauszufinden? ===
 
Wenn vermutet wird, dass ein Forti Access Point selbständig einen Neustart ausführt, kann folgender Befehl Lokal auf der CLI des Forti Access Point ausgeführt werden um die Uptime des entsprechenden Forti Access Point zu eruieren:
 
        # cw_diag uptime
        Current uptime                  : 574652
        WTP daemon start uptime        : 18
        WTP daemon RUN uptime          : 74
        Time since WTP daemon started  : 574634
        Time since WTP daemon connected : 574578
       
        Watchdog timer triggered        : 0
        Watchdog timer action          : 1
        Watchdog timer time            : 22
 
Dazu benötigt man einen "telnet" Zugriff. Wie dieser Zugriff konfiguriert wird, wenn der Forti Access Point über keinen Consolen Port verfügt siehe nachfolgender Artikel:
 
         [[FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F]]
 
=== Welche Kommandos kann ich auf einem Forti Access Point benützen um über die CLI die Netzwerk Konfiguration auszulesen? ===
 
Die Netzwerk Konfiguration eines Forti Access Point kann über das Forti Access Point Mgmt. Web Interface ausgelesen werden. Wenn dies jedoch nicht möglich ist, kann die momentane Netzwerk Konfiguration über CLi Lokal auf dem Forti Access Point ausgelesen werden. Dazu benötigt man einen "telnet" Zugriff. Wie dieser Zugriff konfiguriert wird, wenn der Forti Access Point über keinen Consolen Port verfügt siehe nachfolgender Artikel:
 
        [[FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F]]
 
Nachdem der Zugriff gewährleistet ist, kann folgendes Kommando ausgeführt werden um die Netzwerk Konfiguration Lokal auf dem Forti Access Point auszulsen:
 
         # cfg -s
        AP_IPADDR:=192.168.1.2
        AP_NETMASK:=255.255.255.0
        IPGW:=192.168.1.1
        ADDR_MODE:=DHCP
        TELNET_ALLOW:=0
        AC_DISCOVERY_TYPE:=0
        AC_IPADDR_1:=192.168.1.1
        AC_CTL_PORT:=5246
        AC_DISCOVERY_MC_ADDR:=224.0.1.140
         AC_DISCOVERY_DHCP_OPTION_CODE:=138
 
=== Welche Kommandos kann ich auf einem Forti Access Point benützen um die Firmware Version eines Forti Access Points herauszufinden? ===
 
Die Firmware eines Forti Access Points ist über das Mgmt. Web Interface der Fortigate unter "Managed FortiAPs" ersichtlich. Zusätzlich kann Lokal auf dem Forti Access Point nachfolgender Befehl durchgeführt werden um die Firmware Version resp. FortiOS zu verifizieren:
 
        # fap-get-status
        Version: FortiAP-220B v4.0,build222,120109 (MR3)
         Serial-Number: FAP22B1234567890
         BIOS version: 04000010
        Regcode: N
        Hostname: FAP22B1234567890
        Branch point: 222
        Release Version Information:MR3
 
Dazu benötigt man einen "telnet" Zugriff. Wie dieser Zugriff konfiguriert wird, wenn der Forti Access Point über keinen Consolen Port verfügt siehe nachfolgender Artikel:
 
        [[FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F]]
 
== Troubleshooting ==
 
=== Wie kann vorgegangen werden wenn Performance Problem auf einem Forti Access Point auftreten? ===
 
Wenn ein Wireless Infrastruktur aufgebaut wird, kommt es nicht selten zu Performance Probleme dh. Diese sind/können vielfältig sein dh. Abhängig von Umgebung, bestehender Infrastruktur, eingesetzter Wireless Clients usw. Nun wie soll vorgegangen werden wenn solche Performance Problem auftreten:
 
        •  Als Erstes führe Tests durch mit den Wireless Client's/Workstation basierend auf einem "Freien Kanal" (ganz sicher
            nicht besetzt oder beeinträchtigt durch "fremde" andere Wireless Infrastrukturen). Nach Möglichkeit ist der 5 Ghz
            zu bevorzugen vor dem 2.4 Ghz. Beide zu benützen ist für den Test nicht zu empfehlen da der 2.4 GHz Bereich durch
            Interferenzen das Resultat negativ beeinflusst. In diesen Test's sollten vers. Wireless Client's/Workstation benutzt
            werden um festzustellen ob das Problem basierend auf einer spezifischen Gruppe von Wireless Client's/Workstation ist.
            Ebenfalls sollte für die Wireless Client's/Workstations nur die neusten Wireless Treiber verwendet werden. Ziel ist
            es zu versuchen das Problem einzugrenzen auf spezifische Wireless Client's/Workstation oder Bereich wie 5 GHz und
            oder 2.4 GHz usw.
 
        •  Stelle fest/sicher das der Wireless Client/Workstation mit der max. Rate verbunden ist:
           
            130Mbps für 2Ghz 2x2
            300Mbps für 5Ghz 2x2 (Short Guard und Channel bonding akiviert)
 
        •  Folgendes Tool kann auf einem Laptop helfen Störungen (Interferenzen) und Signalqualität zu identifizieren:
           
            http://www.metageek.net/support/downloads                    (inSSIDer für Windows / Mac / Android)
            http://www.nirsoft.net/network_tools.html                    (WifiInfoView für Windows)
            http://www.ekahau.com/products/heatmapper/overview.html      (HeatMapper für Windows XP / Windows Vista / Windows 7)
 
        •  Vergewissere dich, dass zwischen den Forti Access Point, FortiGate Wireless Controller und Server 1000Mbit benutzt wird. Sofern
            nötig setze den speed fix (set speed 1000full) und kontrolliere einen event. Duplex Mismatch.
 
        •  Ueberprüfe die Auslastungen auf der FortiGate (CPU und Memory). Ziel ist es bei einer Uebertragung die Auslastung/Auswirkungen
            auf den CPU und/oder Memory herauszufinden/zu Monitoren:
           
            # get sys perf status
            # diagnose sys top
 
        •  Zeichne den Wireless Traffic auf und analysiere diesen in Bezug auf Packet ACK dh. um die Performance zu erhöhen werden die Packete
            "aggregiert" sprich das Acknowledgement wird nur einmalig für eine Gruppe durchgeführt (Block Ack Technique 802.11n). Wenn Packete
            verworfen werden ist dies ein Hinweis auf Interferenzen und gründet in schlechter Performance und Datenrate. Um den Verkehr
            aufzuzeichnen benötigt man ein entsprechendes "capture tool" (zB WireShark http://www.wireshark.org/download.html).
 
        •  Teste den aktuellen "throughput" mit einem Tool wie "jperf" (http://sourceforge.net/projects/jperf)
           
            [[Datei:Jperf-how-to.pdf]]
 
        •  Um mehr als 54Mbps mit 802.11n herauszuholen benütze nicht "Legacy TKIP" sondern "CCMP" (CCMP oder auch Counter-Mode/CBC-MAC Protocol
            ist gemäß IEEE 802.11i ein Kryptographie-Algorithmus siehe auch:
           
            http://en.wikipedia.org/wiki/CCMP
           
            CCMP Wird benutzt durch die Aktivierung von WPA2 Authentifizierungs-Methode.
 
        •  Ueberprüfe ob zuviele "Beacons per Second" gesendet/benützt werden (beacon-interval):
         
          [[Datei:Fortinet-332.jpg]]


        '''Aktiviere vorübergehend die "plain-ctl" Funktion (DTLS deaktiviert) auf einem entsprechenden Forti Access Point:'''
        •  Ueberprüfe ob in der Umgebung zuviele existente Frequenz-Bänder existieren die Interferenzen (Störungen) verursachen.
       
        # diagnose wireless wlac plain-ctl FAP21D3U14000144 1
       
        WTP 0-FAP21D3U14000144 Plain Control: '''enabled'''
       
        '''NOTE''' Wenn die Option "1" benutzt wird so wird auf dem Wirless Controller die Funktion "Plain Control" aktiviert. Wenn nachträglich die Option "0"
            benutzt wird so wird die "Plain Control" wiederum aktiviert!


        '''Aktiviere dei "plain-ctl" Funktion auf dem Forti Access Point:'''
        •  Ueberprüfe ob zuviele Broadcast sowie Multicast über das Wireless Netz gelangen/transportiert werden.
       
        Damit die "plain-ctl" Funktion auf dem Forti Access Point deaktiviert werden kann muss über "Telnet" auf diesen eingeloggt werden. Wie dies durchgeführt
        wird siehe nachfolgenden Artikel:
       
        [[FortiAP:FAQ#Wie_kann_ich_per_Telnet_auf_einen_Forti_Access_Point_zugreifen_wenn_der_Access_Point_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F]]
       
        Nachdem einloggen kann folgnedes Kommando auf dem Forti Access Point abgesetzt werden um die "plain-ctl" Funktion zu aktivieren:
       
        # cw_diag plain-ctl 1


        '''Nachdem Troubleshooting deaktiviere die "plain-ctl" Funktion (DTL aktiviert) auf einem entsprechenden Forti Access Point:'''
        •  Ueberprüfe ob Backward Kompatibilität für 802.11b sowie g genutzt und benötigt wird (event. deaktivieren)
       
        # diagnose wireless wlac plain-ctl FAP21D3U14000144 0
       
        WTP 0-FAP21D3U14000144 Plain Control: '''disabled'''
       
        Ebenfalls muss auf dem entsprechenden Forti Access Point die "plain-ctl" Funktion deaktiviert werden:
       
        # cw_diag plain-ctl 0
 
Weitere Informationen zur Funktion DTLS siehe nachfolgender Artikel:
 
        [[FortiAP:FAQ#Was_bedeutet_.22WiFi_Data_Channel_Encryption.22_.28DTLS.29_und_wie_konfiguriere_ich_Diese.3F]]
 
=== Kann ich das "ACK timeout" auf einem FortiAP anpassen/verändern (max-distance)? ===
 
Das "ACK timeout" auf einem Fortinet AccessPoint wird über die Option "max-distance" gesteuert. Dies wird in der CLI wie folgt beschrieben:
 
        Setzt das erwartete Maximum in Meter zwischen dem FortiAP und den Clients. Dieser Wert verändert "ACK timeout" auf dem FortiAP
        um einen maximalen throughput für die maximale definierte Distanz zwischen FortiAP und Client zu erreichen. Werte sind zwischen
        0 und 20'000 Meter (Standard 0).
 
Unter normalen Umständen sollte dieser Wert dh. "0" belassen werden. Wird jedoch eine Punkt zu Punkt Verbindung konfiguriert/etabliert über lange Distanzen kann dieser Wert angepasst werden um ein grosszügiges "ACK timeout" zu erlauben. Für ein Troubleshooting kann dieses Timeout auf dem FortiAP angepasst werden. Folgender Befehl auf dem FortiAP gibt den momentanen Wert aus für "ACK timeout" aus:
 
        # iwpriv wifi0 get_acktimeout
 
Um den das "ACK timeout" auf dem FortiAP anzupassen führe folgendes durch:
 
        # Iwpriv wifi-acktimeout [ Wert zB "120"]


== Divers ==
        •  Ueberprüfe ob auf den End Devices der User die neusten Treiber sowie Wireless Software installiert ist und überprüfe deren Datenrate.


=== Wie kann ich auf eine einfache Art bei Performance Problemen Messungen durchführen? ===
=== Wie kann vorgegangen werden wenn auf einem Forti Access Point für Performance Probleme Messungen durchgeführt werden sollen? ===


Um in einem Netzwerk sei es WiFi oder Ethernet ist es ratsam eine kleine Client -> Server Lösung zu benützen die Messungen im TCP sowie im UDP Bereich durchführt. Ein kleines unkompliziertes Tool wäre '''NetIO''':
Um in einem Netzwerk sei es Wireless oder Ethernet Messungen durchzuführen, ist es ratsam eine kleine Client to Server Lösung zu benützen die Messungen im TCP sowie im UDP Bereich durchführt. Ein kleines unkompliziertes Tool wäre NetIO:


         http://www.ars.de/ars/ars.nsf/docs/netio
         http://www.ars.de/ars/ars.nsf/docs/netio


Das Tool funktioniert auf Client to Server Basis dh. auf dem Server wird mit '''-s''' der Server gestartet und auf dem Client mit dem entsprecheneden Befehl (-t hostname/IP) der Client. Der Client setzt in vers. Packetgrössen (können auch definiert werden mit -b) Anfragen ab die danach ausgewertet werden. Ein Scenario wäre zB:
Das Tool funktioniert auf Client to Server Basis dh. auf dem Server wird mit -s der Server gestartet und auf dem Client mit dem entsprecheneden Befehl (-t hostname/IP) der Client. Der Client setzt in vers. Packetgrössen (können auch definiert werden mit -b) Anfragen ab, die danach ausgewertet werden. Ein Scenario wäre zB:


         '''Windows Client --> Windows Server'''
         '''Windows Client --> Windows Server'''
Zeile 6.009: Zeile 6.476:
         C:\netio131>win32-i386.exe -s
         C:\netio131>win32-i386.exe -s
          
          
         Der NetIO Server wird gestartet und läuft per Standard auf Port 18767. Ist dieser Port bereits belegt kann mit Option -p ein anderer Port definiert werden.
         Der NetIO Server wird gestartet und läuft per Standard auf Port 18767. Ist dieser Port bereits belegt kann mit Option -p ein  
        anderer Port definiert werden.
          
          
         Windows Client:
         Windows Client:

Version vom 5. Februar 2016, 10:51 Uhr

FortiAP:FAQ 

 24 X 7 PROMOTION bis 31. März 2016
 
                        Weitere Informationen finden Sie hier!

Vorwort

Diese FAQ's sind für FortiAP Systeme basierend auf OS 4.x sowie 5.x. Die hier zur Verfügung gestellten Informationen und Konfiguratinen betreffen nicht die FortiAP-S.

Datenschutz

        *********************************************************************
        *                                                                   *
        *  THIS FILE MAY CONTAIN CONFIDENTIAL, PRIVILEGED OR OTHER LEGALLY  *
        *      PROTECTED INFORMATION. YOU ARE PROHIBITED FROM COPYING,      *
        *    DISTRIBUTING OR OTHERWISE USING IT WITHOUT PERMISSION FROM     *
        *                  ALSO SCHWEIZ AG SWITZERLAND.                     *
        *                                                                   *
        *********************************************************************

"Die in diesen Artikeln enthaltenen Informationen sind vertraulich und dürfen ohne
schriftliche Zustimmung von der ALSO Schweiz AG gegenüber Dritt-Unternehmen nicht 
                         bekannt gemacht werden"

FAQ

Documentation

Wo findet ich die Dokumente wie Datasheets, Quick Start Guide, User Guide etc. ?

Ueber folgenden internen Link findet man Datasheets und Quick Start Guide betreffend FortiAP Devices: 

       Fortinet:ProduktInfo

Ebenfalls lohnt es sich folgenden Link anzuschauen der "Cookbook" ähnliche Dokumente und Video's beinhaltet: 

       http://community.fortinet.com/

Auf folgender Seite findet man alle orginal Dokumente betreffend FortiAP: 

       http://docs.fortinet.com/fortiap/admin-guides (Legacy Link http://docs.fortinet.com/wireless.html)

       FortiOS 4 MR3
       Datei:Fortigate-wireless-40-mr3.pdf                                         (FortiOS 4.0 MR3 Handbook - Deploying Wireless Networks
       
       Datei:FortiOS 4MR3 Wireless Controller Overview v4.pdf                      (FortiOS 4.0 MR3 Wireless Controller Overview)

       FortiOS 5.0
       Datei:Fortigate-wireless-50.pdf                                             (FortiOS 5.0 Handbook - Deploying Wireless Networks)
       
       Datei:Wirless-technical-training-FOS-5.0-update-v2.pptx                     (FortiOS 5.0 "Wireless Technical Training")

       FortiOS 5.2
       Datei:Fortigate-wireless-52.pdf                                             (FortiOS 5.2 Handbook - Deploying Wireless Networks)

       FortiOS 5.4
       Datei:Fortigate-Wireless-54.pdf                                             (FortiOS 5.4 Handbook - Deploying Wireless Networks)

       Cookbook Supplementary Recipes FortiOS 5.0 / 5.2:
       Datei:Extending-the-range-of-a-wireless-network-by-using-mesh-topology.pdf  (Extending the range of a wireless network by using mesh topology)
       Datei:Configuration of meshed WiFi network.pdf                              (Configuration of meshed WiFi network)
       Datei:Using-a-fortiap-in-bridge-mode-to-add-wireless-access.pdf             (Using a FortAP in Bridge mode to add wireless access)
       Datei:Using-a-fortiap-in-tunnel-mode-to-add-wireless-access.pdf             (Using a FortAP in Tunnel mode to add wireless access)
       Datei:Using-MAC-access-control-to-allow-access-to-the-wireless-network.pdf  (Using MAC access control to allow access to the wireless network)

       Datei:Secure WLAN Sales Presentation R1.pptx                                (The Fortinet Secure WLAN Presentation)
       Datei:Secure WLAN Sales Presentation R2.pptx                                (The Fortinet Secure WLAN Presentation)
       Datei:Secure WLAN Sales Presentation R3.pptx                                (The Fortinet Secure WLAN Presentation)
       
       Datei:FortiAP Quick Sales Guide 2014.pdf                                    (The Fortinet FortiAP Quick Sales Guide)
       Datei:Fortinet-Secure-Wireless-LAN-Solutions-Guide.pdf                      (The Fortinet Secure Wireless LAN Solutions Guide 2015)

       Datei:FortiAP Technical FAQ - January 2014.pdf                              (Fortinet FortiAP Technical FAQ)
       Datei:Fortinet Secure WLAN FAQ.pdf                                          (Fortniet Secure Wireless LAN (WLAN) Solution)
       Datei:Securing Wireless Networks for PCI.pdf                                (Fortinet Securing Wireless Networks for PCI Compliance)
       Datei:FortiAP 5-2-Update-Q1-2015.pptx                                       (Fortinet FortiAP 5.2 WLAN Update Q1 2015)

Gibt es einen Link auf die Fortinet Knowledgebase auf der die Artikel gelistet sind?

       http://pub.kb.fortinet.com/index/

Hardware

Welche Forti Access Point Produkte Linien existieren und was sind die Unterschiede?

Fortinet verfügt heute über drei Produkt Linien betreffend Forti Access Point (exkl. Meru) dh.: 

       • Light Forti Access Point 
         
         Forti Access Point wie FAP-11c | FAP-21D | FAP-24D | FAP-220B | FAP-221B/C | FAP-320B/C usw.
         Diese Access Points müssen zwingen mit einem FortiGate Wireless Controller oder FortiCloud 
         Wireless Controller betrieben werden. Diese Forti Access Points verfügen über keine UTM  
         Features lokal auf den Forti Access Points sondern die UTM Features werden über die FortiGate
         betrieben resp. bereitgestellt und verwaltet.

       • Thick Forti Access Point
         
         Forti Access Point integriert in einer FortiGate FWF-30D | FWF-60D | FWF-90/2D. Dies bedeutet:
         FortiGate Devices mit integriertem Radio (2.4 GHz / 5 GHz). Zusätzlich können diese Devices 
         (Thick Forti Access Points) mit Light Forti Access Points erweitert werden. Die UTM Features
         werden wie bei den Light Forti Access Points über die FortiGate (FWF) zur Verfügung gestellt
         sowie verwaltet.

       • Smart Forti Access Point
         
         Smart Forti Access Point verfügen über lokale UTM Features auf den Smart Forti Access Point 
         (FortiAP-S) und können nur über FortiCloud Wirless Controller verwaltet werden! Weiter Infos 
         siehe nachfolgender Artikel:
                                 
         FortiAP-S:FAQ#Was_ist_unter_einem_.22Forti_Smart_Access_Point.22_.28FortiAP-S.29_zu_verstehen_und_um_was_handelt_es_sich_dabei.3F

Wo finde ich eine Uebersicht über die verschiedenen FortiAP Hardware und Produkte?

Die beste Uerbsicht für FortiAP Produkte bieten die folgenden Dokumente sowie Links: 

       Fortinet:ProduktInfo#Fortinet_Produkt-Guide
       Fortinet:ProduktInfo#Fortinet_Produkt-Matrix

Desweiteren hat Fortinet eine Wireless Brochure Released, die eine generelle Uebersicht bietet: 

       Datei:Wireless Brochure.pdf (Unified Access LayerArchitecture)
       Datei:FortiOS Wireless.pdf  (FortiOS 5 Wireless LAN Controller)

Weitere Informationen betreffend technischem Aufbau eines FortiAP Produktes siehe nachfolgender Artikel: 

       FortiAP:FAQ#Wie_sieht_der_Hardware-Technische_Aufbau_.28block_diagram.29_eines_Forti_Access_Point_Produkts_aus.3F

Nachfolgend eine kurze Uebersicht über die Produkte und wo deren empfohlener Einsatzbereich liegt: 

       Hardware Overview – FortiAP (Indoor)
       
       Fortinet-1362.jpg

       Hardware Overview – FortiAP (Outdoor)
       
       Datei:Fortinet-1363.jpg

       Hardware Overview – FortiAP (Remote)
       
       Datei:Fortinet-1364.jpg

Wo finde ich eine Uebersicht über die verschiedenen FortiAP-S Hardware und Produkte?

Die Features sowie Konfigurationen auf dieser Seite betreffen die "Light Forti Access Point" sowie die "Thick Forti Access Point". Da die "Smart Forti Access Point" nicht über einen FortiGate Wireless Controller verwaltet werden können sind die hier gezeigten Features sowie Konfigurationen für "Smart Forti Access Point" (FortiAP-S) nicht anwendbar. Siehe auch folgender Artikel: 

       FortiAP:FAQ#Welche_Forti_Access_Point_Produkte_Linien_existieren_und_was_sind_die_Unterschiede.3F

Weitere Informationen zu den Details sowie Konfiguration der "Smart Forti Access Point" (FortiAP-S) siehe nachfolgender Artikel: 

       FortiAP-S:FAQ

Verfügen alle FortiGate Devices über einen Wireless Controller für Forti Access Points?

Grundsätzlich verfügen alle FortiGate Devices über einen Wireless Controller mit Aussnahme von: 

       FortiGate 20C
       FortiGate 30D

Ab FortiOS 5.0.6 / 5.2 wurde der FG-30D die Möglichkeit gegeben den FortiGate Wirless Controller zu verwenden. Ebenfalls kann die 30D ab dieser Version 2 FortiAPs managen! Somit ist jeder FortiGate Device limitiert in der Anzahl der FortiAPs die verwaltet resp. konfiguriert werden können. Folgender Artikel gibt Auskunft über die Anzahl FortiAPs die mit einem entsprechenden FortiGate Devices verwaltet/konfiguriert werden können sowie was dabei zu berücksichtigen ist: 

       FortiAP:FAQ#Wieviele_Forti_Access_Points_k.C3.B6nnen_.C3.BCber_eine_FortiGate_Wireless_Controller_konfiguriert_werden.3F

Wieviele Forti Access Points können über eine FortiGate Wireless Controller konfiguriert werden?

Ab FortiOS 5.0 gibt nachfolgendes Dokument Aufschluss über die max. Anzahl der FortiAPs die über eine FortiGate konfiguriert werden können: 

       Produkte Matrix

Ab FortiOS 5.0.3 wurde die Anzahl der FortiAPs die über einen FortiGate Wireless Controller verwaltet resp. konfiguriert werden könnnen erweitert. Dies bedeutet: es wird unterschieden zwischen folgenden Mode: 

       • SSID im "tunneling" Mode
       • SSID im "local bridging" Mode

Bedeutet wiederum: Wenn man einen FortiAP mit einer SSID konfiguriert auf "local bridging", zählt dieser FortiAP als "remote" (wtp-mode). Dies gilt jedoch nur wenn ausschliesslich nur diese Art einer SSID auf dem entsprechenden FortiAP benützt wird. Werden auf einem FortiAP SSID's gemischt dh. "tunneling" und "local bridging" gilt dieser FortiAP als "normal" (wtp-mode). Somit, wenn man einen FortiAP konfiguriert mit SSID im "local bridging" Mode kann dieser FortiAP explizit als "wtp-mode remote" gesetzt werden. Dies kann auf der CLI durchgeführt werden: 

       # config wireless-controller wtp
       # edit [Gebe die entsprechende Serial Nummer des FAP an]
       # set wtp-mode [Gebe an "remote"; Standard Einstellung "normal"]
       # end

Versucht man einen FortiAP auf "remote" zu setzen und die SSID ist nicht auf "local-bridging" gesetzt, erscheint folgende Meldung: 

       Can't be remote mode because wtp-profile '[Name des entsprechendes Profile]' has local-bridging disabled SSID '[Name der entsprechenden SSID]'

Die Produkt Matrix gibt somit Auskunft über die möglichen "normal" Mode sowie "remote" Mode. Die Anzahl der möglichen FortiAPs die über einen FortiGate Wireless Controller verwaltet resp. konfiguriert werden können wird folgendermassen angegeben in der Produkt Matrix: 

       FG-60D   10/5   (Total/Tunnel)

Somit stehet zB für eine FG-60D folgendes zur Verfügung: 

      • 5 FortiAPs mit SSID im "tunneling" und/oder "local bridging" gemischt! (wtp-mode normal)
      • 5 FortiAPs mit SSID im "local bridging" Mode (wtp-mode remote)
      
      = 10 Total möglich wobei 5 im "local bridging" only! (10/5)

Nachfolgend eine Kurzübersicht betreffend "tunneling" möglichen FortiAPs sowie "local bridging": 

       Fortinet-844.jpg

Die offizielle Information betreffend "tunneling" und/oder local bridging" möglichen FortiAPs auf einem FortiGate Device findet man im Dokument der "max-values". Dieses Dokument findet man unter folgenden Artikel: 

            FortiGate-5.0-5.2:FAQ#Wo_findet_ich_die_Dokumente_wie_Datasheets.2C_Quick_Start_Guide.2C_User_Guide_etc._.3F

Fortinet hat ein Dokument herausgegeben, in dem der Umstand dieser Aenderung erklärt wird und wieso dem so ist: 

       Datei:Maximum Number of Managed FortiAPs in FortiOS 5 0 3 FAQ - August 2013 v1 r5.pdf

Kann ich einen Forti Access Point Device ohne FortiGate Wireless Controller konfigurieren und betreiben?

Ein Forti Access Point hat zwar ein Mgmt. Web Interface über dieses bestimmte einfache Konfigurationen durchgeführt werden können wie zB die Vergabe einer fixen IPv4 Adresse jedoch benötigt ein Forti Access Point für den Betrieb und dessen Grundkonfiguration einen FortiGate Wireless Controller. Dies bedeutet: Die Logik resp. die Konfiguration wird dem Forti Acces Point vom FortiGate Wireless Controller übermittelt/zugewiesen und somit kann ein Forti Access Point nicht ohne FortiGate Wirless Controller betrieben werden. Ab FortiOS 5.2.2 (Build 222) kann ein Forti Access Point auch ohne FortiGate Wireless Controller betrieben werden da Fortinet neu einen entsprechenden Wireless Controller in der Cloud zur Verfügung stellt. Weitere Informationen zu dieser neuen Funktion in der FortiCloud siehe nachfolgenden Artikel: 

       FortiCloud(FAMS):FAQ#Ist_es_m.C3.B6glich_anhand_eines_FortiCloud_Accounts_FortiAccess_Points_zu_verwalten.2Fkonfigurieren.3F

Was ist die max. Anzahl User die auf einem Forti Access Point verbunden werden können?

Nun die FortiAPs unterliegen keinem Hardlimit! Wenn eine Limitierung konfiguriert werden möchte, kann dies über die jeweilige SSID im Mgmt. Web Interface über folgende Position konfiguriert werden: 

       WiFi Controller > WiFi Network > SSID > [Wähle die entsprechende SSID] > Maximum Clients

Bei einem FortiAP 221/223/320 kann ca. von einer User Anzahl von 30 - 40 User ausgegangen werden. Dabei spielt jedoch die benützte Applikation wie zB "WebSurfing only" oder "VoIP" eine Rolle. Je nach benutztem Protokoll ist die Belastung höher oder niedriger (Packet Grösse)! Diesem Umstand ist Rechnung zu tragen bei der Planung von Projekten. Man kann ungefähr von folgender Tabelle ausgehen: 

       3-7   - For a direct wire replacement.
       8-15  - In high VoIP environment, high performance enterprise, significant video, etc.
       16-25 - Average high bandwidth enterprise and schools with 1:1 deployments, some video.
       26-50 - Hot spots and events, where you need basic connectivity, email and web browsing.
       >50   - Low bandwidth applications, credit card transactions, barcode readers, telemetry, etc.

Diese Angaben stammen aus folgendem Dokument: 

       Datei:FortiAP Technical FAQ - January 2014.pdf)

Was ist die max. Anzahl SSID's die ich auf einem Forti Access Point konfigurieren und betreiben kann?

Grundsätzlich gelten die "maximum values" für das entsprechende FortiOS. Weitere Informationen betreffend "maximum values" siehe nachfolgenden Link: 

       Datei:Fortigate-max-values-50.pdf
       Datei:Fortigate-max-values-52.pdf
       Datei:Fortigate-Max-Values-54.pdf

In diesen "maximum values" sind zwei Werte gelistet: 

       • SSIDs                        Dieser Wert stellt das Maximum dar der SSID's die konfiguriert werden können!
       • SSID lists per FortiAP       Dieser Wert stellt das Maximum dar der SSID's die für einen Forti Access Point konfiguriert werden können!

Dabei ist folgendes zu beachten: Wenn auf einem Forti Access Point die volle Anzahl der SSID's konfiguriert wird so entsteht durch den Traffic der SSID's selber eine hohe Belastung (zusätzliche Broadcast Frames). Aus diesem Grund ist es nicht empfehlenswert mehr als 7 SSID's auf einem Forti Access Point zu konfigurieren da durch mehr SSID's die Performance durch die zusätzlichen Broadcast Frames beeinträchtigt wird. Die empfohlen Anzahl seitens Fortinet ist 4 SSID's!

Wie sieht der Hardware-Technische Aufbau (block diagram) eines Forti Access Point Produkts aus?

In der nachfolgenden Abbildung resp. "block diagram" wird anhand eines FortiAP-28C gezeigt, wie der Hardware-Technische Aufbau eines FortiAP Produktes aussieht: 

       Fortinet-1347.jpg

Wie aus dem "block diagram" ersichtlich ist, wird ein "Atheros" Chip benutzt. Weitere Informationen zu diesem Chip siehe nachfolgender Link: 

       http://en.wikipedia.org/wiki/Qualcomm_Atheros

Desweiteren eine "Schematische" Uebersicht betreffend FAP-221C, FAP-320C sowie FAP-321C: 

       FAP-221C
       
       Fortinet-1359.jpg

       FAP-320C
       
       Fortinet-1360.jpg

       FAP-321C
       
       Fortinet-1361.jpg

Wieso kann die Hardware eines Forti Access Point FAP-320B/C bis zu 450 Mbps Durchsatz verarbeiten?

Ein FAP-320B/C setzt die sogenannte "3x3:3 MIMO" Technology ein! Siehe für weitere Details folgender Artikel: 

       FortiAP:FAQ#Wo_finde_ich_detailliert_Informationen_.C3.BCber_Wireless_.22802.11AC_MU-MiMo.22_Funktion.3F

In kurzer Ausführung bedeutet dies, dass der FAP-320B/C durch die "3x3:3 MIMO" Technology für eine Uebermittlung der Daten resp. Komunikation 3 Streams einsetzt. Die Modulation sowie die Codierung für diese 3 Streams wird definiert durch den MCS Index. Dieser max. MCS Index kann mit folgenden Befehl ausgelesen werden: 

       # cw_diag -c radio-cfg
       
       Radio 0: AP
          country        : cfg=CH oper=CH
          radio type     : 11N_2.4G
          beacon intv    : 100
          tx power       : 15
          HT param       : mcs=23 gi=disabled bw=20MHz
          ack timeout    : 64
          r_ac MAX dista : 0 ackt_2G=64 ackt_5G=25 
          r_ac chan      : num=6 age=25011
          channel        : num=6 
          oper_chan      : 6
          r_ac md_cap    : 2, 6, 10, 
          r_ac chan list : 2, 6, 10, 
               chan list : 2, 6, 10, 
          hw_chan list   : 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 36, 40, 44, 48, 52, 
                           56, 60, 64, 100, 104, 108, 112, 116, 120, 124, 128, 132, 136, 140, 
          nol list       : 
          ap scan        : background regular scan, 
          ap scan period : 600s
          ap scan intv   : 1s
          ap scan dur    : 20ms
          ap scan idle   : 0ms
          ap scan rpt tmr: 30s
          sta scan       : enabled
          arrp           : enabled --info only
          spect analysis : disabled
          wids           : wl-bridge bc-deauth nl-pbresp long-dur mac-oui wep-iv spoof-deauth asleap auth-flood assoc-flood eapol 
               long-dur-thresh: 8200
                    auth-flood: time=10, thresh=30
                   assoc-flood: time=10, thresh=30
       Radio 1: AP
          country        : cfg=CH oper=CH
          radio type     : 11AC
          beacon intv    : 100
          tx power       : 31
          VHT param      : mcs=9 gi=disabled bw=80MHz
          ack timeout    : 25
          r_ac MAX dista : 0 ackt_2G=64 ackt_5G=25 
          r_ac chan      : num=0 age=68299
          channel        : num=0 
          oper_chan      : 36
          r_ac md_cap    : 36, 40, 44, 48, 
          r_ac chan list : 36, 40, 44, 48, 
               chan list : 36, 40, 44, 48, 
          hw_chan list   : 36, 40, 44, 48, 52, 56, 60, 64, 100, 104, 108, 112, 116, 120, 124, 
                           128, 132, 136, 140, 
          nol list       : 
          ap scan        : disabled, 
          sta scan       : disabled
          arrp           : disabled --info only
          spect analysis : disabled
          wids           : disabled

Wie schon erwähnt, bestimmt der eingesetzte MCS Index den max. Durchsatz. Dieser als max. theoretischer Wert bei "optimalen" Umgebungsvariablen zu verstehen dh. dieser kann nur erreicht werden wenn sämtliche Umgebungsvariablen 100% stimmen was wiederum bedeutet: Der Host/Client muss für die Verbindung zB ebenfalls den entsprechenden "MCS Index" unterstützen! Somit wenn die Umgebungs Variablen 100% stimmen bestimmt der MCS Index den max. Durchsatz gemäss unteren Tabelle: 

       Datei:Fortinet-718.jpg

Welches FortiOS soll im Zusammenhang mit FortiGate Devices und/oder Forti Access Points eingesetzt werden?

Grundsätzlich ist es empfohlen die jeweiligen Release Notes für das entsprechenden FortiOS für einen Forti Access Point zu konsultieren um zu verifizieren welche Version für welchen FortiGate Patch Level unterstützt wird. In einem Upgrade Scenario muss ebenfalls verifiziert werden, wie ein Upgrade zu erfolgen hat dh. von welcher FortiOS Version für die Forti Access Points. Teilweise ist es möglich für Forti Access Points höhere Versionen einzusetzen dh. Zb FortiGate Device 5.0 und auf den Forti Access Point 5.2. Dabei ist jedoch zu berücksichtigen: Features die für FortiOS 5.2 grundsätzlich zur Verfügung stehen, können obwohl der Forti Access Points basierend auf FortiOS 5.2 betrieben wird, nicht zugewiesen werden da der FortiGate Wireless Controller FortiOS 5.0 basierend ist. Da die Konfiguration eines Forti Access Point über den FortiGate Wireless Controller einem Forti Access Point zugewiesen wird kann in so einer Konstellation der FortiGate Wireless Controller einem Forti Access Point nicht 5.2 basierend Features zuweisen da der FortiGate Wireless Controller diese nicht kennt da dieser auf FortiOS 5.0 basiert. Je nach FortiOS Version ist es nicht möglich ein durchgeführtes Upgrade durch ein Downgrade zu ersetzen. Auch hier gibt die Release Notes des entsprechenden FortiOS für die Forti Access Points Auskunft ob ein nachträgliches Downgrade durchführbar ist. Weitere Auskunft über diese Problematik betreffend Downgrade von 5.2 auf 5.0 gibt nachfolgender Artikel: 

       FortiAP:FAQ#Kann_f.C3.BCr_einen_Forti_Access_Point_basierend_auf_Firmeware_5.2_anhand_einer_Firmware_5.0_ein_.22Downgrade.22_durchf.C3.BChren.3F
       FortiAP:FAQ#Kann_f.C3.BCr_einen_Forti_Access_Point_basierend_auf_Firmeware_5.4_anhand_einer_Firmware_5.2_ein_.22Downgrade.22_durchf.C3.BChren.3F

Wird ein Upgrade eines Forti Access Point FAP-320C von 5.2.1 auf 5.2.2 oder höher durchgeführt muss dessen Bios betreffend Flash Partition Size auf den neusten Stand gebracht werden. Dies bedeutet: ein Upgrade für den FAP-320C ist folgendermassen durchzuführen: 

       Schritt 1:    FAP-320-C FortiOS 5.2.1 --> Upgrade anhand special Image (B0221) für Bios Upgrade "FAP-v5FLASH-UPGRADE-fortinet.out
       Schritt 2:    Danach Upgrade mit regulärem Image auf 5.2.2

Wie schon erwähnt können Forti Access Point's basierend auf 5.2 mit FortiGate 5.2 oder FortiGate 5.0 eingesetzt werden! Dabei wird empfohlen den letzten Patch Level sei es auf den Forti Access Point sowie FortiGate's einzuspielen. Die Ausnahme ist der neue "Special Support Build" basierend auf FortiGate 5.0 der zwingen für Forti Access Point eingesetzte werden muss, die den neuen Standard 802.11ac unterstützen (FAP-221C/222C/223C/321C). Somit, wenn eine FortiGate 5.0 im Zusammenhang mit FAP-221C/222C/223C/321C eingesetzt wird muss dieser "Special Support Build" zwingend eingesetzt werden. Dieser "Special Support Build" ist unter folgenden Link erhältlich: 

       https://support.fortinet.com/Download/FirmwareImages.aspx
       
       / FortiGate/ v5.00/ Feature_Support/ fg_5-0_wifi_11ac/ v5.0/

Nachträglich eine kurze Uebersicht über die möglichen Konstellation: 

       FortiGate 5.2.x                            --> Zwingend Forti Access Point 5.2.x (Alle Modelle inkl. FAP-221C/222C/223C/321C)
       FortiGate 5.0.x                            --> Forti Access Point 5.0.x empfohlen Forti Access Point 5.2.x (exkl. FAP-221C/222C/223C/321C Modelle da diese nicht erkannt werden)
       FortiGate 5.0.x (Special Support Build)    --> Forti Access Point 5.0.x empfohlen Forti Access Point 5.2.x (Zwingend für Modelle FAP-221C/222C/223C/321C damit diese erkannt werden)

Bei dieser Aufstellung der Möglichkeiten ist folgendes zu berücksichtigen: Die Firmware einiger Modelle wie zB FAP-21D sowie FAP-24D sind in der Version Forti Access Point 5.0.x nicht erhältlich. Somit müssen die Forti Access Point basierend auf Forti Access Point 5.2.x eingesetzt werden. Es ist im allgemeinen darauf zu achten immmer den neusten Patch Level für Forti Access Points einzusetzen unter berücksichtigung der Release Notes.

Wie kann ich das lokale Passwort auf einem Forti Access Point zurücksetzen?

Wenn ein Forti Access Point in Betrieb genommen wird so ist das Standard Password wie bei allen Fortinet Geräten für den User "admin" nicht gesetzt dh. kein Passwort. Wenn nun dennoch in einer weiteren Konfiguration auf einem Forti Access Point ein Passwort gesetzt wird und später für ein Login dieses nicht mehr zur Verfügung steht kann Grundsätzlich folgendes durchgeführt werden: 

       "Forti Access Point ist nicht mit einem FortiGate Wireless Controller verbunden"
       
       Wenn ein Forti Access Point nicht mit einem FortiGate Wireless Controller verbunden ist dh. das entsprechende 
       Passwort benötigt wird um Lokal auf den Forti Access Point zu verbinden bleibt einem nichts anderes übrig als 
       einen "Factory Reset" auszuführen auf dem Forti Access Point. Zu diesem Zweck verfügen alle Forti Access Points 
       über einen "Hardware Reset" Button anhand diesem ein Factory Reset ausgeführt werden kann. Weitere Informationen 
       dazu siehe nachfolgender Artikel:
       
       FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_eine_Forti_Access_Point_Hardware_einen_Factory_Reset_durchf.C3.BChren.3F

       "Forti Access Point ist mit einer FortiGate Wireless Controller verbunden"
       
       Wenn der Forti Access Point über eine FortiGate Wireless Controller verbunden ist kann das Passwort auf einem 
       Forti Access Point über den "FortiGate Wireless Controller" der FortiGate zurück gesetzt werden. Dies wird 
       folgendermassen ausgeführt:
       
       FortiOS 5.0/5.2
       
       # config wireless-controller wtp
       # edit [WTP ID resp. Serien Nummer des entsprechende Forti Access Point]
       # set login-passwd-change default
       # end
       # end
       
       FortiOS 5.4
       
       # config wireless-controller wtp
       # edit [WTP ID resp. Serien Nummer des entsprechende Forti Access Point]
       # set override-login-passwd-change enable
       # set login-passwd-change default
       # end
       # end
       
       Sofern der Forti Access Point ein WTP Profile benutzt kann das Passwort ebenfalls über dieses WTP Profile
       zurück gesetzt werden:
       
       # config wireless-controller wtp-profile
       # edit [Gebe das entsprechende WTP Profile des Forti Access Point an]
       # set login-passwd-change default
       # end
       # end
       
       Durch dieses Kommando wird das Passwort eines Forti Access Point auf "default" zurück gesetzt dh. es gilt User 
       "admin" und kein Passwort.

Wie kann ich für eine Forti Access Point Hardware einen Factory Reset durchführen?

Wenn für eine Forti Access Point Hardware ein Factory Reset durchgeführt werden soll so kann das Lokal über die CLI auf einem Forti Access Point durchgeführt werden. Einerseits wenn dies durchgeführt werden möchte, ist es möglich per "telnet" über den Forti Gate Wireless Controller Zugriff auf die CLI eines Forti Access Point zu erhalten. Ebenso kann der Forti Access Point Lokal an einen Client/Host über RJ-45 verbunden werden um danach ebenso über "telnet" Zugriff auf die CLI des Forti Access Point zu erhalten. 

       FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F
       FortiAP:FAQ#Was_ist_die_Default_IPv4_Adresse_f.C3.BCr_einen_Forti_Access_Point_und_wie_kann_ich_mich_auf_diese_IPv_Adresse_verbinden.3F

Wenn ein Forti Access Point Lokal an einen Client/Host über RJ-45 verbunden ist muss "telnet" Zugriff über das Mgmt. Web Interface des Forti Access Point aktiviert werden. Um auf der CLI danach ein Factory Reset auszuführen gebe folgendes ein: 

       # cfg -x 
       # reboot
       
       oder auch
       
       # factoryreset

Durch den Befehl "cfg -x" wird der Forti Access Point zurückgesetzt und zware ohne Neustart des Forti Access Point im Gegensatz zu "factoryreset"! Aus diesem Grund muss nach "cfg -x" ein manueller Neustart durchgeführt werden. Die Forti Access Points können ebenfalls auch manuell anhand eines "Hardware Reset" Buttons auf Factory Reset zurückgestellt werden. Dazu muss der Reset Knopf 5 Sekunden lang gedrückt gehalten werden! Weitere Angaben zu diesem Vorgang: 

       FAP-210B and FAP-220B
       Der "reset button" befindet sich auf der Unterseite des Gerätes und ist nicht speziell gekennzeichnet. Für einen Factory Reset muss 
       der "reset button" einaml gedrückt werden. Es wird automatisch ein Neustart ausgeführt.

       FAP-221B, FAP 221C and FAP-223B
       Der "reset button" ist nicht speziell gekennzeichnet befindet sich jedoch auf der Oberseite des Devices (neben dem Fortinet Logo). 
       Um einen Factory Reset auszuführen halte den "reset button" 7 - 10 Sekunden gedrückt bis der Power LED beginnt "orange" zu blinken.
       Es wird automatisch ein Neustart ausgeführt.

       FAP-320B and FAP320C
       Der "reset button" befindet ist beschrifted als "reset button" und befindet sich neben dem LAN1 Ethernet Anschluss. Um einen Factory
       Reset auszuführen halte den "reset button" 7 - 10 Sekunden gedrückt bis der Power LED beginnt "orange" zu blinken. Es wird automatisch 
       ein Neustart ausgeführt.

       FAP-222B
       Es exisistiert kein "reset button" für dieses Modell. Wenn ein Power Injector benutzt wird kann der FortiAP über diesen zurgesetzt 
       werden dh. drücke den "reset button" für den Power Injector 10 Sekunden gedrückt. Es wird automatisch ein Neustart ausgeführt.

       FAP-11C
       Der "reset button" ist nicht speziell gekennzeichnet befindet sich jedoch auf der Front Seite unter den LED's. Um einen Factory Reset
       auszuführen halten den "reset button" für 7 Sekunden gedrückt bis die LED's blinken. Danach wird automatisch ein Neustart ausgeführt.

Die "reset button" sind über das Quickstart Guide des jeweiligen Devices beschrieben: 

      Fortinet:ProduktInfo#FortiAP

Power Adapter

Wo finde ich eine Uebersicht ob ein Forti Access Point mit PowerAdapter geliefert wird oder PoE unterstützt?

FortiAPs werden teilweise mit jedoch teilweise auch ohne PowerAdapter ausgeliefert. Nachfolgende Uebersicht zeigt welche FortiAPs mit PowerAdapter ausgeliefert werden und welche PoE unterstützen sowie in welcher Art und Weise! Ebenfalls sind die SKU's für seperate PowerAdapter die für fast alle FortiAPs erhältlich sind aufgeführt: 

       Datei:Fortient-714.jpg

Betreffend dieser Informationen im Zusammenhang mit FortiAP-S siehe nachfolgender Artikel: 

       FortiAP-S:FAQ#Was_ist_unter_einem_.22Fortinet_Smart_Access_Point.22_.28FortiAP-S.29_zu_verstehen_und_um_was_handelt_es_sich_dabei.3F

Nachfolgend eine weitere Uebersicht: 

       Datei:Fortient-1079.jpg
       Datei:Fortinet-1354.jpg

       ALSO SKU     Fortinet SKU            Beschreibung
       
       16503530H    SP-FG20C-PA-EU          AC power adaptor FG/FWF-20C series, FG/FWF-30D, FS-28C, FAP-28C, FAP-221C, FAP-320B and FAP-320C,
                                            FortiAP-S311C, FortiAP-S313C, FortiAP-S321C, FortiAP-S323C
       
       16502897H    SP-FAP220B-PA-EU        AC Power Adaptor for FAP-210A, FAP-210B and FAP-220B
       
       16502769H    SP-FAP221B-PA           AC Power Adaptor for FAP-221B, FAP-221C and FAP-223B
       
       16503364H    SP-ADAPTORPLUG-01-EU    Power adaptor plug for EU
       
                    SP-FAP222B-PA           Proprietary PoE injector with AC power adapter for FortiAP-222B.
       
       16502894H    GPI-115                 GPI-115 Gigabit PoE Injector - 1-Port Gigabit PoE Power Injector, 802.3af 15.4Watts 10/100/1000
       16505067H    GPI-130                 GPI-130 Gigabit PoE Injector - 1-Port Gigabit PoE Power Injector, 802.3at up to 30W

Für den Adapter "SP-FAP221B-PA" sowie "SP-FAP222B-PA" muss zusätzlich der Artikel "SP-ADAPTORPLUG-01-EU" bestellt werden!

FortiCare

Muss ich für die "Lifetime Warranty" eines Forti Access Point ein FortiCare (Maitenance) beziehen?

"Lifetime Waranty" muss für einen Forti Access Point nicht in jedem Fall bezogen werden! Die Fortinet hat im März 2014 folgendes Dokument released: 

       Datei:Fortinet Limited Lifetime Warranty FAQ - March 2014.pdf
       Datei:Fortinet Limited Lifetime Warranty FAQ - January 2015.pdf

Dieses Dokument besagt folgendes: 

       Jeder FortiAP der nach 1. November 2013 gekauft/registriert wurde (purchased after November 1st 2013) benötigt kein FortiCare mehr und hat 
       "LifeTime Waranty". "LifeTime Waranty" bedeutet: 5 Jahre nach EOL (End Of Life Announcement).

Alle Geräte vor dem 1. November 2013 müssen für die Maitenance mit einem FortiCare versehen werden um bei einem RMA Fall ausgetauscht zu werden! Was jedoch zu berücksichtigen ist wäre folgendes: Die Informationen hier beziehen sich auf FortiCare im Zusammenhang mit RMA Austausch bei Defekt. Die Informationen beziehen sich nicht auf: 

       • Firmware Upgrade
       • Technischer Support (Ticketing)

Somit muss für die Aussage im Zusammenhang mit "Lieftime Warranty" folgendes berücksichtigt werden: Um ein Firmware Upgrade auf einem Forti Access Point durchzuführen und/oder Technischen Support Tickets zu eröffnen benötigt man weiterhin FortiCare dh. ohne FortiCare können keine regulären Firmware Upgrades für Forti Access Point durchgeführt werden und können keine technischen Support Tickets eröffnet werden! Somit muss für einen Forti Access Point Maintenance resp. mit FortiCare bezogen werden!

Antenna

Kann man Forti Access Points mit externen Antennen Nach-/Ausrüsten?

Grunsätzlich ist es möglich Forti Access Points mit externen Antenen Nach-/Auszurüsten dh. das eingesetzte Forti Access Point Modell entscheidet über den verfügbaren Anschluss ob dies möglich ist oder nicht! Dies bedeutet: ob der vorhanden Anschluss für eine externe Antenne zur Verfügung steht oder nicht. Ob dies der Fall ist, kann über das jeweiligen Quickstart und/oder Datasheet verifiziert werden: 

       Fortinet:ProduktInfo#FortiWiFi
       Fortinet:ProduktInfo#FortiAP

Fortinet bietet eigene externe Antennen an in der Forti Access Point Produktlinie. Der Wirkungsgrad dieser Antennen etc. kann im jeweiligen Datasheet nachgelesen werden: 

       Fortinet:ProduktInfo#FortiAntenna

Was ist zu beachten wenn Forti Access Points mit einer externen Antenne ausgerüstet wird?

Eine externe Antenne verteilt das Signal nur dh. es verstärkt dieses nicht! Die Antennen verteilen das Signal in Ihrer speziellen Art und Weise (Wirkungsgrad). Verstärker resp. Verstärkungen eines Antennen Signals für zB Richtfunk ist Bewilligungspflichtig: 

       http://www.bakom.admin.ch/themen/frequenzen/00689/01638/index.html?lang=de

Welchen Anschluss benützt eine Forti Access Point für den externen Antenna Anschluss?

Grundsätzlich gibt das Datasheet und/oder der Quickstart Guide Auskunft welcher Anschluss benützt werden muss/kann: 

       Fortinet:ProduktInfo#FortiWiFi
       Fortinet:ProduktInfo#FortiAP

Durch die FortiWifi wird der "RP-SMA" Anschluss benützt (nicht zu verwechseln mit einem SMA Anschluss). Folgender Link gibt Auskunft um was es sich bei eiem "RP-SMA" Anschluss handelt: 

       https://de.wikipedia.org/wiki/Koaxiale_Steckverbinder_f%C3%BCr_Hochfrequenzanwendungen#RP-SMA-Steckverbinder

Gibt es von Fortinet für Forti Access Point eine externe "omnidirect" Antenne?

Omnidirect bedeutet: 360° was wiederum bedeutet, dass Signal wird durch die Antenne 360° verteilt. Das Gegenteil wäre "unidirect" was wiederum einer Richtantenne entspricht (gebündelt). Bei den Fortinet externen Antennen gibt das jeweilige Datasheet Auskunft über die jeweilige Art und Weise der Signal Verteilung (Wirkungsgrad): 

       Fortinet:ProduktInfo#FortiAntenna

FortiAP-OS

Was wird als FortiOS auf einem Forti Access Point benützt und wie wird die "Standard" Konfiguration gestartet?

Beim FortiOS eines Forti Access Point handelt es sich um ein "Linux 2.6.35 GNU/Linux" (Stand FortiOS 5.0). Dies bedeutet: Prozesse und/oder Deamons werden über die zuständigen RC Level (Start Scripts) abgewickelt. Diese RC Level die wiederum einfach Scripts darstellen, lesen konfigurations Dateien aus um die nötige Konfiguration durchzuführen. Die RC Leves befinden sich im folgenden Verzeichnis: 

       /etc/rc.d/

Die Konfigurations Dateien befinden sich im folgenden Verzeichnis: 

       /etc/ath

In diesem Verzeichnis existieren folgende Files die für folgende Konfiguration zuständig sind: 

       dflt.cfg (Standard Konfiguration)
       
       # more /etc/ath/dflt.cfg
       
       --------------- output dflt.cfg --------------- 
       
       ## Default values of FAP cfg variables
       ## For any cfg variable CFG_VAR_NAME with default value DFLT_VALUE,
       ## Add an entry like:   CFG_VAR_NAME_DFLT=DFLT_VALUE
       ## Don't include "" in DFLT_VALUE
       
       BAUD_RATE_DFLT=9600
       FIRMWARE_UPGRADE_DFLT=0
       ADMIN_TIMEOUT_DFLT=5
       
       ADDR_MODE_DFLT=DHCP
       STP_MODE_DFLT=0
       AP_IPADDR_DFLT=192.168.1.2
       AP_NETMASK_DFLT=255.255.255.0
       IPGW_DFLT=192.168.1.1
       DNS_SERVER_DFLT=208.91.112.53
       AP_MGMT_VLAN_ID_DFLT=0
       WAN_MODE_DFLT=bridged
       WAN_IPADDR_DFLT=192.168.2.1
       WAN_NETMASK_DFLT=255.255.255.0
       TELNET_ALLOW_DFLT=0
       HTTP_ALLOW_DFLT=1
       
       AC_DISCOVERY_TYPE_DFLT=0
       AC_IPADDR_1_DFLT=192.168.1.1
       AC_HOSTNAME_1_DFLT=_capwap-control._udp.example.com
       AC_CTL_PORT_DFLT=5246
       AC_DISCOVERY_MC_ADDR_DFLT=224.0.1.140
       AC_DISCOVERY_DHCP_OPTION_CODE_DFLT=138
       AC_PLAIN_CTL_DFLT=0
       AC_DATA_CHAN_SEC_DFLT=2
       
       MESH_AP_TYPE_DFLT=0
       MESH_AP_MODE_DFLT=0
       MESH_AP_SSID_DFLT=fortinet.mesh.root
       MESH_AP_BSSID_DFLT=
       MESH_AP_PASSWD_DFLT=fortinet.mesh.root
       MESH_ETH_BRIDGE_DFLT=0
       MESH_MAX_HOPS_DFLT=4
       MESH_SCORE_HOP_WEIGHT_DFLT=50
       MESH_SCORE_CHAN_WEIGHT_DFLT=1
       MESH_SCORE_RATE_WEIGHT_DFLT=1
       MESH_SCORE_BAND_WEIGHT_DFLT=100
       MESH_SCORE_RSSI_WEIGHT_DFLT=100
       
       --------------- output dflt.cfg --------------- 

       apcfg (Benutzerspezifische Konfiguration)
       
       # more /etc/ath/apcfg
       
       --------------- output dflt.cfg --------------- 
               
       ###################################################################################
       ##  apcfg
       ##
       ##  Configuration file for Atheros AP.
       ##  This file will "predefine" default configuration data for the AP.  This
       ##  will first read all configuration data from flash (cfg -E), then fill in any
       ##  defaults that are missing.  Thus the defaults will appear on the web pages
       ##  even if the configuration store has been cleared.
       ##
       ###################################################################################
       ##
       ## Get the current settings from flash/cache area
       ##
       
       cfg -E > /tmp/vars.$$
       . /tmp/vars.$$
       rm /tmp/vars.$$
       
       source /etc/ath/dflt.cfg
       
       ##
       ## Set Network configuration
       ##
       ## AP_IPADDR  = IP address of the bridge
       
       ## WAN_IPADDR = Fixed IP address of the WAN, if it's not bridged
       ## WAN_MODE   = bridged for attached to bridged, Get address if dhcp, fixed address
       ##              if static
       ##
       ###################################################################################
       
       if [ ${FIRMWARE_UPGRADE} ] && [ ${FIRMWARE_UPGRADE} -eq 1 ]; then
           cfg -a FIRMWARE_UPGRADE=0
           cfg -c
           if [ ${LOGIN_PASSWD_ENC} ]; then
               cfg -a LOGIN_PASSWD_ENC=${LOGIN_PASSWD_ENC}
           fi
       fi
       
       cfg -a ADMIN_TIMEOUT=${ADMIN_TIMEOUT:=${ADMIN_TIMEOUT_DFLT}}
       
       cfg -a AP_IPADDR=${AP_IPADDR:=${AP_IPADDR_DFLT}}
       cfg -a IPGW=${IPGW:=${IPGW_DFLT}}{AP_NETMASK_DFLT}}
       cfg -a DNS_SERVER=${DNS_SERVER:=${DNS_SERVER_DFLT}}
       cfg -a AP_MGMT_VLAN_ID=${AP_MGMT_VLAN_ID:=${AP_MGMT_VLAN_ID_DFLT}}
       cfg -a ADDR_MODE=${ADDR_MODE:=${ADDR_MODE_DFLT}}
       cfg -a STP_MODE=${STP_MODE:=${STP_MODE_DFLT}}
       cfg -a WAN_MODE=${WAN_MODE:=${WAN_MODE_DFLT}}
       cfg -a WAN_IPADDR=${WAN_IPADDR:=${WAN_IPADDR_DFLT}}
       cfg -a WAN_NETMASK=${WAN_NETMASK:=${WAN_NETMASK_DFLT}}
       
       cfg -a TELNET_ALLOW=${TELNET_ALLOW:=${TELNET_ALLOW_DFLT}}
       cfg -a HTTP_ALLOW=${HTTP_ALLOW:=${HTTP_ALLOW_DFLT}}
       cfg -a BAUD_RATE=${BAUD_RATE:=${BAUD_RATE_DFLT}}
       
       ##
       ## Set WTP configuration
       ##
       cfg -a AC_DISCOVERY_TYPE=${AC_DISCOVERY_TYPE:=${AC_DISCOVERY_TYPE_DFLT}}
       cfg -a AC_IPADDR_1=${AC_IPADDR_1:=${AC_IPADDR_1_DFLT}}
       cfg -a AC_HOSTNAME_1=${AC_HOSTNAME_1:=${AC_HOSTNAME_1_DFLT}}
       cfg -a AC_CTL_PORT=${AC_CTL_PORT:=${AC_CTL_PORT_DFLT}}
       cfg -a AC_DISCOVERY_MC_ADDR=${AC_DISCOVERY_MC_ADDR:=${AC_DISCOVERY_MC_ADDR_DFLT}}
       cfg -a AC_PLAIN_CTL=${AC_PLAIN_CTL:=${AC_PLAIN_CTL_DFLT}}OPTION_CODE:=${AC_DISCOVERY_DHCP_OPTION_CODE_DFLT}}
       cfg -a AC_DATA_CHAN_SEC=${AC_DATA_CHAN_SEC:=${AC_DATA_CHAN_SEC_DFLT}}
       
       ##
       ## Set MESH configuration
       ##
       cfg -a MESH_AP_TYPE=${MESH_AP_TYPE:=${MESH_AP_TYPE_DFLT}}
       cfg -a MESH_AP_MODE=${MESH_AP_MODE:=${MESH_AP_MODE_DFLT}}
       cfg -a MESH_AP_SSID=${MESH_AP_SSID:=${MESH_AP_SSID_DFLT}}
       cfg -a MESH_AP_BSSID=${MESH_AP_BSSID:=${MESH_AP_BSSID_DFLT}}
       if test ${MESH_AP_PASSWD+defined}
       then
       cfg -a MESH_AP_PASSWD=${MESH_AP_PASSWD}
       else
       cfg -a MESH_AP_PASSWD=${MESH_AP_PASSWD:=${MESH_AP_PASSWD_DFLT}}
       fi
       cfg -a MESH_ETH_BRIDGE=${MESH_ETH_BRIDGE:=${MESH_ETH_BRIDGE_DFLT}}
       cfg -a MESH_MAX_HOPS=${MESH_MAX_HOPS:=${MESH_MAX_HOPS_DFLT}}
       
       cfg -a MESH_SCORE_HOP_WEIGHT=${MESH_SCORE_HOP_WEIGHT:=${MESH_SCORE_HOP_WEIGHT_DFLT}}
       _DFLT}}                     T=${MESH_SCORE_CHAN_WEIGHT:=${MESH_SCORE_CHAN_WEIGHT_DFLT}}
               cfg -a MESH_SCORE_BAND_WEIGHT=${MESH_SCORE_BAND_WEIGHT:=${MESH_SCORE_BAND_WEIGHT_DFLT}}- (37% of 8884 bytes)
               cfg -a MESH_SCORE_RSSI_WEIGHT=${MESH_SCORE_RSSI_WEIGHT:=${MESH_SCORE_RSSI_WEIGHT_DFLT}}
       #
       # Account for S26 peculiarity
       #
       export WAN_IF=eth1
       export LAN_IF=eth0
       
       #
       # Indicate if you want the WLAN to be activated on boot up.
       #
       
       cfg -a WLAN_ON_BOOT=${WLAN_ON_BOOT:="n"}
       
       #
       # AP Start Mode
       # This can be overridded by environmental variables
       # Modes can be
       #    standard := standard single AP start mode
       #      rootap := WDS root AP for WDS modes
       #reptater-ind := WDS repeater station independent mode
       #      client := WDS "virtual wire" client
       #       multi := Multiple BSSID with all encryption types
       #        dual := Dual concurrent, automatically configure interface
       #      stafwd := Station mode with address forwarding enabled
       #
       #
       
       cfg -a AP_STARTMODE=${AP_STARTMODE:="dual"}
       cfg -a AP_RADIO_ID=${AP_RADIO_ID:=0}
       cfg -a AP_RADIO_ID_2=${AP_RADIO_ID_2:=1}
       
       
       #################################################################################
       ## Default Parameters
       ## If these are not set explictly by exporting environmental variables, the following
       ## Defaults will be applied
       #################################################################################
       #
       # AP_PRIMARY_CH could be
       #                11na (which means auto-scan in 11na mode) or
       #                11ng (which means auto-scan in 11ng mode)
       
       cfg -a AP_PRIMARY_CH=${AP_PRIMARY_CH:=6}
       cfg -a AP_CHMODE=${AP_CHMODE:="11NGHT20"}
       
       ##
       ## Set up the channel for dual mode
       ##
       
       cfg -a AP_PRIMARY_CH_2=${AP_PRIMARY_CH_2:=40}
       cfg -a AP_CHMODE_2=${AP_CHMODE_2:="11NAHT40MINUS"}
       
       ##
       ## This is for pure G or pure N operations.  Hmmmm...
       ##
       
       cfg -a PUREG=${PUREG:=0}
       cfg -a PUREN=${PUREN:=0}
       
       ##
       ## Channel Configuration Section
       ##
       
       cfg -a TXQUEUELEN=${TXQUEUELEN:=1000}
       cfg -a SHORTGI=${SHORTGI:=1}
       cfg -a SHORTGI_2=${SHORTGI_2:=1}
       
       #
       # Aggregation.  First parameter enables/disables,
       # second parameter sets the size limit
       #
       
       cfg -a AMPDUENABLE=${AMPDUENABLE:=1}
       cfg -a AMPDUENABLE_2=${AMPDUENABLE_2:=1}
       cfg -a AMPDUFRAMES=${AMPDUFRAMES:=32}
       cfg -a AMPDUFRAMES_2=${AMPDUFRAMES_2:=32}
       cfg -a AMPDULIMIT=${AMPDULIMIT:=50000}
       cfg -a AMPDULIMIT_2=${AMPDULIMIT_2:=50000}
       cfg -a AMPDUMIN=${AMPDUMIN:=32768}
       cfg -a AMPDUMIN_2=${AMPDUMIN_2:=32768}
       cfg -a CWMMODE=${CWMMODE:=1}
       cfg -a CWMMODE_2=${CWMMODE_2:=1}
       cfg -a RATECTL=${RATECTL:="auto"}
       cfg -a MANRATE=${MANRATE:=0x8c8c8c8c}
       cfg -a MANRETRIES=${MANRETRIES:=0x04040404}
       cfg -a RX_CHAINMASK_2=${RX_CHAINMASK_2:=3}
       cfg -a TX_CHAINMASK=${TX_CHAINMASK:=3}
       cfg -a TX_CHAINMASK_2=${TX_CHAINMASK_2:=3}
       
       ##
       ## AP Identification Section
       ##
       
       cfg -a AP_SSID="${AP_SSID:=Atheros_XSpan_2G}"
       
       if [ "${AP_STARTMODE}" = "dual" ]; then
           cfg -a AP_SSID_2="${AP_SSID_2:=Atheros_XSpan_5G}"
       fi
       
       ##
       ## Set the default modes for multi configuration
       ## Set default security modes
       ## Set default secfile to PSK, only valid in WPA mode
       ## Default keys are Decimal (NOT hex)
       ##
       export MAX_VAPS_PER_RADIO=4
       
        _1
       ## trailer - it's not a VAP number, it's the number of the key.  This is done for-More-- (73% of 8884 bytes)
       ## both radios.
       ##
       
       my_wep_keys="_1 _2 _3 _4"
       for i in $my_wep_keys;
       do
           if [ "${i}" = "" ]; then
               i=""
           fi
           ITER_AP_WEP_RADIO_NUM0_KEY="WEP_RADIO_NUM0_KEY$i"
           ITER_AP_WEP_RADIO_NUM1_KEY="WEP_RADIO_NUM1_KEY$i"
           eval ITER_WEP_RADIO_NUM0_KEY=\$$ITER_AP_WEP_RADIO_NUM0_KEY
           eval ITER_WEP_RADIO_NUM1_KEY=\$$ITER_AP_WEP_RADIO_NUM1_KEY
           cfg -a $ITER_AP_WEP_RADIO_NUM0_KEY=${ITER_WEP_RADIO_NUM0_KEY:=""}
           cfg -a $ITER_AP_WEP_RADIO_NUM1_KEY=${ITER_WEP_RADIO_NUM1_KEY:=""}
       done
       
       ##
       ## Now, for each radio, set the primary key and the mode value
       ##
       cfg -a AP_PRIMARY_KEY_0="${AP_PRIMARY_KEY_0:=1}"
       cfg -a AP_PRIMARY_KEY_1="${AP_PRIMARY_KEY_1:=1}"
       cfg -a AP_WEP_MODE_0="${AP_WEP_MODE_0:=1}"
       cfg -a AP_WEP_MODE_1="${AP_WEP_MODE_1:=1}"
       
       
       my_vaps=" _2 _3 _4 _5 _6 _7 _8"
       for i in $my_vaps;
       do
           if [ "${i}" = "" ]; then
               i=""
           fi
       ITER_AP_MODE="AP_MODE$i"
       ITER_AP_SECMODE="AP_SECMODE$i"
       ITER_AP_SECFILE="AP_SECFILE$i"
       ITER_AP_WPS_ENABLE="WPS_ENABLE$i"
       eval ITER_MODE=\$$ITER_AP_MODE
       eval ITER_SECMODE=\$$ITER_AP_SECMODE
       eval ITER_SECFILE=\$$ITER_AP_SECFILE
       eval ITER_WPS_ENABLE=\$$ITER_AP_WPS_ENABLE
       cfg -a $ITER_AP_MODE=${ITER_MODE:="ap"}
       cfg -a $ITER_AP_SECMODE=${ITER_SECMODE:="None"}
       cfg -a $ITER_AP_SECFILE=${ITER_SECFILE:="PSK"}
       done                        LE=${ITER_WPS_ENABLE:="0"}
       
       ##
       ## Export the variables again to catch the defaults
       ##
       
       cfg -E > /tmp/vars.$$
       . /tmp/vars.$$
       rm /tmp/vars.$$
       
       ##
       ## Set the proper radio parameter values depending on the
       ## interface selected.  These are exported vice included
       ## in cache. These should really be in apup vice here,
       ## but this works OK.
       ##
       
       for i in $my_vaps;
       do
           if [ "${i}" = "" ]; then
               i=""
       fi
           ITER_RADIO_ID="AP_RADIO_ID$i"
           eval ITER_RADIO_ID=\$$ITER_RADIO_ID
           if [ "${ITER_RADIO_ID}" = "1" ]; then
               export $ITER_RFPARAM=RF:$AP_PRIMARY_CH_2:$AP_CHMODE_2
       else
               export $ITER_RFPARAM=RF:$AP_PRIMARY_CH:$AP_CHMODE
       fi
       done
       
       #####################################################################################
       ## The following parameters are board specific, and should not be modified
       #####################################################################################
       
       export ATH_use_eeprom=0
       
       --------------- output dflt.cfg ---------------

Wo befindet sich auf dem FortiOS für einen Forti Access Point das Standard Certificate?

Das Standard Zertifikate für ein Forti Access Point ist Wichtig und sollten nie manipuliert werden! Dies bedeutet: anhand dieser Zertifikate wird die Verbindung über CAPWAP (UDP 5246) bereitgestellt, Firmware Upgrade durchgeführt sowie die DTLS Verschlüsselung etabliert. Weitere Informationen betreffend DTLS Verschlüsselung siehe nachfolgenden Artikel: 

       FortiAP:FAQ#Wie_konfiguriere_ich_f.C3.BCr_ein_Forti_Access_Point_WTP_Profile_eine_.22Data_Channel_Encryption.22_.28DTLS.29.3F

Die Zertifikate befinden sich im folgenden Verzeichnis: 

       /etc/cert
       
       /etc/fgt.crt
       /etc/fgt.key

Wo befindet sich auf dem FortiOS für einen Forti Access Point das "root" des WebServers?

Ueber das FortiOS eines Forti Access Point wird ein Mgmt. Web Interface zur Verfügung gestellt für die minimale lokale Konfiguration. Das "root" des WebServers dieses Mgmt. Web Interface befindet sich auf dem FortiOS eines Forti Access Point im folgenden Verzeichnis: 

       /usr/www

Welche Linux Befehle können auf einem FortiOS für einen Forti Access Point benützt werden?

Ein Forti Access Point basiert auf einem "Linux 2.6.35 GNU/Linux" (Stand FortiOS 5.0)! Neu unter FortiOS 5.0 / 5.2 kann auf das Linux Zugegriffen werden und Linux Kommandos abgesetzt werden wie zB: 

       ifconfig
       more
       cd

Um zu sehen welche Kommandos zur Verfügung stehen lohnt es sich kurz die folgenden Verzeichnisse kurz anzuschauen: 

       /bin
       /sbin

       # ls -la /bin
       
       --------------- output /bin --------------- 
       
       drwxr-xr-x    2 admin    root            0 Dec 11 00:54 .
       drwxr-xr-x   15 admin    root            0 Jan  1  1970 ..
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 ash -> busybox
       -rwxr-xr-x    1 admin    root      1143436 Dec 11 00:54 busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 cat -> busybox
       lrwxrwxrwx    1 admin    root           24 Dec 11 00:54 cfg -> /usr/www/cgi-bin/cgiMain
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 chmod -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 cp -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 date -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 df -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 dmesg -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 echo -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 egrep -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 factoryreset -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 fgrep -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 grep -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 ip -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 iproute -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 kill -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 ln -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 login -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 ls -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 mkdir -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 more -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 mount -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 mv -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 ping -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 ps -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 pwd -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 rm -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 rmdir -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 sh -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 sleep -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 sync -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 touch -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 umount -> busybox
       lrwxrwxrwx    1 admin    root            7 Dec 11 00:54 uname -> busybox
       
       --------------- output /bin --------------- 

       # ls -al /sbin
       
       --------------- output /sbin --------------- 
       
       drwxr-xr-x    2 admin    root            0 Dec 11 00:54 .
       drwxr-xr-x   15 admin    root            0 Jan  1  1970 ..
       -rw-r--r--    1 admin    root            0 Dec 11 00:35 .dummy
       -rwxr-xr-x    1 admin    root        12128 Dec 11 00:54 apstart
       lrwxrwxrwx    1 admin    root           14 Dec 11 00:54 arp -> ../bin/busybox
       -rwxr-xr-x    1 admin    root      1348400 Dec 11 00:54 cwWtpd
       -rwxr-xr-x    1 admin    root         6096 Dec 11 00:54 cw_debug
       lrwxrwxrwx    1 admin    root            6 Dec 11 00:54 cw_diag -> cwWtpd
       -rwxr-xr-x    1 admin    root         2534 Dec 11 00:46 cw_test_led
       -rwxr-xr-x    1 admin    root         3727 Dec 11 00:46 cw_test_radio
       -rwxr-xr-x    1 admin    root         4652 Dec 11 00:54 diag_console_debug
       -rwxr-xr-x    1 admin    root         5084 Dec 11 00:54 diag_debug_crashlog
       -rwxr-xr-x    1 admin    root         3932 Dec 11 00:54 ebtables
       -rwxr-xr-x    1 admin    root         9508 Dec 11 00:54 fap-factory-license
       -rwxr-xr-x    1 admin    root         4892 Dec 11 00:54 fap-get-status
       -rwxr-xr-x    1 admin    root         4484 Dec 11 00:54 fap-mount-udisk
       -rwxr-xr-x    1 admin    root         5956 Dec 11 00:54 fap-set-hostname
       -rwxr-xr-x    1 admin    root         4148 Dec 11 00:54 fap-umount-udisk
       -rwxr-xr-x    1 admin    root        74220 Dec 11 00:54 fsd
       -rwxr-xr-x    1 admin    root        11012 Dec 11 00:54 get
       lrwxrwxrwx    1 admin    root           14 Dec 11 00:54 getty -> ../bin/busybox
       lrwxrwxrwx    1 admin    root           14 Dec 11 00:54 halt -> ../bin/busybox
       -rwxr-xr-x    1 admin    root         4408 Dec 11 00:54 help
       lrwxrwxrwx    1 admin    root           14 Dec 11 00:54 ifconfig -> ../bin/busybox
       lrwxrwxrwx    1 admin    root           14 Dec 11 00:54 init -> ../bin/busybox
       -rwxr-xr-x    1 admin    root         3724 Dec 11 00:54 init_sys_shm
       lrwxrwxrwx    1 admin    root           14 Dec 11 00:54 insmod -> ../bin/busybox
       -rwxr-xr-x    1 admin    root        21584 Dec 11 00:54 iwconfig
       -rwxr-xr-x    1 admin    root        25304 Dec 11 00:54 iwlist
       -rwxr-xr-x    1 admin    root        11352 Dec 11 00:54 iwpriv
       lrwxrwxrwx    1 admin    root           14 Dec 11 00:54 lsmod -> ../bin/busybox
       lrwxrwxrwx    1 admin    root           14 Dec 11 00:54 modprobe -> ../bin/busybox
       lrwxrwxrwx    1 admin    root           14 Dec 11 00:54 poweroff -> ../bin/busybox
       -rwxr-xr-x    1 admin    root        12548 Dec 11 00:54 radartool
       lrwxrwxrwx    1 admin    root           14 Dec 11 00:54 reboot -> ../bin/busybox
       -rwxr-xr-x    1 admin    root           61 Dec 11 00:49 repeater_pass_configuration
       -rwxr-xr-x    1 admin    root         5884 Dec 11 00:54 restore
       lrwxrwxrwx    1 admin    root           14 Dec 11 00:54 rmmod -> ../bin/busybox
       lrwxrwxrwx    1 admin    root           14 Dec 11 00:54 route -> ../bin/busybox
       -rwxr-xr-x    1 admin    root         5884 Dec 11 00:54 setcfg
       -rwxr-xr-x    1 admin    root         9268 Dec 11 00:54 startup_fw
       lrwxrwxrwx    1 admin    root           14 Dec 11 00:54 udhcpc -> ../bin/busybox
       lrwxrwxrwx    1 admin    root           14 Dec 11 00:54 upgrade -> ../bin/busybox
       -rwxr-xr-x    1 admin    root       105972 Dec 11 00:54 usbmuxd
       -rwxr-xr-x    1 admin    root        19848 Dec 11 00:54 wlanconfig
       -rwxr-xr-x    1 admin    root       244180 Dec 11 00:54 wpa_supplicant
       
       --------------- output /sbin ---------------

FortiPlanner

Was ist ein FortiPlanner und wo finde ich weitere Informationen zum FortiPlanner?

Beim FortiPlanner handelt es sich um ein Tool das Fortinet zur Verfügung stellt um eine Wireless Plannung durchzuführen. Weitere Informationen zum FortiPlanner siehe nachfolgenden Artikel: 

       FortiPlanner:FAQ

802.11

Wo finde ich detailliert Informationen über den Wireless "IEEE 802.11" Standard?

Folgender Link gibt Auskunft über den "IEEE 802.11" Standard und enthält weitere nützliche Links: 

       http://en.wikipedia.org/wiki/802.11

Wo finde ich detailliert Informationen über den Wireless "802.11ac" Standard?

Fortinet hat ein Dokument veröffentlich in dem der neue "802.11ac" ([|IEEE 802.11ac] Standard beschrieben wird: 

       Datei:802.11ac Wireless LAN FAQ - July 2013.pdf
       Datei:802.11ac Wireless LAN FAQ - Januar 2014.pdf
       Datei:802.11ac Wireless LAN FAQ - Februar 2014.pdf

Dabei ist eine Position in den Dokument zu berücksichtigen: 

       Do I need to buy new APs to support 802.11ac?
       Yes. 802.11ac will require a new physical radio design, which means that new hardware will be required.
       It will not be physically possible to upgrade existing 802.11n radios to support the new 802.11ac standard.

Somit können bestehende Modelle wie zB FAP-221B nicht auf den neuen Standard 802.11ac anhand eines Software Updates gebracht werden da es für den 802.11ac Standard neue Hardware benötigt die diesen Standard 802.11ac unterstützt wie zB FAP-221C. Desweiteren ist zu berücksichtigen, dass für diesen Standard resp. neue Hardware und für FortiOS 5.0 ein spezielles FortiOS installiert werden muss, damit die neuen FAP-221C die auf diesen neuen Standard 802.11ac basieren erkannt werden. Dieser neue "Special Support Build" wird basierend auf FortiOS 5.0 unter folgenden Link zur Verfügung gestellt: 

            https://support.fortinet.com/Download/FirmwareImages.aspx
            
            / FortiGate/ v5.00/ Feature_Support/ fg_5-0_wifi_11ac/ v5.0/

Dieser Link kann nur dann aufgerufen werden, wenn vorgängig in den entsprechenden Support Account eingeloggt wird! Mit diesem "Special Support Build" wird ausschliesslich die neuen Forti Access Point (zB FAP-320C und FAP-221C) basierend auf 802.11ac unter FortiOS 5.0 unterstützt. Die Forti Access Points müssen mit FortiOS 5.2 betrieben werden. Um den "Special Support Build" zu installieren muss folgendermassen vorgegangen werden: 

       1. Installierte Basis offizielles FortiOS 5.0.x
       
       2. Upgrade auf die letzte zur Verfügung stehende offizielle Version zB FortiOS 5.0.12 gemäss Upgrade Path:
          
          Datei:FortiOS-Upgradepath.pdf
       
       3. Einspielen des "Feature Support Build" basierend auf FortiOS 5.0.12

Für FortiOS 5.2 und höher muss zur Unterstützung der neuen 802.11ac Standard kein "Feature Support Build" installiert werden!

Wo finde ich detailliert Informationen über Wireless "802.11AC MU-MiMo" Funktion?

Unter "802.11AC MU-MiMo" versteht man eine Technik zur Verbesserung des Datendurchsatzes. 802.11AC MU-MiMo nennt sich "Multi-User-Multiple-In-Multiple-Out". MiMo bedeutet somit konkret: 

       MI steht für zwei oder mehrere Sendeantennen und MO für zwei oder mehrere Empfangsantennen

Dahinter verbirgt sich im Prinzip ein cleveres Radio/Antennen Management! Wenn ein Access Point über mehrer "radios" mit Antennen vefügt, kann der Access Point seine "radio" Antennen gezielt aufteilen wenn er mehrere Gegenstellen zu bedienen hat um damit jeder Gegenstelle eine besonders stabile und starke Verbindung zu garantieren: 

       Datei:Fortinet-326.jpg               oder               Datei:Fortinet-331.jpg

Um die vers. Streams zu steuern wird der sogenannte MCS Index benutzt. Dieser steuert für diese Streams die Modulation sowie die Codierung. Je nach eingesetzten MCS Index ergiebt sich daraus wiederum die max. mögliche Durchsatzrate. Nachfolgende Tabelle gibt Auskunft über die möglichken Modulationen sowie Codierungen (ergiebt MCS Index) und deren max. möglichen Durchsatzraten: 

       Datei:Fortinet-718.jpg

Wenn diese Technology für "802.11AC MU-MiMo", die auch für den Forti Access Point FAP-320B/C benutzt wird eingesetzt werden soll, so muss ebenfalls die Client/Host Seite über diese Technolgie verfügen. Dies bedeutet: der Client/Host selber müssen diese Technologie durch den implementierten Chip sowie Treiber unterstützten. Wenn ein Client/Host zB IPad "HT20" unterstützt so ist das 1x1:1 resp. ein Stream max 65 Mbps. Diesem Umstand ist Rechnung zu tragen wenn diese Technology eingesetzt werden möchte um die entsprechende Performance zu erlangen!

Wireless Controller

Wie kann ich für einen FortiGate Wireless Controller den "Country Code" Konfigurieren?

Ein Forti Access Point wird über die Fortigate Wireless Controller konfiguriert. Es ist zwingend Notwendig die korrekte "location" (Country Code) zu setzen bevor ein Forti Access Point konfiguriert wird. UM den entsprechenden Country Code auf dem FortiGate Wireless Controller zu konfigurieren führe folgendes durch: 

       # config wireless-controller setting
       # set country CH
       # end

Wenn man die Konfiguration abschliesst, kann es zu einer Fehlermeldung führen. Der Grund dafür sind existierende WTP Profiles die auf den alten Country Code basierend. Der Konfigurationspunkt in den WTP Profiles die auf dem Country Code basieren, sind die zur Verfügung gestellten "channels" und diese können von Land zu Land unterschiedlich sein. Aus diesem Grund unter FortiOS 5.0 dürfen kein WTP Profiles existieren wenn der Country Code neu gesetzt wird. Aus diesem Grund müssen die bestehenden WTP Profiles unter FortiOS 5.0 gelöscht werden. Dies wird folgendermassen durchgeführt: 

       # config wireless-controller wtp-profile
       # purge
       This operation will clear all table!
       Do you want to continue (y/n)y

Dies gilt nicht für FortiOS 5.2 dh. unter FortiOS 5.2 kann der Country Code jederzeit geändert werden jedoch wird sämtliche "channel" Konfiguration zurückgesetzt und muss bei einer bestehenden Konfiguration nachträglich kontrolliert werden. Wird der Country Code unter FortiOS 5.2 auf der CLI geändert erscheint folgende Meldung: 

       This operation will also clear channel settings of all the existing wtp profiles
       Do you want to continue (y/n)y

Wie kann ich auf einem FortiGate Wireless Controller ein Troubleshooting durchführen (diagnose)?

Auf einem FortiGate Wireless Controller stehen folgende troubleshooting Kommandos zur Verfügung um verschiedenen Informationen zu verifizieren: 

       # diagnose wireless wlac -h
       wlac usage:
           wlac help                                        --show this usage
           wlac ping [-c cnt] [-s len] <ip>                 --send cnt len-bytes ping request
           wlac tpt                                         --show non-wireless terminaton point info
           wlac tablesize                                   --print tablesize for wireless-controller part only
           wlac kickmac mac                                 --disassociate a sta
           wlac kickwtp ip cport                            --tear down a wtp session
           wlac plain-ctl [[wtp-id] [0|1] | clear]          --show, set or clear current plain control setting
           wlac sniff-cfg [[ip port] | clear]               --show, set or clear sniff server ip and port
           wlac sniff [intf [wtp-id] [0|1|2] | clear]       --show, set or clear sniff setting on intf for wtp-id
           wlac list-vap                                    --show configured VAPs and VAP groups.
           wlac scanclr                                     --clear the scanned rogue ap list
           wlac scanstaclr                                  --clear the scanned rogue sta list
           wlac sta_filter [sta-mac level | clear]          --show, set or clear sta filter
           wlac wtp_filter [id vfid-ip:port level | clear]  --show, set or clear wtp filter
           wlac clear debug                                 --clear all debug settings
           wlac show debug                                  --show all debug settings
           wlac show kernel                                 --show all -k command settings
           wlac show data                                   --show all -d settings
           wlac show control                                --show all -c settings
           wlac show all                                    --show all -k,-c,-d and debug settings
           wlac -k cws [wlan]                               --list cws info(kern) 
           wlac -k wtp [vfid-ip:port lip:port]              --list wtp info(kern) 
           wlac -k vap [wlan | bssid]                       --list vap info(kern)
           wlac -k sta [wlan | bssid mac]                   --list sta info(kern)
           wlac -k wlan-sta wlan sta-ip                     --list wlan's sta info(kern)
           wlac -d usage                                    --list objects usage(data)
           wlac wpad_vap [ip|bssid]                         --list vap info in wpad_ac
           wlac wpad_sta [mac]                              --list sta info in wpad_ac
           wlac sta-idle-auth [time]                        --get/set non-auth sta idle time
           wlac -d all                                      --list wlan/wtp/vap/sta info(data)
           wlac -d wlan                                     --list wlan info(data)
           wlac -d wtp                                      --list wtp info(data)
           wlac -d vap                                      --list vap info(data)
           wlac -d sta                                      --list sta info(data)
           wlac -d sta-idx [wlan mac next]                  --list indexed sta info(data)
           wlac -d wlsta wlan                               --list wlan's sta info(data)
           wlac -d wtpsta wtp-index                         --list wtp's sta info(data)
           wlac -d radiosta wtp-id rId                      --list radio's sta info(data)
           wlac -c status                                   --display ac status summary
           wlac -c sta [mac]                                --list sta(ctl)
           wlac -c wtpprof [wtpprof]                        --list configured wtp profiles(ctl)
           wlac -c wtp [wtp]                                --list configured wtps(ctl)
           wlac -c wtp-idx [wtp next]                       --list indexed wtp (ctl)
           wlac -c radio-idx [wtp rId next]                 --list indexed radio (ctl)
           wlac -c vap-idx [wtp rId wlan next]              --list indexed vap (ctl)
           wlac -c wlan [wlan|ssid]                         --list configured wlans(ctl)
           wlac -c swintf                                   --list configured switch interface(ctl)
           wlac -c apsintf                                  --list configured aps interface(ctl)
           wlac -c ap-status                                --list configured ap status(ctl)
           wlac -c widsprof                                 --list configured wids profiles(ctl)
           wlac -c byod_dev [dev | mac]                     --list configured devices(ctl)
           wlac -c byod_devgrp [devgrp                      --list configured device groups(ctl)
           wlac -c byod_devacl [devacl]                     --list configured device access lists(ctl)
           wlac -c byod_devtype [devtype]                   --list configured device types(ctl)
           wlac -c byod [wlan]                              --show device access in control plane
           wlac -c byod_detected [wlan]                     --list detected devices(ctl)
           wlac -c ws [ip]                                  --list current wtp sessions(ctl)
           wlac -c ws-fail                                  --show current wtp sessions with SSID config failures
           wlac -c ws-mesh vfid-ip:port                     --list this wtp session's mesh parent and child info(ctl)
           wlac -c vap                                      --list vap info(ctl)
           wlac -c ap-rogue                                 --list rogue ap info(ctl)
           wlac -c sta-rogue                                --list rogue sta info(ctl)
           wlac -c rap-hostlist bssid                       --list hosts related to the ap(ctl)
           wlac -c arp-req                                  --list arp info on the controller(ctl)
           wlac -c mac-table                                --list mac table(ctl)
           wlac -c br-table                                 --list bridge table(ctl)
           wlac -c nol                                      --list the AP's non occupancy channel list for radar
           wlac -c scan-clr-all                             --clear the scanned rogue ap and sta data(ctl)
           wlac -c ap-onwire-clr bssid                      --clear the rogue ap's on wire flag(ctl)
           wlac -c darrp                                    --list darrp radio table(ctl)
           wlac -c darrp-schedule                           --list darrp schedule table
           wlac -c sta-cap [mac]                            --list sta capability(ctl)
           wlac -c sta-locate                               --list located wireless stations(ctl)
           wlac -c sta-locate-reset [1|2]                   --reset sta-locate data(ctl); 1: reset stats, 2 (default): flush entries
           wlac -c rf-analysis [wtp-id|ac]                  --list rf analysis results(ctl)
           wlac -c rf-sa wtp-id rId [chan]                  --list rf spectrum info
           wlac -c radio-ifr wtp-id rId                     --list radio's interfering APs
           wlac -c wids                                     --show detected sta threat in control plane

Was kann getan werden, wenn ein Forti Access Point nicht ersichtlich ist über den FortiGate Wireless Controller?

Wenn ein Forti Access Point in einem bestimmten IPv4 Adress Subnet/Segment in dem der Forti Access Point über den FortiGate Wireless Controller verwaltet wird (CAPWAP) nicht ersichtlich ist, muss folgendes berücksichtigt werden: 

       • Der Switch und/oder ein Router darf folgende Protokolle und Port nicht verwerfen/blocken:
         
         Broadcast, Multicast sowie Unicast
         CAPWAP Port UDP-5246

Auf einigen Switch Modellen ist zB Unicast per Standard ausgeschaltet. Diese Funktion ist auf den meisten Switchen zu finden unter der Position "Storm-Agent". Kontrolliere deshalb den Switch und gewährleiste das diese Protokolle nicht über den Switch verworfen/geblockt wird. Um dies zu Troubleshooten ist es wichtig zu wissen wie CAPWAP funktioniert: 

       http://www.ietf.org/rfc/rfc5415.txt

Wenn ein Troubleshooting durchgeführt werden soll um festzustellen ob mit einer Verbindung über Port UDP-5246 ein Problem besteht (CAPWAP) kann folgendes durchgeführt werden: 

       Setze den Debug Filter zurück:
       
       # diagnose debug reset

       Setze einen neuen Debug Filter:
       
       # diagnose debug application cw_acd 5

       Aktiviere Debug:
       
       # diagnose debug enable

"5" stellt die "verbosity" dar. Diese "verbosity" zeigt alle Fehler an sowie den gesamten CAPWAP Prozess (Discovery, Keep Uplive etc.). Sobald das "debug" nicht mehr benötigt deaktiviere den "debug" Mode sowie setze den Filter zurück! 

       Deaktiviere den Debug Modus:
       
       # diagnose debug disable

       Setze den Debug Filter zurück:
       
       # diagnose debug reset

Um festzustellen ob im Bereich "Unicast" ein Problem besteht, kann folgender Befehl auf der FortiGate für das Interface auf dem der Forti Access Points verbunden ist ausgeführt werden: 

       # diagnose sniffer packet [Definiere das entsprechende Interface zB "dmz" oder alle Interfaces "any"] "port 5246" 6 0 a

Im Sniffer Output muss die Antwort des Forti Access Point über Unicast (Discovery Request) zum FortiGate Wireless Controller (Interface) ersichtlich sein. Ist dies nicht der Fall wird Unicast irgendwo auf dem Weg zum FortiGate Wireless Controller geblockt. Die Konsequenz daraus ist das Broadcast und Multicast Anfragen sterben resp. verloren gehen und somit der Forti Access Point auf de FortiGate Wireless Controller nicht ersichtlich ist. Ein anderer Ansatz ist Broadcast, Multicast und Unicast zu verhindert. Der Grund, dass ein Forti Access Point diesen Vorgang/Protokolle benutzt um den FortiGate Wireless Controller zu finden, ist das der Forti Access Point nicht die nötige Information resp. IPv4 Adresse des FortiGate Wireless Controller besitzt um diese IPv4 Adresse Anzufragen. Die einfachste Art dies zu erreichen, ist dem Forti Access Point über den DHCP Server die nötige Information der IPv4 Adresse des FortiGate Wireless Controller zu zuweisen. Wenn für die Forti Access Point ein DHCP Server der FortiGate benutzt wird kann dies über Kommandozeile folgendermassen konfiguriert werden: 

      # config system dhcp server
      # edit [Gebe den Integer an des entsprechenden DHCP Servers]
      # set dns-service [local | default | specify]
      # set dns-server1 [IPv4-Adresse für DNS Server 1]
      # set dns-server2 [IPv4-Adresse für DNS Server 2]
      # set dns-server3 [IPv4-Adresse für DNS Server 3]
      # set wifi-ac1 [IPv4-Adresse für Wireless Controller 1]
      # set wifi-ac2 [IPv4-Adresse für Wireless Controller 2]
      # set wifi-ac3 [IPv4-Adresse für Wireless Controller 3]
      # set ntp-service [local | default | specify]
      # set ntp-server1 [IPv4-Adresse für NTP Time Server 1]
      # set ntp-server2 [IPv4-Adresse für NTP Time Server 1]
      # set ntp-server3 [IPv4-Adresse für NTP Time Server 1]
      # end

Wenn ein seperater DHCP Server benutzt wird, kann anhand der Option 138 der seperate DHCP Server so konfiguriert werden, dass dieser über diese Option dem Forti Access Point die IPv4 Adresse des FortiGate Wireless Controller zuweist. Diese Option 138 die für die IPv4 Adresse des FortiGate Wireless Controllers steht, ist auf dem Forti Access Point per Standard anhand der Konfiguration "AC_DISCOVERY_DHCP_OPTION_CODE_DFLT=138" gesetzt und kann bei Bedarf verändert werden: 

       # cfg -a AC_DISCOVERY_DHCP_OPTION_CODE:=138
       # cfg -c

Wie kann ich für eine FortiGate den FortiGate Wireless Controller komplett deaktivieren?

Wenn man zB. aus Security Gründen den FortiGate Wireless Controller der auf einer FortiGate per Standard aktiviert ist komplett deaktivieren möchte, kann dies über CLI durchgeführt werden: 

       # config system global
       # set wireless-controller [enable | disable]
       # end

Dieses Kommando deaktiviert den FortiGate Controller komplett und somit können keine Forti Access Point mehr angebunden, verwaltet oder konfiguriert werden. Möchte man den "wireless-controller" nicht deaktivieren aber verhindern, dass sich Forti Access Points auf dem lokalen FortiGate Wireless Controller registrieren kann dies mit verschiedenen Konfigurationen erreicht werden. Weitere Auskunft über diese verschiedenen Konfigurationen siehe nachfolgender Artikel: 

       FortiAP:FAQ#Wie_kann_ich_die_automatische_Registration_eines_Forti_Access_Point_auf_einem_FortiGate_Wireless_Controller_verhindern.3F

Wie kann ich auf einer FortiGate den FortiGate Wireless Controller/Service neu starten?

Wenn man den FortiGate Wireless Controller aus irgendwelchen Gründen neu starten möchte, kann dies mit verschiedenen Kommandos durchgeführt werden. Dabei ist jedoch zu beachten das ein komplett Unterbrucht für das Forti Access Point Wireless Netzwerk durchgeführt wird resp. für die Wireless Clients/Hosts. Nachfolgendes Kommando zeigt wie anhand des "execute" Kommandos der FortiGate Wireless Controller neu gestartet wird: 

       # execute wireless-controller restart-acd

Zu diesem Kommando steht ebenfalls die Option "reset-wtp" zur Verfügung. Durch diese Option werden alle oder spezifizierte Forti Access Points anhand der Serien Nummer angewiesen deren WTP Profiles neu zu laden. Dadurch wird ein Neustart des entsprechenden Forti Access Point durchgeführt oder durch "all" für alle Forti Access Points: 

       # execute wireless-controller reset-wtp [Definiere die entsprechende Serien Nummer eine Forti Access Points oder "all"]

Wenn dieser Vorgang nicht den gewünschten Effekt erziehlt kann auch folgendes durchgeführt werden jedoch sollte dieser Vorgang als letzte Option benutzt werden. Um die PID (Prozess ID Deamon) herauszufinden für den FortiGate Wireless Controller resp. Service "cw_acd" benützen folgenden Befehl auf der Console: 

       # fnsysctl more /var/run/cw_acd.pid
       110

Sobald die PID eruiert ist, kann diese anhand des Kill Level 9 neu gestartet werden: 

       # diagnose sys kill [Kill Level/Sequenz 1 - 32] [PID des Prozesses cw_acd]

Durch diesen Vorgang ensteht ebenfalls ein Unterbruch auf dem FortiGate Wireless Controller, denn der Kill Level 9 zwingt den Service die Konfiguration für den FortiGate Wireless Controller neu einzulesen und für den Service ein "restart" durchzuführen. Dies kann nachträglich kontrolliert werden, denn wenn abermals die PID Nummer des Service "cw_acd" ausgelesen wird und durch den "restart" wird dem Service einen neue PID Nummer zugewiesen: 

       # fnsysctl more /var/run/cw_acd.pid
       11985

Wie finde ich über den FortiGate Wireless Controller heraus welche Clients mit welcher SSID und MAC Adresse verbunden sind?

Um herauszufinden welche Wireless Clients/Hosts mit welcher SSID über den FortiGate Wireless Controller verbunden sind benutze folgenden Befehl über die CLI der FortiGate: 

       # diagnose wireless-controller wlac -d sta vf=0 wtp=15 rId=1 wlan=fortinet4intern vlan_id=0 ip=198.18.2.2 mac=94:65:9c:74:47:c6 vci=MSFT 5.0 host=DESKTOP-HSEH6HM 
       user= group= signal=0 noise=0 idle=0 bw=1 use=4 chan=3 radio_type=11N security=wpa2_only_personal encrypt=aes cp_authed=no online=yes mimo=2
       
       *  vf=0 wtp=15 rId=1 wlan=fortinet4intern vlan_id=0 ip=0.0.0.0 mac=1a:5b:0e:5d:f7:0d vci= host= user= group= signal=0 noise=0 idle=0 bw=0 use=4 chan=3 radio_type=11N 
       security=wpa_wpa2_personal encrypt=aes cp_authed=no online=yes 
       
       *  vf=0 wtp=15 rId=2 wlan=fortinet4intern vlan_id=0 ip=0.0.0.0 mac=1a:5b:0e:5d:f7:15 vci= host= user= group= signal=0 noise=0 idle=0 bw=0 use=4 chan=60 radio_type=11AC
       security=wpa_wpa2_personal encrypt=aes cp_authed=no online=yes 
       
       *? vf=0 wtp=15 rId=1 wlan=fortinet4guest vlan_id=0 ip=0.0.0.0 mac=08:5b:0e:5d:f7:0d vci= host= user= group= signal=0 noise=0 idle=0 bw=0 use=4 chan=3 radio_type=11N 
       security=captive encrypt=none cp_authed=no online=yes

In unserem Beispiel sehen wir, dass ein Client mit der IP 198.18.2.2 verbunden ist mit der MAC Adresse 94:65:9c:74:47:c6. Gleichzeitig sehen wir die zwei SSID's (mit * gekennzeichnet) "fortinet4intern" sowie "fortinet4guest" mit deren MAC Adresse "1a:5b:0e:5d:f7:15" und "08:5b:0e:5d:f7:0d". Ebenso sieht man die Authentication des Client 198.18.2.2 dh. "wpa2_only_personal" (aes) und den Host Namen "DESKTOP-HSEH6HM".

Wie finde ich über den FortiGate Wireless Controller heraus mit welcher IPv4 Adresse ein Forti Access Point verbunden ist?

Um herauszufinden mit welcher IPv4 Adresse ein Forti Access Point mit dem FortiGate Wireless Controller verbunden ist kann das Mgmt. Web Interface benutzt werden: 

       WiFi Controller > [WiFi Network] > [Managed Access Points] > Managed FortiAPs > Connected Via

Steht der Mgmt. Web Interface Zugriff nicht zu Verfügung kann die IPv4 Adresse mit der ein Forti Access Point auf dem FortiGate Wireless Controller verbunden ist auch über die CLI der FortiGate verifiziert werden: 

       Liste alle IP's auf die momentan durch die Forti Access Point benutzt werden:
       
       # diagnose wireless wlac -d wtp
       vf=0 wtp=1 base=08:5b:0e:5d:f7:0d 198.18.3.3:45521<->198.18.3.1:5247 use=7
       vf=0 wtp=2 base=08:5b:0e:0c:f4:1a 193.193.135.70:49026<->193.193.135.66:5247 use=4
       vf=0 wtp=4 base=08:5b:0e:a3:97:a8 198.18.3.2:53715<->198.18.3.1:5247 use=6
       vf=0 wtp=5 base=08:5b:0e:97:23:0e 193.193.135.71:46015<->193.193.135.66:5247 use=4 

       Liste alle Forti Access Point auf um die Serien Nummern zu verifizieren:
       
       # config wireless-controller wtp
       # get
       == [ FAP14C3X13000543 ]
       wtp-id: FAP14C3X13000543    
       == [ FP221C3X14001296 ]
       wtp-id: FP221C3X14001296    
       == [ FAP21D3U14000144 ]
       wtp-id: FAP21D3U14000144    
       == [ FAP24D3X14000101 ]
       wtp-id: FAP24D3X14000101 
       # end

       Liste einen bestimmten Forti Access Point anhand dessen Serien Nummer sowie mit dessen Informationen Informationen/IP:
       
       # diagnose wireless wlac -c wtp [Entsprechende Serien Nummer des Forti Access Point zB "FAP21D3U14000144"; Keine Serien Nummer Angabe listet alle Forti Access Points auf]
       -------------------------------WTP    1----------------------------
       WTP vd               : root
           vfid             : 0
           id               : FAP21D3U14000144
           mgmt_vlanid      : 0
           region code      : E 
           regcode status   : valid
           refcnt           : 3 own(1) wtpprof(1) ws(1) 
           plain_ctl        : disabled
           deleted          : no
           admin            : enable
           cfg-wtp-profile  : FAP-04
           override-profile : disabled
           oper-wtp-profile : FAP-04
           wtp-mode         : remote
           name             : Remote Access Point FAP-21D
           location         : Remote FAP-04 local-sg0e0
           led-state        : enabled
           ip-frag-prevent  : TCP_MSS 
           tun-mtu          : 1492,1492
           split-tunneling-local-ap-subnet  : disabled
           active sw ver    : FAP21D-v5.2-build0234
           local IPv4 addr  : 193.193.135.71
           board mac        : 08:5b:0e:97:23:0c
           join_time        : Thu Apr 23 08:03:43 2015
           mesh-uplink      : ethernet
           mesh hop count   : 0
           parent wtp id    : 
           connection state : Connected
           image download progress: 0
           last failure     : 15 -- ECHO REQ is missing
           last failure param: N/A
           last failure time: Thu Apr 23 08:03:02 2015
           station info     : 0/0
           geo              : World (0)
           LAN              :
                    rId     : 1
                    cnt     : 1
                    port 1  : mode BR-TO-SSID(3)  ssid fortinet4intern          
         Radio 1            : Disabled
         Radio 2            : Virtual Lan AP
           max vaps         : 0
           base bssid       : 00:00:00:00:00:00
           station info     : 0/0
         Radio 3            : Not Exist
       -------------------------------Total    1 WTPs----------------------------

Um nachträglich anhand dieser IPv4 Adresse über den Forti Gate Wireless Controller eine "telnet" Verbindung zum Forti Access Point durchzuführen siehe nachfolgender Artikel:: 

       FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F

Wie kann ich auf dem FortiGate Wireless Controller Verbindungsprobleme mit einem Wireless Client/Host Troubleshooten?

Um Verbindungsprobleme mit einem Wireless Client/Host zu Troubleshooten kann der "diagnose" Befehl Lokal auf dem FortiGate Wireless Controller benützt werden oder auf dem Forti Access Point anhand des Befehls "cw_debug". Um dieses Troubleshooting durchzuführen, muss im ersten Schritt für den Wireless Client/Host eruiert werden, mit welcher MAC Adresse der Wireless Client/Host verbindet um diese im "diagnose" Befehl zu benutzen und um so den Traffic auf diese MAC Adresse des Wireless Clients/Host einzuschränken. Wie diese MAC Adresse über den FortiGate Wireless Controller eruiert werden kann siehe nachfolgenden Artikel: 

       FortiAP:FAQ#Wie_finde_ich_.C3.BCber_den_FortiGate_Wireless_Controller_heraus_welche_Clients_mit_welcher_SSID_und_MAC_Adresse_verbunden_sind.3F

Sobald die MAC Adresse des Wireless Client/Host eruiert wurde, kann nachfolgender "diagnose" Befehl benutzt werden um den Traffic des Client/Host anhand dieser MAC Adresse einzusehen: 

       # diagnose wireless wlac sta_filter 9C:B7:0D:DE:8F:74 1
       STA Filter Index 0/1   sta 9c:b7:0d:de:8f:74  log-enabled 1

Nach der MAC Adresse wird mit "1" die Funktion des "sta_filter" anhand der MAC Adresse aktiviert. Anhand "0" wird die Funktion wiederum deaktiviert. Für "wlac" stehen weitere Befehle zur Verfügung. Weitere Informationen siehe nachfolgender Artikel: 

       FortiAP:FAQ#Wie_kann_ich_auf_einem_FortiGate_Wireless_Controller_ein_Troubleshooting_durchf.C3.BChren_.28diagnose.29.3F

Nachträglich, nach dem Troubleshooting muss die Funktion "sta_filter" wieder deaktiviert werden anhand folgenden Befehls: 

       # diagnose wireless wlac sta_filter 9C:B7:0D:DE:8F:74 0
       STA Filter is empty

Wird dies nicht durchgeführt so bleibt die Funktion "sta_filter" anhand "1" aktiv was aus performance Gründen nicht empfohlen wird. Nachfolgendes Beispiel zeigt eine korrekte Verbindung eines Client mit der MAC Adresse 9C:B7:0D:DE:8F:74 dh. Der Client/Host sollte keine Verbindung erstellen vor der Aktivierung der "sta_filter" Funktion um nachträglich nur den Verbindungsaufbau einzusehen: 

       44386.013 94:65:9c:74:47:c6 <ih> IEEE 802.11 mgmt::assoc_req <== 94:65:9c:74:47:c6 ws (0-198.18.3.3:5246) vap fortinet4intern rId 1 wId 1 1a:5b:0e:5d:f7:15
       44386.014 94:65:9c:74:47:c6 <ih> IEEE 802.11 mgmt::assoc_resp ==> 94:65:9c:74:47:c6 ws (0-198.18.3.3:5246) vap fortinet4intern rId 1 wId 1 1a:5b:0e:5d:f7:15
       44386.014 94:65:9c:74:47:c6 <dc> STA add 94:65:9c:74:47:c6 vap fortinet4intern ws (0-198.18.3.3:5246) rId 1 wId 1 bssid 1a:5b:0e:5d:f7:15 NON-AUTH   band 0x10 mimo 2*2
       44386.015 94:65:9c:74:47:c6 <cc> STA_CFG_REQ(60) sta 94:65:9c:74:47:c6 add ==> ws (0-198.18.3.3:5246) rId 1 wId 1 
       44386.015 94:65:9c:74:47:c6 <cc> STA add 94:65:9c:74:47:c6 vap fortinet4intern ws (0-198.18.3.3:5246) rId 1 wId 1 1a:5b:0e:5d:f7:15 sec WPA2 AUTO PERSONAL auth 0
       44386.028 94:65:9c:74:47:c6 <cc> STA_CFG_RESP(60) 94:65:9c:74:47:c6 <== ws (0-198.18.3.3:5246) rc 0 (Success) 
       85792.029 94:65:9c:74:47:c6 <eh>     send 1/4 msg of 4-Way Handshake
       85792.029 94:65:9c:74:47:c6 <eh>     send IEEE 802.1X ver=2 type=3 (EAPOL_KEY) data len=95 replay cnt 1
       85792.030 94:65:9c:74:47:c6 <eh> IEEE 802.1X (EAPOL 99B) ==> 94:65:9c:74:47:c6 ws (0-198.18.3.3:5246) rId 1 wId 1 1a:5b:0e:5d:f7:15
       85792.032 94:65:9c:74:47:c6 <eh> IEEE 802.1X (EAPOL 139B) <== 94:65:9c:74:47:c6 ws (0-198.18.3.3:5246) rId 1 wId 1 1a:5b:0e:5d:f7:15
       85792.032 94:65:9c:74:47:c6 <eh>     recv IEEE 802.1X ver=1 type=3 (EAPOL_KEY) data len=135 
       85792.032 94:65:9c:74:47:c6 <eh>     recv EAPOL-Key 2/4 Pairwise replay cnt 1
       85792.033 94:65:9c:74:47:c6 <eh>     send 3/4 msg of 4-Way Handshake
       85792.033 94:65:9c:74:47:c6 <eh>     send IEEE 802.1X ver=2 type=3 (EAPOL_KEY) data len=175 replay cnt 2
       85792.033 94:65:9c:74:47:c6 <eh> IEEE 802.1X (EAPOL 179B) ==> 94:65:9c:74:47:c6 ws (0-198.18.3.3:5246) rId 1 wId 1 1a:5b:0e:5d:f7:15
       85792.036 94:65:9c:74:47:c6 <eh> IEEE 802.1X (EAPOL 99B) <== 94:65:9c:74:47:c6 ws (0-198.18.3.3:5246) rId 1 wId 1 1a:5b:0e:5d:f7:15
       85792.036 94:65:9c:74:47:c6 <eh>     recv IEEE 802.1X ver=1 type=3 (EAPOL_KEY) data len=95 
       85792.036 94:65:9c:74:47:c6 <eh>     recv EAPOL-Key 4/4 Pairwise replay cnt 2
       44386.037 94:65:9c:74:47:c6 <dc> STA chg 94:65:9c:74:47:c6 vap fortinet4intern ws (0-198.18.3.3:5246) rId 1 wId 1 bssid 1a:5b:0e:5d:f7:15 AUTH
       44386.038 94:65:9c:74:47:c6 <cc> STA chg 94:65:9c:74:47:c6 vap fortinet4intern ws (0-198.18.3.3:5246) rId 1 wId 1 1a:5b:0e:5d:f7:15 sec WPA2 AUTO PERSONAL auth 1 ******
       44386.038 94:65:9c:74:47:c6 <cc> STA_CFG_REQ(62) sta 94:65:9c:74:47:c6 add key (len=16) ==> ws (0-198.18.3.3:5246) rId 1 wId 1 
       44386.046 94:65:9c:74:47:c6 <cc> STA_CFG_RESP(62) 94:65:9c:74:47:c6 <== ws (0-198.18.3.3:5246) rc 0 (Success) 
       85792.047 94:65:9c:74:47:c6 <eh>     ***pairwise key handshake completed*** (RSN)
       44386.086 94:65:9c:74:47:c6 <dc> DHCP Request server 0.0.0.0 <== host DESKTOP-HSEH6HM mac 94:65:9c:74:47:c6 ip 198.18.2.2 xId bd0e86c
       44386.094 94:65:9c:74:47:c6 <dc> DHCP Ack server 198.18.2.1 ==> host  mac 94:65:9c:74:47:c6 ip 198.18.2.2 mask 255.255.255.128 gw 198.18.2.1 xId bd0e86c

Nachfolgendes Beispiel zeigt einen korrekten Disconnect eines Client mit der MAC Adresse 9C:B7:0D:DE:8F:74: 

       44447.890 94:65:9c:74:47:c6 <dc> STA del 94:65:9c:74:47:c6 ws (0-198.18.3.3:5246) vap fortinet4intern rId 1 wId 1
       44447.891 94:65:9c:74:47:c6 <cc> STA_CFG_REQ(64) sta 94:65:9c:74:47:c6 del ==> ws (0-198.18.3.3:5246) rId 1 wId 1 
       44447.891 94:65:9c:74:47:c6 <cc> STA del 94:65:9c:74:47:c6 vap fortinet4intern ws (0-198.18.3.3:5246) rId 1 wId 1 1a:5b:0e:5d:f7:15 sec WPA2 AUTO PERSONAL action del_by_wtp reason 201
       85852.892 94:65:9c:74:47:c6 <eh>     ***WPA_PTK 94:65:9c:74:47:c6 DISCONNECTED***
       44447.894 94:65:9c:74:47:c6 <cc> STA_CFG_RESP(64) 94:65:9c:74:47:c6 <== ws (0-198.18.3.3:5246) rc 0 (Success)

Nun der oben gezeigte "output" stammt vom Fortigate Wireless Controller! Möchte man die gleiche Vorgehensweise für den Wireless Client/Host auf dem Forti Access Point durchführen muss in erster Linie auf dem Forti Access Point auf dem der Wireless Client/Host verbunden ist "telnet" für den Zugriff aktiviert werden. Wie dies durchgeführt wird siehe nachfolgender Artikel: 

       FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F

Der Nachteil auf einem Forti Access Point liegt darin, dass der Traffic nicht anhand einer MAC Adresse eingeschränkt werden kann dh. durch "0x7fff" wird ein Debug Level 32767 gesetzt. Gleichzeitig muessen die "telnet" Nachrichten in der Console für "cw_debu" aktiviert werden. Es ist absolut nicht empfohlen diesen "cw_debug" über einen Consolen Port auf dem Forti Access Point durchzuführen oder über den Consolen Port der FortiGate selber. Der Grund ist der Folgende: Durch diesen "cw_debug" werden soviel "output" Produziert, dass der "buffer" des Consolen Port in kurzer Zeit vollgeschriebe wird. Dies verunmöglicht einen korrekten "cw_debug". Aus diesem Grund sollte die Verbindung SSH basierend sein dh. es sollte per SSH auf die FortiGate verbunden werden und nachträglich per "telnet" auf den entsprechenden Forti Access Point: 

       # execute telnet [IPv4 Adresse des entsprechenden Forti Access Point zB "198.18.3.3"]
       Trying 198.18.3.3...
       Connected to 198.18.3.3.
       Local Access Point FAP-221C login: admin
       
       BusyBox v1.15.0 (2016-01-07 14:13:50 PST) built-in shell (ash)
       Enter 'help' for a list of built-in commands.

Eingeloggt auf dem Forti Access Point können die entsprechenden Optionen für "cw_debug" eingesehen werden: 

       # cw_debug app
       Usage:
       
               cw_debug <on|off>                     --turn on/off telnet log message
               cw_debug app <app_name> [debug_var]   --get/set application debug var
                       cwWtpd              capwap WTP daemon
                       dhcp                capwap DHCP discover
                       wifi                capwap wifi configuration commands
                       cwWtpd_mem          capwap WTP daemon mem
                       fsd                 fsd daemon
                       hostapd             hostapd daemon
                       wpa_supp            wpa supplicant daemon
                       ddnscd              ddnscd daemon
                       admin_timeout       telnet/GUI session idle timeout in seconds
                       fapportal           fapportal daemon
                       fcldc               forticloud client daemon
                       service             capwap WTP service daemon
                       all                 all above daemons

Um für "cw_debug" den "telnet" Output zu aktivieren führe folgendes durch: 

       # cw_debug on

Danach setze den "debug" Level für "cw_debug app cwWtpd" anhand folgenden Befehls: 

       # cw_debug app cwWtpd 0x7fff

Auch hier ist es absolut Notwendig, nach einem erfolgreichen Troubleshooting den Debug wiederum zu aktivieren. Wird dies nicht durchgeführt, bleibt der Debug Modus im Hintergrund aktiv und beeinflusst die Performance des Forti Access Point: 

       # cw_debug app cwWtpd 0x0

Nachfolgendes Beispiel zeigt den "output" einer korrekte Verbindung des Client mit der MAC Adresse 9C:B7:0D:DE:8F:74 wobei darauf hinzuweisen ist das dieser "output" nicht einfach ist zu lokalisieren. Aus diesem Grund wird empfohlen den "output" der SSH resp. "telnet" Session für einen spätere Analyse in ein Log File zu schreiben: 

       49009.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 248929 dbg 00007fff Pkts 0 0
       49010.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 248930 dbg 00007fff Pkts 0 0
       49011.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 248931 dbg 00007fff Pkts 0 0
       49012.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 248932 dbg 00007fff Pkts 0 0
       49012.742 Wireless event: cmd=0x8c03 len=20
       49012.752 ==========================cwWtpProcRawMsg           7   1=========================
       49012.752 cwWtpProcRawMsg recvfrom total bytes 1750766
       49012.752 cwWtpProcRawMsg: it's a control message
       49012.752 cwWtpProcCipherCtrlMsg: looking at 125-byte encapsulated control message
       49012.752 cwWtpProcCipherCtrlMsg: wrote to socket 16, rc: 125 (errno: 11)
       49012.752 ==========================cwWtpProcRawMsg           7   2=========================
       49012.752 cwWtpDtlsThread: SSL_read() returned 66 ssl_err 0
       49012.753 CAPWAP Hdr: P/T=0/0 len=2 RID=0 WBID=1 T=0 F=0 L=0 W=0 M=0 K=0 resv=0 frag=0/0 resv=0
       49012.753 CAPWAP Control Header Dump:
       49012.753     msgType             : 25 STA_CFG_REQ
       49012.753     seqNum              : 165
       49012.753     msgElemLen          : 53
       49012.753     flags               : 0
       49012.753 cwWtpProcPlainCtlMsg: received STA_CFG_REQ from 192.168.3.1/5246
       49012.753 WTP_EV_GEN - CWWE_STA_CFG_REQ meInfo 0x10124dc8 msgPtr (nil) len 0
       49012.753 cwWtpDtlsThread: SSL_read() returned 0 ssl_err 5
       49012.753 ==========================cwWtpFsmThread            4   1=========================
       49012.753 FSM: old CWWS_RUN(13) ev CWWE_STA_CFG_REQ(47) new CWWS_RUN(13)
       49012.754 CWWS_RUN_enter: Add 1 STAs.
       49012.754 CWWS_RUN_enter: STA ADD 0 - Radio ID 0 MAC 9c:b7:0d:de:8f:74 Vlan Name only4also
       49012.754 cwWtpStaRbtAdd: STA_CFG_REQ insert sta 9c:b7:0d:de:8f:74 0/0/1
       49012.754 CWWS_RUN_enter: sending STA CFG RESP msg.
       49012.755 CAPWAP Hdr: P/T=0/0 len=2 RID=0 WBID=1 T=0 F=0 L=0 W=0 M=0 K=0 resv=0 frag=0/0 resv=0
       49012.755 CAPWAP Control Header Dump:
       49012.755     msgType             : 26 STA_CFG_RESP
       49012.755     seqNum              : 165
       49012.755     msgElemLen          : 11
       49012.755     flags               : 0
       49012.755 wtpDtlsWrite: SSL_write() was successful
       49012.756 CWWS_RUN_enter: wtpDtlsWrite() succeeded.
       49012.756 ==========================cwWtpFsmThread            4   2=========================
       49012.756 cwWtpProcOutCipherCtlMsg: calling recv()
       49012.756 cwWtpSendRawMsg: called with 81 bytes - dumping...
       49012.756 cwWtpSendRawMsg: send out encrypted msg.
       49012.756 cwWtpSendRawMsg: sendto of 81 of 81 bytes for 192.168.3.1/5246
       49012.756 cwWtpSendRawMsg: sendto total bytes 2407860
       49012.756 cwWtpProcOutCipherCtlMsg: successfully sent data...
       49012.756 cwWtpProcOutCipherCtlMsg: calling recv()
       49012.962 ==========================cwWtpProcRawMsg           7   1=========================
       49012.964 cwWtpProcRawMsg recvfrom total bytes 1750959
       49012.964 cwWtpProcRawMsg: it's a control message
       49012.964 cwWtpProcCipherCtrlMsg: looking at 189-byte encapsulated control message
       49012.964 cwWtpProcCipherCtrlMsg: wrote to socket 16, rc: 189 (errno: 11)
       49012.964 ==========================cwWtpProcRawMsg           7   2=========================
       49012.964 cwWtpDtlsThread: SSL_read() returned 135 ssl_err 0
       49012.964 CAPWAP Hdr: P/T=0/0 len=2 RID=0 WBID=1 T=0 F=0 L=0 W=0 M=0 K=0 resv=0 frag=0/0 resv=0
       49012.964 CAPWAP Control Header Dump:
       49012.964     msgType             : 25 STA_CFG_REQ
       49012.965     seqNum              : 166
       49012.965     msgElemLen          : 122
       49012.965     flags               : 0
       49012.965 cwWtpProcPlainCtlMsg: received STA_CFG_REQ from 192.168.3.1/5246
       49012.965 cw_me_decode: me type 11_sta_session_key (1038) len 36 claims 29 more octets
       49012.965 WTP_EV_GEN - CWWE_STA_CFG_REQ meInfo 0x10124dc8 msgPtr (nil) len 0
       49012.965 cwWtpDtlsThread: SSL_read() returned 0 ssl_err 5
       49012.965 ==========================cwWtpFsmThread            4   1=========================
       49012.965 FSM: old CWWS_RUN(13) ev CWWE_STA_CFG_REQ(47) new CWWS_RUN(13)
       49012.965 CWWS_RUN_enter: Add 1 STAs.
       49012.965 CWWS_RUN_enter: STA ADD 0 - Radio ID 0 MAC 9c:b7:0d:de:8f:74 Vlan Name only4also
       49012.966 cwWtpStaRbtDel: DEL duo to ADD remove sta 9c:b7:0d:de:8f:74 0/0/1 from staRbt
       49012.966 cwWtpStaRbtAdd: STA_CFG_REQ insert sta 9c:b7:0d:de:8f:74 0/0/1
       49012.966 CWWS_RUN_enter: sending STA CFG RESP msg.
       49012.966 CAPWAP Hdr: P/T=0/0 len=2 RID=0 WBID=1 T=0 F=0 L=0 W=0 M=0 K=0 resv=0 frag=0/0 resv=0
       49012.966 CAPWAP Control Header Dump:
       49012.966     msgType             : 49013.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 248933 dbg 00007fff Pkts 0 0
       49014.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 248934 dbg 00007fff Pkts 0 0
       49015.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 248935 dbg 00007fff Pkts 0 0
       49016.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 248936 dbg 00007fff Pkts 0 0
       49017.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 248937 dbg 00007fff Pkts 0 0
       49018.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 248938 dbg 00007fff Pkts 0 0

Nachfolgendes Beispiel zeigt den Output eines "korrekten" Disconnect des Client mit der MAC Adresse 9C:B7:0D:DE:8F:74: 

       49113.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 249033 dbg 00007fff Pkts 0 0
       49114.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 249034 dbg 00007fff Pkts 0 0
       49114.417 Wireless event: cmd=0x8c04 len=20
       49114.417 Wireless event: cmd=0x8c02 len=31
       49114.417 Custom wireless event: 'del sta: wlan00 '
       49114.417 cwWtp_wireless_event_wireless_custom Radio 0 wId 0 Del STA: 9c:b7:0d:de:8f:74
       49114.417 cwWtpSend_REQ_MSG: sending WTP_EVENT_REQ (9) msg.
       49114.417 cwWtpSendRawMsgQueue: SENDING OUT type 9 seqNum 156
       49114.417 CAPWAP Hdr: P/T=0/0 len=2 RID=0 WBID=1 T=0 F=0 L=0 W=0 M=0 K=0 resv=0 frag=0/0 resv=0
       49114.417 CAPWAP Control Header Dump:
       49114.417     msgType             : 9 WTP_EVENT_REQ
       49114.417     seqNum              : 156
       49114.417     msgElemLen          : 34
       49114.417     flags               : 0
       49114.418 wtpDtlsWrite: SSL_write() was successful
       49114.418 cwWtpSendRawMsgQueue: wtpDtlsWrite() succeeded.
       49114.418 cwWtpPendingMsgAdd: add type 9 seqNum 156 into pending msg queue at head 18 Cnt 1
       49114.418 cwWtpProcOutCipherCtlMsg: calling recv()
       49114.418 cwWtpSendRawMsg: called with 113 bytes - dumping...
       49114.418 cwWtpSendRawMsg: send out encrypted msg.
       49114.418 cwWtpSendRawMsg: sendto of 113 of 113 bytes for 192.168.3.1/5246
       49114.418 cwWtpSendRawMsg: sendto total bytes 2408459
       49114.419 cwWtpProcOutCipherCtlMsg: successfully sent data...
       49114.419 cwWtpProcOutCipherCtlMsg: calling recv()
       49114.430 ==========================cwWtpProcRawMsg           7   1=========================
       49114.430 cwWtpProcRawMsg recvfrom total bytes 1751749
       49114.430 cwWtpProcRawMsg: it's a control message
       49114.430 cwWtpProcCipherCtrlMsg: looking at 109-byte encapsulated control message
       49114.430 cwWtpProcCipherCtrlMsg: wrote to socket 16, rc: 109 (errno: 11)
       49114.430 ==========================cwWtpProcRawMsg           7   2=========================
       49114.430 cwWtpDtlsThread: SSL_read() returned 47 ssl_err 0
       49114.431 CAPWAP Hdr: P/T=0/0 len=2 RID=0 WBID=1 T=0 F=0 L=0 W=0 M=0 K=0 resv=0 frag=0/0 resv=0
       49114.431 CAPWAP Control Header Dump:
       49114.431     msgType             : 25 STA_CFG_REQ
       49114.431     seqNum              : 168
       49114.431     msgElemLen          : 34
       49114.431     flags               : 0
       49114.431 cwWtpProcPlainCtlMsg: received STA_CFG_REQ from 192.168.3.1/5246
       49114.431 WTP_EV_GEN - CWWE_STA_CFG_REQ meInfo 0x100ef468 msgPtr (nil) len 0
       49114.431 cwWtpDtlsThread: SSL_read() returned 0 ssl_err 5
       49114.432 ==========================cwWtpProcRawMsg           7   1=========================
       49114.432 cwWtpProcRawMsg recvfrom total bytes 1751830
       49114.432 cwWtpProcRawMsg: it's a control message
       49114.432 cwWtpProcCipherCtrlMsg: looking at 77-byte encapsulated control message
       49114.432 cwWtpProcCipherCtrlMsg: wrote to socket 16, rc: 77 (errno: 11)
       49114.432 ==========================cwWtpProcRawMsg           7   2=========================
       49114.432 ==========================cwWtpFsmThread            4   1=========================
       49114.432 FSM: old CWWS_RUN(13) ev CWWE_STA_CFG_REQ(47) new CWWS_RUN(13)
       49114.432 CWWS_RUN_enter: Del 1 STAs.
       49114.432 CWWS_RUN_enter: STA DEL 0 - Radio ID 0 MAC 9c:b7:0d:de:8f:74 Vlan Name  wId 0
       49114.432 CWWS_RUN_enter STA_DISASSOC wId 0 Intf wlan00 9c:b7:0d:de:8f:74
       49114.433 do80211priv ap wlan00 op 35814 Invalid argument
       49114.433 cwWtpStaRbtDel: STA_CFG_REQ remove sta 9c:b7:0d:de:8f:74 0/0/1 from staRbt
       49114.433 CWWS_RUN_enter: sending STA CFG RESP msg.
       49114.433 CAPWAP Hdr: P/T=0/0 len=2 RID=0 WBID=1 T=0 F=0 L=0 W=0 M=0 K=0 resv=0 frag=0/0 resv=0
       49114.433 CAPWAP Control Header Dump:
       49114.433     msgType             : 26 STA_CFG_RESP
       49114.433     seqNum              : 168
       49114.433     msgElemLen          : 11
       49114.433     flags               : 0
       49114.433 wtpDtlsWrite: SSL_write() was successful
       49114.434 CWWS_RUN_enter: wtpDtlsWrite() succeeded.
       49114.434 ==========================cwWtpFsmThread            4   2=========================
       49114.434 cwWtpDtlsThread: SSL_read() returned 24 ssl_err 0
       49114.434 CAPWAP Hdr: P/T=0/0 len=2 RID=0 WBID=1 T=0 F=0 L=0 W=0 M=0 K=0 resv=0 frag=0/0 resv=0
       49114.434 CAPWAP Control Header Dump:
       49114.434     msgType    49115.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 249116.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 249036 dbg 00007fff Pkts 0 0
       49117.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 249037 dbg 00007fff Pkts 0 0
       49118.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 249038 dbg 00007fff Pkts 0 0
       49119.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 249039 dbg 00007fff Pkts 0 0
       49120.522 FSM WTP -> AC (192.168.3.1/5246) State: CWWS_RUN (13) connect 4 live 249040 dbg 00007fff Pkts 0 0

Folgender Fortinet Knowledge Base Artikel gibt weitere Auskunft über dieses Troubleshooting: 

               http://kb.fortinet.com/kb/microsites/search.do?cmd=displayKC&docType=kc&externalId=FD33214&sliceId=1&docTypeID=DT_KCARTICLE_1_1&dialogID=35950338&stateId=0%200%2035948485

Grundsetup

Wie nehme ich ein Fortinet Access Point unter FortiOS 5.0/5.2 in Betrieb und konfiguriere ich diesen?

Das nachfolgende Beispiel zeigt wie man einen Forti Access Point in Betrieb nimmt so wie dieser anhand zweier SSID "only4also" (Internal Use) und "also4guest" (Guest Use) konfiguriert wird. Für "Guest Use" wird die "Guest Provisioning" Funktion benutzt die auf dem FortiOS integriert ist. Diese Anleitung basiert auf FortiOS 5.0 kann jedoch für FortiOS 5.2 herangezogen werden. Für das Beispiel gehen wir von folgender Situation aus: 

                   WAN
                    | 193.193.135.66               ___________ 
        ____________|____________                 |           | SSID only4also 192.168.4.0/24
       |                         | 192.168.3.1    | FAP 220B  |
       |        Fortigate        |----- DMZ ------|           |
       |_________________________|                |___________| SSID also4guest 192.168.5.0/24
                    |
                    | 192.168.1.99
                   LAN

Im ersten Schritt muss der Country Code des FortiGate Wireless Controller konfguriert werden. Dies bedeutet: Im Hintergrund stellt das FortiOS WTP Profiles zur Verfügung die den Forti Access Points zugewiesen werden können. Diese WTP Profiles basieren per Standard auf den Country Code US dh. in den entsprechenden WTP Profiles für die verschiedenen Forti Access Points werden für den 2.4 GHz und 5 GHz Bereich Kanäle (channels) basierend auf US zur Verfügung gestellt. Aus diesem Grund muss der Country Code für den Betrieb in der Schweiz auf dem FortiGate Wirelesss Controller korrekt gesetzt werden. Wie dies durchgeführt wird zeigt nachfolgender Artikel: 

       FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_einen_FortiGate_Wireless_Controller_den_.22Country_Code.22_Konfigurieren.3F

Wenn ein Forti Access Point an ein Interface/Segment auf der FortiGate Device angeschlossen wird, versucht dieser Access Point per Standard über CAPWAP (UDP-5246) über dieses Interface/Segment des FortiGate Device einen Wireless Controller zu erreichen. Wenn der FortiGate Wireless Controller erreicht werden kann, wird über diesen per DHCP Server dem FortiAccess Point eine IPv4 Adresse zugewiesen. Diese IPv4 Adresse wird nur genutzt um den CAPWAP Tunnel zu etablieren und den FortiAccess Point zu verwalten resp. zu konfigurieren. Damit der Forti Access Point den FortiGate Wirless Controller findet muss auf dem entsprechenden Interface des FortiGate Devices CAPWAP aktiviert werden. Es wird unter normalen Umständen empfohlen ein seperates Interface auf dem FortiGate Device zu nutzen um über dieses dezidiert Interface der FortiGate die Forti Access Points zu verwalten. In unserem Beispiel wäre dies das "dmz" Interface mit dem IP Range 192.168.3.0/24: 

       Konfigurieren des DMZ Interfaces für CAPWAP und mit einem entsprechenden DHCP Server
       
       System > Interfaces > [Wähle das Interface für DMZ] > [Rechte Maustaste > Edit]
       
       Fortinet-1232.jpg
       
       Damit der FortiGate Wireless Controller CAPWAP (UDP-5246) Anfragen entgegen nimm aus diesem Segment resp. über dieses 
       Interface des FortiGate Devices, muss die Position CAPWAP unter "Administrative Access" aktiviert werden. Dadurch wird 
       im Hintergrund eine automatische "local-in" Polciy konfiguriert die den Traffic für CAPWAP aus diesem Segment erlaubt. 
       Desweiteren, damit die FortiAccess Point bei einer erfolgreichen CAPWAP Anfrage eine entsprechende IP über dieses 
       Interface/Segment zugewiesen bekommen, muss ein DHCP Server aktiviert/konfiguriert werden. Für diesen DHCP Server stehen
       über Kommandozeile weitere Optionen im Zusammenhang mit dem FortiAccess Point zur Verfügung wie AC (Wireless Controller)
       IP Adresse, NTP Adresse sowei DNS Server Adresse. Wir empfehlen diese Optionen des DHCP Servers zu nutzen! führe auf der 
       CLI folgendes aus:
       
       # config system dhcp server
       # edit [Gebe den Integer an des entsprechenden DHCP Servers]
       # set dns-service [local | default | specify]
       # set dns-server1 [IPv4-Adresse für DNS Server 1]
       # set dns-server2 [IPv4-Adresse für DNS Server 2]
       # set dns-server3 [IPv4-Adresse für DNS Server 3]
       # set wifi-ac1 [IPv4-Adresse für Wireless Controller 1]
       # set wifi-ac2 [IPv4-Adresse für Wireless Controller 2]
       # set wifi-ac3 [IPv4-Adresse für Wireless Controller 3]
       # set ntp-service [local | default | specify]
       # set ntp-server1 [IPv4-Adresse für NTP Time Server 1]
       # set ntp-server2 [IPv4-Adresse für NTP Time Server 1]
       # set ntp-server3 [IPv4-Adresse für NTP Time Server 1]
       # end

       Verbinden des Forti Access Points über CAPWAP und Authorisierung des FortiAccess Points
       
       Nun muss der FortiAccess Point über das Interface/Segment des FortiGate Devices das wir soeben konfiguriert haben dh. in 
       unserem Beispiel das "dmz" Interface verbunden werden. Nach einiger Zeit erscheint dieser Forti Access Point unter folgender 
       Position und kann Authorisiert werden:
       
       WiFi Controller > Managed Access Points > [Wähle den entsprechenden Eintrag] > [Rechte Maustaste Edit]
       
       Fortinet-1233.jpg  
       
       Fortinet-1234.jpg
       
       Fortinet-1235.jpg
       
       Sobald der FortiAccess Point über "Authorize" Authorisiert wurde führt der Forti Access Point ein Neustart aus. Nach ein bis
       zwei Minuten erscheint dieser abermals jedoch nun mit dem korrekten Status sowie mit der zugewiesenen IPv4 Adresse des DHCP
       Servers:
       
       Fortinet-1236.jpg

       Forti Access Point Firmware Upgrade durchführen
       
       Nach der Authorisierung des Forti Access Point sollte betreffend Firmware ein Upgrade durchgeführt werden. Dabei geben die
       Release Notes des jeweiligen FortiOS Release Auskunft über die Kompatibilität. Ebenso sind die "Upgrade Paths" der Forti Access
       Point zu berücksichtigen dh. von welcher Version eines FortiOS für Forti Access Point kann ein Upgrade durchgeführt. Auch
       in diesem Fall geben die Release Notes für ein FortiOS für Forti Access Points Auskunft. Desweiteren ist folgender Artikel
       dabei zu berücksichtigen:
       
       FortiAP:FAQ#Welches_FortiOS_soll_im_Zusammenhang_mit_FortiGate_Devices_und.2Foder_Forti_Access_Points_eingesetzt_werden.3F
       
       Ein Firmware Upgrade wird folgendermassen durchgeführt:
       
       WiFi Controller > Managed Access Points > [Wähle den entsprechenden Eintrag] > [Rechte Maustaste Edit]
       
       Fortinet-1237.jpg
       
       Fortinet-1238.jpg
       
       Fortinet-1239.jpg
       
       Nach dem Upgrade des Forti Access Point wird wiederum ein Neustart des Forti Access Point ausgeführt. Es wird empfohlen auf 
       dem FortiAccess Point nach dem Upgrade (nur bei initial Installation) ein Factory Reset durchzuführen. Dieses kann über die 
       Kommandozeile CLI oder über Web Mgmt. Interface der FortiGate durchgeführt werden:
       
       # config wireless-controller wtp
       # get
       
       Danach werden alle zur Verfügung stehenden Forti Access Point mit deren Serien Nummer aufgelistet:
       
       # edit [Serien Nummer des entsprechendne FortiAccess Point zB "FAP22B3U11011877"]
       # set login-enable enable
       # end
       
       Danach kann über den FortiGate Wireless Controller resp. über die CLI des FortiGate Device eine "telnet" Verbindung anhand der
       IPv4 Adresse des Forti Access Point eine Verbindung erstellt werden. Um auf CLI herauszufinden welche IPv4 Adresse durch den
       Forti Access Point benutzt wird siehe nachfolgenden Artikel:
       
       FortiAP:FAQ#Wie_finde_ich_.C3.BCber_den_FortiGate_Wireless_Controller_heraus_mit_welcher_IPv4_Adresse_ein_Forti_Access_Point_verbunden_ist.3F:
       
       # exec telnet [IPv4 Adresse des FortiAccess Point; Ersichtlich über "Manage FortiAP's"]
       FAP22B3U11011877 login: admin
       
       BusyBox v1.01 (2012.07.16-18:39+0000) Built-in shell (ash)
       Enter 'help' for a list of built-in commands.
       
       Danach führe einen "factoryreset" durch dabei bleibt die neue Firmware des Forti Access Points erhalten:
       
       # cfg -x
       # reboot

       Konfiguriere der User Gruppen für SSID "only4also" sowie "also4guest"
       
       User & Device > User > User Definition > Create New
       
       User/Gruppe only4also
       
       Fortinet-1240.jpg
       
       Fortinet-1241.jpg
       
       Fortinet-1242.jpg
       
       Fortinet-1243.jpg
       
       Fortinet-1244.jpg
       
       User & Device > User > User Groups > Create New
       
       Fortinet-1245.jpg
       
       Fortinet-1246.jpg
       
       User/Gruppe also4guest
       
       Fortinet-1245.jpg
       
       Fortinet-1247.jpg
       
       Ueber diese als "Guest" definierte Gruppe kann anhand eines regulären Administrators der für "Guest" konfiguriert wurde auf
       der FortiGate sowie über "Guest Management" Web Interface die entsprechenden Ticket's/User zur Gruppe hinzugefügt werden:
       
       Fortinet-1248.jpg 
       
       Möchte man für das "Guest Provisioning" nicht einen regulären Administrator benutzen sondern einen restriktiven Administrator
       der nur über Rechte verfügt für das "Guest Provisioning", kann dies folgendermassen konfiguriert werden:
       
       Fortinet-1249.jpg 
       
       Dieser "Guest Provisioning" Adminstrator kann nachgräglich über das reguläre Admin Login des FortiGate Devices ein Login durchführen
       und die entsprechenden User/Ticket's erfassen. Weitere detailliert Informationen siehe nachfolgender Artikel:
       
       FortiAP:FAQ#Guest_Access

       Konfiguriere der SSID "only4also" sowie "also4guest"
       
       In den nachfolgenden Schritten werden die SSID's für "only4also" sowie "only4guest" konfiguriert. Dabei benützen wir für die "only4also" 
       SSID WPA/WPA2-Enterprise und für "also4guest" ein Captive Portal das die Gruppe des "Guest Provisioning" für die Authentifizierung nutzt.
       Für beide SSID's werden entsprechenden DHCP Server konfiguriert. Diese DHCP Server für die jeweilige SSID wird benutzt um den Client's 
       eine entpsrechende IPv4 Adresse zu zuweisen:
       
       WiFi Controller > WiFi Network > Create New
       
       Fortinet-1250.jpg
       
       Fortinet-1251.jpg
       
       Fortinet-1252.jpg

       Weitere Auskunft über die verschiedenen Konfigurationspunkt die in einer SSID enthalten sind gibt nachfolgender Artikel:
       
       FortiAP:FAQ#Konfiguration

       Konfiguriere des WTP Profile's für den Forti Access Point
       
       Fortinet-1253.jpg
       
       Fortinet-1254.jpg
       Fortinet-1255.jpg
       
       Betreffend "channels" im Zusammenhang mit DFS Support resp. welche "channels" aktiviert werden dürfen siehe nachfolgenden Artikel:
       
       FortiAP:FAQ#Was_bedeutet_es_wenn_ein_Forti_Access_Point_.C3.BCber_den_DFS_.28Dynamic_Frequency_Selection.29_Support_verf.C3.BCgt.3F

       Konfiguriertes WTP Profile dem Forti Access Point hinzufügen
       
       WiFi Controller > [WiFi Network] > [Managed Access Points] > Managed FortiAPs > [Wähle den entsprechenden Eintrag] > [Rechte Maustase Edit]
       
       Fortinet-1256.jpg
       
       Fortinet-1257.jpg

       Ersellen der Objekt für die Firewall Policy Rule für "only4also" sowie "also4guest"
       
       Damit die Firewall Policy Rule erstellt werden können, erstellen wir im Zusammenhang mit den SSID's die entsprechenden Objekte:
       
       Firewall Objects > Address > Address > Create New
       
       Fortinet-1258.jpg
       
       Fortinet-1259.jpg
       
       Fortinet-1258.jpg
       
       Fortinet-1260.jpg

       Konfigurieren der Firewall Policy Rule für "only4also" sowie "also4guest"
       
       Nun können die Firewall Policy Rule's implementiert werden dh. für "only4also" SSID sowie für "also4guest":
       
       Policy > Policy > Policy > Create New
       
       "only4also Firewall Policy Rule"
       
       Fortinet-1261.jpg
       
       Fortinet-1262.jpg
       
       Fortinet-1261.jpg
       
       Fortinet-1263.jpg
       
       "also4guest Firewall Policy Rule"
       
       Fortinet-1261.jpg
       
       Fortinet-1264.jpg

Sofern gewünscht können für die Firewall Policies wie gewohnt die entsprechenden UTM Features resp. Security Profiles konfiguriert werden.

Setup

Wie kann ich per "telnet" auf einen Forti Access Point verbinden wenn dieser über keinen Consolen Port verfügt?

Wenn ein Forti Access Point zB FAP-21D über keinen Consolen Port verfügt kann man dennoch über "telnet" auf den Forti Access Point zugreifen um zB ein "debug" auszuführen oder eine lokale Konfiguration auf dem Forti Access Point durchzuführen. Die Funktion "telnet" muss vorgängig auf dem Fortigate Wireless Controller freigeschaltet werden. Dies bedeutet: ein direkter Zugriff per "telnet" auf den Forti Access Point ist nicht möglich. Der Zugriff eines "telnet" erfolgt über die Fortigate CLI oder über das Mgmt. Web Interface der FortiGate anhand des CLI Funktion für einen Forti Access Point. Um die Funktion für "telnet" freizuschalten auf dem FortiGate Wirless Controller kann dies entweder für FortiOS 5.0/5.2 sowie 5.4 für einen Forti Access Point erfolgen oder unter FortiOS 5.4 für ein WTP Profile. Um "telnet" für einen Forti Access Point zu aktivieren führe ein Login durch auf der Fortigate per SSH/Telnet oder Consolen Port ein und führe folgendes durch: 

       Aktiviere "telnet" und/oder "http" im WTP Profile (FortiOS 5.4)
       
       # config wireless-controller wtp-profile
       # edit [Gebe das entsprechende WTP Profile an]
       # set allowaccess [telnet | http]
       # end
       
       Das entsprechende WTP Profile muss nun dem entsprechenden Forti Access Point zugewiesen sein damit
       die Aktivierung von "telnet" und/oder "http" erfolgt. Danach kann über folgende Position eine CLI
       geöffnet werden:
       
       WiFi Controller > Managed FortiAPs > [Markiere den entsprechenden Forti Access Point] > [Rechte Maustaste] > Edit in CLI
       
       Wenn der Zugriff für "telnet" über den FortiGate Wireless Controller resp. CLI erfolgen soll muss 
       und die entsprechende IP des Forti Access Point umbekannt ist siehe nachfolgender Absatz für FortiOS
       5.0/5.2.

       Aktiviere "telnet" im WTP(FortiOS 5.0/5.2)
       
       Ueberprüfe über "wtp" welche Forti Access Points existieren:
       
       # config wireless-controller wtp
       # get
       == [ FAP14C3X13000543 ]
       wtp-id: FAP14C3X13000543    
       == [ FP221C3X14001296 ]
       wtp-id: FP221C3X14001296    
       == [ FAP21D3U14000144 ]
       wtp-id: FAP21D3U14000144    
       == [ FAP24D3X14000101 ]
       wtp-id: FAP24D3X14000101    
       # end

       Ueberprüfe über "diagnose wireless" welche IP ein bestimmter Access Points benutzt:
       
       # diagnose wireless wlac -c wtp [Gebe den entsprechenden Forti Access Point an]
       -------------------------------WTP    1----------------------------
       WTP vd               : root
           vfid             : 0
           id               : FAP21D3U14000144
           mgmt_vlanid      : 0
           region code      : E 
           regcode status   : valid
           refcnt           : 3 own(1) wtpprof(1) ws(1) 
           plain_ctl        : disabled
           deleted          : no
           admin            : enable
           cfg-wtp-profile  : FAP-04
           override-profile : disabled
           oper-wtp-profile : FAP-04
           wtp-mode         : remote
           name             : Remote Access Point FAP-21D
           location         : Remote FAP-04 local-sg0e0
           led-state        : enabled
           ip-frag-prevent  : TCP_MSS 
           tun-mtu          : 1492,1492
           split-tunneling-local-ap-subnet  : disabled
           active sw ver    : FAP21D-v5.2-build0234
           local IPv4 addr  : 193.193.135.71
           board mac        : 08:5b:0e:97:23:0c
           join_time        : Thu Apr 23 08:03:43 2015
           mesh-uplink      : ethernet
           mesh hop count   : 0
           parent wtp id    : 
           connection state : Connected
           image download progress: 0
           last failure     : 15 -- ECHO REQ is missing
           last failure param: N/A
           last failure time: Thu Apr 23 08:03:02 2015
           station info     : 0/0
           geo              : World (0)
           LAN              :
                    rId     : 1
                    cnt     : 1
                    port 1  : mode BR-TO-SSID(3)  ssid fortinet4intern          
         Radio 1            : Disabled
         Radio 2            : Virtual Lan AP
           max vaps         : 0
           base bssid       : 00:00:00:00:00:00
           station info     : 0/0
         Radio 3            : Not Exist
       -------------------------------Total    1 WTPs----------------------------
               
       Editiere den entsprechenden Forti Access Point auf dem "telnet" freigeschaltet werden soll und aktiviere den Zugriff:
       
       # config wireless-controller wtp
       # edit [WTP ID resp. Serien Nummer des entsprechenden Forti Access Point]
       # set login-enable enable
       # end
       
       Für FortiOS 5.4 existiert dieses Kommando "login-enable" nicht mehr. Ein Zugriff für "telnet" und/oder "http" kann 
       dennoch über "wtp" für einen entsprechenden Forti Access Point freigeschaltet werden und wird folgendermassen 
       durchgeführt:
       
       # config wireless-controller wtp
       # edit [WTP ID resp. Serien Nummer des entsprechenden Forti Access Point]
       # set override-allowaccess [enable | disable]
       # set allowaccess [telnet | http]
       # end
       
       Durch diese Konfiguration wird ein Neustart des Forti Access Point durchgeführt!
       
       Teste den Zugriff per Telnet auf den entsprechenden Access Point:
       
       # exec telnet 193.193.135.71
       FAP22B3U11011877 login: admin
       
       BusyBox v1.01 (2012.07.16-18:39+0000) Built-in shell (ash)
       Enter 'help' for a list of built-in commands.
       
       #

Wie schon erwähnt gibt es neu ab FortiOS 5.2 die Möglichkeit über Web Mgmt. Interface anhand des entsprechenden Forti Access Point Eintrages eine CLI anhand eines Pop-Up zu öffnen. Die Vorraussetzung damit dies ermöglicht wird, ist die Option "set login-enable enable" oder für FortiOS 5.4 "override-allowaccess" und/oder innerhalb eines WTP Profiles "allowaccess". Werden diese Optionen für einen Zugriff über "telnet" nicht aktiviert sei es für FortiOS 5.0/5.2 sowie für 5.4, steht der entsprechende Menüeintrag "Connect to CLI" nicht zur Verfügung. Um über Web Mgmt. Interface eine CLI auf den Forti Access Point zu öffnen führe folgendes aus: 

       WiFi Controller > [WiFi Network] > [Managed Access Points] > Managed FortiAPs > [Wähle den entsprechenden Eintrag] > [Rechter Mausklick] > [Connect to CLI]

       Fortinet-1292.jpg

       Fortinet-1293.jpg

Was ist die Default IPv4 Adresse für einen Forti Access Point und wie kann ich mich auf diese IPv Adresse verbinden?

Wenn ein Forti Access Point gestartet wird, reagiert auf Netzwerkebene der Forti Access Point folgendermassen: 

       • Der Forti Access Point sendet einen DHCP Anfrage in das Segment! Wird diese DHCP Anfrage beantwortet wird das 
         "wan" Interface des Forti Access Point anhand der Informationen des DHCP Server konfiguriert!

       • Beantwortet "Kein" DHCP Server die Anfrage des Forti Access Point so wird auf dem Interface des Forti Access 
         Points die "default" IPv4 Adresse konfiguriert:
         
         192.168.1.2/24

Somit kann man sich auf einen Forti Access Point folgendermassen verbinden sofern der Forti Access Point betreffend Netzwerk Interface nicht auf "Static" konfiguriert ist (Standard DHCP): 

       1. Konfigruiere eine Workstation/Laptop mit folgender IP (Kein Default Gateway):
          
          192.168.1.1 255.255.255.0
          
       2. Verbinde den FortiAP mit der Workstation/Laptop anhand eines RJ-45 Kabel (nicht gekreuzt)
          
       3. Starte den FortiAP und nach 1 - 2 Minuten kann auf den FortiAP anhand eines Browser zugegriffen werden (Username "admin"; Kein Passwort):
          
          http://192.168.1.2

Möchte man sich auf den Forti Access Point verbinden jedoch wurde das Interface auf "Static" konfiguriert und die IP Adresse ist nicht mehr bekannt, kann jeder FortiAP anhand des "reset buttons" auf Factory Defaults gesetzt werden. Weitere Informationen wo sich der "reset button" bei den verschiedenen Modellen befindet, kann aus dem entsprechenden "Quickstart Guide" entnommen werden. Dazu siehe nachfolgenden Artikel: 

            Fortinet:ProduktInfo#FortiAP

Wie kann ich auf einem Forti Access Point für das Netzwerk Interface eine statische IPv4 Adresse konfigurieren?

Wenn man einen Forti Access Point manuell dh. mit einer statischen IPv4 Adressen konfigurieren möchte so kann dies über CLI sowie über das Mgmt. Web Interface durchgeführt werden. Um die Konfiguration durchzuführen muss auf die Standard IPv4 Adresse des Forti Access Point's zugegriffen werden. Wie dies durchzuführen ist siehe nachfolgender Artikel: 

       FortiAP:FAQ#Was_ist_die_Default_IPv4_Adresse_f.C3.BCr_einen_Forti_Access_Point_und_wie_kann_ich_mich_auf_diese_IPv_Adresse_verbinden.3F

Um die Konfiguration einer statischen IPv4 Adresse über Mgmt. Web Interface des Forti Access Point durchzuführen gebe folgende Adresse in den Browser ein: 

       http://192.168.1.2

Danach kann über das Mgmt. Web Interface die Konfiguration durchgeführt werden. Um die Konfiguration einer statischen IPv4 Adresse für den Forti Access Point auf CLI durchzuführen muss "telnet" Zugriff für den Forti Access Point aktiviert werden. Die Aktivierung für den "telnet" Zugriff kann über das Mgmt. Web Interface durchgeführt werden. Um nachträglich die Konfiguraiton auf der CLI des Forti Access Point durchzuführen gebe folgendes ein: 

       # cfg –a AP_IPADDR=[Gebe eine enstprechende IPv Adresse an zB "192.168.1.2"]
       # cfg –a ADDR_MODE=STATIC
       # cfg –a AP_NETMASK=[Gebe die entsprechende Subnet Mask ein für die IPv ADresse zB "255.255.255.0"]
       # cfg -a DNS_SERVER=[DNS Server IPv4 Adresse]
       # cfg -c

Um die entsprechende Konfiguration nachträglich zu überprüfen gebe folgendes ein: 

      # cfg -s
      AP_IPADDR:=192.168.1.2
      AP_NETMASK:=255.255.255.0
      IPGW:=192.168.1.1
      ADDR_MODE:=DHCP
      TELNET_ALLOW:=0
      AC_DISCOVERY_TYPE:=0
      AC_IPADDR_1:=192.168.1.1
      AC_CTL_PORT:=5246
      AC_DISCOVERY_MC_ADDR:=224.0.1.140
      AC_DISCOVERY_DHCP_OPTION_CODE:=138

Weitere lokale Konfigurations Möglichkeiten auf dem Forti Access Point können anhand des folgenden Befehls aufgelistet werden: 

       # cfg -h

Wie kann ich die FortiGate Wireless Controller IPv4 Adresse für einen Forti Access Point über DHCP Server zuweisen?

Wenn einem Forti Access Point dessen FortiGate Wireless Controller IPv4 Adresse über DHCP Server zugewiesen werden soll kann dies über die DHCP Option "138" durchgeführt werden. Dies bedeutet: Wenn für die diese IPv4 Adresse des FortiGate Wireless Controllers ein bestehender DHCP Server benutzt wird muss in diesem die IPv4 Adresse als Option "138" gesetzt werden sowie auf dem entsprechenden Forti Access Point verifiziert werden ob diese Option "138" korrekt gesetzt ist. Dies wird lokal auf der CLI des Forti Access Point durchgeführt: 

       Auslesen der momentaner Netzwerk Konfig:
       
       # cfg -s

       Konfiguration der DHCP Option:
       
       # cfg -a AC_DISCOVERY_DHCP_OPTION_CODE=138
       # cfg -c

Unter normalen Umständen empfehlen wir den DHCP Server auf dem FortiGate Device zu benutzen. Dadurch muss die Option "138" nicht gesetzt werden, denn im DHCP Server auf dem FortiGate Device kann anhand "wifi-ac1" die IPv4 Adresse des FortiGate Wireless Controller direkt konfiguriert werden. Zu "failover" Zwecken stehen 3 "wifi-ac" zur Verfügung. In diesem Zuge empfehlen wir ebenfalls die Konfiguration des DNS Server IPv4 Adresse sowie die IPv4 Adresse des NTP Servers: 

       # config system dhcp server
       # edit [Gebe den Integer an des entsprechenden DHCP Servers]
       # set dns-service [local | default | specify]
       # set dns-server1 [IPv4-Adresse für DNS Server 1]
       # set dns-server2 [IPv4-Adresse für DNS Server 2]
       # set dns-server3 [IPv4-Adresse für DNS Server 3]
       # set wifi-ac1 [IPv4-Adresse für Wireless Controller 1]
       # set wifi-ac2 [IPv4-Adresse für Wireless Controller 2]
       # set wifi-ac3 [IPv4-Adresse für Wireless Controller 3]
       # set ntp-service [local | default | specify]
       # set ntp-server1 [IPv4-Adresse für NTP Time Server 1]
       # set ntp-server2 [IPv4-Adresse für NTP Time Server 1]
       # set ntp-server3 [IPv4-Adresse für NTP Time Server 1]
       # end

Nachträglich kann die Konfiguration resp. die Zuweisung der IPv4 Adresse über Kommandozeile auf dem Forti Access Point folgendermassen kontrolliert werden: 

       # cw_diag -c wtp-cfg

Wie kann ich auf einem Forti Access Point auf einer SSID eine "MAC Reservation + Access Control" Konfigurieren?

Eine "MAC Reservation + Access Control" kann unter FortiOS 5.0/5.2 sowie 5.4 innerhalb des DHCP Servers, der für die SSID aktiviert wird, konfiguriert werden. Dies ist jedoch nur dann möglich, wenn die entsprechende SSID im "tunneling" Mode ist und nicht für "local bridge" konfiguriert wurde, da im Bridge Mode kein DHCP Server aktiviert werden kann (local break-out). Die Konfiguration kann über Mgmt. Web Interface sowie auf CLI durchgeführt werden. Dabei ist folgendes Wichtig: 

       Ein DHCP Server eines FortiOS ist per Standard im "assign" Mode und bedeutet: Jede Anfrage wird vom DHCP Server mit einer
       entsprechender IPv4 Adresse beantwortet. Möchte man nur Anfragen beantworten betreffend definierter MAC Adressen, muss der
       DHCP Server auf "block" gesetzt werden. Im Standard "assign" Mode stehen folgende Funktionen innerhalb des DHCP Servers für
       die IPv4 Adressse sowei MAC Adressen zur Verfügung:
       
       • Reserve IP
       • Assign IP
       • Block

Möchte man die "MAC Reservation + Access Control" unter Mgmt. Web Interface konfigurieren, findet man die entsprechenden Optionen unter folgender Position: 

       WiFi Controller > WiFi Network > SSID > [Wähle die entsprechende SSID] > [DHCP Server] > [Addtional DHCP Options]

       Fortinet-1693.jpg

       Fortinet-1694.jpg

Möchte man diese Konfiguration unter CLI durchführen, führe folgendes durch: 

       # config system dhcp server
       # edit [Setze einen entsprechenden Integer zB "1"]
       # set description [Definiere einen entsprechenden Kommentar für DHCP Server]
       # set status [disable | enable]
       # set mac-acl-default-action [assign | block]
       # set dns-service [local | default | specify]
       # set dns-server1 [IPv4-Adresse für DNS Server 1]
       # set dns-server2 [IPv4-Adresse für DNS Server 2]
       # set dns-server3 [IPv4-Adresse für DNS Server 3]
       # set wifi-ac1 [IPv4-Adresse für Wireless Controller 1]
       # set wifi-ac2 [IPv4-Adresse für Wireless Controller 2]
       # set wifi-ac3 [IPv4-Adresse für Wireless Controller 3]
       # set ntp-service [local | default | specify]
       # set ntp-server1 [IPv4-Adresse für NTP Time Server 1]
       # set ntp-server2 [IPv4-Adresse für NTP Time Server 1]
       # set ntp-server3 [IPv4-Adresse für NTP Time Server 1]
       # set domain [Setze eine entsprechende Domain zB "local.intra"]
       # set wins-server1 [IPv4-Adresse für Win Server 1]
       # set wins-server2 [IPv4-Adresse für Win Server 1]
       # set default-gateway [IPv4-Adresse für Default Gateway]
       # set next-server <IPv4-Adresse für Bootstrap Server]
       # set netmask [IPv4-Netmask für DHCP Server IP Range]
       # set interface [Name des Interface für den DHCP Server zB "internal"]
       # config ip-range
       # edit [Setze einen entsprechenden Integer zB "1"]
       # set start-ip [IPv4 Start Adresse für den DHCP Bereich]
       # set end-ip [IPv4 End Adresse für den DHCP Bereich]
       # end
       # set timezone-option [disable | default | specify]
       # set timezone [01 | 02 | 03 | 04 | 05 | 81 | 06 | 07 | 08 | 09 | 10 | 11 | 12 | 13 | 74 | 14 | 77 | 15 | 16 | 17 | 18 | 19 | 20 | 75 | 21 | 22 | 23 | 24 | 80 | 79 | 25 | 26 | 27 | 28 | 78 | 29 | 30 | 31 | 85 | 32 | 33 | 34 | 35 | 36 | 37 | 38 | 83 | 84 | 40 | 41 | 42 | 43 | 39 | 44 | 46 | 47 | 51 | 48 | 45 | 49 | 50 | 52 | 53 | 54 | 55 | 56 | 57 | 58 | 59 | 60 | 62 | 63 | 61 | 64 | 65 | 66 | 67 | 68 | 69 | 70 | 71 | 72 | 00 | 82 | 73 | 86 | 76]
       # config exclude-range
       # edit [Setze einen entsprechenden Integer zB "1"]
       # set start-ip [Definition der IPv4 Start Adresse für den DHCP Exclude Bereich]
       # set end-ip [Definition der IPv4 End Adresse für den DHCP Exclude Bereich]
       # end
       # config reserved-Adresse 
       # edit [Setze einen entsprechenden Integer zB "1"]
       # set ip [IPv4-Adresse für IP Reservation]
       # set mac [MAC-Adresse Defintion für IP Reservation]
       # set action [assign | block | reserved]
       # end
       # end

Eine weitere Möglichkeit ab FortiOS 5.0 den Zugriff auf eine SSID einzuschränken ist die "device-access-list". Dies bedeutet: Anhand der "Device Detection" Funktion oder eigene definierten Devices innerhalb der "Device Detection" Funktion, kann der der Zugriff eingeschränkt werden. Um die Funktion "Device Detection" zu aktivieren, muss innerhalb der SSID resp. des "virtuellen" Interfaces das für die SSID konfiguriert wird, diese Funktion aktiviert werden: 

       WiFi Controller > WiFi Network > SSID > [Wähle die entsprechende SSID] > [Aktiviere "Device Detection"]

Durch diese Funktion "Device Detection" wird versucht jeden Device in diesem Segment der das Interface der FortiGate benützt zu identifizieren. Um "Device Detection" auf der CLI für die SSID zu aktivieren führe folgendes aus: 

       # config system interface
       # edit [Name des entsprechenden Interfaces resp. SSID]
       # set device-identification [enable | disable]
       # set device-identification-active-scan [enable | disable]
       # end

Es wird empfohlen die "device-identification-active-scan" nicht per Standard zu aktivieren. Um innerhalb der "Device Detection" Funktion einen eigenen Device zu definieren dh. nicht über die auf dem Interface aktivierte Funktion "device-identification", kann dieser Device innerhalb des DHCP Server auf der CLI konfiguriert werden: 

       # config system dhcp server
       # edit [Setze einen entsprechenden Integer zB "1"]
       # config user device
       # edit [Vergebe einen entsprechenden Namen für den Device]
       # set mac [MAC Adresse für den entsprechenden Device]
       # end

Für diese definierten Devices können ebenfalls entsprechenden Gruppen angelegt werden: 

       # config user device-group
       # edit [Name für die Device Gruppe]
       # set member [Wähle die entsprechenden Member]
       # end

Wieder eine andere Möglichkeit ist über eine entsprechende Firewall Policy Rule für die SSID anhand der "Device Detection" Funktion den Zugriff einzuschränken: 

       Policy & Objects > Policy > IPv4 > [Wähle die entsprechende Policy] > [Device Identiy | Source Device Type]

Unter FortiOS 5.4 existiert innerhalb der Firewall Policy Rule keine entsprechende Position, sondern der entsprechende Device muss über zB die Source eingebunden werden. Wähle dazu: 

       Policy & Objects > IPv4 Policy > Create New

       Fortinet-1695.jpg

Wie kann ich über einen Forti Access Point alle Wireless Devices in dessen Wirkungsgrad erkennen und auflistet?

Ein Forti Access Point kann anhand der Funktion "station-locate" so konfiguriert werden, dass dieser Forti Access Point für dessen Umgebung alle Wireless Devices auflistet der dieser Erkennt. Dabei werden sehr viele Informationen für diese Wireless Devices aufgeführt die auch für das "location tracking" benutzt wird. Da die Funktion relativ Performance Intensiv ist, sollte diese Funktion nur zu Analyse benutzt werden und nicht Permanent ausser es wird anhand des "Euclid Analytics Service" Format ein "location tracking" benutzt. Die Funktion kann einzeln für einen entsprechenden "radio's" aktiviert werden dh. für 5 GHz und/oder 2.4 GHz. Aktiviert wird die Funktion in dem entsprechenden WTP Profile das dem Forti Access Point zugewiesen wird: 

       # config wireless-controller wtp-profile
       # edit [Wähle das entsprechende Profil]
       # config radio-1
       # set station-locate enable
       # end
       # config radio-2
       # set station-locate enable
       # end
       # end

Die Informationen die im Hintergrund vom Wireless Controller über den Forti Access Point "radio" gesammelt werden sind umfänglich! Nachträglich kann man anhand des "diagnose" Kommando Kommando auf der CLI die gesammelten Informationen aus dem Wireless Controller auslesen: 

       # diagnose wireless wlac -c sta-locate
       
       sta_mac               vfid  rid base_mac          freq_lst  frm_cnt  frm_fst frm_last     intv_sum    intv2_sum    intv3_sum intv_min intv_max   signal_sum  signal2_sum  signal3_sum  sig_min  sig_max  sig_fst sig_last   ap
       00:24:d7:e2:ea:08       0
        FAP22B3U11011877       0    0 00:09:0f:f9:29:22     5220        3      164       44          120         7200       432000       59       60         -246        20190     -1658532      -85      -79      -79      -85    0

Das Format das durch "sta-locate" produziert wird, ist im "Euclid Analytics Service" Format. Weitere Informationen dazu siehe: 

       http://euclidanalytics.com/products/technology/

Um die Informationen für "sta-locate" zu löschen kann anhand des "diagnose" Kommando dies durchgeführt werden: 

       # diagnose wireless wlac -c sta-locate reset

Unter FortiOS 5.4 wurde zusätzlich eine Funktion implementiert, die das löschen der Informationen regelmässig übernimmt. Dies bedeutet: Anhand eines "timers" kann für diese Funktion ein "reset" automatisiert durchgeführt werden. Dabei ist jedoch folgendes zu beachten: 

       Die Funktion "sta-locate" erstellt für einen Host/Client erstmalig einen Log Eintrag dh. wenn der Host/Client in einem
       späteren Zeitpunkt abermals erkannt wird, so wird kein weitere Log Eintrag erstellt für "sta-locate". Um die vorhandenen
       Informationen zu löschen kann ein "timer" benützt werden 1 and 86400 seconds (24 hours) wobei nicht empfohlen ist den 
       "timer" kleiner als 30 Sekunden zu setzen da dies doppelte Einträge für den Host/Client produzieren kann. Der "timer"
       steht per Standard auf "1800" Sekunden was 30 Minuten entspricht!
       
       # config wireless-controller timers
       # set sta-locate-timer [1 and 86400 seconds (24 hours); Standard 1800]
       # end

Kann ich einen Forti Access Point so konfigurieren, dass dessen SSID den gleichen IPv4 Adress Range benutzt wir im LAN?

Eine FortiOS kontrolliert per Standard die Konfiguration der Interfaces betreffend "subnet-overlap". Dies bedeutet: es kann keine Ueberschneidung resp. "subnet-overlap" von IPv4 Range's/Subnet auf Interface's konfiguriert werden da dies durch die Funktion "allow-subnet-overlap disable" verhindert wird: 

      # config system settings
      # set allow-subnet-overlap [enable | disable]
      # end

Möchte man ein "subnet-overlap" für eine SSID konfigurieren, sollte dies gut überlegt sein. Dies bedeutet: Soll ein Forti Access Point über eine SSID den Zugriff in das interne LAN Segment direkt ermöglichen, kann zB anstelle eines "subnet-overlap" die "local bridge" Funktion für eine SSID benutzt werden. Dadurch wird ermöglicht, dass das Interface auf dem Forti Access Point in den Bridge Modus versetzt wird, und die Host/Client die über eine entsprechende SSID verbinden, eine IPv4 Adresse vom DHCP Server zugewiesen erhalten der im internne LAN Segment den Host/Client zur Verfügung steht. In so einem Scenario muss jedoch der Forti Access Point mit dem internen Segment LAN direkt verbunden werden. Wenn dennoch ein "subnet-overlap" Konfiguration auf einer SSID konfiguriert wird und die entsprechende Option "allow-subnet-overlap" wurde nicht aktiviert kommt es zu einer Fehlermeldung: 

      Subnets overlap between 'port1' and the primary IP of 'port1'
      object set operator error, -54 discard the setting

      IP address is in same subnet as the others.

Wenn dennoch ein "allow-subnet-overlap" auf enable gesetzt werden möchte, kann dies über CLI auf System Ebene durchgeführt werden. Da es sich bei dieser Funktion um eine Option auf System Ebene handelt möchten wir nochmals daraufhinweisen dies gut zu überlegen da durch die Aktivierung dieser Option eine "loop" Gefahr besteht!

Kann ich für einen Forti Access Point die LED's deaktivieren damit diese bei Gebrauch nicht mehr blinken?

Ab FortiOS 5.2.3 ist dies möglich und wird benützt um die Forti Access Point möglichst zB für Hotels dezent erscheinen zu lassen. Diese Funktion steht nicht für jeden Forti Access Point zur Verfügung dh. zB für FAP-221C steht diese Funktion zur Verfügung. Wenn die "LED" auf einem Forti Access Point deaktiviert werden sollen, kann dies über den FortiGate Wireless Controller auf CLI im WTP Profile für den Forti Access Point durchgeführt werden oder über den FortiGate Wireless Controller für den Forti Access Point selber: 

       # config wireless-controller wtp
       # edit [Serien Nummer des entsprechenden Forti Access Point]
       # set override-led-state [enable | disable]
       # set led-state  [enable | disable]
       # end

       # config wireless-controller wtp-profile
       # edit [Name des entsprechenden WTP Profiles]
       # set led-state [enable | disable]
       # end

Auf der CLI für einen Forti Access Point ist die Konfiguration ebenfalls möglich. Dabei ist jedoch zu berücksichtigen wenn dies durchgeführt wird, dass der FortiGate Wireless Controller diese lokal durchgeführte Konfgiguration auf dem Forti Access Point anhand der Konfiguration für den Forti Access Point oder anhand des WTP Profiles nicht überschreibt. Dieses Verhalten kann anhand der "LED_STATE" Konfiguration lokal auf dem Forti Access Pont konfiguriert werden. Erstelle eine "telnet" Verbindung auf den Forti Access Point. Wie dies durchzuführen ist siehe nachfolgenden Artikel: 

       FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F

Danach kann lokal auf dem Forti Access Point folgendes durchgeführt werden: 

       # cfg -a LED_STATE=[0|1|2]
       # cfg -s

Die Werte für "LED_STATE" haben folgende Bedeutung: 

       0 = Die LED's sind aktiviert.
       1 = Die LED's sind deaktiviert.
       2 = Ob die LED's aktiviert und/oder deaktiviert sind wird über den Wirless Controller der FortiGate gesteuert.

Per Standard ist der Wert auf "2" gesetzt dh. die Konfiguration über den Wireless Controller anhand der Option "led-state" aktiviert und/oder deaktiviert die LED's auf dem Forti Access Point. Werden die Werte "0" oder "1" gesetzt werden die Einstellung über den FortiGate Wireless Controller ignoriert!

Wie kann ich die automatische Registration eines Forti Access Point auf einem FortiGate Wireless Controller verhindern?

Wenn ein Forti Access Point in einem IPv4 Subnet/Segment der FortiGate in Betrieb genommen wird so benützt dieser Forti Access Point den "autodiscover" Modus um einen Wireless Controller zu finden. Ist auf dem FortiGate Device in diesem Segement und für das Interface CAPWAP aktiviert so antwortet der FortiGate Wireless Controller auf diese CAPWAP (UDP-5246) Anfragen. Dadurch erscheint unter den "Managed FortiAPs" im Mgmt. Web Interface der Forti Access Point. Danach kann der Forti Access Point durch "Authorized" Authorisiert werden. Wenn man jedoch dies aus irgendwelchen Gründen verhindern möchte, fragt sich wie diese "automatisch Registration" dh. das die Forti Access Point unter "Managed FortiAPs" erscheinen verhindert werden kann. Dazu gibt es verschiedenen Möglichkeiten/Konfiguration die durchgeführt werden können zB: 

       • Wenn über das Segment in dem sich die Forti Access Point keine "CAPWAP" Anfragen beantwortet werden sollen kann "CAPWAP" auf diesem
         Segment resp. Interface deaktiviert werden:
         
         # config system interface
         # edit [Name des entsprechenden Interface zB "dmz"]
         # unselect capwap
         # end

       • Wenn auf dem FortiGate Device keine Forti Access Point verwaltet/konfiguriert werden sollen, kann der FortiGate Wireless Controller
         komplett deaktiviert werden:
         
         # config system global
         # set wireless-controller [enable | disable]
         # end

       • Befinden sich im Segment verschiedenen Forti Access Point dh. solche die über den Wireless Controller der FortiGate verwaltet werden
         sollen und solche die nicht über die FortiGate verwaltet werden sollen, müssen alle Forti Access Point die nicht über die FortiGate 
         die das Segment zur Verfügung stellt, lokal so konfiguriert werden damit diese Anfragen zu einemn spezifischen Wireless Access Point 
         Controller senden und nicht im "autodiscovery" Modus (Broadcast, Multicast, Unicast). Dies wird erreich, in dem auf den entsprechenden 
         Forti Access Point Controller folgendes konfiguriert wird:
         
         Verbinde dich per "telnet" auf den Forti Access Point Controller. Wie dies durchzuführen ist siehe nachfolgender Artikel:
         
         FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F
         
         Ausgehend davon das "telnet" Zugriff auf einem Forti Access Point aktiviert ist, kann anhand eines CLI "Widgets" über das Mgmt. Web 
         Interface auf den Forti Access Point zugegriffen werden. Dazu wähle:
         
         WiFi Controller > [WiFi Network] > [Managed Access Points] > Managed FortiAPs > [Markiere den entsprechenden Forti Access Point] > [Rechte Maustaste "CLI"]
         
         Danach muss folgendes konfiguriert werden um den Forti Access Point so zu konfigurieren, dass dieser "statisch" nur noch Anfragen zu
         einem bestimmten FortiGate Wireless Controller anhand dessen IPv Adresse sendet:
         
         # cfg -a AC_IPADDR_1=[IP Adresse des FortiGate WiFi Controllers]
         # cfg -c
         # cfg -s
         
         Für "failover" Zwecke stehen bis zu 3 "AC_IPADDR" zur Verfügung. Um die Anfragen "statisch" durchzuführen dh. nicht mehr per Broadcast,
         Multicast sowie Unicast konfiguriere folgendes:
         
         # cfg -a AC_DISCOVERY_TYPE=1
         # cfg -c
         # cfg -s

       • Unter FortiOS 5.4 gibt es eine weitere Möglichkeit die "automatische" Registrierung zu verhindern dh. durch nachfolgenden Befehl wird
         keine "automtische" Registrierung mehr ausgeführt. Die Funktion wird komplett deaktiviert:
         
         # config system interface
         # edit [Name des entsprechenden Interfaces zB "dmz"]
         # set ap-discover [enable | disable]
         # end
         
         Wird diese Funktion "ap-discover" deaktiviert, können Forti Access Point nur noch Registriert werden, und erscheinen unter "Managed FortiAPs",
         wenn diese vorgängig anhand der Serien Nummer Registriert werden. Dies wird folgendermassen durchgeführt:
         
         WiFi Controller > Managed FortiAPs > Create New > [Gebe die entsprechende Serien Nummer ein des FortiAP]
         
         In diesem Zuge kann bereits ein entsprechendes WTP Profile zum Forti Access Point hinzugefügt werden. Bringt man den entsprechenden Forti 
         Access Point in dem Segment "online" in dem "CAPWAP" für das entsprechenden FortiGate Interface aktiviert wurde, wird dieser Forti Access 
         Point automatisch "Authorized" mit dem zugewiesenen WTP Profile. Möchte man dies auf der Kommandozeile durchführen führe folgendes durch:
         
         # config wireless-controller wtp
         # edit [Serien Nummer des Forti Access Point]
         # set name [Name des Forti Access Point zB "FAP-221C-1-UG"]
         # set wtp-profile [Gebe ein entsprechendes vorhandenes WTP Profile an]
         # end

Upgrade

Wie kann ich für einen Forti Access Point ein Firmware Upgrade durchführen?

Bevor ein Firmware Upgrade auf einen Forti Access Point durchgeführt wird, sollte man verifizieren welche Firmware Version (FortiOS) benutzt werden soll und welche Auswirkungen dies mit sich bringt. Dies bedeutet: Vor einem Firmware Upgrade sollte die entsprechende Release Notes für die neue Firmeware des Forti Access Point konsultiert werden. Ebenso sollte nachfolgender Artikel berücksichtigt werden: 

       FortiAP:FAQ#Welches_FortiOS_soll_im_Zusammenhang_mit_FortiGate_Devices_und.2Foder_Forti_Access_Points_eingesetzt_werden.3F

Wenn verifiziert worden ist welche Firmware Version eingesetzt werden kann, stehen verschiedenen Möglichkeiten zur Verfügung ein Firmware Upgrade durchzuführen: 

        Firmeware Upgrade über den FortiGate Wireless Controller
        
        WiFi Controller > Managed Access Points > [Wähle den entsprechenden Eintrag] > [Rechte Maustaste Edit]
        
        Fortinet-1237.jpg
        
        Fortinet-1238.jpg
        
        Fortinet-1239.jpg

        Firmeware Upgrade über Forti Access Point anhand CLI und TFTP Server
        
        # restore [Name des Images für die Firmware] [IP Adresse des TFTP Servers]
        
        Um den Befehl "restore" auszuführen benötigt man entweder einen Forti Access Point mit Consolen Anschluss oder Telnet Zugriff.
        Der Telnet Zugriff ist auf jedenfall Möglich dh. wie man diesen Konfiguriert für einen Forti Access Point siehe nachfolgenden
        Artikel:
            
        FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F

        Firmeware Upgrade über Forti Access Point Web Mgmt. Interface Lokal und/oder Remote
        
        Das Web Mgmt. Interface eines Forti Access Point ist sofern dies die Firewall Policy Rule erlaubt, über dessen zugewiesene IPv4 
        Adresse zugänglich. Dabei ist zu berücksichtigen, dass dies für den Forti Access Point in der entsprechenden Konfiguration auf 
        erlaubt wird. Der Konfigurationspunkt der dies steuert ist der Folgende:
        
        # config wireless-controller wtp
        # edit [Serien Nummer des FortiAccess Point zB "FAP22B3U11011877"]
        # set login-enable [enable | disable]
        # end
        
        Unter FortiOS 5.4 kann der Zugriff über die Konfiguration für den Forti Access Point selber erfolgen oder über das dem Forti Access
        Point zugewiesene WTP Profile:
        
        # config wireless-controller wtp
        # edit [Serien Nummer des FortiAccess Point zB "FAP22B3U11011877"]
        # set override-allowaccess [enable | disable]
        # set allowaccess [telnet | http]
        # end
        
        # config wireless-controller wtp-profile
        # edit [Wähle das entsprechende WTP Profile für den Forti Access Point]
        # set allowaccess [telnet | http]
        # end
        
        Wenn ein Firmware Upgrade eines Forti Access Point lokal durchgeführt werden soll dh. in dem der Forti Access Point lokal mit einem 
        Host/Client verbunden ist, kann das Mgmt. Web Interface über dessen Standard IPv4 Adresse erreicht werden. Dazu siehe nachfolgender
        Artikel:
        
        FortiAP:FAQ#Was_ist_die_Default_IPv4_Adresse_f.C3.BCr_einen_Forti_Access_Point_und_wie_kann_ich_mich_auf_diese_IPv_Adresse_verbinden.3F
        
        Um auf CLI herauszufinden welche IPv4 Adresse durch den Forti Access Point benutzt wird um sich auf den entsprechenden Forti Access Point 
        anhand "telnet" zu verbinden siehe nachfolgenden Artikel:
        
        FortiAP:FAQ#Wie_finde_ich_.C3.BCber_den_FortiGate_Wireless_Controller_heraus_mit_welcher_IPv4_Adresse_ein_Forti_Access_Point_verbunden_ist.3F
        
        Danach kann anhand "telnet" auf dem FortiGate Wireless Controller oder Lokal über eine Host/Client (DOS Prompt) eine Verbindung zum Forti 
        Access Point erstellt werden:

        # exec telnet [IPv4 des FortiAccess Point; Auch ersichtlich über "Manage FortiAP's"]
        FAP22B3U11011877 login: admin
        
        Um danach lokal auf dem Forti Access Point den http Zugriff zu aktivieren führe folgendes aus:
        
        # cfg -a HTTP_ALLOW_DFLT=1
        # cfg -c
        
        Danach kann ein Upgrade lokal auf dem Forti Access Point durchgeführt werden über folgende Position:
        
        Fortinet-1265.jpg

        Bulk Firmeware Upgrade über den FortiGate Wireless Controller anhand CLI und TFTP Server
        
        Weitere Informationen dazu siehe nachfolgender Artikel:
        
        FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_mehrere_Forti_Access_Point.27s_ein_Bulk_Firmeware_Upgrade_durchf.C3.BChren.3F

Wie kann ich für mehrere Forti Access Point's ein Bulk Firmeware Upgrade durchführen?

Wenn in einer Umgebung mit mehreren Forti Access Points ein Firmware Upgrade durchgeführt werden soll, kann dies anhand eines Bulk Upgrade durchgeführt werden. Dies bedeutet: anhand einer Firmeware die für spezifische Forti Access Point's auf den FortiGate Wireless Controller geladen wird, werden alle diese spezifischen Forti Access Point durch ein Kommando angewiesen sich vom FortiGate Wireless Controller diese Firmeware runterzuladen und ein Upgrade durchzuführen. Folgende Vorraussetzungen müssen gegeben sein: 

       • Verifizierung der eingesetzten Firmeware und der neuen Firmware gemäss Release Notes dh wie und ob ein Upgrade möglich ist
         für die eingesetzte Firmware. Ebenso sollte nachträglicher Artikel konsultiert werden:
         
         FortiAP:FAQ#Welches_FortiOS_soll_im_Zusammenhang_mit_FortiGate_Devices_und.2Foder_Forti_Access_Points_eingesetzt_werden.3F)

       • Installiere einen TFTP Server (FTP ebenfalls möglich) der für den FortiGate Wireless Controller erreichbar ist um das spezifische Image
         für die Forti Access Points vom TFTP Server zum FortiGate Wireless Controller raufzuladen. Als TFTP Server kann zB folgendes eingesetzt
         werden:
         
         SolarWinTFTP Server http://www.solarwinds.com/products/freetools/free_TFTP_server.aspx

Wenn die neue Firmware die eingesetzt werden soll für die Forti Access Points anhand der Releaste Notes verifiziert wurde, führe folgendes durch: 

       1. Lade das entsprechende Image für den Bulk Upgrade der Forti Access Points in das "root" Verzeichnis des TFTP Servers zB "image.out"!
       2. Führe auf der FortiGate Kommandozeile folgendes aus:
          
          # execute wireless-controller upload-wtp-image [tftp | ftp] [Name des Images auf dem TFTP Servers zB "image.out] [IPv4 Adresse des TFTP Servers]
          
          Durch diesen Befehl wird der FortiGate Wireless Controller angewiesen vom TFTP Server das entsprechende "image.out" runterzuladen. Pro
          Bulk Update Prozess kann nur ein Image eines spezifischen Forti Access Point Modell's auf den FortiGate Wireless Controller geladen 
          werden!
       
       3. Nachdem das entsprechende Image vom TFTP Server runtergeladen wurde kann verifiziert werden ob sich das Image auf dem FortiGate
          Wireless Controller befindet:
          
          # execute wireless-controller list-wtp-image
       
       4. Nun kann ein Bulk Upgrade über den FortiGate Wireless Controller ausgeführt werden. Dies bedeutet: Durch das nachfolgende Kommando werden 
          die Forti Access Points angewiesen sich das Image auf dem FortiGate Wireless Controller runter zu laden und das Upgrade durchzuführen.
          
          # execute wireless-controller reset-wtp [Gebe an "all" oder bei unterschiedlichen Modellen die spezifischen Serien Nummern der Forti Access Points für das Upgrade]
          
          Um die verschiedenen Serien Nummern der Forti Access Points auf dem FortiGate Wireless Controller zu verifizieren kann folgender Befehl benutzt werden:
          
          # config wireless-controller wtp
          # get
       
       5. Nach dem das Bulk Upgrade durchgeführt wurde kann das spezifische Image vom FortiGate Wireless Controller gelöscht werden:
          
          # execute wireless-controller delete-wtp-image

Kann für einen Forti Access Point basierend auf Firmeware 5.2 anhand einer Firmware 5.0 ein "Downgrade" durchführen?

Grundsätzlich ja dh. alle Forti Access Point's können anhand eines Downgrades von 5.2 auf 5.0.x gebracht werden mit einer Ausnahme: 

       Der FAP-221 der den neuen Standard 802.11ac unterstützt ist Hardware basierend nur 5.2 kompatibel dh. durch einen Fix im Bios wird
       "verunmöglicht" diesen Forti Access Point mit 5.0.x "downzugraden", wenn der FAP-221C auf Stand 5.2 build 0212 (4090) sich befindet.

Ab FortiOS 5.2.3 ist ein Downgrade auf FortiOS 5.0.x nicht mehr möglich. Aus diesem Grund ist es in jedem Fall zu empfehlen die entsprechenden Release Notes betreffend eine Upgrade sowie Downgrade zu konsultieren. Bevor ein Downgrade ausgeführt wird muss berücksichtigt werden, dass FortiOS 5.2 basierende Forti Access Point's mit FortiGate's basiernd auf FortiOS 5.0.9 und/oder 5.2 betrieben werden können. Nachfolgender Link gibt detaillierte Auskunft welche Versionen basiernd auf FortiGate 5.0 und/oder 5.2 eingesetzt werden können. 

       FortiAP:FAQ#Welches_FortiOS_soll_im_Zusammenhang_mit_FortiGate_Devices_und.2Foder_Forti_Access_Points_eingesetzt_werden.3F

Kann für einen Forti Access Point basierend auf Firmeware 5.4 anhand einer Firmware 5.2 ein "Downgrade" durchführen?

Für jedes Downgrade wie Upgrade ist vorgehend die entsprechenden Release Notes zu konsultieren ob dies ermöglich wird oder nicht. Für Forti Access Points basierend auf FortiOS 5.4 ist folgendes zu berücksichtigen: 

       Ein Upgrade auf FortiOS 5.4 für Forti Access Points kann ab FortiOS 5.2.4 durchgeführt werden jedoch ein Downgrade für Forti Access
       Points basierend auf FortiOS 5.4 ist gemäss Release Notes nicht möglich. Forti Access Points basierend auf FortiOS 5.4 können nur mit
       FortiGates betrieben werden basierend auf FortiOS 5.4.

Backup

Wie kann ich für einen Forti Access Point Konfiguration ein Backup erstellen?

Wenn ein Backup einer Forti Access Point Konfiguration durchgeführt wird muss berücksichtigt werden, dass dieses Backup nur die lokale Konfiguration des Forti Access Point enthält dh. dieses Backup enthält nicht die Konfiguration zB der SSID, WTP Profiles usw. Ein Backup eines Forti Access Point's kann über Mgmt. Web Interface des Forti Access Point's durchgeführt werden sowie über CLI. Bei einem Backup über Mgmt. Web Interface wird im Hintergrund folgender Befehl ausgeführt: 

       Backup der Forti Access Point Konfiguration über CLI
       
       # cfg -e
       BAUD_RATE=9600
       ADMIN_TIMEOUT=5
       AP_IPADDR=192.168.1.2
       AP_NETMASK=255.255.255.0
       IPGW=192.168.1.1
       AP_MODE=0
       DNS_SERVER=208.91.112.53
       AP_MGMT_VLAN_ID=0
       ADDR_MODE=DHCP
       STP_MODE=0
       TELNET_ALLOW=1
       HTTP_ALLOW=1
       AC_DISCOVERY_TYPE=0
       AC_IPADDR_1=192.168.1.1
       AC_HOSTNAME_1=_capwap-control._udp.example.com
       AC_CTL_PORT=5246
       AC_DISCOVERY_MC_ADDR=224.0.1.140
       AC_DISCOVERY_DHCP_OPTION_CODE=138
       AC_DATA_CHAN_SEC=2
       MESH_AP_TYPE=0
       MESH_AP_SSID=fortinet.mesh.root
       MESH_AP_BSSID=
       MESH_AP_PASSWD=fortinet.mesh.root
       MESH_ETH_BRIDGE=0
       MESH_MAX_HOPS=4
       MESH_SCORE_HOP_WEIGHT=50
       MESH_SCORE_CHAN_WEIGHT=1
       MESH_SCORE_RATE_WEIGHT=1
       MESH_SCORE_BAND_WEIGHT=100
       MESH_SCORE_RSSI_WEIGHT=100

       Backup der Forti Access Point Konfiguration über Web Mgmt. Interface
       
       Das Web Mgmt. Interface eines Forti Access Point ist sofern dies die Firewall Policy Rule erlaubt, über dessen zugewiesene IPv4 
       Adresse zugänglich. Dabei ist zu berücksichtigen, dass dies für den Forti Access Point in der entsprechenden Konfiguration auf 
       erlaubt wird. Der Konfigurationspunkt der dies steuert ist der Folgende:
       
       # config wireless-controller wtp
       # edit [Serien Nummer des FortiAccess Point zB "FAP22B3U11011877"]
       # set login-enable [enable | disable]
       # end
       
       Unter FortiOS 5.4 kann der Zugriff über die Konfiguration für den Forti Access Point selber erfolgen oder über das dem Forti Access
       Point zugewiesene WTP Profile:
       
       # config wireless-controller wtp
       # edit [Serien Nummer des FortiAccess Point zB "FAP22B3U11011877"]
       # set override-allowaccess [enable | disable]
       # set allowaccess [telnet | http]
       # end
       
       # config wireless-controller wtp-profile
       # edit [Wähle das entsprechende WTP Profile für den Forti Access Point]
       # set allowaccess [telnet | http]
       # end
       
       # config wireless-controller wtp
       # edit [Serien Nummer des FortiAccess Point zB FAP22B3U11011877]
       # set login-enable enable
       # end
       
       Wenn ein Backup eines Forti Access Point lokal durchgeführt werden soll dh. in dem der Forti Access Point lokal mit einem Host/Client 
       verbunden ist, kann das Mgmt. Web Interface über dessen Standard IPv4 Adresse erreicht werden. Dazu siehe nachfolgender Artikel:
       
       FortiAP:FAQ#Was_ist_die_Default_IPv4_Adresse_f.C3.BCr_einen_Forti_Access_Point_und_wie_kann_ich_mich_auf_diese_IPv_Adresse_verbinden.3F
       
       Um auf CLI herauszufinden welche IPv4 Adresse durch den Forti Access Point benutzt wird um sich auf den entsprechenden Forti Access Point 
       anhand "telnet" zu verbinden siehe nachfolgenden Artikel:
       
       FortiAP:FAQ#Wie_finde_ich_.C3.BCber_den_FortiGate_Wireless_Controller_heraus_mit_welcher_IPv4_Adresse_ein_Forti_Access_Point_verbunden_ist.3F
       
       Danach kann anhand "telnet" auf dem FortiGate Wireless Controller oder Lokal über eine Host/Client (DOS Prompt) eine Verbindung zum Forti 
       Access Point erstellt werden:
       
       # exec telnet [IPv4 des FortiAccess Point; Auch ersichtlich über "Manage FortiAP's"]
       FAP22B3U11011877 login: admin
       
       Um danach lokal auf dem Forti Access Point den http Zugriff zu aktivieren führe folgendes aus:
       
       # cfg -a HTTP_ALLOW_DFLT=1
       # cfg -c
       
       Wenn der Zugang HTTP_ALLOW_DFLT aktiviert wurde kann über die zugewiesene IP des Forti Access Point per Browser verbunden werden und 
       ein manuelles Backup unter folgender Position ausgeführt werden:
       
       Status > System Configuration > Last Backup
       
       Das Backup File ist clear-text und enthält die gleichen Positionen wie das Komando "cfg -e". Nachfolgend eine Legende die diese  
       verschiedenen Positionen erläutert:
       
       WTP_NAME=FP221B3X12001413                                          [Hostname Forti Access Point]
       ADMIN_TIMEOUT=5                                                    [Admin Timeout Default 5 Minuten]
       AP_IPADDR=192.168.1.2                                              [Stellt die Default oder Fix IP dar wenn kein DHCP vorhanden ist]
       AP_NETMASK=255.255.255.0                                           [Stellt das Default Subnet dar wenn kein DHCP vorhanden]
       IPGW=192.168.1.1                                                   [Stellt das Default Gateway dar wenn kein DHCP vorhanden]
       AP_MODE=0                                                          [0 (Thin AP)] | 2 (Site Survey)]
       DNS_SERVER=208.91.112.53                                           [Definiert den DNS Server; Standard FortiGuard DNS Server IP]
       BAUD_RATE=9600                                                     [Geschwindigkeit der Console; Standard 9600]
       ADDR_MODE=DHCP                                                     [IP Adressierungs Mode dh. DHCP oder STATIC]
       STP_MODE=0                                                         [Spanning Tree 0 = Deaktiviert | 1 = Aktiviert]
       TELNET_ALLOW=1                                                     [1 = Telnet steht zur Verfügung; 0 = Deaktiviert]
       HTTP_ALLOW=1                                                       [1 = WebInterface steht zur Verfügung; 0 = Deaktiviert]
       AC_DISCOVERY_TYPE=0                                                [0 = Automatic; 1 Static; 2 DHCP; 3 Broadcast; 4 Multicast]
       AC_IPADDR_1=192.168.1.1                                            [Wireless Controller IP zu dem sich der FortiAP verbinden soll]
       AC_HOSTNAME_1=_capwap-control._udp.example.com                     [Wireless Controller FQDN zu dem sich der FortiAP verbinden soll]
       AC_CTL_PORT=5246                                                   [CAPWAP Comunication Port]
       AC_DISCOVERY_MC_ADDR=224.0.1.140
       AC_DISCOVERY_DHCP_OPTION_CODE=138                                  [DHCP Option Code]
       AC_DATA_CHAN_SEC=2                                                 [DTLS Verschlüsselung 2 = Clear Text oder DTLS; 0 = Clear Text; 1 = DTLS Enabled]
       MESH_AP_TYPE=0                                                     [1 = Mesh Type "leave"; 2 = Mesh Type root]
       MESH_AP_SSID=fortinet.mesh.root                                    [Mesh SSID Name]
       MESH_AP_BSSID=                                                     [Mesh SSID Broadcast Name]
       MESH_AP_PASSWD=fortinet.mesh.root                                  [Mesh SSID Passwort]
       MESH_ETH_BRIDGE=0
       MESH_MAX_HOPS=4
       MESH_SCORE_HOP_WEIGHT=50
       MESH_SCORE_CHAN_WEIGHT=1
       MESH_SCORE_RATE_WEIGHT=1
       MESH_SCORE_BAND_WEIGHT=100
       MESH_SCORE_RSSI_WEIGHT=100

Somit kann dieses Backup File herangezogen werden um für verschiedene Forti Access Point ein Konfigurationsfile vorzubereiten und dieses als Restore wieder einzuspielen!

Local Bridging

Wie konfiguriere ich für eine Forti Access Point ein Wireless "local-bridging"?

Wenn für einen Forti Access Point eine SSID konfiguriert wird, hat man die Möglichkeit diese betreffend "Traffic Mode" folgendermassen zu konfigurieren: 

       • Tunnel to Wireless Controller
       • Local bridge with FortiAP's Interface

Zusätzlich steht die Funktion "Mesh Downlink" zur Verfügung die jedoch nur im Zusammenhang mit "mesh" benutz wird. Wenn die Standard Konfiguration einer SSID benutzt wird dh. "Tunnel to Wireless Controller" so wird der Traffic des Host/Client über den CAPWAP (UDP-5246) Tunnel zum FortiGate Wireless Controller gesendet. Aus diesem Grund ist es nicht möglich mit dieser Konfiguration, dass der Client eine Resource innerhalb des gleichen LAN/Segment's, in dem sich der Forti Access Point befindet, direkt anzugehen denn der Traffic wird mit "Tunnel to Wirless Controller" unweigerlich über den CAPWAP Tunnel zum FortiGate Wireless Controller gesendet. Eine Ausnahme bildet die ab FortiOS 5.2 Funktion "Splitt Tunneling" die es erlaubt einen spezifischen IPv4 Adress Range/Subnet von diesem Umstand auszunehmen. Weitere Informationen zu dieser "Split Tunneling" Funktion siehe nachfolgender Artikel: 

       FortiAP:FAQ#Wie_konfiguriere_ich_f.C3.BCr_eine_Forti_Access_Point_SSID_die_Funktion_.22Split_Tunneling.22.3F

Soll jedoch der Traffic direkt vom Forti Access Point Interface in das LAN/Segment erlaubt werden in dem sich die Forti Access Points befinden, muss die Konfiguration "Local bridge with FortiAP's Interface" benutzt werden! In diesem Modus wird das Interface auf dem Forti Access Point in den Bridge Modus versetzt. Der CAPWAP Tunnel der dennoch zum FortiGate Wireless Controller exisitert wird in dieser Situation nur zu Management Zwecken genutzt. Wird ein "Local bridge with FortiAP's Interface" konfiguriert muss folgendes berücksichtigt werden: 

       Wenn der Konfigurationspunkt "Local bridge with FortiAP's Interface" aktiviert ist auf der SSID und der Access Point verliert
       die Verbindung zum FortiGate Wireless Controller so werden die Wireless Hosts/Clients nicht beinträchtigt da der Access Point 
       im Bridge Mode ist und somit die CAPWAP Verbindung ausschliesslich benutzt wird um den Access Point zu konfigurieren/verwalten!

Um eine SSID über Kommandozeil auf "Local bridge with FortiAP's Interface" zu konfigurieren führe folgendes aus: 

       # config wireless-controller vap
       # edit [Name SSID Profile]
       # set ssid [Name der SSID]
       # set local-bridging [enable | disable]
       # set vlanid [VLAN ID]
       # set local-authentication enable
       # set security [Setze die entsprechende Authentifizierung zB "wpa2-only-personal"]
       # set passphrase "[Setze zur SSID das entsprechende Passwort]
       # end

Sofern gewünscht kann eine VLAN ID für die SSID vergeben werden! Wenn der Traffic zwischen den Wireless Host/Client über die gleiche SSID anhand der Option "intra-vapprivacy" verhindert wird so wird "local-bridging" auf "disable" gesetzt! Dies bedeutet: Ist "local-bridging" auf "enable", kann das Interface des Forti Access Point im Bridge Mode nicht mehr verhindern, dass Wireless Hosts/Clients über die gleiche SSID untereinander komunizieren. Wenn ein "local-bridging" auf einem FortiWiFi Device für deren interne "radio's" konfiguriert wird, erscheint folgende Fehlermeldung: 

       "Maximum number of entries has been reached"

Somit kann keine SSID auf einem FortiWifi Device für deren "radio's" auf "local-bridging" konfiguriert werden. Als Workaround für einen FortiWifi Device, kann jedoch eine SSID im "Tunnel Mode" konfiguriert werden ohne aktivierten DHCP Server auf der SSID. Danach kann diese SSID anhand eines Software Switches, der für Forti Access Points per Grundsatz nicht unterstützt wird, zum "internal" Interface hinzugefügt werden. Damit die Wireless Hosts/Client die auf die SSID verbinden eine IP zugewiesen bekommen, wird auf dem "Software Switch" ein DHCP Server aktiviert! Somit kann diese SSID auf dem FortiWifi Device zusammen mit dem "internal" Interface als lokales und gemeinsames LAN/Segment genutzt werden! Diese Konfiguration gilt nur im Zusammenhang mit FortiWiFi's und ist nicht im Zusammenhang mit Forti Access Points zu benutzen da "Software Switches" in Zusammenhang mit Forti Access Points nicht unterstützt werden. Werden auf dem FortiWifi Devices zusätzliche Forti Access Points betrieben, können diese wie üblich anhand "Local Bridging" konfiguriert werden!

Kann ich auf einem Forti Access Point für ein "local bridging" Broadcast/Multicast verhindern (susspression)?

Dies ist ab FortiOS 5.2.2 innerhalb einer SSID möglich. Dies wird über CLI folgendermassen konfiguriert: 

       # config wireless-controller vap
       # edit [Name der SSID]
       # set broadcast-suppression [dhcp-up | dhcp-down | arp-known | arp-unknown | arp-reply | netbios-ns | netbios-ds | ipv6]
       # end

Per Standard wird für die Funktion "broadcast-suppession" folgende Werte benutzt: 

       dhcp-up arp-known

Die Werte die unter "broadcast-suppresion" konfiguriert werden können haben folgende Bedeutung: 

       dhcp-up        Suppress broadcast uplink DHCP messages.
       dhcp-down      Suppress broadcast downlink DHCP messages.
       arp-known      Suppress broadcast ARP for known wireless clients.
       arp-unknown    Suppress broadcast ARP for unknown wireless clients.
       arp-reply      Suppress broadcast ARP reply from wireless clients.
       netbios-ns     Suppress NetBIOS name services packets with UDP port 137.
       netbios-ds     Suppress NetBIOS datagram services packets with UDP port 138.
       ipv6           Suppress IPv6 packets.

Grundsätzlich stet der Befehle "broadcast-suppression" auch für eine SSID zur Verfügung die "NICHT" als "Local Bridging" konfiguriert wurde (Tunnel to Wireless Controller). Die Erweiterung wurde jedoch "explizit" hinzugefügt für "Local Bridging" SSID's. Der Grund ist Folgende: 

       Wenn ein Forti Access Point als "local bridging" eingesetzt wird in eine Subnet zB /20 so ist der Broadcast Traffic der zusätzlich 
       auf dem Forti Access Point entsteht beträchtlich und beeinträchtigt somit die Performance des Forti Access Point durch die über 
       Broadcast gesendeten "frames" vom Subnet über den Forti Access Point zum Client. Durch die gesetzten Optionen werden "frames" nur 
       dann vom Forti Access Point zum Client (over the air) gesendet, wenn die "Destination IPv4" Adresse existiert ansonsten werden diese 
       verworfen. Im "Tunnel to Wireless Controller" Mode agiert der Forti Access Point in gleicher Weise, jedoch fungiert der Forti Access 
       Point als eine Art "ARP Proxy" und sendet ARP Anfrage nur zum Client (over the air) wenn der ARP Anfragen über "get sys arp" vorhanden
       sind. Dies gilt nur innerhalb der gleichen SSID. Diese Funktion resp. Optionen sind nur in "high density" (Hohes Aufkommen von Clients 
       in grossen Netzwerken zB /20) Umgebungen zu benützen um die zusätzlicne "frames" zu verhindern (broadcast arp). Somit, unter normalen 
       Umständen ist diese Option auf den Standard Werten zu belassen dh. "dhcp-up sowie arp-known".

VLAN

Kann ich für Forti Access Point SSID's "Dynamische VLAN's" vergeben und wie konfiguriere ich diese?

Ab FortiOS 5.0.4 / 5.2 ist es möglich "Dynamische VLAN's" zu einer SSID zu vergeben im Zusammenhang mit einem Radius Server zB FortiAuthenticator. Dynamische VLAN's sind im "Tunnel to Wireless Controller" oder im "Local bridge with FortiAP's Interface" Traffic Mode möglich. Dynamische VLAN's werden basierend auf den User Zugangsinformationen zugewiesen. Dies bedeutet: Anhand der User Authentifizierungs Informationen wird auf dem Radius Server Radius Attribute ausgelöst. Diese Radius Attribute beinhalten die nötigen VLAN Informationen (VLAN ID) um die Zuweisung durchzuführen. Dazu sind auf dem Radius Server folgende Attribute zuständig: 

       IETF 64 (Tunnel Type)              = Muss auf VLAN gesetzt werden
       IETF 65 (Tunnel Medium Type)       = Muss auf 802 gesetzt werden
       IETF 81 (Tunnel Private Group ID)  = Muss auf die entsprechende VLAN ID gesetzt werden

Diese Radius Attribute "IETF" bedeuten "Internet Engineering Task Force" und sind zuständig die nötigen Informationen nach erfolgreicher Radius Authentifizierung anhand Radius Attribute zu übermitteln. Anhand dieser "Dynamischen VLAN's" und über die Authentifizierung über den Radius Server, wird ermöglicht dem User ein bestimmtes Segment (VLAN ID) über die SSID zu zuweisen. Um die Funktion resp. Konfiguration von "Dynamischen VLAN's" zu ermöglichen, ist die Funktion unter der entsprechenden SSID generell zu aktivieren: 

       # config wireless-controller vap
       # edit [Wähle den Namen der entsprechenden SSID]
       # set dynamic-vlan [enable | disable]
       # end

Um die VLAN Konfiguration lokal auf einem Forti Access Point auszulesen kann folgendes Kommando ausgeführt werden: 

       # cw_diag show wllbr

Folgendes Dokument zeigt ein Beispiele wie so eine SSID mit "Dynamischen VLAN's" im Zusammenhang mit "Tunnel to Wireless Controller" zu konfigurieren ist: 

       Datei:Dynamic VLANs.pdf

Kann ich auf einem Forti Access Point für eine SSID mit einer VLAN ID versehen um den Ethernet Port nach 802.1Q zu "taggen"?

Ab FortiOS 5.0 / 5.2 jst es möglich eine SSID mit einem "Local bridge with FortiAP's Interface" Traffic Mode zu konfigurieren. Dies bedeutet der Traffic des AP wird direkt über dessen Ethernet Port in das jeweilige LAN/Segment gesendet anstelle diesen über den Data Channel Enkapsuliert (CAPWAP) zum FortiGate Wireless Controller zu senden. Per Standard sind alle SSID's im Traffic Mode "Local bridge with FortiAP's Interface" mit einer VLAN-ID "0" versehen. Um Fehler zu verhindern, muss jede SSID die mit dem Traffic Mode "Local bridge with FortiAP's Interface" konfiguriert ist, mit einer anderen VLAN ID versehen werden (Nur eine SSID mit VLAN ID 0 ist erlaubt). Ueber das Mgmt. Web Interface des Forti Access Point's ist diese VLAN ID Konfiguration ersichtlich. Ebenfalls kann lokal auf dem Access Points über CLI folgender Befehl abgesetzt werden um die Konfiguration einzusehen: 

       # brctl show
       # cat /proc/net/vlan/conf

Die Konfiguration einer VLAN ID für eine SSID kann ab FortiOS 5.2 über Mgmt. Web Interface durchgeführt werden: 

       WiFi Controller > WiFi Network > SSID > [Wähle die entsprechende SSDI] > Optional VLAN ID

       Fortinet-1266.jpg

Möchte man die VLAN ID für eine SSID die auf "Local bridge with FortiAP's Interface" konfiguriert wurde über CLI konfigurieren führe folgendes durch: 

       # config wireless-controller vap
       # edit [Name der entsprechenden SSID]
       # set vdom root
       # set ssid [Name der SSID]
       # set security [Setze die entsprechende Authentifizierung zB "wpa2-only-personal"]
       # set passphrase "[Setze zur SSID das entsprechende Passwort]
       # set local-bridging [enable | disable]
       # set vlanid [Gebe die entsprechende VLAN ID an]
       # end

Mesh/Bridging

Wie konfiguriere ich für einen Forti Access Point ein Wireless "Mesh/Bridging Netzwerk" (manuell/automatisch)?

Grundsätzlich unterscheiden wir innerhalb eines Wireless Mesh Netzwerks (ab FortiOS 5.0 / 5.2) folgende Arten eine Mesh Netzwerks: 

       NOTE Fortinet hat speziell betreffend "Mesh" ein spezielle Handbook's Released, dass auf die Konfiguration von "Mesh" eingeht.
            Aus diesem Grund lohnt sich ebenfalls diese Handbook's einzusehen:
            
            FortiAP:FAQ#Wo_findet_ich_die_Dokumente_wie_Datasheets.2C_Quick_Start_Guide.2C_User_Guide_etc._.3F

       Wireless Mesh (No VLAN Support)
       Ein Access Point - auch genannt "root" Mesh Access Point - ist direkt verbunden mit dem FortiGate Wireless Controller.
       Alle anderen Forti Access Points - auch genannt "leaf" Mesh Access Points - benützen den FortiGate Wireless Controller 
       in dem diese über den "root" Mesh Access Point sich zum FortiGate Wirelesss Controller verbinden. Für Wireless Hosts/
       Clients die sich zu einer SSID verbinden in einem Mesh Netzwerk ist das Verbinden Transparent dh. bemerken nicht, dass 
       sie sich zu einem Mesh Netzwerk verbinden.

       Wireless bridging (No VLAN Support)
       Für ein Bridging werden zwei physische LAN Segmente über Fortinet Access Points verbunden (the backhaul SSID). Die Ethernet
       Anschlüsse resp. Interfaces auf den Forti Access Points ("leaf" Mesh Access Point), die diese LAN Segmente verbinden können 
       benutzt werden um ein zusätzliches Wireless Segment für die Wireless Hosts/Clients bereitzustellen. Grundsätzliche sind die 
       Clients direkt in dem jeweiligen Segment per LAN oder über ein erweitertes Wireless Netzwerk verbunden.

Daraus ergeben sich folgende Möglichkeiten: 

       Forti Access Points werden benützt als "root" Mesh und "leaf" Mesh Access Points
       
       Datei:Fortinet-345.jpg

       FortiWiFi Device wird benützt als "root" Mesh Access Point und die Forti Access Points als "leaf" Mesh Access Points
       
       Datei:Fortinet-346.jpg

       Forti Access Points werden benützt um zwei LAN Segmente zu verbinden (Bridging)
       
       Datei:Fortinet-347.jpg

Technische Vorraussetzung für die Konfiguration eines Mesh Wireless Netzwerks sind: 

       • Alle Forti Access Points die im Mesh Wireless Network eingesetzt werden, müssen über Firmware 5.0 Build 003 oder höher verfügen!
         
       • Forti Access Point FAP-222B muss über die Bios Version 400012 oder höher verfügen:
         
         ftp://pftpintl:F0rt1intl@support.fortinet.com/FortiAP/v4.00/4.0MR3/FAP222B_BIOS_update.image.out
         
       • Auf dem FortiGate/FortiWiFi Wireless Controller muss FortiOS 5.0 GA oder höher installiert sein!
       
         NOTE Folgende Funktionen sollten möglichst nicht benützt werden auf dem Forti Access Point "radio" auf dem der 
              Mesh Link konfiguriert wurde:
         
              FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Radio_Resource_Provisioning.22_.28ARRP.2FDARRP.29_innerhalb_einer_WTP_Profile_Konfiguration.3F
              FortiAP:FAQ#Was_bedeutet_der_Konfigurations_Punkt_.22channel-bonding.22_.28Channel_Width.3F
              FortiAP:FAQ#Was_bedeutet_.22Wireless_IDS.22_und_wie_konfiguriere_ich_dieses.3F

Um ein Mesh Wireless Network zu konfigurieren unterscheinden wir zwischen Manueller (mehr Möglichkeiten) oder Automatischer Konfiguration: 

       AUTOMATISCHE KONFIGURATION WIRELESS MESH
       
       Jede VDom inkl. der "root" VDom verfügt über ein vordefiniertes Interfaces (wl.mesh) sowie SSID (fortinet.mesh.[VDom Name]. 
       Diese können nicht gelöscht werden und werden für die autom. Konfiguration herangezogen werden:
       
       Datei:Fortinet-348.jpg
       
       Um die autom. Konfiguration durchzuführen sind folgende Schritte nötig:
       
       • Konfiguriere einen "root" Mesh Access Point auf einer Forti Access Point oder auf einer FortiWiFi Device.
       • Konfiguriere die Forti Access Points für "leaf" Mesh.
       • Authorisiere die "leaf" Mesh Forti Access Point damit diese auf den FortiGate/FortiWiFi Controller verbinden können.
       
       Automatische Konfiguration Wireless Mesh des "root" Mesh Access Points
       
       Wähle über das Mgmt. Web Interface folgendes:
       
       WiFi Controller > [WiFi Network] > [Managed Access Points] > Managed FortiAPs
       
       Selektiere den gewünschten Forti Access Point der als "root" Mesh verwendet werden soll! Danach gehe auf "Authorize". 
       
       Wähle folgendes:
       
       Accept Mesh Requests from other APs (SSID, fortinet.mesh.root)
       
       NOTE Dieser Konfigurationspunkt steht ab FortiOS 5.0.3 nicht mehr zur Verfügung und muss nicht
            mehr gesetzt werden!
               
       Datei:Fortinet-349.jpg
       
       Automatische Konfiguration Wireless Mesh des "leaf" Mesh Access Points
       
       Verbinde dich auf das Mgmt. Web Interface des Forti Access Point auf dem "leaf" Mesh konfiguriert werden soll. 
       Per Standard dh. Factory Reset Default (cfg -x oder Reset Button) hat ein Access Point die IP 192.168.1.2. 
       Weitere Informationen siehe nachfolgenden Artikel:
       
       FortiAP:FAQ#Was_ist_die_Default_IPv4_Adresse_f.C3.BCr_einen_Forti_Access_Point_und_wie_kann_ich_mich_auf_diese_IPv_Adresse_verbinden.3F
       
       Auf dem Mgmt. Web Interface unter "Connectivity" konfiguriere folgendes:
       
       NOTE Betreffend Factory Reset siehe auch folgender Artikel:
            
            FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_eine_Forti_Access_Point_Hardware_einen_Factory_Reset_durchf.C3.BChren.3F
       
       Uplink           Mesh
       Mesh AP SSID     fortinet.mesh.[VDom Name dh. Standard "root"]
       Mesh AP Password [SSID des "root" Mesh AP dh. fortinet.mesh.root]
       
       Datei:Fortinet-350.jpg
       
       Bestätige die Konfiguration anhand "Apply".
       
       Automatische Konfiguration Wireless Mesh der Autorization "leaf" Mesh Forti Access Points
       
       Durch die vorhergehende Konfiguration werden sich nun die "leafe" Mesh Forti Access Points über den "root" Mesh 
       Access Points am FortiGate/FortiWiFi Controller anmelden. Damit dies erfolgreich durchgeführt werden kann muss 
       jeder "leaf" Mesh Forti Access Point Autorisiert werden. Um dies durchzuführen wähle auf der FortiGate:
       
       WiFi Controller > [WiFi Network] > [Managed Access Points] > Managed FortiAPs
       
       Gehe auf "refresh" bis der/die "leaf" Mesh Forti Access Points ersichtlich sind. Danach selektiere den Forti
       Access Point und gehe auf "Authorize". Optional selektiere welche SSID den Usern auf den "leaf" Mesh Forti Access  
       Points ersichtlich sein soll. Konfiguriere die restlichen Positionen sofern notwendig. Danach bestätige mit "OK"
       die Konfiguration.
       
       Sobald die Konfiguration bestätigt wurde wir der Forti Access Point seinen Status von Offline zu Online wechseln 
       (ca. 2 Minuten). Die automatische Konfiguration ist abgeschlossen und kann getestet werden.

       AUTOMATISCHE KONFIGURATION WIRELESS BRIDGING
       
       Der Vorteil einer manuellen Konfiguration liegt darin, dass durch die Konfiguration selber man mehr Kontrolle über 
       den Device erhält. Ein Bridging Wireless Netzwerk basiert darauf, dass ein Forti Access Point über einen physischen 
       Port (Ethernet) am FortiGate/FortiWiFi Controller angeschlossen ist ("root" Mesh). Ein anderer Access Point ("leaf") 
       verbindet sich über diesen "root" Mesh Forti Access Point sowie auf dem "leaf" Mesh Forti Access Point ist Bridging 
       Mode aktiviert da dieser an einem LAN Segment direkt verbunden ist und dieses über den "root" Mesh Forti Access Point 
       (backhaul link) verbindet. Ein Forti Access Point Device für Mesh verfügt über 2 Radios (2.4 GHz sowie 5 GHz). Es ist
       empfohlen 5 GHz zu benutzen für den "backhaul link" und 2.4 GHz für die Wireless Hosts/Client im Wireless Netzwerk. 
       Um eine manuelle Konfiguration durchzuführen sind folgende Punkte zu berücksichtigen:
       
       • Konfiguriere den "backhaul link" und den "root" Mesh Forti Access Point!
       • Konfiguriere die "leaf" Mesh Forti Access Point's (Bridging aktiviert)!
       
       Automatische Konfiguration Wireless Bridging des "backhaul link" and "root" Mesh Forti Access Point
       
       Die Konfiguration wird exakt genau gleich durchgeführt wie diese für "Wireless Mesh" mit einer Ausnahme dh. auf dem
       "leaf" Mesh Forti Access Point wird die Position "Ethernet Bridge" zusätzlich Aktiviert. Danach wird dieser Forti 
       Access Point direkt mit dem zu verbindenen Segment verbunden!
       
       Datei:Fortinet-358.jpg

       MANUELLE KONFIGURATION WIRELESS MESH
       
       Der Vorteil einer manuellen Konfiguration liegt darin, dass durch die Konfiguration selber man mehr Kontrolle über  
       den Device erhält. Ein Mesh Wireless Netzwerk basiert darauf, dass ein Forti Access Point über einen physischen Port 
       (Ethernet) am FortiGate/FortiWiFi Controller angeschlossen ist ("root" Mesh). Alle anderen Forti Access Points verbinden 
       sich über diesen "root" Mesh AP (backhaul link) zum FortiGate/FortiWiFi Controller. Ein Forti Access Point Device für 
       Mesh verfügt über 2 Radios (2.4 GHz sowie 5 GHz). Es ist empfohlen 5 GHz zu benutzen für den "backhaul link" und 2.4 
       GHz für die Wireless Hosts/Client im Wireless Netzwerk. Um eine manuelle Konfiguration durchzuführen sind folgende 
       Punkte zu berücksichtigen:
       
       • Konfiguriere den "backhaul link" und den "root" Mesh Access Point!
       • Konfiguriere die "leaf" Mesh Access Point's.
       
       Manuelle Konfiguration Wireless Mesh des "backhaul link" and "root" Mesh Forti Access Point
       
       • Stelle sicher das ein DHCP Server existiert im betreffenden Segment die durch die Forti Access Points benutzt werden kann.
       • Erstelle eine SSID für den "backhaul link".
       • Erstelle eine Forti Access Point WPT Profil das die SSID für den "backhaul link" enthält.
       • Füge das neue WPT Profil, dass die SSID für den "backhaul link" enthält zum "root" Mesh Access Point.
       • Konfigureire den "root" Mesh Forti Access Point.
       
       Um die SSID für den "backhaul link" zu erstellen wähle im Mgmt. Web Interface der FortiGate folgendes:
       
       WiFi Controller > WiFi Network > SSID, select Create New
       
       Konfiguriere folgendes:
       
       Interface Name        [Name des Interfaces zB "mesh-backhaul"]
       IP/Netmask            [Belasse die IPv4 Adresse auf 0.0.0.0/0.0.0.0]
       SSID                  [Name der SSID zB "mesh-backhaul"]
       Preshared Key         [Wähle ein Preshared Key]
       
       Datei:Fortinet-351.jpg
       
       Bestätige die Konfiguration mit "Ok" und gebe auf der Console folgendes ein um "backhaul" Funktion einzuschalten:
       
       # config wireless-controller vap
       # edit [Name des Interfaces zB "mesh-backhaul"]
       # set mesh-backhaul enable
       # end
       
       Wenn man sich die betreffende SSID für "backhaul link" anschaut sieht das Ganze folgendermassen aus:
       
       Datei:Fortinet-352.jpg
       
       Um die Ganze Konfiguration auf der CLI durchzufürhen geben folgendes ein:
       
       NOTE Ab FortiOS 5.02 wird der Mesh Downlink innerhalb der SSID konfiguriert dh. unter der
            Position "Traffic Mode"
       
       # config wireless-controller vap
       # edit [Name des Interfaces zB "mesh-backhaul"]
       # set ssid "[Name der SSID zB "mesh-backhaul"]"
       # set security wpa2-only-personal
       # set passphrase "[Preshared Key gemäss SSI "mesh-backhaul"]"
       # set encrypt AES
       # set vdom root
       # set mesh-backhaul enable
       # end
       
       Nun muss ein "backhaul" Forti Access Point Profile erstellt werden. Wähle dazu im Mgt. Web Interface der FortiGate folgendes:
       
       WiFi Controller > Managed Access Points > Custom AP Profile and select "Create New":
       
       - Wähle für das WTP Profile einen Namen zB "mesh-backhaul-root".
       - Wähle die Platform für den Access Point der eingesetzt wird als "root" Mesh Forti Access Point.
       - Aktiviere die Position "Mesh Downlink".
       - Selektiere im der "Radio 1" Abschnitt die SSID die für den "backhaul link" vorhergend erstellt wurde zB "mes-backhaul".
       
       Datei:Fortinet-353.jpg
       
       NOTE Ab FortiOS 5.0.2 wird der Mesh Downlink innerhalb der SSID konfiguriert und steht nicht
            mehr als Definition innerhalb des WTP Profiles zur Verfügung.
       
       Bestätige die Konfiguration mit "OK". Um die Konfiguration auf der CLI durchzuführen gebe folgendes ein:
       
       # config wireless-controller wtp-profile 
       # edit [Profil Name zB "mesh-backhaul-root"]
       # config platform
       # set type [Selektiere Platform für den Access Point der als "root" Mesh eingesetzt wird]
       # end
       # config radio-1
       # set mode ap
       # set mesh-downlink enable
       # set band 802.11n-5G
       # set channel "36" "40" "44" "48"  
       # set darrp enable
       # set vaps [SSID die für den "backhaul link" erstellt wurde zB "mesh-backhaul"]
       # end
       # end
       
       Nun muss das erstellt WTP Profil dem Forti Access Point hinzugefügt werden der als "root" Mesh aggieren soll. 
       Wähle dazu im WebGui folgendes:
       
       WiFi Controller > [WiFi Network] > [Managed Access Points] > Managed FortiAPs
       
       Der "root" Mesh Forti Access Point muss über physisches LAN/Segment angeschlossen sein sowie Verbindung 
       zum FortiGate/FortiWiFi Controller haben. Danach (nach ca. 2 Minuten) erscheint dieser in der List und 
       kann selektiert werden. Gehe auf "Authorize" und wähle das entsprechende WTP Profil das erstellt wurde 
       für den "backhaul link". In unserem Beispiel wäre dies zB  "mesh-backhaul-root"! Nach einiger Zeit geht 
       danach der Forti Access Point auf den Status "Online".
       
       Um das Profil per CLI zum entsprechenden Profile hinzu zufügen, gehe folgendermassen vor:
       
       # config wireless-controller wtp
       # get 
       FAP22B3U11005354
       
       # edit FAP22B3U11005354
       # set admin enable
       # set wtp-profile [Name des Profils das erstellt wurde zB "mesh-backhaul-root"]
       # end
       
       Nun muss der "root" Mesh Forti Access Point als solches definiert werden dh. im Mgmt. Web Interface unter folgender 
       Position ist die entsprechende IPv4 Adresse des Forti Access Points zu eruieren:
               
       WiFi Controller > [WiFi Network] > [Managed Access Points] > Managed FortiAPs 
       
       Wir nehmen an, dass der Forti Access Point dem wir das "backhaul" Profil hinzugefügt haben die IPv4 Adresse 192.168.3.2 
       zugewiesen worden ist. Verbinde dich nun anhand dieser IPv4 Adresse auf das Mgmt. Web Interface des Forti Access Point. 
       Führe ein Login durch anhand User "admin" und kein "Passwort" sofern keines gesetzt wurde:
       
       http://192.168.3.2
       
       Im Mgmt. Web Interface auf dem Forti Access Point unter "Mesh Configuration" selektiere:
       
       Ethernet with mesh backup support
       
       Datei:Fortinet-354.jpg
       
       NOTE Die Konfigurationspunkte "Mesh AP SSID" sowie "Mesh AP Password" sind irrelevant und werden da
             der Access Point als "root" Mesh konfiguriert ist ignoriert!
       
       Bestätige die Konfiguration anhand "Apply". Um den Befehl über CLI einzugeben gebe Lokal auf der CLI des Forti Access Points folgendes ein:
       
       # cfg -a MESH_AP_TYPE=2
       # cfg –c
       
       Um die Konfiguration zu verifizieren (Neustart wird ausgeführt) geben folgendes ein:
       
       # cfg -s
       
       Kontrolliere nachträglich unter folgender Position ob die Spalte "State" den Access Point als "Online" ausweist:
       
       WiFi Controller > [WiFi Network] > [Managed Access Points] > Managed FortiAPs
       
       Manuelle Konfiguration Wireless Mesh der "leaf" Mesh Access Point
       
       Wie schon beschrieben sind "leaf" Mesh Forti Access Points Devices die das Wireless Netz (nicht physisch verbunden)
       benutzen um sich in das Wireless Netz zu integrieren. Die Verbindung zum FortiGate/FortiWiFi Controller wird über 
       den "root" Mesh Access Point bewerkstelligt.
       
       Um ein "leafe" Forti Access Point zu konfigurieren benutzen wir das Mgmt. Web Interface des Forti Access Points. Per 
       Standard nach einem Factory Reset (per CLI "cfg -x" oder per Hardware Reset Button) hat ein FortiAP die IP 192.168.1.2. 
       Verbinde dich nun auf den WebBased Manager anhand dieser IP:
       
       NOTE Betreffend Factory Reset siehe auch folgender Artikel:
            
            FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_eine_Forti_Access_Point_Hardware_einen_Factory_Reset_durchf.C3.BChren.3F
       
       http://192.168.1.2
       
       Im WebBased Manager konfiguriere folgendes:
       
       Uplink            [Mesh]
       Mesh AP SSID      [SSID die für den "backhaul link" erstellt wurde zB "mesh-backhaul"]
       Mesh AP Password  [Preshared Key gemäss SSI "mesh-backhaul"]" 
               
       Selektiere nun "Mesh" und setze die Mesh SSID auf diese die dafür erstellt wurde dh. in unserem Beispiel "mesh-backhaul". 
       Danach setze ein Preshared Key dh. dieser wurde vergeben auf der SSID die in unserem Beispiel die SSID "mesh-backhaul" ist. 
       Konfiguration mit "Apply":
       
       Datei:Fortinet-355.jpg
       
       Wenn die Konfiguration anhand der CLI durchgeführt werden soll kann dies anhand folgender Kommandos durchgeführt werden:
       
       Wenn ein Forti Access Point nicht über einen FortiGate Wireless Controller konfiguriert und eingebunden ist sondern Lokal 
       über einen Host/Client, ist der Consolen Port per "telnet" über die Standard IP 192.168.1.2 erreichbar. Wird ein Forti 
       Access Point über einen FortiGate/FortiWiFi Wireless Controller konfiguriert so ist der Forti Access Point über den 
       FortiGate/FortiWiFi Controller per "telnet" erreichbar sofern dieser Zugriff aktiviert ist. Folgender Artikel gibt 
       Auskunft wie "telnet" aktiviert werden kann:
       
       FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F
       
       # cfg -a MESH_AP_SSID=[Name der SSID für "mesh-backhaul link"; in unserem Beispiel "mesh-backhaul"]
       # cfg -a MESH_AP_PASSWD=[Preshared Key der SSID "mesh-backhaul"]
       # cfg -a MESH_AP_TYPE=1
       # cfg -c
       
       Um die Konfiguration zu verifizieren (Es wird ein Neustart des Forti Access Point ausgeführt) geben folgendes ein:
       
       # cfg -s
       
       Als nächsten Schritt muss für die "leaf" Forti Access Points ein Profil angelegt werden. Dazu wähle im Mgmt. Web 
       Interface folgendes:
       
       WiFi Controller > Managed Access Points > Custom AP Profile
       
       Erstelle unter "Create New" ein neues Profil und konfiguriere dieses folgendermassen:
       
       Name          Wähle einen Namen für das Profil zB "mesh-backhaul-leaf".
       Platform      Selektiere die Platform für den entsprechenden Forti Access Point der für "leaf" Mesh eingesetzt werden soll.
       Radio 1       Aktiviere die Position "Mesh Downlink". Selektiere die SSID die für den "backhaul link" zB "mes-backhaul".
       Radio 2       Unter Radio 2 (Radio 1 ist in Gebrauch für den "backhaul link") wähle die SSID's die für die User bereitgestellt werden sollen.
       
       Datei:Fortinet-356.jpg
       
       NOTE Ab FortiOS 5.0.2 wird der Mesh Downlink innerhalb der SSID konfiguriert und steht nicht
            mehr als Definition innerhalb des WTP Profiles zur Verfügung.
       
       Bestätige die Konfig mit "OK". Nun wenn die Konfig auf der CLI durchgeführt werden möchte gebe folgendes ein:
       
       # config wireless-controller wtp-profile
       # edit [Namen für das Profil zB "mesh-backhaul-leaf"]
       # config platform
       # set type [Selektiere entsprechend dem Forti Access Point Modell die für "leaf" Mesh eingesetzt werden die Platform]
       # end
       # config radio-1
       # set mesh-downlink enable
       # set band 802.11n-5G
       # set channel "36" "40" "44" "48" 
       # set darrp enable 
       # set vaps [SSID die für den "backhaul link" erstellt wurde zB "mesh-backhaul"]      
       # end
       # config radio-2
       # set mode ap
       # set band 802.11n
       # set vaps [wähle die SSID's die für die User bereitgestellt werden sollen]
       # end
       # end
       
       Nun muss das entsprechende WTP Profil das erstellt worden ist dem entsprechenden Forti Access Point der für "leaf" Mesh
       Forti Access Point benützt wird, zugewiesen werden. Wähle daszu im Mgmt. Web Interface:
       
       WiFi Controller > Managed A ccess Points > Managed FortiAP
       
       Wenn der "leaf" Mesh Forti Access Point in Betrieb ist, müsste dieser nun in der Liste der Forti Access Points erscheinen. 
       Selektiere diesen und wähle "Authorize". Wenn in den "Colum Settings" die Position "Connect Via" angewählt wird, sollte 
       der Forti Access Point die Mesh IPv4 Adresse zeigen. Nach dem "Authorize" kann das entsprechende WTP Profile für die "leaf" 
       Mesh Forti Access Point, das vorhergend erstellt worden ist, gewählt werden. Bestätige die Konfiguration anhand "Apply". 
       Wenn die Konfiguration auf der CLI durchgeführt werden soll führe folgendes aus:
       
       # config wireless-controller wtp
       # get 
       FAP22B3U11d05924
       
       # edit FAP22B3U11d05924
       # set admin enable
       # set wtp-profile [Namen für das Profil zB "mesh-backhaul-leaf"]
       # end
       
       Die Konfiguration der Manuelle Konfiguration betreffend Mesh ist nun abgeschlossen. Um das "Mesh" Wireless 
       Netzwerk zu kontrollieren wähle im Mgmt. Web Interface folgendes:
       
       WiFi Controller > [WiFi Network] > [Managed Access Points] > Managed FortiAPs 
       
       In dieser View werden alle verbundenen und nicht verbundenen Forti Access Points aufgelistet. Wenn man unter "Column 
       Settings" das Feld "Connected Via" einblended, sieht man in diesem Feld "Mesh" für die Forti Access Points die über 
       Mesh verbunden sind sowie deren IPv4 Adressen. Diese Kontrolle kann ebenfalls über die CLI eines Mesh verbundenen 
       Forti Access Point durchgeführt werden:
       
       # cw_diag -c mesh
       
       Eine weitere Möglichkeit um an Informationen heranzukommen, ist auf dem Forti Access Point folgender Befehl abzusetzen:
       
       # dmesg

       MANUELLE KONFIGURATION WIRELESS BRIDGING
       
       Der Vorteil einer manuellen Konfiguration liegt darin, dass durch die Konfiguration selber man mehr Kontrolle über den 
       Device erhält. Ein Bridging Wireless Netzwerk basiert darauf, dass ein Forti Access Point über einen physischen Port 
       (Ethernet) am FortiGate/FortiWiFi Controller angeschlossen ist ("root" Mesh). Ein anderer Forti Access Point ("leaf") 
       verbindet sich über diesen "root" Mesh Forti Access Point sowie auf dem "leaf" Mesh Forti Access Point ist Bridging Mode 
       aktiviert da dieser an einem LAN/Segment direkt verbunden ist und dieses über den "root" Mesh Forti Access Point (backhaul 
       link) verbindet. Ein Forti Access Point Device verfügt für Mesh über 2 Radios (2.4 GHz sowie 5 GHz). Es ist  empfohlen 
       5 GHz zu benutzen für den "backhaul link" und 2.4 GHz für die Client im Wireless Netzwerk. Um eine manuelle Konfiguration
       durchzuführen sind folgende Punkte zu berücksichtigen:
       
       • Konfiguriere den "backhaul link" und den "root" Mesh Forti Access Point!
       • Konfiguriere die "leaf" Mesh Forti Access Point's (Bridging aktiviert)!
       
       Manuelle Konfiguration Wireless Bridging des "backhaul link" and "root" Mesh Forti Access Point
       
       Die Konfiguration wird exakt genau gleich durchgeführt wie diese für "Wireless Mesh" mit einer Ausnahme dh. auf dem "leaf" 
       Mesh Forti Access Point wird die Position "Ethernet Bridge" zusätzlich Aktiviert. Danach wird dieser Forti Access Point 
       direkt mit dem zu verbindenen Segment verbunden!
       
       Datei:Fortinet-357.jpg

Guest Access

Was ist der Unterschied zwischen der "Wireless Self Registration" und der "Guest Access Provisioning" Funktion?

Fortinet bietet im Zusammenhang mit der FortiGate Wireless Infrastrukturen zwei verschiedene Arten eines Ticketing System's für Guest Access: 

       Guest Access Provisioning: 
       Das "Guest Access Provisioning" basiert auf einem Ticket System dh. durch einen definierten Administrator kann dieser 
       die entsprechenden Tickets erstellen resp. generieren. Für dieses "Gues Access Provisioning" können die Tickets selber 
       dh. Inhalt und Aussehen nicht modifiziert werden sondern sind vorgegeben. In so einer Situation sollte die "Captive 
       Portal" Funktion benutzt werden! Fur die Funktion des "Geust Access Provisioning" benötigt man eine FortiGate mit 
       FortiOS 5.0/5.2 oder höher. Es müssen keine zusätzliche Installationen durchgeführt werden da ein FortiGate Wireless 
       Controller alle Funktionen beinhaltet für ein "Guest Access Provisioning". Weitere Information zur Implmenenterung 
       siehe:
       
       FortiAP:FAQ#Wie_implementiere_ich_f.C3.BCr_eine_SSID_auf_einem_Forti_Access_Point_die_.22Wireless_Guest_Access_Provisioning.22_Funktion.3F

       User Self Registration: 
       In dieser Funktion muss ein FortiAuthenticator für die "Guest" User erreichbar sein. Deshalb darf zwar ein "Captive Portal" 
       vorgeschaltet sein, jedoch mit einem Verweis auf den "FortiAuthenticator" und dessen Self Registration Portal. Die Felder, 
       der Inhalt etc. des Self Registration Portal und/oder der Ticket's können vollumfänglich selber betreffend Inhalt und Aussehn 
       definiert werden. Für das "Wireless Self Registration" benötigt man einen FortiAuthenticator! Weitere Inoformationen zur 
       Implementierung siehe:
       
       FortiAuthenticator:FAQ#Wie_sieht_ein_Grundsetup_vom_Ablauf_her_aus_f.C3.BCr_die_.22Self-Registration.22_Funktion.3F

Wie implementiere ich für eine SSID auf einem Forti Access Point die "Wireless Self Registration" Funktion?

Für die "Wireless Self Registration" Funktion benötigt man im Gegensatz zur "Wireless Guest Access Provisioning" einen FortiAuthenticator da sich auf diesem das Self Registration Portal befindet. Im nachfolgenden Artikel werden die Unterschiede dieser zwei Möglichkeiten aufgezeigt: 

       FortiAP:FAQ#Was_ist_der_Unterschied_zwischen_der_.22Wireless_Self_Registration.22_und_der_.22Guest_Access_Provisioning.22_Funktion.3F

Im nachfolgenden Artikel wird aufgezeigt wie ein "Wireless Self Registration" auf einem FortiAuthenticator im Zusammenhang mit einem FortiGate Wireless Controller konfiguriert wird: 

       FortiAuthenticator:FAQ#Wie_sieht_ein_Grundsetup_vom_Ablauf_her_aus_f.C3.BCr_die_.22Self-Registration.22_Funktion.3F

Wie implementiere ich für eine SSID auf einem Forti Access Point die "Wireless Guest Access Provisioning" Funktion?

Bei einem "Wireless Guest Access Provisioning" (ab FortiOS 5.0/5.2 oder höher) kann ein "restricted" Administrator "Guest Accounts" erstellen, die benutzt werden um Zugriff auf das Gäste Wireless zu erhalten. Die Informationen können dem Gast über E-Mail, SMS oder über einen Ausdruck übermittelt werden. Um ein "Wireless Guest Access Provisioning" zu konfiguriere benötigen wir als Erstes eine spezielle Gruppe. Dazu führe folgendes Konfiguration durch: 

      NOTE Ab FortiOS 5.2 kann für den "restricted" Administrator für die "Guest Accounts" ein eigenes "Sprachfile" erstellt
           werden (Custome Language File). Weitere Informationen wie dieses zu erstelle sowie zu konfigurieren ist siehe 
           nachfolgender Artikel:
           
           FortiAP:FAQ#Wie_konfiguriere_ich_f.C3.BCr_ein_.22Wireless_Guest_Access_Provisioning.22_ein_Custome_Language_File.3F

      User & Device > User > User Groups
      
      Datei:Fortinet-363.jpg
      
      Aktiviert man die Position "Enable Batch Guest Account Creation" werden die "Guest Accounts" automatisch durch das System 
      erstellt (Batch):
           
           Datei:Fortinet-373.jpg

Zur dazugehörigen Gruppe erstellen wir einen Administrator, der jedoch eingeschränkt wird als "Restricted to Provision Guest Accounts". Dies bedeutet: Der Administrator hat nur Rechte für diese Gruppe "Guest Accounts" zu erstellen: 

      System > Admin > Administrators
      
      Datei:Fortinet-364.jpg

Wenn sich der "Restricted to Provision Guest Accounts" Administrator über das reguläre Login der FortiGate einloggt, kann dieser für die definierte Gruppe "Guest Account's" erstellen resp. verwalten: 

      Datei:Fortinet-365.jpg

      Datei:Fortinet-366.jpg

Um nun zB einen "Guest Account" zu erstellen geht der Administrator folgendermassen vor: 

      Datei:Fortinet-367.jpg

      Datei:Fortinet-368.jpg
      
      Wird die Position "Enable Batch Guest Account Creation" in der Gruppe aktiviert werden die Guest Account's "automatisch" 
      erstellt (Batch). Dies sieht dann folgendermassen aus:
           
           Datei:Fortinet-374.jpg 
           
           Nach der "automatischen" Erstellung wird folgendes Ausgegeben:
           
           Datei:Fortinet-375.jpg 
           
           Wenn man "mehrere" Guest Accounts auf einmal erstellen möchte, wählt man bei der Erstellung folgendes:
           
           Datei:Fortinet-376.jpg  
           
           Danach kann angegeben werden wie viele Guest Accounts zu erstellen sind sowie das Ablaufdatum dieser Accounts:
           
           Datei:Fortinet-377.jpg

Nach der Erstellung der Guest Accounts können die Informationen dem Gast übermittelt werden. Zur Verfügung stehen SMS (Email Only), Email sowie Printing. Vorraussetzung dafür ist jedoch das ein "Email Service" konfiguriert wurde. Dazu siehe nachfolgende Artikel: 

      FortiGate-5.0-5.2:FAQ#Wo_kann_ich_f.C3.BCr_Alert.27s_etc._einen_Email_Server_definieren_und_kann_ich_eine_Verschl.C3.BCsselung_benutzen.3F
      FortiGate-5.4:FAQ#Wie_kann_ich_unter_FortiOS_5.4_f.C3.BCr_eine_FortiGate_den_.22Email_Service.22_konfigurieren.3F

      Datei:Fortinet-369.jpg

Wählt man zB Printing so erscheint folgendes: 

      Datei:Fortinet-372.jpg
      
      NOTE Die Informationen die in diesem Ticket enthalten sind sowie das Aussehen können nicht verändert werden!

Wenn man das Fenster schliesst "Return" kann man den erstellten Guest Account in der Liste einsehen zB "Passwort" und sieht ebenfalls die "Expiration" dh. in unserem Beispiel "30 Minuten". Diese kann über die Funktion "Purge" zurückgesetzt werden: 

      Datei:Fortinet-370.jpg

Wenn man sich als "regulärer" Administrator wiederum einloggt, kann man die Guest Accounts - die durch den "Restricted to Provision Guest Accounts" Administrator erstellt wurden - über folgende Position einsehen: 

      User & Device > User > Guest Management
      
      Datei:Fortinet-371.jpg

Ein "reguläre" Administrator kann natürlich diese User vollumfänglich modifizieren sowie neue Guest Accounts wie der "Restricted to Provision Guest Accounts" Administrator" erstellen/verwalten! Für die SSID muss nun ein "Captive Portal" ausgewählt jsowie konfiguriert werden. Wähle die entsprechende SSID und füge die Gruppe zum "Captive Portal" hinzu: 

       Fortinet-1267.jpg

Unter FortiOS 5.2 sind einigen neuen Positionen innerhalb der SSID dazugekommen wie zB "Redirect after Captive Portal". Diese Position ermöglicht es dem "Guest Account" nach einer erfolgreichen Authentifizierung seine vorgängig eingegebene URL automatisch aufzurufen. Unter FortiOS 5.0 war dies nicht möglich und nach einer erfolgreichen Authentifizierung musste der Guest Account die URL abermals eingeben! Als Letzteres muss eine entsprechende Firewall Policy Rule implementiert werden (keine Identity Based Policy) die der SSID den gewünschten Traffic erlaubt. Danach kann die Konfiguration getestet werden. Sobald ein Wireless Host/Client die entsprechende SSID aufruft, wird er mit dieser SSID anhand einer IPv4 Adresse die vom DHCP Server stammt der für die SSID konfiguriert wurde, verbunden. Wenn nun ein Wireless Host/Client danach eine Anfrage absetzt dh. eine Web Seite aufruft wird das "Captive Portal" aufgerufen. Anhand der "Guest Account" Informationen resp. Tickets kann der Wireless Host/Client die Authentifizierung im "Captive Portal" durchführen. Um das Ganze auf der CLI zu konfigurieren führe folgende Kommandos aus: 

       Guest Access User Group
       
       # config user group
       # edit [Name der Gruppe zB "FortiGroup-Guest"]
       # set group-type guest
       # set user-id [email | auto-generate | specify]
       # set password [auto-generate | specify | disable]
       # set user-name [enable | disable]
       # set email [enable | disable]
       # set mobile-phone [enable | disable]
       # set default-expire [seconds]
       # end

       Guest admin profile options
       
       # config system admin
       # edit [Name des Administrators]
       # set guest-auth [enable | disable]
       # set guest-usergroups [Name der Guest Gruppe zB "FortiGroup-Guest"]
       # end

       SSID Security Mode option –captive-portal
       
       # config wireless-controller vap
       # edit [Name des SSID Profiles zB "only4guest"]
       # set vdom "root"
       # set ssid [Name der SSID zB "only4guest"]
       # set security captive-portal
       # set selected-usergroups [Name der Guest-Gruppe zB "FortiGroup-Guest"]
       # set intra-vap-privacy enable
       # end
       # config system interface
       # edit [Name des Interface für SSID zB "only4guest"]
       # set ip [IPv4 Adresse für Interface Konfig zB 192.168.10.1 255.255.255.0
       # set allowaccess ping
       # set devindex 0
       # set device-identification enable
       # set snmp-index 0
       # end
       # config system dhcp server
       # edit [Gebe einen Integer an zB 1]
       # set forticlient-on-net-status disable
       # set dns-service default
       # set default-gateway [IPv4 Adresse zB 192.168.10.1]
       # set netmask [Netmask für DHCP IP Range zB 255.255.255.0]
       # set interface [Interface für DHCP Server zB "only4guest"]
       # config ip-range
       # set start-ip 192.168.10.2
       # set end-ip 192.168.10.254
       # end
       # end

Es stehen folgend Troubleshooting Kommandos auf der CLI zur Verfügung: 

       # diagnose test guest ?
       add     add a guest user
       del     delete guest users
       list    list guest users

       # diagnose test guest list
       user_id=new-user-1@beispiel.com
       group=Beispiel-Gruppe
       user_name=gast-1
       password=pwj8m9
       mobile_phone=
       sponsor=
       company=
       email=new-user-1@beispiel.com
       expire=1 Hours

       # diagnose test guest add 
       <group>, <user-id>, <user-name>, <password>, <mobile-phone>, <sponsor>, <company>, <email>, <expire>

       # diagnose test guest del
       12 deleted for group , user-id 

       # diagnose test guest list
       0 found for group , user-id

Wie konfiguriere ich für ein "Wireless Guest Access Provisioning" ein Custome Language File?

Auf einer FortiGate ist das Mgmt. Web Interface und Replacement Messages per Standard Englisch. Unter der folgende Position können andere Sprachen gewählt werden: 

       System > Admin > Settings > View Settings > Language > [English | French | Spanish | Portuguese | Japanese | Tradional Chinese | Simplified Chinese | Korean]

Andere Sprachen wie Deutsch stehen nicht zur Verfügung. Ab FortiOS 5.2 ist es jedoch möglich für folgende Funktion ein eigenes "Sprachefile" anzulegen (Custome Language File): 

       • Guest Management Admin Accounts (Guest Access Provisioning)
       • SSL VPN Portal
       • SSL VPN Personal Bookmarks

Wenn für den "Guest Management Admin Accounts" ein eigenes "Sprachfile" erstellt werden soll muss folgendermassen vorgegangen werden: 

       # config system global
       # set gui-custom-language enable
       # end
       
       Durch die Aktivierung von "gui-custom-language" wird ein zusätzlicher Menüpunkt auf dem Mgmt. Web Interface auf der FortiGate
       aktiviert:
       
       System > Config > Advanced > Language
       
       Fortinet-1285.jpg
       
       Unter FortiOS 5.4 befindet sich die entsprechende Menüposition unter:
       
       System > Custom Languages
       
       Unter der Position "Download Sample Language Template" kann eine Vorlage runtergeladen werden, die herangezogen werden kann 
       als Vorlage um das "Sprachfile" zu erstellen. Nachfolgend ein Beispiel dieses "Sample Language Template":
       
       Datei:Sample-language-template.txt
       Datei:Sample-language-template-54.txt
       
       Nachdem das "Sprachfile" modifiziert wurde kann es unter folgender Position wieder raufgeladen werden:
       
       System > Config > Advanced > Language > Create New
       
       Fortinet-1286.jpg

       Unter FortiOS 5.4 befindet sich die entsprechende Menüposition unter:
       
       System > Custom Languages
       
       Danach kann das File raufgeladen werden:
       
       Fortinet-1287.jpg
       
       Damit das entsprechende File benutzt wird für die Funktion des "Wireless Guest Access Provisioning", muss 
       dies unter CLI und/oder über Mgmt. Web Interface für den Guest Administrator konfiguriert werden:
       
       System > Admin > Administrators > [Wähle den entsprechenden Guest Administrator] > Language > [Wähle das entsprechende "Sprachfile"]
       
       Fortinet-1289.jpg
       
       # config system admin
       # edit [Wähle den Namen des entsprechenden Administrators für die Guest Management Admin Accounts]
       # set guest-auth enable
       # set guest-lang [Wähle das entsprechende "Sprachfile"]
       # end
       # end

Wie kann ich für die "Wireless Guest Access Provisioning" Funktion die Erstellung der Tickets (Anzahl) limitieren?

Unter FortiOS 5.0 kann ein "restricted" Administrator "Guest Accounts" Ticket erstellen. Unter FortiOS 5.0 kann dieser "restricted" Administrator soviel Tickets erstellen wie er will dh. es gibt keine Funktion die diese Ticket Erstellung in der Anzahl limitiert. Ab FortiOS 5.2 ist dies nun möglich mit folgenden Kommando: 

       # config user group
       # edit guest-group
       # set group-type guest
       # set max-accounts [Standard 0 (Unlimited); Möglicher Wert 0-1024]
       # end
       # end

Wird die Konfiguration durchgeführt für Guest Administratoren die bereits Tickets erstellt haben, muss der Wert höher sein als die existierenden "valid" Tickets. Soll der Wert für Anzahl Tickets tiefer als die existierenden "valid" Tickets konfiguriert werden so müssen um den Wert anzupassen zuerst Tickets gelöscht werden um den entsprechenden Wert zu setzen.

Remote

Wie konfiguriere ich einen Forti Access Point zB. FAP-11C für einen Remote Zugriff?

Ein Forti Access Point FAP-11C kann benutzt werden um einen Remote Zugriff zu konfigurieren. Grundsätzlich kann jeder Forti Access Point benützt werden um diese Konfiguration durchzuführen. Spezialisiert sind jedoch die Forti Access Point FAP-11C, FAP-14C sowie fAP-28C da diese Forti Access Point über einen Internal Switch/Hub verfügen der es dem User/Client erlaubt entweder über den Internen Switch/Hub zu arbeiten oder über Wireless resp. über die konfigurierte SSID. Für unser Beispiel basierend auf einem FAP-11C gehen wir von folgender Situation aus: 

        _________
       |         | 193.193.135.70
       | FAP-11C |--|
       |_________|  |
                   WAN
                    | 193.193.135.66               ___________ 
        ____________|____________                 |           |
       |                         | 192.168.3.1    | FAP-11C   |
       |        Fortigate        |----- DMZ ------|           |
       |_________________________|                |___________| 
                    |
                    | 192.168.1.99
                   LAN

In diesem Beispiel wird die Grundkonfiguration des FAP-11C über das "dmz" durchgeführt! Dies bedeutet: dieses "dmz" ist nur temporaerer Natur für den FAP-11C und wird nur für die Grundkonfiguration sowie das Testen benützt dh. der FAP-11C wird mit der gesamten Konfiguration lokal eingebunden inkl Firewall Policy Rules usw. Diese Konfiguration kann nachträglich für einen Remote Konfiguration komplett übernommen werden. Alle Forti Access Point benützen für deren Komunikation zum FortiGate Wireless Controller CAPWAP (UDP-5246). Dies ist auch betreffend Remote Zugriff der Fall. Weitere Informationen betreffend CAPWAP siehe nachfolgender Artikel: 

       FortiAP:FAQ#Wie_werden_Forti_Access_Point_.C3.BCber_einen_FortiGate_Wireless_Controller_verwaltet.2Fkonfiguriert_.28CAPWAP.29.3F

Bei einem Remote Zugriff wird der CAPWAP Tunnel benützt um die Informationen zu transportieren. Der CAPWAP Tunnel selber ist zwar verschlüsselt, jedoch die Informationen die durch den Client/User durch den CAPWAP Tunnel gesendet sowie empfangen werden, sind per Standard "clear-text". Aus diesem Grund sollte darauf geachtet werden, dass wenn ein Remote Zugriff benützt wird die DTLS Verschlüsselung aktiviert ist. Diese "WiFi Data Channel Encryption" ist zuständig um die Daten der User/Client im CAPWAP Tunnel von und zu dem Forti Access Point zum FortiGate Wireless Controller zu verschlüsseln. Weitere Informationen zu DTLS Funktion siehe nachfolgender Artikel: 

       FortiAP:FAQ#Wie_konfiguriere_ich_f.C3.BCr_ein_Forti_Access_Point_WTP_Profile_eine_.22Data_Channel_Encryption.22_.28DTLS.29.3F

Die Konfiguration eines Forti Access Point für Remote Zugriff unterscheidet sich Grundsätzlich nicht gegenüber einer lokalen Konfiguration von Forti Access Points. Um dies durchzuführen siehe nachfolgender Artikel der detailiert zeigt wie ein Forti Access Point unter FortiOS 5.0/5.2/5.4 in Betrieb genommen wird und was dabei zu beachten ist: 

       FortiAP:FAQ#Wie_nehme_ich_ein_Fortinet_Access_Point_unter_FortiOS_5.0.2F5.2_in_Betrieb_und_konfiguriere_ich_diesen.3F

Wenn die Grundkonfiguration für den FAP-11C inkl. den Firewall Policy Rule's gemäss vorhergenden Link durchgeführt wurde sowie alle Tests erfolgreich waren, sollte der FAP-11C aus dem "dmz" Segment entfernt. Ist dies geschehen sollte der entsprechende Forti Access Point Eintrag unter "Managed FortiAP's" gelöscht werden: 

       WiFi Controller > WiFi Network > Managed FortiAP's > [Lösche den entsprechenden Eintrag]

Als Nächstes muss nun Lokal auf dem Forti Access Point FAP-11C mitgeteilt werden, mit welchen FortiGate Wireless Controller eine Remote Verbindung erstellt werden soll. Dies kann über das lokale Mgmt. Web Interface oder CLI des Forti Access Point FAP-11C durchgeführt werden. Die Informationen die lokal auf dem Forti Access Point konfiguriert werden müssen sind die Folgenden: 

       IPv4 Adresse
       FQDN (Fully Qualified Domain Name]

Um auf einen Forti Access Point lokal zu verbinden kann die Default IPv4 Adresse des Forti Access Point benutzt werden (192.168.1.2). Weitere Informationen dazu siehe nachfolgender Artikel: 

       FortiAP:FAQ#Was_ist_die_Default_IPv4_Adresse_f.C3.BCr_einen_Forti_Access_Point_und_wie_kann_ich_mich_auf_diese_IPv_Adresse_verbinden.3F

Es können für Failover Zwecke bis zu 3 Wireless Controller konfiguriert werden: 

       Datei:Fortinet-700.jpg

Die Position "AC Discovery Type" steht im Zusammenhang mit CAPWAP und hat folgende Bedeutung: Wenn in einem späteren Zeitpunkt der Forti Access Point in ein IPv4 Segment zB zu Hause verbunden wird, sucht sich dieses "wan" Interface einen DHCP Server. Werden die DHCP Anfragen des "wan" Interfaces beantwortet, wird auf dem "wan" Interface gemäss der DHCP Server Konfiguration eine IPv4 Adresse, Subnet sowie Default Gateway konfiguriert. Sobald dies der Fall ist, wird über das "wan" Interface versucht den konfigurierten FortiGate Wireless Controller anhand dessen IPv4 Adresse oder den FAQDN über CAPWAP (UDP-5246) zu erreichen. Dies wird anhand "AC Discovery Type" durchgeführt. Dieser Konfigurationspuntk ist per Standard auf "Auto" konfiguriert was wiederum bedeutet: 

       Broadcast -> Multicast > Static > DNS > DHCP

In dieser Reihenfolge versucht der Forti Access Point über CAPWAP den konfigurierten FortiGate Wireless Controller zu erreichen. Damit kein "Auto" für die Suche des FortiGate Wireless Controller durchgeführt wird, sollte "Static" benutzt werden. Wenn ein FQDN benutzt wird, ist zu berücksichtigen, dass der Forti Access Point in seiner Standard Konfiguration einen FortiGuard DNS Server benutzt. Um einen eigenen DNS Server zu konfigurieren führe folgendes auf der CLI durch: 

       # cfg -a DNS_SERVER=[DNS Server IP Adresse]
       # cfg -c 
       # cfg -s

Um die ganze Konfiguration über die CLI der Forti Access Point durchzuführen stehen folgende Befehle zur Verfügung: 

       # cfg -a WTP_NAME=FP11C3X12001413                                           [Hostname Forti Access Point]
       # cfg -a ADMIN_TIMEOUT=5                                                    [Admin Timeout Default 5 Minuten]
       # cfg -a AP_IPADDR=192.168.1.2                                              [Stellt die Default oder Fix IP dar wenn kein DHCP vorhanden ist]
       # cfg -a AP_NETMASK=255.255.255.0                                           [Stellt das Default Subnet dar wenn kein DHCP vorhanden]
       # cfg -a IPGW=192.168.1.1                                                   [Stellt das Default Gateway dar wenn kein DHCP vorhanden]
       # cfg -a AP_MODE=0                                                          [0 (Thin AP)] | 2 (Site Survey)]
       # cfg -a DNS_SERVER=208.91.112.53                                           [Definiert den DNS Server; Standard FortiGuard DNS Server IP]
       # cfg -a BAUD_RATE=9600                                                     [Geschwindigkeit der Console; Standard 9600]
       # cfg -a ADDR_MODE=DHCP                                                     [IP Adressierungs Mode dh. DHCP oder STATIC]
       # cfg -a STP_MODE=0                                                         [Spanning Tree 0 = Deaktiviert | 1 = Aktiviert]
       # cfg -a TELNET_ALLOW=1                                                     [1 = Telnet steht zur Verfügung; 0 = Deaktiviert]
       # cfg -a HTTP_ALLOW=1                                                       [1 = WebInterface steht zur Verfügung; 0 = Deaktiviert]
       # cfg -a AC_DISCOVERY_TYPE=0                                                [0 = Automatic; 1 Static; 2 DHCP; 3 Broadcast; 4 Multicast]
       # cfg -a AC_IPADDR_1=192.168.1.1                                            [Wireless Controller IP zu dem sich der FortiAP verbinden soll]
       # cfg -a AC_IPADDR_2=                                                       [Wireless Controller IP zu dem sich der FortiAP verbinden soll]
       # cfg -a AC_IPADDR_3=                                                       [Wireless Controller IP zu dem sich der FortiAP verbinden soll]
       # cfg -a AC_HOSTNAME_1=_capwap-control._udp.example.com                     [Wireless Controller FQDN zu dem sich der FortiAP verbinden soll]
       # cfg -a AC_HOSTNAME_2=                                                     [Wireless Controller FQDN zu dem sich der FortiAP verbinden soll]
       # cfg -a AC_HOSTNAME_3=                                                     [Wireless Controller FQDN zu dem sich der FortiAP verbinden soll]
       # cfg -a AC_CTL_PORT=5246                                                   [CAPWAP Comunication Port]
       # cfg -a AC_DISCOVERY_MC_ADDR=224.0.1.140
       # cfg -a AC_DISCOVERY_DHCP_OPTION_CODE=138                                  [DHCP Option Code]
       # cfg -a AC_DATA_CHAN_SEC=2                                                 [DTLS Verschlüsselung 2 = Clear Text oder DTLS; 0 = Clear Text; 1 = DTLS Enabled]
        
       # cfg -c                                                                    [Speicher Konfiguration in das Flash]
       # cfg -s                                                                    [Liste die Konfiguration auf]

Wie schon erwähnt ist ausdrücklich empfohlen "DTLS" zu aktivieren dh. Auf dem Forti Access Point ist "DTLS" bereits zusammen mit "Clear Text" aktiviert (Standard AC_DATA_CHAN_SEC=2). Dies bedeutet: Die "DTLS" Aktivierung kann über den FortiGate Wireless Controller gesteuert werden. Dazu muss im entsprechenden Profile des Access Point über CLI "DTLS" aktiviert werden: 

       # config wireless-controller wtp-profile
       # edit [Name des entsprechenden Profils]
       # set dtls-policy [dtls-enabled | clear-text]
       # end

Wenn ein Client/Host über den Remote Forti Access Point ein Packet versendet und da der Standard Wert für MTU Size auf den meisten Betriebsystemen auf 1500 konfiguriert ist kann es mit der zusätzlich aktivieren "DTLS" Funktion zu einer Fragmentierung kommen. Der Grund ist der Folgende: Wenn ein Packet über den CAPWAP Tunnel gesendet wird so kommt zum Packet ein kleiner "overhead" des CAPWAP dazu. Dies ist unter normalen Umständen und in den meisten Fällen kein Problem. Kommt jedoch nochmals der "overhead" des "DTLS" dazu, vergrössert sich das Packet dh. mehr als MTU 1500 und somit wird das Packet aufgeteilt dh. es wird eine Fragmentierung durchgeführt. Dies beeinträchtigt die Performance und sollte verhindert werden. Aus diesem Grund empfehlen wir gemäss nachfolgenden Link im WTP Profile dies zu berücksichtigen resp. eine Fragmentierung zu verhindern: 

       FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_einen_Forti_Access_Point_innerhalb_des_CAPWAP_Tunnel_eine_IP_Fragmentierung_verhindern.3F

Grundsätzlich kann die "Network Configuration" eines Forti Access Point auch auf "Static" gesetzt werden dh. Ein Forti Access Point ist per Standard mit "DHCP" konfiguriert und sollte unter normalen Umständen so konfiguriert sein. Möchte man jedoch für das "wan" Interface des Forti Access Point eine statische IPv4 Adresse vergeben kann dies über Mgmt. Web Interface oder CLI durchgeführt werden. Für eine Konfiguration über CLI lokal auf dem Forti Access Point stehen folgende Konfigurationspunkte zur Verfügung: 

       # cfg -a AP_IPADDR=192.168.1.2                                              [Stellt die Default oder Fix IP dar wenn kein DHCP vorhanden ist]
       # cfg -a AP_NETMASK=255.255.255.0                                           [Stellt das Default Subnet dar wenn kein DHCP vorhanden]
       # cfg -a IPGW=192.168.1.1                                                   [Stellt das Default Gateway dar wenn kein DHCP vorhanden]
       # cfg -a AP_MODE=0                                                          [0 (Thin AP)] | 2 (Site Survey)]
       # cfg -a DNS_SERVER=208.91.112.53                                           [Definiert den DNS Server; Standard FortiGuard DNS Server IP]
       # cfg -a BAUD_RATE=9600                                                     [Geschwindigkeit der Console; Standard 9600]
       # cfg -a ADDR_MODE=DHCP                                                     [IP Adressierungs Mode dh. DHCP oder STATIC]
       
       # cfg -c                                                                    [Speicher Konfiguration in das Flash]
       # cfg -s                                                                    [Liste die Konfiguration auf]

       DHCP Konfiguration (Default):
       
       Datei:Fortinet-702.jpg

       Static Konfiguration:
       
       Datei:Fortinet-703.jpg

Damit die Anfragen des Forti Access Point auf den FortiGate Wireless Controller beantwortet wird, muss CAPWAP auf der FortiGate für das "wan" Interface aktiviert werden: 

       System > Network > Interface > [Wähle das entsprechende Interface] > Administrative Access > [Aktiviere CAPWAP]
       
       Fortinet-784.jpg

Durch die Aktivierung von CAPWAP wird eine "Local-In" Policy erstellt der den Traffic UDP-5246 auf dem "wan" Interface erlaubt. Die "Local-In" Policy erlaubt den UDP-5246 Traffic von jeder Source dh. soll diese eingeschränkt werden kann über die eine manuelle "Local-In" Policy diese Einschränkung konfiguriert werden. Weitere Informationen dazu siehe nachfolgenden Artikel: 

            FortiGate-5.0-5.2:FAQ#Was_sind_.22Local_In_Policy.27s.22_und_wie_kann_ich_diese_manipulieren.3F

Wenn nun der Forti Access Point in einer Remote Lokation zB zu Hause benutzt wird so wird folgendes durchgeführt: 

       1. Verbinde das "wan" Interface des Forti Access mit dem vorhandenen LAN Segment/Subnet.
          
       2. Dem Forti Access Point wird über DHCP auf das "wan" Interface eine IPv4 Adresse zugewiesen oder das "wan" Interface wurde 
          mit einer LAN IPv4 Adresse aus dem Segment/Subnet statisch konfguriert.
          
       3. Uber das "wan" Interface werden CAPWAP (UDP-5246) Anfragen an die definierte IPv4 Adresse und/oder FQDN an das "wan" 
          Interface des FortiGate Devices gesendet.
          
       4. Da CAPWAP auf dem FortiGate "wan" Interface aktiviert wurde und somit die CAPWAP Anfragen vom FortiGate Wireless Controller
          beantwortet werden, erscheint auf dem FortiGate Device unter "Managed Access Point" der entsprechende Forti Access Point:
          
          WiFi Controller > Managed Access Points 
          
       5. Dem Forti Access Point kann nun das entsprechendes WTP Profile zugewiesen werden.

Als letzten Schritt sollte die DTLS Verschlüsselung kontrolliert werden. Dies kann über das entsprechende WTP Profile sowie auf dem Forti Access Point selber durchgeführt werden: 

       FortiGate WTP Profile
       
       Datei:Fortinet-705.jpg

       Forti Access Point
       
       Datei:Fortinet-706.jpg

Wenn man einer der Remote Forti Access Point's einsetzt dh. FAP-11C, FAP-14C sowie FAP-28C hat man nun die Möglichkeit den internen Switch für die lokalen Zwecke zu konfigurieren. Bei der Konfiguration des internent Switches/Hubs ist jedoch folgendes zu berücksichtigen: Ein Port eines Switches kann mit "bridge to SSID" auf die SSID konfiguriert werden. Dies bedeutet: Wenn ein Client/Host sich per RJ-45 auf diesen Port verbindet, wird diesem über den konfigurierten DHCP Server der SSID eine IPv4 Adresse zugewiesen. Wenn dies geschieht, wird keine Authentifizierung für die SSID ausgeführt! Um zB eine Security auf diesen Switch Port für "bridge to SSID" zu konfigurieren, kann der DHCP Server auf "block" gesetzt werden und somit werden vom DHCP Server nur IPv4 Adressen den Clients/Host zugewiesen, wenn diese mit deren MAC Adressen im DHCP Server konfiguriert wurden. Dies wird folgendermassen für den DHCP Server der SSID konfiguriert: 

      # config system dhcp server
      # edit [Wähle den entsprechenden Integer für den DHCP Server der SSID zB "1"]
      # set mac-acl-default-action [assign | block]
      # config reserved-Adresse 
      # edit [Setze einen entsprechenden Integer zB "1"]
      # set ip [IPv4-Adresse für IP Reservation]
      # set mac [MAC-Adresse Defintion für IP Reservation]
      # set action [assign | block | reserved]
      # end
      # end

Eine andere Variante ist auf dem Interface der SSID (nicht für die SSID Konfiguration) ein "Captive Portal" zu aktivieren dh. wenn dies geschieht, muss sich der Client/Host in jedem Fall auf dem "Captive Portal" des Interface zuerst authentifizieren bevor er Zugriff erhält. Wie die einzelnen Switch/Hub Ports zu konfigurieren sind siehe nachfolgender Artikel: 

       FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_einen_Remote_Forti_Access_Points_FAP-11C.2C_FAP-14C_und_FAP-28C_die_Switch_Ports_konfigurieren.3F

Desweiteren ist zu berücksichtigen, dass der Traffic des Client/Host der sich über einen Switch/Hub Port der anhand "bridge to SSID" konfiguriert wurde, unweigerlich über CAPWAP zum FortiGate Wireless Controller gesendet wird da die SSID anhand "Tunnel to Wireless Controller" konfiguriert wurde. Möchte der Client/Host jedoch lokale Resourcen ebenfalls erreichen kann ab FortiOS 5.2 ein "Splitt Tunneling" konfiguriert werden. Dies erlaubt einen bestimmten IPv4 Range/Subnet am CAPWAP Tunnel vorbei zu routen. Wie dies konfiguriet wird siehe nachfolgender Artikel: 

       FortiAP:FAQ#Wie_konfiguriere_ich_f.C3.BCr_eine_Forti_Access_Point_SSID_die_Funktion_.22Split_Tunneling.22.3F

Wenn die konfigurierte SSID auf einem Forti Access Point die ebenfalls für die Switch/Hub Ports benutzt wird um "bridge to SSID" zu konfigurieren nicht benötigt wird dh. Client/Hosts die SSID für einen Wireless Zugriff nicht benötigen, sollte diese deaktiviert werden. Dies kann nach Abschluss der Konfiguration im entsprechenden WTP Profile konfiguriert werden in dem der entsprechende "radio" komplett deaktiviert wird!

Wieviel Bandbreite benötigt ein Forti Access Point für CAPWAP in einer Remote Verbindung?

Die Bandbreite die benützt wird im Management Tunnel resp. CAPWAP (UDP-5246) für einen Remote Zugriff eines Forti Access Point ist vernachlässigbar da Fortinet bei der Architektur darauf geachtet hat, dies auf ein Minimum zu beschränken dh. folgende Bandbreite wird benützt: 

       • Management Tunnel (CAPWAP) ist ein "einzelnes" Heartbeat Packet alle 30 Sekunden
       • Radio Resource Provisioning (DRRP) sendet minimale Informationen alle 5 Minuten

Obwohl die Daten minimal sind können die Intervalle für Heartbeat und/oder DRRP bei Notwendigkeit angepasst werden!

LAN Port's / Switch

Wie kann ich für einen Remote Forti Access Points FAP-11C, FAP-14C und FAP-28C die Switch Ports konfigurieren?

Die Remote Forti Access Points wie FAP-11C, FAP-14C und FAP-28C werden mit einem kleinen Switch/Hub ausgeliefert! Bis FortiOS 5.0.4 sowie für Forti Access Points FortiOS 5.0.5 waren diese Ports nicht konfigurierbar dh. konnten nicht genutzt werden. Ab FortiGate FortiOS 5.0.5 und FortiAP FortiOS 5.0.6 können diese Ports folgendermassen konfiguriert werden über CLI: 

      Fuer die LAN Port Konfiguration gelten folgende Restriktionen:
      
      • Beim FortiAP-14C können die einzelnen Ports nicht individuell gesetzt werden dh. alle Ports benützen eine Konfiguration da es sich
        bei den Ports um ein Hub handelt!
      
      • Jeder Client/Host der sich über die LAN Ports verbindet gilt als Authentifiziert!
      
      • Dynamische VLAN Konfiguration für Client/Host die über die LAN Ports verbunden sind wird nicht unterstützt. Weitere Informationen
        zur Dynamischee VLAN Konfiguration siehe nachfolgender Artikel:
        
        FortiAP:FAQ#Kann_ich_f.C3.BCr_Forti_Access_Point_SSID.27s_.22Dynamische_VLAN.27s.22_vergeben_und_wie_konfiguriere_ich_diese.3F
      
      • RADIUS Authentifizierung basierend auf MAC Adressen wird nicht unterstützt!
      
      • Wenn der/die LAN Port's auf "bridge-to-ssid" gesetzt ist/sind kann DTLS Verschlüsslung aktiviert werden. Dies gilt ab FortiOS 5.0.6 
        und Forti Access Point FortiOS 5.0.7!

Die LAN Ports können sofern gewünscht komplett deaktiviert werden und können somit nicht genutzt werden! Die Konfiguration wird auf entsprechenden WTP Profile gesetzt. Um die LAN Port's auf der Kommandozeile zu konfigurieren führe folgendes durch: 

      # config wireless-controller wtp-profile
      # edit [Name des entsprechenden Profile]
      # config lan
      # set port[Port Nummer]-mode [offline | bridge-to-wan | bridge-to-ssid | nat-to-wan ]
      # end

Die Option "nat-to-wan" steht neu unter FortiOS 5.2 zur Verfügung. Die einzelnen Modi haben folgende Bedeutung: 

           • offline              Der Port wird komplett deaktiviert!
           • bridge-to-wan        Auf dem Port wird ein "bridge" auf das WAN Segement ausgeführt. Der Port erhält seine IP aus dem WAN Segement!
           • bridge-to-ssid       Auf dem Port wird ein "bridge" auf die SSID ausgeführt. Der Port erhält seine IP vom DHCP Server der SSID!
           • nat-to-wan           Auf dem Port wird ein "nat" ausgeführt auf den WAN Port. Der Port erhält seine IP vom DHCP Server der SSID!

           Bridge to SSID
           Die LAN Ports können anhand einer SSID mit der Funktion "bridge-to-ssid" versehen werden was folgendes bedeutet: Verbindet sich ein 
           Client/Host über die LAN Ports, wird dem Client über den DHCP Server der für die SSID konfiguriert wurde, eine IPv4 Adresse zugewiesen. 
           Der Traffic des Clients/Hosts, der sich am LAN Port verbindet, wird zum FortiGate Wireless Controller gesendet. Ein "local bridging" 
           ist nicht möglich! Wireless Clients/Hosts die diese SSID benutzen sowie die Clients/Hosts die über den Switch Port verbunden sind,  
           können untereinander uneingeschränkt komunizieren. Es findet keine Authentifizierung auf den LAN Ports statt! Die Clients/Hosts, die 
           über die LAN Ports in diesem Modus verbinden, sind über den folgenden Menüpunkt ersichtlich:
           
           WiFi Controller > Monitor > Client Monitor
           
           Wenn die DTLS Verschlüsselung für "brdige-to-ssid" nicht aktiviert werden kann ist folgendes zu berücksichtigen: Auf dem Forti Access 
           Point steht die DTLS Verschlüsselung per Standard auf "Clear Text oder "DTLS Enabled" dh. der Forti Access Point bietet beides an. Somit 
           steuert der FortiGate Wireless Controller die Funktion. Nähere Informationen zur DTLS Verschlüsselung siehe folgender Artikel:
           
           FortiAP:FAQ#Wie_konfiguriere_ich_f.C3.BCr_ein_Forti_Access_Point_WTP_Profile_eine_.22Data_Channel_Encryption.22_.28DTLS.29.3F

           Bridge to WAN
           Es wird ein "bridge-to-wan" auf das "wan" Interface des Forti Access Point durchgeführt was folgendes bedeutet: Verbindet sich ein 
           Client/Host über die Switch Ports, wird dem Client/Host über den DHCP Server sofern dieser im "wan" Segment existiert, eine IPv4 
           Adresse zugewiesen. Wireless Clients/Hosts die über eine SSID auf dem Forti Access Point verbunden sind und Clients/Hosts die über 
           die LAN Ports verbunden sind, können nur dann untereinander direkt komunizieren wenn eine entsprechende Firewall Policy Rule auf 
           der FortiGate konfiguriert wird die diesen Traffic erlaubt! Somit, wenn dies der Fall ist, wird der Traffic über die FortiGate 
           Device dh. über CAPWAP abgewickelt. DTL kann in diesem Modus nicht aktiviert werden!
           
           NAT to WAN
           Es wird ein "nat-to-wan" auf dem "wan" Port des Forti Access Point durchgeführt dh. die Source des Traffic vom LAN Port wird 
           übersetzt (translated) anhand der IPv4 Adresse die auf dem "wan" Port existiert/konfiguriert wurde.

Die Konfiguration der Switch/Hub Ports kann ebenfalls über Mgmt. Web Interface durchgeführt werden und zwar unter folgender Position sofern es sich um ein WTP Profile eines Forti Access Points handelt der über einen Switch/Hub verfügt: 

      WiFi Controller > WiFi Network > Forti/Custom AP Profiles
      
      Fortinet-964.jpg

Wenn die Konfiguration auf der Kommandozeile durchgeführt werden soll muss folgendes durchgeführt werden: 

      # config wireless-controller wtp-profile
      # edit [Name des entsprechenden Profile]
      # config lan
      # set port-mode [Gilt für den definierten LAN Port's FAP-14C : offline | bridge-to-wan | bridge-to-ssid | nat-to-wan]
      # set port-ssid [Name der gewünschten SSID]
      # set port1-mode [Gilt für den definierten LAN Port1: offline | bridge-to-wan | bridge-to-ssid | nat-to-wan]
      # set port1-ssid [Gilt für den definierten LAN Port1: Name der entsprechende SSID sofern bridge-to-ssid definiert wurde]
      # set port2-mode [Gilt für den definierten LAN Port2: offline | bridge-to-wan | bridge-to-ssid | nat-to-wan]
      # set port2-ssid [Gilt für den definierten LAN Port2: Name der entsprechende SSID sofern bridge-to-ssid definiert wurde]
      # set port3-mode [Gilt für den definierten LAN Port3: offline | bridge-to-wan | bridge-to-ssid | nat-to-wan]
      # set port3-ssid [Gilt für den definierten LAN Port3: Name der entsprechende SSID sofern bridge-to-ssid definiert wurde]
      # set port4-mode [Gilt für den definierten LAN Port4: offline | bridge-to-wan | bridge-to-ssid | nat-to-wan]
      # set port4-ssid [Gilt für den definierten LAN Port4: Name der entsprechende SSID sofern bridge-to-ssid definiert wurde]
      # set port5-mode [Gilt für den definierten LAN Port4: offline | bridge-to-wan | bridge-to-ssid | nat-to-wan]
      # set port5-ssid [Gilt für den definierten LAN Port4: Name der entsprechende SSID sofern bridge-to-ssid definiert wurde]
      # end
      # set dtls-policy [ dtls-enabled | clear-text]
      # end

Ab FortiOS 5.2 steht neu die Funktion "Split Tunneling" zur Verfügung. Weitere Informationen dazu siehe folgender Artikel: 

       FortiAP:FAQ#Wie_konfiguriere_ich_f.C3.BCr_eine_Forti_Access_Point_SSID_die_Funktion_.22Split_Tunneling.22.3F

Sniffer

Kann ich einen Forti Access Point als Sniffer benutzen um den Traffic aufzuzeichnen (capture)?

Ja diese Möglichkeit existiert jedoch mit folgenden Einschränkungen: 

       • Nur ein "radio" pro Aufzeichnung kann benutzt werden um den Sniffer auszuführen (capture)!
       • Es kann nur jeweils in "einem" Bereich dh. 2.4GHz oder 5GHz ein Sniffer ausfgeführt werden!
       • Sniffer Mode wird für "radio" für 802.11ac nicht unterstützt (FortiOS 5.2.5 Bug ID 301726)!

Wenn ein "radio" für den Sniffer Mode konfiguriert wurde so wird lokal auf dem Forti Access Point ein File in folgendes Verzeichnis abgelegt: 

       /tmp/wl_sniff.pcap

Wenn ein solches File im Verzeichnis "tmp" existiert und ein Neustart des Forti Access Point wird durchgeführt, so wird dieses File gelöscht da es sich beim Verzeichnis "tmp" um einen flüchtiges "none" Persistent Verzeichnis handelt. Aus diesem Grund muss das File vor einem Neustart per TFTP auf einen entsprechenden TFTP Server transferiert werden! Um das File per TFTP zu transferieren benutze folgende Kommandos: 

       # cd /tmp
       # ls
       wl_sniff.cap
       
       # tftp 
       
       BusyBox v1.15.0 (2012-05-24 17:25:46 PDT) multi-call binary
       Usage: tftp [OPTIONS] HOST [PORT]
       Transfer a file from/to tftp server
       
       Options:
       
       -l FILE Local FILE
       -r FILE Remote FILE
       -g      Get file
       -p      Put file

Somit ergiebt sich folgendes Kommando um das File auf den TFTP Server zu transferieren: 

       # tftp -l [File Name des zu transferierenden Files dh. "wl_sniff.cap"] -p [IPv4 Adresse des TFTP Servers] 69

Um einen Forti Access Point in den Sniffer Mode zu versetzen, muss die Konfiguration auf der FortiGate über CLI durchgeführt werden dh. führe folgendes durch: 

       # config radio-1
       # set mode disabled
       # end
       # config radio-2
       # set mode sniffer
       # set ap-sniffer-bufsize 32
       # set ap-sniffer-chan 1
       # set ap-sniffer-addr 00:00:00:00:00:00
       # set ap-sniffer-mgmt-beacon enable
       # set ap-sniffer-mgmt-probe enable
       # set ap-sniffer-mgmt-other enable
       # set ap-sniffer-ctl enable
       # set ap-sniffer-data enable
       # end
       # end

Durch die nachfolgenden Befehle können auf dem Sniffer Mode Filter gesetzt werden: 

       ap-sniffer-add       Definiert einen spezifischen Client/Host anhand seiner MAC Adresse in der Form xx:xx:xx:xx:xx:xx
       ap-sniffer-chan      Definiert einen spezifischen "channel"

Sobald die Konfiguration durchgeführt wurde, ist diese über Mgmt. Web Interface der FortiGate ersichtlich: 

       Datei:Fortinet-699.jpg

Wenn nun das entsprechende WTP Profile in dem der Sniffer Mode aktiviert wurde einem Forti Access Point zugewiesen wird, so versetzt sich dieser in den "monitor" Mode. Dies kann über die CLI lokal auf dem Forti Access Point verifiziert werden: 

       # iwconfig

Durch diesen Befehl werden die entsprechenden lokalen Interfaces des Forti Access Point aufgelistet und das entsprechende Interface ist im "monitor" Mode: 

       Mode: Monitor

Authentication

Wie konfiguriere ich auf einem Windows 2008 Server (Radius) eine "WPA2-Enterprise" Authentifizierung?

Wenn man für Wireless Clients/Hosts eine Authentifizierung implementieren möchte im Geschäftsumfeld so sollten man "WPA2-Enterprise" (AES Verschlüsselung) benutzen. Diese Implementierung stellt einem vor verschiedenen Probleme! Speziell wenn die Authentifizierung über das Active Directory abgearbeitet werden soll. Der Grund dafür liegt darin wie das Passwort vom Wireless Client/Host zum Active Directory (LDAP) übermittelt wird dh. WPA und WPA2 benutzen für die Uebermittlung der Passwörter vers. "password hashing schemas" die jedoch nicht kompatibel sind mit dem Microsoft Active Directory (LDAP). Aus diesem Grund muesste der eingesetzte LDAP Server es erlauben das Passowrt in "clear-text" zu erhalten. Bei Microsoft Active Directory ist dies nicht mehr möglich dh. nur ein OpenLDAP stellt diese Funktion zur Verfügung. Wenn kein OpenLDAP vorhanden ist oder dieser nicht eingesetzt werden möchte, so ist die bevorzugte Variante eine Radius Server zu implementieren. Diese "Radius Authentication" verifiziert die Credentials des Wireless Clients/Hosts über den Radius Server im Active Directory. Durch diese Art der Authentifizierung wird die Problematik der WPA/WPA2 Passwort Uebermittlung umgangen. Zusätzlich können über den Radius Server Gruppenzugehörigkeit der User ausgelesen und in Verbindung mit den SSID's gebracht werden. Damit vom Wireless Client/Host aus eine Verifizierung des Radius Servers erfolgt, sollte/kann dieser Radious Server anhand eines Zertifikates verifiziert werden. Dieses Zertifikat kann von einer offiziellen CA (Trusted CA) oder von einer internen CA stammen. Dieses CA ist nicht für die Authentication zuständig sondern ausschliesslich für die Verifizierung des Radius Servers. Als Radius Server können vers. Produkte eingesetzt werden! Die bevorzugte Variante ist anstelle eines Windows 2008 Server den Fortinet Radius Server zu benutzen resp. den FortiAuthenticator. Weitere Informationen zum FortiAuthenticator findet man unter folgenden Link: 

       FortiAuthenticator:FAQ

Im nachfolgenden Dokumentation wird gezeigt wie die Konfiguration durchgeführt wird anhand eines Radius Servers basierend auf Windows 2008 Server: 

       Datei:Setting-up-Wi-Fi-Authentication-in-Windows-Server-2008-Part-1.pdf
       Datei:Setting-up-Wi-Fi-Authentication-in-Windows-Server-2008-Part-2.pdf

Um die Radius Server Verbindung auf einem FortiGate Device zu troubelshooten resp. einzusehen siehe nachfolgenden Artikel: 

       FortiGate-5.0-5.2:FAQ#Wie_kann_ich_einen_Radius_Server_Anbindung_Troubleshooten.3F

Wie konfiguriere ich für Forti Access Points eine Authentifizierung für Public HotSpot der Swisscom ?

Nun ein Public HotSpot der Swisscom kennt grundsätzlich zwei Arten der Authentifizierung die im Zusammenhang stehen mit der SSID. Dies bedeutet: 

       Alte Variante SSID Hot Spot Swisscom
       
       • SSID          MOBILE              (Authentication "Open")
       • SSID          MOBILE-EAPSIM       (Authentication "WPA2-Enerprise" / Radius Port 1645)

       Neue Variante SSID Hot Spot Swisscom
       
       • Swisscom                 (Vorher MOBILE)
       • Swisscom_Auto_Login      (Vorher MOBILE-EAPSIM)

Die Schreibweise der alten/neuen SSID's ist einzuhalten und ist Case Sensitive! Nach Swisscom Informationen wird empfohlen die SSID's dh. Alt und Neu parallel bis ende 2014 zu implementieren. Neue App's die durch Swisscom in der nächsten Zeit lanciert werden benützen bereits die neuen SSID's und nicht mehr die alten! 

       SSID: MOBILE/Swisscom
       
       Mit der SSID MOBILE oder Swisscom wir dem Kunden ermöglicht über eine "Open" Authentifizierung auf das Internet zu 
       gelangen. Dabei ist es nicht zwingend, dass der Kunde ein Swisscom Kunde ist. Dies bedeutet, wenn ein Kunde diese 
       SSID aufruft wird er zu einer Login Seite weitergeleitet die es dem Kunden ermöglicht per Kreditkarte, Swisscom 
       Login etc. einzuloggen. Die Authentifizierung geschieht ausschliesslich über die Login Seite mit den erwähnten 
       Arten wie zB Kreditkarte, Swisscom Login usw.

       SSID: MOBILE-EAPSIM/Swisscom_Auto_Login
       
       Die SSID MOBILE-EAPSIM oder Swisscom_Auto_Login steht ausschliesslich Swisscom Kunden zur Verfügung. Wenn der Kunde 
       diese SSID aufruft, wird die Authentifizierung über WPA2-Enterprise (oder auch WEP-104bits ohne Key) über eine Radius 
       Authentifizierung durchgeführt. Zusätzlich wird die MAC Adresse des Gerätes ebenfalls übermittelt um das Accounting 
       durchzuführen.

Bei nachfolgenden Beispiel wird erklärt wie so eine Konfiguration für "MOBILE oder Swisscom" sowie "MOBILE-EAPSIM oder Swisscom_Auto_Login" auf einer Fortigate anhand Forti Access Point's durchzuführen ist. Im Beispiel werden nur die alten SSID aufgeführt jedoch sollten die neuen hinzugefügt werden. In unserem Beispiel existiert ein dedizierter Port (port2) der exklusiv für die Swisscom Verbindung benutzt wird und deren Segment darstellt. Nachfolgend einen Ueberblick über das Environment der Swisscom für unser Beispiel: 

       Datei:STUE WSTA.pdf
       Datei:STUE WLS.pdf

Wie schon erwähnt benötigen wir für die MOBILE-EAPSIM oder Swisscom_Auto_Login Authentifizierung einen Radius Server. Erstelle diesen unter: 

       User > Remote > RADIUS

       Datei:Fortinet-315.jpg

Das "Primary Server Secret" wir dauch Preshared Secret genannt und wird auf dem Radius Server konfiguriert. Dies bedeutet: in unserem Fall muss dies der Swisscom Radius Verantwortliche übermitteln! Zusätzlich muss dem Verantwortlichen der Swisscom mitgeteilt werden, in welcher Art und Weise die MAC Adresse übermittelt wird um die nötige Konfiguration auf der Swisscom Seite betreffend Accounting durchzuführen. Diese bdeutet wiederum: 

       • Standard Format Beispiel: 0000.4096.3e4a
       • Unformatiert Beispiel:    000040963e4a

Der Swisscom Radius Server in unserem Beispiel arbeitet noch mit dem "old radius port" dh. nicht mit TCP Port 1812 sondern mit TCP Port 1645. Eine FortiGate benützt per Standard TCP Port 1812 und somit muss dieser umkonfiguriert werden auf TCP Port 1645: 

       # config system global
       # get | grep radius-port
       # set radius-port 1645
       # get | grep radius-port
       # end

Um die Radius Server Konfiguration/Anbindung zu überprüfen siehe nachfolgender Artikel: 

       FortiGate-5.0-5.2:FAQ#Wie_kann_ich_einen_Radius_Server_Anbindung_Troubleshooten.3F

Für die Konfiguration der SSID "MOBILE oder Swisscom" und "MOBILE-EAPSIM oder Swisscom_Auto_Login" gehe folgendermassen vor: Als Erstes erstelle die SSID's "MOBILE und Swisscom" und "MOBILE-EAPSIM / Swisscom_Auto_Login" unter folgendem Punkt: 

       WiFi Controller > WiFi Network > SSID

       Datei:Fortinet-310.jpg

Die IPv4 Adresse plus Subnet 10.41.19.2/24 representiert das virtuelle Interface der SSID dh. diese IPv4 Adresse wird der SSID zugewiesen und auf einer Fortigate wird durch diese IPv4 Adresse ein virtuelles Interface unter folgenden Punkt erstellt: 

       System > Network > Interface

       Datei:Fortinet-311.jpg

Die IPv4 Adresse plus Subnet 10.41.18.2/24 representiert das virtuelle Interface der SSID dh. diese IP wird der SSID zugewiesen und auf einer Fortigate wird durch diese IPv4 Adresse ein virtuelles Interface unter folgenden Punkt erstellt: 

       System > Network > Interface

Nun erstelle ein WTP Profile in dem die zwei/vier SSID's hinzugefügt werden: 

       WiFi Controller > Manage Access Points > Custom AP Profile
       
       Datei:Fortinet-312.jpg

Belasse alle Einstellungen zu Beginn auf Standard Werte. Nachträglich können diese Optimiert werden! Füge die zwei/vier SSID's "MOBILE und Swisscom" und "MOBILE-EAPSIM und Swisscom_Auto_Login" unter SSID den entsprechenden "radio's" hinzu! Nun kann ein Forti Access Point zum Netzwerk hinzugefügt werden dh. dazu benötigen wir ein seperates Interface auf einer Fortigate sowie einen DHCP Server auf diesem Interface, dass den Forti Access Point für das Management über den DHCP Server die entsprechende IPv4 Adresse vergibt. In unserem Beispiel haben wir ein dezidiertes Forti Access Point Interface dh. "port1": 

       System > Network > Interface

       Datei:Fortinet-313.jpg

Erstelle den dazugehörigen DHCP Server der entsprechenden IPv4 Adressen vergibt für das Management der Forti Access Points: 

       System > Network > [Interface] > DHCP Server

       Datei:Fortinet-314.jpg

Nun kann der Forti Access Point an "port1" resp. in diesem IPv4 Segment angeschlossen werden! Damit ein Forti Access Point mit dem FortiGate Wireless Controller komunizieren kann muss CAPWAP (UDP-5246) anhand Broadcast, Multicast sowie Unicast auf diesem Segmment über die Switches erlaubt werden. Nun muss das vorhergehende WTP Profil "Swisscom-HotSpot" auf den entsprechenden Forti Access Points hinzugefügt werden: 

       WiFi Controller > Manage Access Points > Manage FortiAP

Sobald der Forti Access Point ersichtlich ist, Doppelklicke den Eintrag dieses Forti Access Point und wähle: 

       Authorize

Nun kann unten das entsprechende WTP Profile geladen werden dh. "Swisscom-HotSpot". Wenn das entsprechende WTP Profile dem Forti Access Point zugewiesen wird dauert es ca. 3 - 4 Minuten bis dieser Forti Access Point wiederum mit dem geladenen WTP Profile erscheint! Im Grundsatz sind die Forti Access Point nun konfiguriert und einsatzbereit. Jedoch die angemeldeteten Wireless Clients/Hosts müssen vom DHCP Server der Swisscom eine IPcv4 Adresse zugewiesen bekommen. Bei "MOBILE und Swisscom" geschieht dies "ohne" eine Authentifizierung (Open). Bei "MOBILE-EAPSIM und Swisscom_Auto_Login" wird erst eine IPv Adresse vergeben, wenn die Authentifizierung über den Radius per EAPSIM (Sim Karte) erfolgreich war. Zusätzlich wird die MAC Adresse des Gerätes benutzt um ein Accounting durchzuführen. Da die IP's von der Swisscom Seite vergeben werden, benötigen wir auf den entsprechenden SSID's einen DHCP Relay Server. Erstelle diese auf den virtuellen Interfaces der SSID von MOBILE und Swisscom sowie MOBILE-EAPSIM / Swisscom_Auto_Login. Die IP's die dem Client vergeben werden kommen aus demselben IP Range inwelcher sich die SSID ebenfalls befindet. Dies bedeutet in unserem Beispiel: 

       • SSID MOBILE / Swisscom                    (10.41.19.0/24, 10.41.19.2/24 SSID , 192.168.10.1 DHCP Server Swisscom, 192.168.10.2 FortiGate port2)
       • SSID MOBILE-EAPSIM / Swisscom_Auto_Login  (10.41.18.0/24, 10.41.18.2/24 SSID , 192.168.10.1 DHCP Server Swisscom, 192.168.10.2 FortiGate port2)

       System > Network > [Interface] > DHCP Server
       
       Datei:Fortinet-316.jpg

       Datei:Fortinet-317.jpg

Nun fehlt nur noch das Routing dh. zwischen dem DHCP Server der Swisscom (192.168.10.1/24) und unserer FortiGate port2 (192.168.10.2/24) wurde ein kleines Transfer Segment/Subnet konfiguriert (192.168.10.0/24). Dieses dient dazu das Routing zu kontrollieren dh. die Clients für die SSID's MOBILE / Swisscom und MOBILE-EAPSIM / Swisscom_Auto_Login Authentifizieren sich in diesem Segment, beziehen die IPv4 Adresse sowie browsen über dieses Segment. Dies bedeutet: sämtlicher Traffic von diesen SSID's muss über "port2" (192.168.10.2/24) auf den next Hop (192.168.10.1/24) geroutet werden. Dazu benötigen wir eine Policy Route im Layer 4 die vor dem normalen Routing Layer 3 greift: 

       Router > Static > Policy Route
       
       Datei:Fortinet-318.jpg

       Datei:Fortinet-319.jpg

Damit die IPv4 Adresse des Radius Server "129.132.254.70" ebenfalls korrekt geroutet wird muss ein entsprechender Statischer Routing Eintrag konfiguriert werden: 

       Router > Static > Static Route
       
       Datei:Fortinet-320.jpg

Nun fehlt nur noch die Firewall Policy Rule: 

       Datei:Fortinet-321.jpg

       Datei:Fortinet-322.jpg

Nun können die ersten Test's durchgeführt werden. Um diese zu verifizieren empfiehlt es sich auf dem entsprechenden Interface (port2) einen Sniffer über die Console laufen zu lassen: 

       # diagnose sniffer packet port2

Im nachfolgenden Beispiel sieht man zB die Packete der Radius Authentifizierung über Port 1645, ARP requests sowie DNS Anfragen auf den per DHCP Server zugewiesenen DNS Server der Swisscom "195.186.216.32.53": 

       4022.990201 arp who-has 192.168.10.1 tell 192.168.10.2
       4022.991054 arp reply 192.168.10.1 is-at 0:a:f4:3b:54:40
       4029.388283 192.168.10.2.1235 -> 129.132.254.70.1645: udp 501
       4032.390054 192.168.10.2.1235 -> 129.132.254.70.1645: udp 501
       4034.415427 192.168.10.2.1235 -> 129.132.254.70.1645: udp 501
       4037.420104 192.168.10.2.1235 -> 129.132.254.70.1645: udp 501
       4038.429891 192.168.10.2.1235 -> 129.132.254.70.1645: udp 501
       4039.445473 192.168.10.2.1235 -> 129.132.254.70.1645: udp 501
       4041.994059 10.41.19.67.60034 -> 195.186.216.32.53: udp 35
       4042.449809 192.168.10.2.1235 -> 129.132.254.70.1812: udp 501
       4043.449925 192.168.10.2.1235 -> 129.132.254.70.1812: udp 501
       4044.474628 192.168.10.2.1235 -> 129.132.254.70.1812: udp 501
       4046.369660 arp who-has 192.168.10.1 tell 192.168.10.2
       4046.370483 arp reply 192.168.10.1 is-at 0:a:f4:3b:54:40

Für das bessere Verständnis Folgendes: Auf der Swisscom Seite ist die Authentifizierung für MOBILE-EAPSIM / Swisscom_Auto_Login auf dem Cisco WLC (Wireless Controllers) mit "WEP-104bits" konfiguriert. Im ersten Augenblick sieht es so aus, dass eine auf unserer Seite Konfigurierte WPA2-Enterprise nicht funktionieren würde. Der Grund das dies dennoch funktioniert, ist das diese WPA2-Enterprise Transparent ist zu einer EAP-SIM Authentifizierung. Im Klartext bedeutet dies: Auf der FortiGate Seite wird so eine Authentifizierung folgendermassen durchgeführt (EAP-SIM Flow): 

       Datei:Fortinet-323.jpg

Wie erstelle ich für einen Forti Access Point ein sicheres WLAN Passwort und was ist dabei zu beachten?

Damit niemand in ein WLAN einbrechen kann, sollte als Verschlüsselungsverfahren auf dem Forti Access Point mindestens WPA2 konfiguriert sein. Die Vorgänger WEP und WPA lassen sich mit etwas Know-how knacken! Ebenso Wichtig: Das WLAN-Passwort sollte möglichst lang und komplex sein. Denkt man sich selbst ein Passwort aus, neigt man dazu, ein leicht zu merkendes und daher auch leicht knackbares Paswwort zu wählen. Diese Aufgabe kann einem Tool übergeben werden wie zB "RK-WLAN-Keygen". Sobald das Tool installiert ist, wählen aus dem Ausklappmenü unter "SSID/Schlüsseltyp" den Punkt "WPA-PSK/WPA2-PSK Passphrase ASCII 8-63 Zeichen". Im Abschnitt darunter lege fest, welche Zeichentypen für die Generierung verwendet werden sollen. Die dritte Option "0-9, A-Z, a-z + erweiterte Sonderzeichen" ist dabei die sicherste Variante. Allerdings können dann in dieser Variante auch Umlaute dabei sein, die in der deutschen Tastenbelegung nicht enthalten sind. Ein guter Kompromiss ist daher die zweite Option "0-9, A-Z, a-z + Sonderzeichen". Als Nächstes gilt es noch, über den Schieberegler die gewünschte Passwortlänge zu wählen. Das Optimum sind 63 Zeichen. Klicken auf "Schlüssel generieren". Wenn einem das Passwort nicht zusagt, klicken abermals um ein Anderes zu erhalten. Der Schlüssel liegt nun auch automatisch in der Windows-Zwischenablage und kann über Ctr + V in das entsprechende Feld des Forti Access Point kopiert werden. Außerdem sollten Sie ihn ausdrucken und/oder in einer Datei an einem sicheren Ort speichern.

Wie kann ich für eine Forti Access Point SSID ein lokales "Captive Portal" konfigurieren?

Ein "Captive Portal" kann dann konfiguriert/benutzt werden, wenn der Traffic der Wireless Clients/Hosts über CAPWAP (UDP-5246) zum FortiGate Wirless Controller übermittelt wird. Dies bedeutet: Ein "Captive Portal" kann nicht benutzt/konfiguriert werden, wenn für eine SSID "Local bridge with FortiAP's Interface" benutzt wird da dieser Traffic nicht zum FortiGate Wireless Controller übermittelt wird sondern direkt über das Interface (Bridge Mode) des Forti Access Point in ein Netzwerk Segement (Local Break-Out). Ein "Captive Portal" wird über folgende Position im Mgmt. Web Interface der FortiGate konfiguriert: 

       WiFi Controller > WiFi Network > SSID > Create New > Security Mode > Captive Portal

       Fortinet-1294.jpg

Neu ab FortiOS 5.2 stehen im Zusamenhang mit dem "Captive Portal" neue Funktionen zur Verfügung! Speziell sind zwei Funktionen zu erwähnen dh. "Authentication Portal" sowie "Redirect after Captive Portal". Bei der Position "Authentication Portal" kann nun neu ab FortiOS 5.2 auch ein externes Portal dh. das sich nicht auf der FortiGate befindet, benutzt werden. Die Funktion "Redirect after Captive Portal" ermöglich nun neu die eingegebenen URL des User's nach der Authentifizierung weiterzuverarbeiten! Ebenso kann anhand der "Exempt List" von der "regulären Gruppe" (User Groups) Ausnahmen definiert werden! Diese "Exempt List" kann jedoch nur verwendet werden, wenn die entsprechende Gruppe (User Groups) innerhalb der SSID benutzt wird. Weitere Informationen betreffend der Benutzung sowie Konfiguration eines externen "Captive Portals" siehe nachfolgenden Artikel: 

       FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_eine_Forti_Access_Point_SSID_ein_externes_.22Captive_Portal.22_konfigurieren.3F
            
       Fortinet-1295.jpg

Um ein "Captive Portal" innerhalb einer SSID auf der Kommandozeile zu konfigurieren führe folgendes aus: 

       # config wireless-controller vap
       # edit [Name der entsprechenden SSID]
       # set security captive-portal
       # set portal type [auth | auth+disclaimer | disclaimer | email-collect]
       # set security-exempt-list [Name der "Exempt List" (config user security-exempt-list)]
       # end
       # end

Wenn eine "Exempt List" (security-exempt-list) konfiguiert werden soll muss zuerst diese "Excempt List" definiert werden. Bei der "Exempt List" werden IPv4 Adressen/Subnet/Gruppen definiert die sich nicht anmelden müssen über das "Captive Portal" dh. diese können sich ohne Authentifizierung und ohne "Captive Portal" sowie "Disclaimer" verbinden! Die "Excempt List" wird folgendermassen konfiguriert: 

       # config user security-exempt-list
       # edit [Name der Liste
       # config rule
       # edit [Vergebe einen entsprechenden Integer zB 1]
       # set description [Bezeichnung der Liste Optional]
       # set devices [Definition der Device Kategory zB ipad iphone linux-pc; für mehr Info benutze ?]
       # set srcaddr [IPv4 Adresse/Subnet/Gruppen durch Leerschlag getrennt]
       # end
       # end
       # end

Wie kann ich für eine Forti Access Point SSID ein externes "Captive Portal" konfigurieren?

Unter folgenden Artikel sind sind die Möglichkeiten eines "Captive Portals" beschrieben: 

       FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_eine_Forti_Access_Point_SSID_ein_lokales_.22Captive_Portal.22_konfigurieren.3F

Wie in diesem Artikel beschrieben, ist es möglich ab FortiOS 5.2.3 ein externes "Captive Portal" zu benutzen anstelle des FortiGate "Captive Portals". Dies sollte dann benutzt werden, wenn das FortiGate "Captive Portal" nicht die HTML/Web Konfiguration zulässt die für das "Captvie Portal" notwendig ist wie zB Dynmaischer Inhalt der Seite usw. da solche Inhalte in den "Replacement Message" Page auf einer FortiGate nicht konfiguriert werden können. Nachfolgend wird gezeigt wie so ein Workflow eines externen "Captive Portal" aussieht: 

       L3 External Web Authentication Workflow
       
       Fortinet-1365.jpg

In diesem "Workflow" wird ein Beispiel gezeigt im Zusammenhang mit Radius Server dh. zB einem FortiAuthenticator. Dies bedeutet: Ab dem Zeitpunkt "Submit login form (username, password) via a POST method to FGT" werden die entsprechenden Login Informationen zur FortiGate übermittelt und verarbeitet. Ob nun ein Active Directory auf der FortiGate konfiguriert wurde oder Lokale User ist irrelevant dh. Wichtig ist das die entsprechenden Informationen anhand "POST methode" der FortiGate übermittelt werden! 

       Konfiguration der SSID mit der Definition des external Captive Portal"
       
       Als Erstes muss eine entsprechende SSID konfiguriert werden. Inerhalb dieser SSID wird das external Captive Portal 
       gewählt mit dessen IPv4 Adresse sowie URL Path. Ebenso muss eine entsprechende Gruppe definiert werden in der sich 
       die User befinden oder auf einen zB Radius Server (FortiAuthenticator) verwiesen wird:
       
       Fortinet-1366.jpg
       
       Für die definierte Gruppe kann ebenfalls eine "Exempt List" definiert werden. Weitere Informationen wie diese zu 
       konfigurieren ist siehe nachfolgenden Artikel:
            
       FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_eine_Forti_Access_Point_SSID_ein_lokales_.22Captive_Portal.22_konfigurieren.3F
            
       Wenn die Konfiguration der SSID auf der Kommandozeile durchgeführt werden soll benutze folgende Befehle:
            
       # config wireless-controller vap
       # edit [Name der SSID]
       # set vdom [Name der VDOM per Standard "root"]
       # set ssid [Name der SSID]
       # set security captive-portal
       # set selected-usergroups [Name der Gruppe für die Authentifizierung]
       # set security-exempt-list [Name der "Exempt List"]
       # set security-redirect-url  [Name der URL die nach einer erfolgreichen Authentifizierung aufgerufen werden soll zB "http://www.also.com"]
       # set intra-vap-privacy enable
       # set local-switching disable
       # set external-web [IPv4 Adresse sowie URL Path zum external Captive Portal zB nach unserem Beispiel "192.168.234.51/portal.php"]
       # next
       # end
       
       Wenn die Option "security-redirect-url" nicht gesetzt ist resp. keine entsprechende URL konfiguriert wurde, wird 
       die "Orginal Anfrage" des Users ausfgeführt anstelle des "redirect's". Die "Exempt List" Definition erlaubt "ohne 
       Authentifizerung" auf das externe "Captive Portal" zu zugreifen. Für die Option "security-exempt-list" ist folgendes 
       auszuführen:
       
       # config user security-exempt-list
       # edit [Name der "Exempt List"]
       # config rule
       # edit 1
       # set devices [Name der Devices zB "ip-phone"]
       # next
       # edit 2
       # set srcaddr [Name des Objektes der Source Adressen zB der SSID des "externen" Captive Portals]
       # next
       # end
       # next
       # end
       
       Wenn die Option "external-web" nicht gesetzt wird so wird das "Captive Portal" der FortiGate aufgerufen. In der 
       Option "external-web" muss nicht explizit http oder https aufgeführt werden da http und/oder https über das 
       folgendende Kommando gesteuert wird:
       
       # config user setting
       # set auth-secure-http [disable | enable]
       # end
                 
       Die Option "auth-secure-http" ist per Standard mit "disable" konfiguriert dh. der User wird der ein "http" Anfrage 
       ausführt für eine Authentifizierung wird "nicht" auf "https" weitergeleitet (redirect)!

       Konfiguration der Firewall Policy Rule für den Zugriff auf das externe "Captive Portal"
       
       Nun muss eine sogenannte "Walled Garden Policy" erstellt werden. Dies bedeutet folgendes: In der nachfolgend 
       Firewall Policy Rule wird erlaubt, dass User die verbunden sind mit der SSID des externen "Captive Portals" 
       sich ohne Authentifizierung zu diesem externen "Captive Portal" verbinden dürfen um eine Authentifizierung 
       durchzuführen. Die Option "captive-protal-exempt enable" ermöglicht dies obwohl eine SSID konfiguriert ist 
       mit einer Authentifizierung:
       
       # config firewall address
       # edit [Name des Objekts für die IPv4 Adresse des "external" Captive Portal zB "web-portal-192.168.234.51"]
       # set subnet 192.168.234.51 255.255.255.255
       # next
       # end
       
       # config firewall policy
       # edit [Vergebe einen entsprechender Integer für die Policy]
       # set srcintf [Name der SSID für das "externe" Captive Portal]
       # set dstinf [Name des Interface hinter der sich der "externe" Captive Portal befindet]
       # set srcaddr "all"
       # set dstaddr [Name des Objektes für das "externe" Captive Portal zB "web-portal-192.168.234.51"]
       # set action accept
       # set schedule "always"
       # set service "ALL"
       # set caprive-portal-exempt enable
       # next
       # end

Die Grundkonfiguration für den Zugriff für das externe "Captive Portal" ist nun gegeben. In der SSID wurde das externe "Captive Portal" mit dessen IPv4 Adresse und URL konfiguriert. In unserem Beispiel ist das: 

       192.168.234.51/portal.php

Das File "portal.php das unser externes "Captive Portal" darstellt, muss nun die entsprechende HTML/PHP Konfiguration beinhalten um den "Method POST" durchzuführen. Nachfolgend ein Beispiel des Inhaltes ein entsprechendes "portal.php": 

     --------------- portal.php ---------------
     
     <?php
      
      define('login', 'login');
      define('success', 'auth=success');
      define('fail', 'auth=failed');
      define('logout', 'logout=ok');
      
      function getLeft($urlstring, $key) 
      {
      	$key_pos = strpos($urlstring, $key);
      	return substr($urlstring, 0, $key_pos);
      }
      
      function getRight($urlstring, $key) 
      {
      	$key_pos = strpos($urlstring, $key);
      	return substr($urlstring, $key_pos);
      }
      
      $myqury = $_SERVER['QUERY_STRING'];
      $auth_string = 'fgtauth';
      $magic = 'magic=';
      $needle = '&';
      $fgt_post = "post=";
      
      if (stristr($myqury, login)) {
      	$pos = strpos($myqury, $fgt_post);
      	if ( $pos > 0 ) {
      		$start = $pos + strlen($fgt_post);
      		$fgt_url = substr($myqury, $start);
      		$post_url = getLeft($fgt_url, $auth_string);
      		$other_var = getRight($fgt_url, $magic);
      		$magic_pair = getLeft($other_var, $needle);
      		$magic_id = substr($magic_pair, strlen($magic));
      
      		$pre_act ='<table width="300" border="0" align="center" cellpadding="0" cellspacing="1" bgcolor="#CCCCCC">
      <tr>
      <form name="form1" method="post" action='; 
      		$post_act = '>
      <td>
      <table width="100%" border="0" cellpadding="3" cellspacing="1" bgcolor="#FFFFFF">
      <tr>
      <td colspan="3"><strong>Test Login</strong></td>
      </tr>
      <input type="hidden" name="magic" value=';
      		$post_magic = '> 
      <tr> 
      <td width="78">Username</td>
      <td width="6">:</td>
      <td width="294"><input name="username" type="text" id="username">
      </td>
      </tr>
      <tr>
      <td>Password</td>
      <td>:</td>
      <td><input name="password" type="text" id="password"></td>
      </tr>
      <tr>
      <td> </td>
      <td> </td>
      <td><input type="submit" name="Submit" value="Login"></td>
      </tr>
      </table>
      </td>
      </form>
      </tr>
      </table>';
      		$login_form = $pre_act . $post_url . $post_act . $magic_id . $post_magic;
      		echo $login_form;
      	} else {
      		echo "login command without post url";
      	}
      }
      
      $mycmd = strtolower($myqury);
      
      switch($mycmd) {
      	case success:
      		echo "here is success page";
      		break;
      	case fail:
      		echo "here is fail page";
      		break;
      	case logout:
      		echo "here is logout page";
      		break;
      }
      
      ?>
     
     --------------- portal.php ---------------

Der letzte Schritt der Konfiguration der nun vollzogen werden muss, ist was durchgeführt werden soll wenn die Authentifizierung auf dem externen "Captive Portal" erfolgreich durchgeführt wurde. Dabei gibt es zwei Möglichkeiten: 

       1. In der SSID ist die folgende Option gesetzt:
          
          # config wireless-controller vap
          # edit [Name der SSID]
          # set vdom [Name der VDOM per Standard "root"]
          # set security-redirect-url  [Name der URL die nach einer erfolgreichen Authentifizierung aufgerufen werden soll zB "http://www.also.com"]
          # end
          
          Wenn diese Option benutzt wird so wird der User automatisch nach einer erfolgreichen Authentifizierung zu dieser konfigurierten
          "security-redirect-url" weitergeleitet und es benötigt keine zusätzliche Konfiguration!

       2. In der SSID ist die Option "security-redirect-url" nicht gesetz:
          
          In so einer Situation wird die Orginal URL benützt die der User zu Beginn benutzt hat. Damit der User nach einer erfolgreichen 
          Authentifizierung zu dieser orginal URL weitergeleitet wird, muss die entsprechende "Replacement Message" Group konfiguriert 
          werden. Diese "Replacment Message" Groups arbeiten mit "tags" die dies ermöglichen. Nachfolgend ein Beispiel das für unsere 
          Konfiguration benützt werden kann:
          
          # config system replacemsg auth "auth-success-page"
              set buffer "<html>
            <head>
              <title>
                Firewall Authentication
              </title>
            </head>
            <body>
              If JavaScript is not enabled, please
             <a href=\"%%AUTH_REDIR_URL%%\">
                click here
              </a>
              to continue.
              <script language=\\\"JavaScript\\\">
                window.location=\\\"%%AUTH_REDIR_URL%%?usermac=%%USER_MAC%%&apmac=%%AP_MAC%%&apip=%%AP_IP%%&userip=%%USER_IP%%&device_type=%%DEVICE_TYPE%%&continueURL=%%PROTURI%%&portalAddr=%%PORTAL_ADDR%%&redirectURL=%%AUTH_REDIR_URL%%\\\";
              </script>
            </body>
          </html>"
          end

Weitere Informationen zu den "Replacement Message" Groups siehe auch nachfolgender Artikel: 

       FortiGate-5.0-5.2:FAQ#Was_sind_.22Replacement_Message_Groups.22_und_wie_verwende_ich_diese.3F

Wie kann ich für einen Forti Access Point Traffic für ein "Captive Portal" ohne Authentifizierung erlauben?

Ein User der eine Anfrage für eine bestimmte Domaine/Zieladresse durchführt, wird automatisch beim ersten Aufruf dieser Domain/Zieladresse zum entsprechenden "Captive Portal" - das für die entsprechende SSID konfiguriert wurde - weitergeleitet. Nachdem der User sich korrekt auf dem "Captive Portal" authentifiziert hat, wird die Anfrage des Users für die Domaine ausgeführt. Wenn man nun für eine bestimmte Domaine/Zieladresse keine Authentifizierung über das "Captive Portal" benützen möchte dh. wenn der User diese Domaine/Zieladresse aufruft, wird dieser direkt "ohne Authentifizierung auf dem Captive Portal" direkt zur entsprechender Domaine/Zieladresse weitergeleitet. Um dies zu konfigurieren muss eine bestimmte Policy erstellt werden und in dieser die Option "captive-portal-exempt" aktiviert werden. Diese Option steht ab FortiOS 5.2 zur Verfügung. Um die Konfiguration durchzuführen führe folgendes aus: 

       Erstellen eines Objektes für Domaine die erlaubt werden soll
       
       # config firewall address
       # edit "also.com"
       # set type fqdn
       # set fqdn "also.com"
       # next
       # end

       Erstellen der Firewall Policy und Aktivierung der Option
       
       # config firewall policy
       # edit 
       # set srcintf "[Name der SSID auf dem ein Captive Portal konfiguiert wurde]"
       # set dstintf "wan1"
       # set srcaddr "all"
       # set dstaddr "[Name des Adresss Objektes das wir erstellt haben zB "also.com"]"
       # set action accept
       # set schedule "always"
       # set service "[Gebe den entsprechenden Service an zB HTTP]"
       # set captive-portal-exempt enable
       # set nat enable
       # next
       # end

Wird für eine Forti Access Point SSID Radius Server Authentifizierung die Funktion "Accounting" unterstützt?

Wenn ein zB WPA2-Enterprise Authentifizierung über Radius Server für eine SSID konfiguriert wird so wir Radius "Accounting" ab FortiOS 5.2 unterstützt. Bei der Radius "Accounting" Funktion handelt es sich um folgendes: Bei der Radius Authentifizierung wird IPv4 Adresse sowie Usernamen zum Radius Server übermittelt. Wenn Radius "Accounting" auf dem Radius Server benutzt wird, beginnt nach einer erfolgreichen Authentifizierung eine interne "Zurechnung". Diese interne "Zurechnung" wird benutzt um zu entscheiden ob die konfigurierte Zeit für eine Verbindung abgelaufen ist und/oder wieviel Zeit abgelaufen ist. Je nach Konfiguration zB bei Ablauf einer vorgegebener Zeit auf dem Radius Server, sendet dieser dem zuständigen Device zB der FortiGate eine "Accounting" Nachricht, dass die Authentifizierung des User's/IP abgelaufen ist. Danach wird die Authentifizierung des User's/IP als ungültig erklärt. Dies Art des "Accounting" wird zB bei Wireless HotSpot's wie Swiccom benützt um Abrechnung zu erstellen und/oder Zugriffe zu steuern. FortiOS 5.0 unterstützt keine Radius Server "Accounting" Funktion. Weitere Informationen betreffend dem Radius Protokoll findet man unter folgenden Link: 

       http://de.wikipedia.org/wiki/RADIUS_(Protokoll)

Um eine Radius Server "Accounting" Funktion seitens FortiGate zu konfigurieren muss folgendes durchgeführt werden: 

       # config user radius
       # edit [Gebe den entsprechenden Namen ein]
       # config accounting-server
       # edit 1
       # set status enable
       # set server [IPv4 Adresse des Radius Servers]
       # set secret [Definition des Preshared Secrets]
       # end
       # set acct-interim-interval [Zeitintervall in Sekunden 600 - 86400 Sekunden]
       # end

Durch diese Konfigurtion sendet die FortiGate dem Radius Server Update Benachrichtigungen betreffend dem "Accounting" durch die konfigurierte "acct-interim-interval" Funktion! Durch die Konfiguration "acct-interim-interval" wird im Hintergrund auf dem API des Radius Servers folgende Information dem Radius Server gesendet, der dieses API unterstüzen/verstehen muss: 

       Acct-Interim-Interval=600

Wie wird für eine Forti Access Point SSID Authentifizierung einen MAC Filter (802.11x) Konfiguriert?

Praktisch jeder Wireless Access Point bietet die Möglichkeit den Zugang zur SSID einzuschränken anhand einer vordefinierten und eingetragener MAC-Adresse (Filter). Eine MAC Adresse (Media Access Control) ist ein 48-Bit lange Adresse im Hexadezimalcode. Jeder Netzwerk basierende Device ist mit einer solchen MAC Adresse ausgestattet und diese wird, um den Datenaustausch zu gewährleisten, über "arp request" zwischen den Devices ausgetauscht. Somit wäre diese MAC Adresse eigentlich eine gute Möglichkeit einen Zugriff einzuschränken jedoch ist folgendes zu berücksichtigen: 

       Diese MAC Adresse wird nicht durch den Device selber einem Teilnehmer (Device) im Netzwerk weitergegeben sondern über das 
       Betriebssystem. Somit ist es möglich die Information auf dem Betriebssystem zu verändern dh. manuell die Mac Adresse des 
       Devices zu verändern. Dies ist auch bekannt als "MAC-Spoofing" (Vorgabe einer fingierten MAC Adresse). Um ein "MAC-Spoofing" 
       durchzuführen muss man nur den Wireless Traffic sniffen (abhören), denn die Informationen des MAC Adressen Austausch (arp 
       request) werden "clear-text" übertragen. Somit ist eine reine Authentifizierung basierend auf MAC Adressen absolut nicht zu 
       empfehlen kann jedoch als zusätzliche Security Implementation konfiguriert werden!

Nichts desto trotz stellt jedoch eine MAC Adressen basierende Authentifizierung eine gute Möglichkeit dar, den Zugriff zusätzlich einzuschränken. Dabei kann zB der DHCP Server der SSID von "assign" auf "block" gesetzt werden. Dadurch vergiebt der DHCP Server nur IPv4 Adressen an Devices die im DHCP Server mit deren MAC Adressen eingetragen sind (MAC Adress Filer + IP Reservation). Im Zusammenhang mit einer WPA/WPA2 Authentifizierung kann somit durch dies Konfiguration eine zusätzliche Sicherheit gewährleisten werden. Zusätzlich kann ebenfalls eine "Device Authentification" durchgeführt werden dh. es werden nur Devices zugelassen wie zB IPhone's. Nachfolgendes Beispiel zeigt eine solche Erweiterung basierend auf MAC Adressen und Device Authentication. Basis dafür ist eine SSID basierend auf einer "wpa-personal" Authentifizierung. Diese Konfiguration kann jedoch mit jeglicher Authentifizierung durchgeführt werden: 

       Erstelle eine neue SSID basierend auf "wpa2-only-personal":
       
       # config wireless-controller vap
       # edit [Name der entsprechenden SSID zB "only4intern"]
       # set vdom "root"
       # set ssid [Name der entsprechenden SSID zB "only4intern"]
       # set intra-vap-privacy enable
       # set security [Setze die entsprechende Security für die SSID zB "wpa2-only-personal"]
       # set passphrase [Passwort für die "wpa-personal" Authentifizierung]
       # end

       Konfiguriere das Interface für die SSID:
       
       # config system interface
       # edit [Name der entsprechenden SSID zB "only4intern"]
       # set ip [IPv4 Adresse für das Interface der SSID zB "192.168.3.1 255.255.255.0"]
       # set allowaccess ping
       # set device-identification enable
       # end

       Definiere für das Interface der SSID eine DHCP Server basierend auf "block":
       
       # config system dhcp server
       # edit [Definiere einen entsprechenden Integer zB "5"]
       # set mac-acl-default-action [Setze den DHCP Server von "assign" auf "block"]
       # set dns-service default
       # set ntp-service default
       # set default-gateway [IPv4 Adresse für Default Gateway zB "192.168.3.1"]
       # set interface [Defniere das Interface für diesen DHCP Server zB "only4intern"]
       # set timezone-option default
       # set netmask [Konfiguriere die Subnet Mask für den IP Range des DHCP Servers zB "255.255.255.0"]
       # config ip-range
       # edit [Definiere einen entsprechenden Integer zB "0"]
       # set start-ip [Definiere die Start IPv4 Adresse des DHCP Servers zB "192.168.3.2"]
       # set end-ip [Definiere die End IPv4 Adresse des DHCP Servers zB "192.168.3.254"]
       # end
       # end

       Trage eine entsprechende MAC Adresse eines Device für den DHCP Server der SSID ein:
       
       # config system dhcp server
       # edit [Gebe einen entsprechenden Integer an zB "5"]
       # config reserved-address
       # edit [Gebe einen entsprechenden Integer an zB "0"]
       # set mac [Definiere die entspechende MAC Adresse zB "94:65:9c:74:47:c6"]
       # set ip [Definiere die IPv4 Adresse die der MAC Adresse zugewiesen werden soll zB "192.168.3.2"]
       # end
       # end

Da der DHCP Server von "assign" auf "block" gesetzt wurde, werden keine IPv4 Adressen durch den DHCP Server vergeben mit Ausnahme für Devices die anhand des "MAC Reservation + Access Control" definiert wurden. Diese Konfiguration kann ebenfalls über Mgmt. Web Interface durchgeführt werden für das entsprechenden Interface des FortiGate Devices dh.: 

       System > Network > [Markiere den Eintrag des Interface der SSID] > Edit > DHCP Server > Advanced > MAC Reservation + Access Control > Create New

Unter dieser Positon existiert ein "Standard Eintrag" dh. "Unknown MAC Adresses Block" der zuständig ist das nur definierten MAC Adressen eine IP zugewiesen wird! 

       Konfiguriere für den DHCP Server der SSID eine Device Authentication:
       
       # config user device-access-list 
       # edit [Gebe einen Namen ein für die "device-access-list" zB "whitelist"]
       # set default-action deny
       # config device-list
       # edit [Gebe einen Integer ein zB "1"]
       # set device [Definiere den entsprechenden Device zB "iphone" (Für mehr Infos benütze "?"]
       # set action accept 
       # next
       # end
       # end
       
       # config system interface
       # edit only4intern 
       # set device-identification enable
       # set device-access-list [Konfiguriere die entsprechende "device-access-list" zB "whitelist"]
       # next
       # end

Ein Device und/oder eine Gruppe von Devices kann ebenfalls manuell definiert werden. Dies ist über Mgmt. Web Interface über folgenden Menüpunkt verfügbar: 

       User & Device > Device > Device definition > Create New

Weitere Informationen beteffend "config user devcie-access-list" findet man auch unter folgenden Artikel: 

       FortiGate-5.0-5.2:FAQ#Wie_kann_ich_.C3.BCber_die_Device_Identification_Funktion_anhand_einer_Mac_Adresse_einen_Device_blocken_.28802.11x.29.3F

Somit kann nur der Device mit der MAC "94:65:9c:74:47:c6" der über ein "IPhone" verfügt und vom DHCP Server die IP Adresse "192.168.3.2" zugewiesen wurde über "wpa2-personal" anhand des entsprechenden "Passwortes" auf die SSID "only4intern" zugreifen. Obwohl eine relativ einfache Security anhand "wpa2-personal" gewählt wurde konnte durch zusätzliche Filter die Security erhöht werden.

Wireless Health

Gibt es eine Möglichkeit die Forti Access Points über den FortiGate Wireless Controller zu überwachen (Health Monitor)?

Natürlich kann man die Forti Access Point über das entsprechende MIB File der FortiGate anhand SNMP überwachen. Die Möglichkeiten über SNMP die Forti Access Points zu überwachen sind jedoch beschränkt. Ab FortiOS 5.0.4 gibt es neu die Möglichkeit die über den FortiGate Wireless Controller angeschlossenen Forti Access Points über die neue Menüposition "Wireless Health" zu übewachen. Unter dieser Position stehen folgende "Widgets" für die Uberwachung zur Verfügung: 

       WiFi Controller > Monitor
       
       Fortinet-796.jpg
       Fortinet-797.jpg

Diese Widget's sind zum Teil basierend auf den Funktionen "ab-bgscan" (Background Scan) und/oder "spectrum-analysis" (Spectrum Analyse). Weitere Informationen siehe nachfolgender Artikel: 

       FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Background_Scan.2FSpectrum_Analyse.22_innerhalb_einer_WTP_Profile_Konfiguration.3F

WIDS

Was bedeutet die Funktion "WIDS" (Wireless IDS) innerhalb eines WTP Profiles eines Forti Access Points?

"Wireless IDS" (WIDS) ist ein Intrusion Detection System und steht ab FortiOS 5.0 zur Verfügung sowie überwacht den Wireless Traffic betreffend "security threats". Es erkennt diese und kann diese ebenfalls Reporten (Log). Wenn ein Angriff stattfindet, wird dieser auf der FortiGate ins Wireless Log geschrieben. Für Wireless IDS können verschiedenen Profile erstellt werden um folgenden "threats" zu erkennen: 

       • Unauthorized Device Detection
       • Rogue/Interfering AP Detection
       • Ad-hoc Network Detection and Containment
       • Wireless Bridge Detection
       • Misconfigured AP Detection
       • Weak WEP Detection
       • Multi Tenancy Protection
       • MAC OUI Checking

Per Standard existiert ein Standard Profil "default". Dieses Profile wird innerhalb eine Access Point WTP Profiles als "default" automatisch unter FortiOS 5.0 ausgewählt! Dies ist jedoch ab FortiOS 5.2 nicht mehr der Fall dh. für die WIDS Funktion wird per Standard kein Profile automatisch ausgewählt. Gleichzeitig wurde die Funktion des "Rogue AP" die unter FortiOS 5.0 eine seperate Konfiguration war in die WIDS Profile verschoben. Weitere Informationen betreffend "Rogue AP" findet man im nachfolgenden Artikel: 

       FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Rogue_AP.E2.80.99s.22_innerhalb_einer_WIDS_Konfiguration.3F

Das "default" Profile für WIDS enthält folgendes: 

       FortiOS 5.0
       
       WiFi Controller > WiFi Network > WIDS Profiles
       
       Fortinet1276.jpg
       
       # config wireless-controller wids-profile
       # edit default
       # get
       name                : default
       comment             : default wids profile
       used-by             :
       wireless-bridge     : enable
       deauth-broadcast    : enable
       null-ssid-probe-resp: enable
       long-duration-attack: enable
       long-duration-thresh: 8200
       invalid-mac-oui     : enable
       weak-wep-iv         : enable
       auth-frame-flood    : enable
       auth-flood-time     : 10
       auth-flood-thresh   : 30
       assoc-frame-flood   : enable
       assoc-flood-time    : 10
       assoc-flood-thresh  : 30
       spoofed-deauth      : enable
       asleap-attack       : enable
       eapol-start-flood   : enable
       eapol-start-thresh  : 10
       eapol-start-intv    : 1
       eapol-logoff-flood  : enable
       eapol-logoff-thresh : 10
       eapol-logoff-intv   : 1
       eapol-succ-flood    : enable
       eapol-succ-thresh   : 10
       eapol-succ-intv     : 1
       eapol-fail-flood    : enable
       eapol-fail-thresh   : 10
       eapol-fail-intv     : 1
       eapol-pre-succ-flood: enable
       eapol-pre-succ-thresh: 10
       eapol-pre-succ-intv : 1
       eapol-pre-fail-flood: enable
       eapol-pre-fail-thresh: 10
       eapol-pre-fail-intv : 1

       FortiOS 5.2
       
       WiFi Controller > WiFi Network > WIDS Profiles
       
       Fortinet1277.jpg
       
       # config wireless-controller wids-profile 
       # edit default 
       # get
       name                : default 
       comment             : Default WIDS profile. 
       used-by             : 
       ap-scan             : enable 
       ap-bgscan-period    : 600
       ap-bgscan-intv      : 1
       ap-bgscan-duration  : 20
       ap-bgscan-idle      : 0
       ap-bgscan-report-intv: 30
       ap-bgscan-disable-day: 
       ap-fgscan-report-intv: 15
       ap-scan-passive     : disable 
       rogue-scan          : disable 
       wireless-bridge     : enable 
       deauth-broadcast    : enable 
       null-ssid-probe-resp: enable 
       long-duration-attack: enable 
       long-duration-thresh: 8200
       invalid-mac-oui     : enable 
       weak-wep-iv         : enable 
       auth-frame-flood    : enable 
       auth-flood-time     : 10
       auth-flood-thresh   : 30 
       assoc-frame-flood   : enable 
       assoc-flood-time    : 10
       assoc-flood-thresh  : 30
       spoofed-deauth      : enable 
       asleap-attack       : enable 
       eapol-start-flood   : enable 
       eapol-start-thresh  : 10
       eapol-start-intv    : 1
       eapol-logoff-flood  : enable 
       eapol-logoff-thresh : 10
       eapol-logoff-intv   : 1
       eapol-succ-flood    : enable 
       eapol-succ-thresh   : 10
       eapol-succ-intv     : 1
       eapol-fail-flood    : enable 
       eapol-fail-thresh   : 10
       eapol-fail-intv     : 1
       eapol-pre-succ-flood: enable 
       eapol-pre-succ-thresh: 10
       eapol-pre-succ-intv : 1
       eapol-pre-fail-flood: enable 
       eapol-pre-fail-thresh: 10
       eapol-pre-fail-intv : 1

       FortiOS 5.4
       
       WiFi Controller > WIDS Profiles
       
       Fortinet-1696.jpg
       
       # config wireless-controller wids-profile 
       # edit default 
       # get
       name                : default
       comment             : default wids profile 
       ap-scan             : disable 
       wireless-bridge     : enable 
       deauth-broadcast    : enable 
       null-ssid-probe-resp: enable 
       long-duration-attack: enable 
       long-duration-thresh: 8200
       invalid-mac-oui     : enable 
       weak-wep-iv         : enable 
       auth-frame-flood    : enable 
       auth-flood-time     : 10
       auth-flood-thresh   : 30
       assoc-frame-flood   : enable 
       assoc-flood-time    : 10
       assoc-flood-thresh  : 30
       spoofed-deauth      : enable 
       asleap-attack       : enable 
       eapol-start-flood   : enable 
       eapol-start-thresh  : 10
       eapol-start-intv    : 1
       eapol-logoff-flood  : enable 
       eapol-logoff-thresh : 10
       eapol-logoff-intv   : 1
       eapol-succ-flood    : enable 
       eapol-succ-thresh   : 10
       eapol-succ-intv     : 1
       eapol-fail-flood    : enable 
       eapol-fail-thresh   : 10
       eapol-fail-intv     : 1
       eapol-pre-succ-flood: enable 
       eapol-pre-succ-thresh: 10
       eapol-pre-succ-intv : 1
       eapol-pre-fail-flood: enable 
       eapol-pre-fail-thresh: 10
       eapol-pre-fail-intv : 1
       deauth-unknown-src-thresh: 10

Nachfolgende eine kurze Erklärung betreffend der Bedeutung der verschiedenen WIDS Profile Positionen: 

       Fortinet-361.jpg
       Fortinet-362.jpg

Split Tunneling

Wie konfiguriere ich für eine Forti Access Point SSID die Funktion "Split Tunneling"?

Wenn ein Forti Access Point zB für Remote benutzt wird, sei es als Remote Zugang und/oder in der Remote Lokation, konnten bis anhin im "Tunnel to Wireless Controller" Mode die lokalen Resourcen nicht direkt angegangen werden da im "Tunnel to Wireless Controller" Mode der Traffic unter FortiOS 5.0 ohne Ausnahme zum FortiGate Wireless Controller gesendet wird. Ab FortiOS 5.2 wurde die neue Funktion "Split Tunneling" implementiert. Dies bedeutet: anhand einer "Split Tunneling" Konfiguration auf der SSID wird definiert welche lokalen Resourcen existieren um den Zugriff direkt über die SSID zu erlauben ohne die SSID als "Local bridge with FortiAP's Interface" zu konfigurieren. Diese neue Funktion wird ausdrücklich nur im "Tunnel to Wireless Controller" Mode empfohlen! VLAN's im Zusammenhang mit der "Split Tunneling" Funktion wird nicht unterstützt. Wie schon erwähnt wird die Konfiguration auf der SSID durchgeführt resp. muss aktiviert werden. Danach muss im entsprechendne WTP Profile des Forti Access Point das "Split Tunneling" konfiguriert werden: 

       # config wireless-controller vap
       # edit [Name des entsprechenden SSID Profiles]
       # set split-tunneling enable
       # end

       # config wireless-controller wtp-profile
       # set split-tunneling-acl-local-ap-subnet enable
       # config split-tunneling-acl
       # edit [Gebe einen entsprechenden Integer an zB "1"]
       # set dest-ip [IPv4 Adresse plus Subnet Mask zB "192.168.10.0/24"]
       # end
       # end

Die Option "split-tunneling-acl-local-ap-subent" bezieht sich auf "ganze" Subnet des Forti Access Point und muss nur dann aktiviert werden, wenn das Subnet in dem sich der Forti Access Point befindet als "ganzes" Subnet freigegeben werden soll! Somit wenn nur eine bestimmte IPv4 Adresse freigegeben werden soll, muss diese Option nicht aktiviert werden und die einzelne IPv4 Adressen können unter "dest-ip" definiert werden. Wenn die Funktion des "split-tunneling" benutzt wird ist folgendes zu berücksichtigen: Im Fall eines aktivierten "split-tunnling" wird ein "NAT" (Network Address Translation) durchgeführt dh. der Client der über eine SSID verbunden ist und eine Anfrage an eine IPv4 Adresse die für ein "split-tunneling" konfiguriert ist, wird hinter der Management IPv4 Adresse des Forti Access Point ein Source NAT durchgeführt (Hide behind outgoing Interface). Somit komuniziert der Wireless Client/Host zur Destination IPv4 Adresse als Source IPv4 Adresse diese Management IPv4 Adresse des Forti Access Point und nicht die IPv4 Adresse die dem Wireless Client/Host über die SSID zugewiesen wurde. Die Management IPv4 Adresse des Forti Access Point, ist die IPv4 Adrresse die dem Forti Access Point zugewiesen wird, wenn sich der Forti Access Point zum Forti Wirless Controller verbindet (CAPWAP).

CAPWAP / DTLS

Wieviel Bandbreite steht mir über CAPWAP auf einem FortiGate Wireless Controller für Forti Access Points zur Verfügung?

Wenn Forti Access Point über den FortiGate Wireless Controller verwaltet werden und dabei SSID benutzt werden im "Tunnel to Wireless Controller" Mode, stellt sich die Frage wieviel Bandbreite für diese Forti Access Point über CAPWAP zur Verfügung steht. Dies bedeutet: Die CAPWAP Bandbreite gibt die maximale Grösse an die eine FortiGate Wireless Controller verarbeiten kann betreffend Forti Access Points Traffic. Somit wird die CAPWAP Grösse nicht pro Forti Access Point berrechnet sondern als Totale Bandbreite die zur Verfügung steht. Neu wird diese CAPWAP Bandbreite in den FortiGate Datasheet's aufgeführt als HTTP was wiederum bedeutet: Um eine Referenz zu erhalten wird die Bandbreite anhand des HTTP Protokolls referenziert. Weitere Informationen siehe nachfolgendes Dokument: 

       Fortinet:ProduktInfo#FortiGate

Somit steht diese CAPWAP Bandbreite ebenfalls in Zusamenhang mit den maximal Anzahl Forti Access Points die über einen FortiGate Wireless Controller verwaltet werden können. Weitere Informationen dazu siehe nachfolgender Artikel: 

       FortiAP:FAQ#Wieviele_Forti_Access_Points_k.C3.B6nnen_.C3.BCber_eine_FortiGate_Wireless_Controller_konfiguriert_werden.3F

Nachfolgend eine Kurzübersicht über diesen "CAPWAP HTTP Throughput" für die Fortinet Produktelinie: 

       Fortinet-1357.jpg

Wenn eine FortiGate Device über einen NP6 verfügt, kann dieser grundsätzlich den Traffic beschleunigen (Acceleration). Jedoch ist diese Funktion unter FortiOS 5.2 deaktiviert und nicht in Benutzung. Ab FortiOS 5.4 wird diese Funktion per Standard aktiviert um somit betreffend CAPWAP eine Beschleunigung zu ermöglichen.

Wird der CAPWAP Traffic zwischen einem FortiGate Wireless Controller und Forti Access Pointse verschlüsselt?

Der Traffic zwischen dem Ethernet "wan" Interface eines Forti Access Point und dem FortiGate Wireless Controller wird über einen CAPWAP Tunnel gesendet/empfangen. Dabei wird dieser Traffic "encapsulated" in einem "Data Channel" von CAPWAP. Wenn eine höhere Sicherheit gefordert wird zwischen dem FortiGate Wireless Controller und den Forti Access Point kann die DTLS Verschlüsselung ab FortiOS 5.0 Optional aktiviert werden. Weitere Informationen betreffend DTLS Verschlüsselung siehe nachfolgender Artikel: 

       FortiAP:FAQ#Wie_konfiguriere_ich_f.C3.BCr_ein_Forti_Access_Point_WTP_Profile_eine_.22Data_Channel_Encryption.22_.28DTLS.29.3F

Wie werden Forti Access Point über einen FortiGate Wireless Controller verwaltet/konfiguriert (CAPWAP)?

Der Standard der benutzt wird um die Forti Access Point über einen Fortigate Wireless Controller zu konfigurieren/verwalten ist CAPWAP (RFC 5415, RFC 5416, RFC 5417). Im folgenden Artikel wird erklärt wobei es sich bei CAPWAP handelt: 

       http://en.wikipedia.org/wiki/Lightweight_Access_Point_Protocol

Die Ports die benutzt werden für CAPWAP sind per Standard: 

       UDP 5246 und 5247

Ab FortiOS 5.0.3 kann die CAPWAP Funktion auf den jeweiliegen FortiGate Interfaces über die "Administrative Access" Funktion aktiviert und deaktiviert werden. 

       System > Network > Interfaces > [Wähle das entsprechende Interface] > Administrative Access > CAPWAP

Durch die Aktivierung von CAPWAP auf einem FortiGate Interface wird im Hintergrund eine automatische "Local-In" Policy konfiguriert, die den Traffic von CAPWAP vom Segment gemäss der Konfiguration des Interfaces und auf die IPv4 Adresse des FortiGate Interfaces zulässt. Die Verschlüsselung die für CAPWAP benutzt wird ist Zertifikat's basierend dh. Anhand Zertifikate auf dem FortiGate Wireless Controller sowie auf dem Forti Access Point! Per Standard ist der "Data Channel" der durch die Wireless Clients/Hosts benutzen wird um Ihre Daten zu senden sowie zu empfangen "clear-text". Um diesen "Data Channel" zu Verschlüsseln kann die DTLS Funktion auf dem FortiGate Wireless Controller aktiviert werden. Weitere Informationen dazu seieh nachfoglender Artikel: 

       FortiAP:FAQ#Wie_konfiguriere_ich_f.C3.BCr_ein_Forti_Access_Point_WTP_Profile_eine_.22Data_Channel_Encryption.22_.28DTLS.29.3F

Wenn es betreffend Wireless Clients/Hosts im Zusammenhang mit DTLS Verschlüsselung zu Performance Problemen kommt, die zurück zu führen sind auf Defragmentierung, gibt folgender Artikel Auskunft was getan werden kann: 

       FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_einen_Forti_Access_Point_innerhalb_des_CAPWAP_Tunnel_eine_IP_Fragmentierung_verhindern.3F

Wenn DTLS Verschlüsselung aktiviert wird so wird empfohlen den oberen Artikel zu berücksichtigen und die Konfiguration zur Verhinderung einer Fragmentierung durchzuführen!

Wie konfiguriere ich für ein Forti Access Point WTP Profile eine "Data Channel Encryption" (DTLS)?

DTLS steht für "Data Channel Encryption". Der "Data Channel" wird benutzt um den Traffic der Wireless Clients/Hosts, der vom Forti Access Point "wan" Interface zum FortiGate Wireless Controller übermittelt wird, innerhalb CAPWAP als "Data Channel" zu verschlüsseln. Somti wird der "Data Channel" "encapsulated" im CAPWAP. Per Standard wird dieser Traffic nicht verschlüsselt (clear-text). Um eine Verschlüsselung innerhalb des "Data Channels" zu erreichen, wird die Funktion DTLS benutzt. Dabei ist zu berücksichtigen, dasd beide Seiten dh. der FortiGate Wireless Controller und der Forti Access Point gleichermassen konfiguriert werden müssen dh. DTLS aktiviert. Nur wenn beide Seiten DTLS aktiviert haben, wird eine Verschlüsselung etabliert. Ansonsten kommt keine Verbindung zu stande. Die Verschlüsselung selber wird durch den FortiGate Wireless Controller sowie den Forti Access Point etabliert. Dabei ist die nötige Performance, die diese Funktion in Anspruch nimmt, zu berücksichtigen (ca. 20% zusätzliche Belastung des CPU). Per Standard ist "clear-text" sowie "dtls" auf den Forti Access Point aktiviert. Somit kann über den FortiGate Wireless Controller die Funktion gesteuert werden. Wenn auf dem FortiGate Wireless Controller ebenfalls beides aktiviert wird dh. "Clear Text" und "DTLS" wird "Clear Text" benutzt. Die Konfiguration dh. die Funktion "dtls" und/oder "clear-text" wird im entsprechenden Access Point Profile konfiguriert. Wenn die "automatic" Funktion (kein WTP Profile) die ab FortiOS 5.0 zur Verfügung steht benutzt wird, kann nur "clear-text" benutzt werden. Um über Kommandozeile CLI die Verschlüsselung zu aktivieren führe folgendes durch: 

       Auf dem FortiGate Wireless Controller:
       
       # config wireless-controller wtp-profile
       # edit [Name des entsprechenden Profils]
       # set dtls-policy ["dtls-enabled" oder "clear-text"]
       # end

       Auf dem FortiAP:
       
       # cfg -a AC_DATA_CHAN_SEC=1
       # cfg -c

Für die Variable "AC_DATA_CHAN_SEC" gelten folgende Werte: 

       • 0 is Clear Text
       • 1 is DTLS Enabled
       • 2 is Clear T ext or DTLS Enabled (default)

Die Konfiguration auf dem Forti Access Point solle untern normalen Umständen nicht verändert werden da die Standard Konfgiguration "AC_DATA_CHAN_SEC=2" ist was wiederum bedeutet: Der Forti Access Point akzeptiert "clear-text" und/oder "dtls". Dies bedeutet wiederum die Funktion der DTLS Verschlüsselung kann über den FortiGate Wireless Controller gesteuert werden und muss auf dem Forti Access Pont nicht konfiguriert werden da dieser beide Methoden anbietet. Ebenfalls ist es für ein Troubleshooting möglich die Funktion ohne die Konfiguration zu ändern vorübergehend zu deaktivieren. Weitere Informationen dazu siehe nachfolgenden Artikel: 

       FortiAP:FAQ#Wie_kann_ich_f.C3.BCr_einen_Forti_Access_Point_die_DTLS_Funktion_f.C3.BCr_ein_Troubleshooting_vor.C3.BCbergehend_deaktivieren.3F

Wie kann ich für einen Forti Access Point innerhalb des CAPWAP Tunnel eine IP Fragmentierung verhindern?

Die MTU Size auf den meisten Betriebsystemen ist auf max MTU Size 1500 gesetzt. Dieser Wert stellt eher ein suboptimalen Wert dar dh. wenn ein Wireless Client/Host ein grosses Packet über ein Forti Access Point sendet verfügt dieses Packet über eine max. MTU Size von 1500. Da dieses Packet auf dem Forti Access Point verschlüsselt werden muss, um über den CAPWAP Tunnel versendet zu werden, muessen Informationen zum 1500 MTU Size grossen Packet hinzugefügt werden. Geschieht dies, kann dieses Packet nicht mehr in einem Packet versendet werden da die Grösse max MTU Size 1500 übersteigt. Somit müssen in dieser Situation zwei Packete versendet werden. Dies stellt eine Defragmentierung dar und beieinträchtigt die Performance da anstelle eines Packets zwei Packete versendet werden müssen. Unter normalen Umständen geschieht dies nicht auf den Forti Access Point zurück zuführen auf den "overhead" des CAPWAP Tunnels da diese Information sehr klein sind. Wird jedoch DTLS Verschlüsselung aktiviert, muss diese Information auf dem Forti Access Point ebenfalls zu den existierendnen Headers hinzugefügt werden und dabei kommt es mit ziemlich grosser Sicherheit zu einer Fragmentierung. Aus diesem Grund wird empfohlen im Zusammehang mit DTLS Verschlüsselung die nachfolgend Konfiguration durchzuführen. Durch diese nachfolgende Konfiguration wird der Wireless Client/Host angewiesen kleinere Packete zu versenden (max. transmission unit) anstelle der max. MTU Size 1500 um einen Fragementierung durch zusätzlich hinzugefügte TCP Header Informationen zu verhindern. Dies kann auf der CLI folgendermassen durchgeführt werden: 

       # config wireless-controller wtp-profile
       # edit [Wähle das entsprechende Profile]
       # set ip-fragment-preventing [tcp-mss-adjust | icmp-unreachable]
       # set tun-mtu-uplink [0 | 576 | 1500]
       # set tun-mtu-downlink [0 | 576 | 1500]
       # end
       # end

       tcp-mss-adjust
       Ist per Standard aktiviert und bedeutet folgendes: Dies Option veranlasst den Forti Access Point den Wireless Client ein "max sgement size" (MSS) 
       zu senden. Der Forti Access Point fügt dem "SYN" Packet ein kleineren Wert betreffend MSS hinzu. Dies wird durchgeführt wenn der Wireless Client 
       mit dem Forti Access Point Verbindung aufnimmt. Dadurch wird der Wireless Client aufgefordert kleinere Packete zu senden als der Wert "tun-mtu-uplink" 
       und somit kann der Forti Access Point den Overhead des CAPWAP/DTLS hinzufügen und eine Fragmentierung verhindern.

       icmp-unreachable
       Ist per Standard deaktiviert und bedeutet folgendes: Diese Option beeinflusst sämtlichen Traffic dh. UDP und TCP. Diese Option bewirkt, dass der Forti
       Access Point Packete verwirft die im TCP Header mit dem Bit "Don't Fragment" markiert sind jedoch über die Grösse verfügen für eine Fragmentierung.
       Wenn dies eintrifft, sendet der Forti Access Point ein Packet zum Wireless Controller:
       
       Type 3 "ICMP Destination unreachable" With Code 4 "Fragmentation Needed and Don't Fragment was Set"
       
       Dies bewirkt wiederum beim Wireless Client, dass dieser kleinere Packete (UDP und/oder TCP) sendet um eine Fragmentierung zu verhindern.

       tun-mtu-uplink
       Per Standard auf "0" gesetzt (Setze diesen Wert auf TCP MTU 1500)! 

       tun-mtu-downlink 
       Per Standard auf "0" gesetzt (Setze diesen Wert auf TCP MTU 1500)!

Wenn "tcp-mss-adjust" oder "icmp-unreachable" aktiviert ist und der Wert für "tun-mtu-uplink/downlink" auf TCP MTU 1500 wird der Wireless Client/Host angewiesen keine grösseren Packete zu senden als "1500". Dies bewirkt, dass die Packete die nach Erhalt in den CAPWAP Tunnel gesendet werden, nicht fragementiert werden müssen.

Wie kann ich für einen Forti Access Point die DTLS Funktion für ein Troubleshooting vorübergehend deaktivieren?

Die DTLS Funktion dh. "Data Channel Encryption" wird im entsprechenden WTP Profile eines Forti Access Point aktiviert resp. deaktiviert. Da auf dem Forti Access Point die DTLS Funktion auf "clear-text und "DTLS" zur Verfügung steht, kann die Funktion über den FortiGate Wireless Controller gesteuert resp. konfiguriert werden dh. im entsprechenden WTP Profile aktiviert und/oder deaktiviert werden. Wenn aus irgendwelchen Gründen dies nicht möglich ist und die Funktion nur vorübergehend deaktiviert werden soll, kann dies über "diagnose wireless" Funktion für einen entsprechenden Forti Access Point durchgeführt werden. Dazu muss folgendes ausgeführt werden: 

       Liste alle Forti Access Points auf dem FortiGate Wirless Controller auf:
       
       # config wireless-controller wtp
       # get
       == [ FAP14C3X13000543 ]
       wtp-id: FAP14C3X13000543    
       == [ FP221C3X14001296 ]
       wtp-id: FP221C3X14001296    
       == [ FAP21D3U14000144 ]
       wtp-id: FAP21D3U14000144    
       == [ FAP24D3X14000101 ]
       wtp-id: FAP24D3X14000101 
       # end

       Aktiviere vorübergehend die "plain-ctl" Funktion (DTLS deaktiviert) auf einem entsprechenden Forti Access Point:
       
       # diagnose wireless wlac plain-ctl FAP21D3U14000144 1
       
       WTP 0-FAP21D3U14000144 Plain Control: enabled

Wenn die Option "1" benutzt wird so wird auf dem FortiGate Wireless Controller die Funktion "Plain Control" aktiviert. Wenn nachträglich die Option "0" benutzt wird so wird die "Plain Control" wiederum deaktiviert! Ebenso kann die Funktion "plain-ctl" Lokal auf dem Forti Access Point über "telnet" aktiviert resp. deaktiviert werden. Nachfolgender Artikel gibt Auskunft wie man Zugriff über "telnet" auf einen Forti Access Point erlangt: 

       FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F

       Aktiviere dei "plain-ctl" Funktion auf dem Forti Access Point:
       
       Nachdem einloggen kann folgendes Kommando Lokal auf dem Forti Access Point eingegeben werden um die "plain-ctl" Funktion zu aktivieren:
       
       # cw_diag plain-ctl 1

       Nachdem Troubleshooting deaktiviere die "plain-ctl" Funktion (DTL aktiviert) auf einem entsprechenden Forti Access Point:
       
       # diagnose wireless wlac plain-ctl FAP21D3U14000144 0
       
       WTP 0-FAP21D3U14000144 Plain Control: disabled
       
       Ebenfalls muss auf dem entsprechenden Forti Access Point die "plain-ctl" Funktion deaktiviert werden:
       
       # cw_diag plain-ctl 0

Weitere Informationen zur Funktion DTLS siehe nachfolgender Artikel: 

       FortiAP:FAQ#Wie_konfiguriere_ich_f.C3.BCr_ein_Forti_Access_Point_WTP_Profile_eine_.22Data_Channel_Encryption.22_.28DTLS.29.3F

Channel

Welche Radio "channel" muss ich auf dem Forti Access Point für verschiedenen Ländern benutzen?

Folgende Tabellen geben Aufschluss welche "Radio Channel" in den verschiedenen Ländern existieren: 

       Datei:Fortinet-304.jpg

Für den 5 GHz "channel" ist dabei der DFS (Dynamic Frequency Selection) Support der einzelnen Forti Access Points zur Verfügung steht zu berücksichtigen! Weitere Informationen dazu siehe nachfolgender Artikel: 

       FortiAP:FAQ#Was_bedeutet_es_wenn_ein_Forti_Access_Point_.C3.BCber_den_DFS_.28Dynamic_Frequency_Selection.29_Support_verf.C3.BCgt.3F

       Datei:Fortinet-305.jpg

       Datei:Fortinet-306.jpg

Was bedeutet es wenn ein Forti Access Point über den DFS (Dynamic Frequency Selection) Support verfügt?

Dynamic Frequency Selection (DFS) ist ein Mechanismus, der von der europäischen Regulierungsbehörde ETSI für den Betrieb von WLAN-Geräten im 5-GHz-Frequenzbereich eingeführt wurde. Im 2003 eingeführten 802.11h-Standard ist diese Funktion implementiert worden und zwar so dass nun auch in der Schweiz der Betrieb von 5-GHz-WLAN-Geräten möglich ist. Mit DFS kann ein WLAN einen automatischen Kanalwechsel durchführen, falls auf dem verwendeten Kanal ein anderes Gerät erkannt wird. Dadurch soll insbesondere vermieden werden, dass die in diesem Frequenzbereich arbeitenden Wetterradarsysteme durch WLAN's gestört werden. Um andere Systeme zu erkennen, muss der Kanal periodisch abgehört werden. Sobald ein fremder Sender erkannt wird, muss unverzüglich ein Wechsel des Kanals initiert werden. Die Auswahl des neuen Kanals erfolgt dabei zufällig und wird in der Regel vom Forti Access Point durchgeführt und anschließend den anderen Netzwerkteilnehmern mitgeteilt. Diese Funktion DFS im 5 GHz Bereich wird ab FortiOS 5.0.4 unterstützt und zwar nur auf spezifischen Fortinet Modellen wie: 

       • FAP-221B/C   Ab FortiOS 5.0.8 / 5.2.0 und nur für "European Union"
       • FAP-222C     Ab FortiOS 5.2.3 und nur für "European Union"
       • FAP-320B/C   Ab FortiOS 5.0.8 / 5.2.0 und nur für "European Union"

       Fortinet-843.jpg

       Datei:DFS Europe.pdf

Grundsätzlich gilt folgendes: 

       Das 5GHz Spektrum ist in verschiedene Bänder eingeteilt:
       
       UNI1  : 4 Kanäle 
       UNI2  : 4 Kanäle 
       UNI2e : 7 Kanäle 
       UNI3  : 4 Kanäle 

       Für die Schweiz gilt:
       
       Indoor:  Für die Schweiz gilt UNI1 und UNI2 sprich Unteres 5 GHz Frequenzband (5.15 - 5.35 GHz)
                Channels: 36 40 44 48 52* 56* 60* 64*
                
                * Nur mit DFS Support!
       
       Outdoor: Für die Schweiz gilt UNI2e sprich Oberes 5 GHz Frequenzband (5.47 - 5.725 GHz) 
                Channels: 100* 104* 108* 112* 116* 120* 124* 128* 132* 136* 140*
                
                * Nur mit DFS Support!

Die Kanäle "52 56 60 64" dürfen in der Schweiz nur aktiviert werden, wenn das Gerät DFS unterstützt und nur im Indoor Bereich! Ebenso dürfen die Kanäle "100 - 140" nur dann aktiviert werden, wenn der Forti Access Point im Ausenbereich eingesetzt wird. DFS ist zwingend für UNI2 und UNI2e! Weitere technische Informationen zum DFS findet man auch unter folgenden Link: 

       http://de.wikipedia.org/wiki/Dynamic_Frequency_Selection
       http://en.wikipedia.org/wiki/List_of_WLAN_channels
       
       http://www.bakom.admin.ch/themen/geraete/00568/01232/index.html?lang=de

Was bedeutet "overlapping wifi channels" für einen Radio eines Forti Access Point Konfiguration?

Wireless Verbindungen funktionieren auf Frequenzbändern auch Kanäle (channel) genannt. Einer der Gründe, dass eine Verbindung Verbindung langsam ist/wird, ist das der gewählte Kanal bereits benutzt wird durch andere Forti Access Points oder fremde Access Poinst. Dadurch wird die Verbindung und schlussendlich die Performance beeinträchtigt. Aus diesem Grund sollte man dieses "overlapping" möglichst verhindern. Nachhfolgend eine Abbildung für den 2.4 GHz sowie 5 GHz Bereich der die verschiedenen Kanäle aufzeigt und dadurch entstehendes "overlapping": 

       Datei:Fortinet-330.jpg

Um herauszufinden welchen Kanal in der Umgebung verwendet wird durch eigenen Forti Access Point oder fremde Access Points, kann der Monitor auf dem FortiGate Wireless Controller benutzt werden. Siehe auch: 

       FortiAP:FAQ#Gibt_es_eine_M.C3.B6glichkeit_die_Forti_Access_Points_.C3.BCber_den_FortiGate_Wireless_Controller_zu_.C3.BCberwachen_.28Health_Monitor.29.3F
       FortiAP:FAQ#Wie_kann_ich_auf_einem_Forti_Access_Point_herausfinden_welche_.22channel.22_ich_benutzen_soll_um_.22overlapping.22_zu_verhindern.3F

Dies bedeutet: man setzt einen "radio" auf einem Forti Access Point in den "Monitor" Modus (Dedicated Monitoring) und kann so die Umgebung scannen um zu sehen welche Kanäle verwendet werden. Der Grundsatz lautet immer 4 Kanäle freizulassen zwischen den gewählten Kanälen zB "3", "8" sowie "13". Vergleicht man die gewählten Kanälen mit der Abbildung oben sieht man, dass so die kleinste Ueberlappung stattfindet. Somit muss in erster Stelle die Umgebung kurz analysiert werden um festzustellen welche Kanäle bereits benutzt werden. Danach kann im entsprechednen WTP Profile die entsprechenden Kanäle speziell im 2.4 GHz Bereich ausgewählt werden. Alle Kanäle zB im 2.4 GHz Bereich zu aktivieren und "Radio Resource Provisioning" zu aktivieren ist nicht empfohlen! Jedoch ist es unabdingbar das "Radio Resource Provisioning" (DARRP) in jedem Fall zu aktivieren um den Forti Access Point zu ermöglichen bei einem "overlapping" den Kanal zu wechseln. Weitere Informationen zum "Radio Resource Provisioning" siehe nachfolgender Artikel: 

       FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Radio_Resource_Provisioning.22_.28ARRP.2FDARRP.29_innerhalb_einer_WTP_Profile_Konfiguration.3F

Desweiteren ist folgendes zu berücksichtigen: Wird eine Umgebung mit mehreren Forti Access Points aufgebaut ist es nicht zu empfehlen für alle Forti Access Points obwohl es sich um die gleichen Modelle handelt das gleiche WTP Profile zu benutzen. Wenn dies dennoch konfiguriert wird und der FortiGate Wireless Controller bemerkt ein "overlapping" wird da alle Forti Access Point das gleiche WTP Profile benutzen für alle den Kanal gewechselt. Damit sollten logisch gesehen für eine Umgebung mit mehreren Forti Access Point diese anhand mehrerer WTP Profiles betrieben werden. Konkret bedeutet dies folgendes: Muss eine Umgebung aufgebaut werden in einem Gebäude zB 3 Stockwerke sollten für jedes Stockwern mind ein WTP Profile konfiguriert werden mit unterschiedlichen Kanälen. Zustätzlich sollte analysiert werden ob die einzelnen Forti Access Points in den einzelnen Stockwerken oder über die einzelnen Stockwerke hinweg sich sehen. Ist dies der Fall sollte auch hier einzelne WTP Profiles konfiguriert werden. Dies kann mit einem einfachen Trick bewerkstelligt werden. Ueber Mgmt. Web Interface oder über CLI konfiguriere ein entsprechendes WTP Profile. Nach der Konfiguration führe auf der CLI folgendes aus: 

       # show wirless-controller wtp-profile [Name des konfigurierten WTP Profiles]

Danach wird als Beispiel folgendes ausgegeben auf der CLI: 

       config wireless-controller wtp-profile
           edit "FAP-1-Stock-Rechts"
               set comment "FortiAccess Point FAP221C Stock 1 Rechts"
               config platform
                   set type 221C
               end
               set ap-country CH
               config radio-1
                   set band 802.11n
                   set wids-profile "local-default.local"
                   set darrp enable
                   set vap-all disable
                   set vaps "fortinet4guest" "fortinet4intern"
                   set channel "3" "8" "13"
               end
               config radio-2
                   set band 802.11ac
                   set darrp enable
                   set vap-all disable
                   set vaps "fortinet4guest" "fortinet4intern"
                   set channel "36" "40" "44" "48" "52" "56" "60" "64"
               end
           next
       end

Nun kopiere den "output" in ein Text File und ändere folgende Position ab: 

       config wireless-controller wtp-profile
           edit "FAP-1-Stock-Links"
               set comment "FortiAccess Point FAP221C Stock 1 Links"
               config platform
                   set type 221C
               end
               set ap-country CH
               config radio-1
                   set band 802.11n
                   set wids-profile "local-default.local"
                   set darrp enable
                   set vap-all disable
                   set vaps "fortinet4guest" "fortinet4intern"
                   set channel "1" "6" "11"
               end
               config radio-2
                   set band 802.11ac
                   set darrp enable
                   set vap-all disable
                   set vaps "fortinet4guest" "fortinet4intern"
                   set channel "36" "40" "44" "48" "52" "56" "60" "64"
               end
           next
       end

Führe dies durch führ jedes WTP Profile resp. Forti Access Point. Danach kann der "output" wiederum 1:1 per copy/paste in die CLI des FortiGate Devices reinkopiert werden. Nun als letzten Schritt muss nur noch das entsprechende WTP Profile dem entsprechenden Forti Access Point zugewiesen werden. Somit verfügt jeder Forti Access Point über sein eigenes kontrollierbares und konfigurierbares WTP Profile und kann bei Problemen angepasst werden. Diese granulare Konfiguratin gewährleistet eine optimale Konfiguration und dauert einige Minuten die zu vernachlässigen sind.

Wie kann ich auf einem Forti Access Point herausfinden welche "channel" ich benutzen soll um "overlapping" zu verhindern?

Wenn ein Forti Access Point eigerichtet wird, müssen die "channel" (Kanäle) speziell im 2.4 GHz Bereich definiert/konfiguriert werden. Dazu stehen in der Schweiz 13 Kanäle für den 2.4 GHz Bereich zur Verfügung. Alle Kanäle zu selektieren sowie "Radio Resource Provisioning" (DARRP) wäre die falsche Vorgehensweise da es so gezwungenermassen zu Problemen kommt sowie zu einem "ovelapping wifi channels"t. Weitere Informationen zu den Länderspezifischen Channels sowie "Radio Resource Provisioning" siehe folgende Artikel: 

       FortiAP:FAQ#Welche_Radio_.22channel.22_muss_ich_auf_dem_Forti_Access_Point_f.C3.BCr_verschiedenen_L.C3.A4ndern_benutzen.3F
       FortiAP:FAQ#Was_bedeutet_.22overlapping_wifi_channels.22_f.C3.BCr_einen_Radio_eines_Forti_Access_Point_Konfiguration.3F
       FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Radio_Resource_Provisioning.22_.28ARRP.2FDARRP.29_innerhalb_einer_WTP_Profile_Konfiguration.3F

Daher benötigt es speziell im 2.4 GHz Bereich eine Analyse der bereits benutzten "channel" in der Umgebung. Dies kann über die "dedicated monitoring" Analysiert werden. Eine weitere Variante wäre auf einem Client/Host die Umgebung mit einem Tool zu analysieren wie zB SSIDer. Weitere Informationen zu Tools wie SSIDer siehe folgender Artikel: 

       FortiAP:FAQ#Wie_kann_vorgegangen_werden_wenn_Performance_Problem_auf_einem_Forti_Access_Point_auftreten.3F

Auf der Kommandozeile gibt es noch eine weitere Variante die einem Weiterhelfen dh. wenn das nachfolgende Kommando ausgeführt ist werden "pro" Forti Access Point die zur Verfügung stehenden Kanälen zB im 2.4 GHz aufgelistet und die "overlapping channel's" unter der Spalte "overlap-ap" aufgelistet. Ebenfalls werden die dazugehörigen Informationen wie "rssi-total" für diese "channel" aufgeführt. Aus diesen Informationen können dann die freien Kanäle ausgewählt werden die im WTP Profile konfiguriert werden: 

       # get wireless-controller rf-analysis
       WTP: FAP14C3X13000543  0-193.193.135.70:5246
            channel    rssi-total   rf-score     overlap-ap   interfere-ap
                 1      90           7            6            11
                 2      45           10           0            11
                 3      127          4            2            11
                 4      33           10           0            11
                 5      38           10           3            16
                 6      19           10           0            10
                 7      23           10           0            10
                 8      45           10           0            8
                 9      192          1            5            16
                10      57           9            0            13
                11      46           10           0            13
                12      63           9            0            13
                13      231          1            8            13
                14      53           10           0            8
       
       WTP: FAP22B3U11011877  0-192.168.3.3:5246
            channel    rssi-total   rf-score     overlap-ap   interfere-ap
                 1      153          2            6            12
                 2      91           7            0            12
                 3      270          1            3            12
                 4      76           8            0            12
                 5      76           8            3            17
                 6      33           10           0            11
                 7      33           10           0            11
                 8      50           10           0            8
                 9      214          1            5            16
                10      68           8            0            13
                11      62           9            0            13
                12      89           7            0            13
                13      329          1            8            13
                14      79           7            0            8
                40      216          1            9            9
                44      30           10           4            4
                48      70           8            2            2
       
       Controller: FGT60D4613048017-0
            channel    rssi_total
                 1      243
                 2      136
                 3      397
                 4      109
                 5      114
                 6      52
                 7      56
                 8      95
                 9      406
                10      125
                11      108
                12      152
                13      560
                14      132
                40      216
                44      30
                48      70

Die empfohlene Vorgehensweise um die Kanäle zu wählen ist immer zwischen den verschiedenen "channel" mindestens 4 freizulassen. Dies wäre Optimal kann jedoch nicht immer speziell im 2.4 GHz Bereich konfiguriert werden. Es kann auch anhand der "wtp-id" (Serien Nummer) nur ein spezifischer Forti Access Point aufgelistet werden: 

       # get wireless-controller rf-analysis FAP22B3U11011877
       
       WTP: FAP22B3U11011877  0-192.168.3.3:5246
            channel    rssi-total   rf-score     overlap-ap   interfere-ap
                 1      153          2            6            12
                 2      91           7            0            12
                 3      270          1            3            12
                 4      76           8            0            12
                 5      76           8            3            17
                 6      33           10           0            11
                 7      33           10           0            11
                 8      50           10           0            8
                 9      214          1            5            16
                10      68           8            0            13
                11      62           9            0            13
                12      89           7            0            13
                13      329          1            8            13
                14      79           7            0            8
                40      216          1            9            9
                44      30           10           4            4
                48      70           8            2            2

Desweiteren kann mit folgenden Befehl alle Fortti Access Point's augelistet werden, die durch den Scan erkannt werden: 

       # get wireless-controller scan
       CMWF VF  SSID                BSSID              CHAN RATE SIGNAL NOISE  INT CAPS ACT LIVE  AGE WIRED
                                                                (dBm)  (dBm)
       UNNN 0                       00:09:0f:95:30:f0    8   11M  -91    -95   100 ESs   N  336613 52253   ?    WME VEN VEN ATH
       UNNN 0                       12:09:0f:95:30:f0    8   11M  -92    -95   100 ESs   N  336639 52253   ?    WME VEN VEN ATH
       UNNN 0                       22:09:0f:95:30:f0    8   11M  -92    -95   100 ESs   N  336639 52253   ?    WME VEN VEN ATH
       UNNN 0                       32:09:0f:95:30:f0    8   11M  -91    -95   100 ESs   N  336763 52252   ?    WME VEN VEN ATH
       UNNN 0                       42:09:0f:95:30:f0    8   11M  -90    -95   100 ESs   N  336618 52253   ?    WME VEN VEN ATH
       UNNN 0   4ourguests          58:97:1e:b3:4c:70    9  216M  -45    -95   102 ESs   Y  343847  203    ?    WME VEN VEN VEN VEN
       UNNN 0                       58:97:1e:b3:4c:71    9  216M  -57    -95   102 ESs   N  343847 1146    ?    WME VEN VEN VEN VEN
       UNNN 0                       58:97:1e:b3:4c:72    9   54M  -57    -95   102 EPSs  N  343847 1144    ?    RSN WPA VEN VEN VEN VEN
       UNNN 0                       58:97:1e:b3:4c:74    9   54M  -42    -95   102 EPSs  Y  343847  548    ?    RSN WPA VEN VEN VEN VEN
       UNNN 0                       58:97:1e:b3:4c:75    9   54M  -59    -95   102 EPSs  Y  343847  544    ?    RSN VEN VEN VEN VEN
       UNNN 0   only4also           58:97:1e:b3:4c:76    9  216M  -44    -95   102 EPSs  Y  343847  203    ?    RSN WPA WME VEN VEN VEN
       UNNN 0   only4also           58:97:1e:b3:4c:79   48  450M  -60    -95   102 EP    Y  343830  811    ?    RSN WPA WME VEN VEN VEN
       UNNN 0                       58:97:1e:b3:4c:7a   48   54M  -60    -95   102 EP    N  342030 9211    ?    RSN VEN VEN VEN VEN
       UNNN 0                       58:97:1e:b3:4c:7b   48   54M  -60    -95   102 EP    N  343830 1411    ?    RSN WPA VEN VEN VEN VEN
       UNNN 0                       58:97:1e:b3:4c:7d   48   54M  -59    -95   102 EP    N  343830 1411    ?    RSN WPA VEN VEN VEN VEN
       UNNN 0                       58:97:1e:b3:4c:7e   48  450M  -59    -95   102 E     Y  340230  811    ?    WME VEN VEN VEN VEN

Gibt es eine Möglichkeit alle Access Points aufzulisten für die ein "overlapping channel" stattfindet (Interfering AP's)?

Wenn Forti Access Points speziell im 2.4 GHz Bereich installiert werden, muss darauf geachtet werden, dass kein "overlapping" (Interferenzen) mit fremden Access Points stattfinden. Dies kann über Kommandozeile und/oder über den "Rogue AP Monitor" eruiert werden. Siehe auch nachfolgende Artikel für Details: 

       FortiAP:FAQ#Wie_kann_ich_auf_einem_Forti_Access_Point_herausfinden_welche_.22channel.22_ich_benutzen_soll_um_.22overlapping.22_zu_verhindern.3F

Um die Konfiguration der Forti Access Points nachträglich zu kontrollieren, gibt es über folgende Position die Möglichkeit event. "overlapping channel" resp. Interferenzen zu kontrollieren: 

       WiFi Controller > Monitor > Wireless Health > Top Wireless Interferences (2.4 GHz Band oder 5 GHz Band)

Diese Widget zeigt auf ob durch den FortiGate Wireless Controller event. "overlapping channel" (Interferenze) bestehen. Siehe auch: 

       FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Radio_Resource_Provisioning.22_.28ARRP.2FDARRP.29_innerhalb_einer_WTP_Profile_Konfiguration.3F

Dies wird in den "Widget" unter der folgender Position aufgeführt: 

       Fortinet-1090.jpg

       Fortinet-1091.jpg

Wenn solche aufgeführt werden kann die entsprechende Position angewählt werden um nähere Informationen zu erhalten: 

       Fortinet-1092.jpg

Wird ein entsprechende Position unter "Interfering AP's" angewählt, sieht man die Details wie "MAC Adresse des AP's, SSID, benutzter Channel und Signalstärke". Dabei ist die Signalstärke korrekt einzuschätzen dh. Auch wenn ein "overlapping channel" stattfindet jedoch die Signalstärke des Access Points schlecht ist, sind die Interferenzen zu vernachlässigen: 

       Fortinet-1093.jpg

Es ist je nach Anzahl der Access Points nicht immer möglich "overlapping channel" resp. Interferenzen im 2.4 GHz Bereich zu verhindern. Oft muss ein Kompromiss eingegangen werden. Sofern die Wireless Clients/Host den 5 GHz Bereich unterstützen, sollte der 2.4 GHz Bereich gemieden werden! Dies wird auf modernen Devices automatisch vollzogen dh. zB ein IPhone unterstützt 2.4 GHz sowie 5 GHz jedoch benützt sofern irgendwie möglich nur 5 GHz!

Site Survey

Gibt es eine Möglichkeit anhand eines Forti Access Point ohne FortiGate Wireless Controller die Wireless Abdeckung zu testen?

Diese Möglichkeit exisitert dh. es ist möglich einen Forti Access Point Vorort für einen "Site Survey" einzusetzen und dies ohne FortiGate Wireless Controller. Wenn eine grössere Umgebung mit Forti Access Point ausgerüstet werden soll, muss festgestellt werden wieviele Forti Access Points benötigt werden sowie wo diese installiert werden sollen um eine möglichst gute Abedeckung zu erzielen. Die "Site Survey" Funktion eines Forti Access Point ermöglicht eine definierte SSID auf einem Forti Access Point lokal zu diesem Zweck zu konfigurieren und zu betreiben. Anhand eines Tools auf einem Client/Host zB SSIDer kann nachträglich Vorort die Abedeckung anhand dieser SSID kontrolliert und somit den idealen Standort für den Forti Access Point herausgefunden werden. Diese Funktion des "Site Survey" kann mit jedem Forti Access Point durchgeführt werden, jedoch ist der FAP-221B/FAP-223B sowie FAP-221C/FAP-223C zu empfehlen. Wenn ein Forti Access Point benützt wird für ein "Site Survey" muss berücksichtigt werden, das zB ein FAP-221B/C sowie FAP-223B/C über keinen mitgelieferten Power Adapter verfügt sondern über PoE betrieben werden. Die Power Adapter für diese Modelle können jedoch seperat bestellt werden. Weitere Informationen dazu siehe nachfolgeden Artikel: 

       FortiAP:FAQ#Wo_finde_ich_eine_Uebersicht_ob_ein_Forti_Access_Point_mit_PowerAdapter_geliefert_wird_oder_PoE_unterst.C3.BCtzt.3F

Um auf einem Forti Access Point lokal über CLI eine SSID für "Site Survey" zu konfigurieren führe folgendes aus: 

       1. Verbinde den Forti Access Point mit einem Client/Host über die Ethernet Interface's; Konfiguriere auf der Ethernet
          Schnittstelle des Client/Host folgende IPv4 Adresse:
          
          192.168.1.1/24 (Kein Gateway, Kein DNS)

       2. Starte den Forti Access Point; Da dieser keinen DHCP Server findet wird statisch auf dessen Ethernet Interface 
          folgende IPv4 Adresse konfiguriert:
          
          192.168.1.2/24
          
          Weitere Informationen zu "default" IPv4 Adresse eines Forti Access Point siehe nachfolgender Artikel:
               
          FortiAP:FAQ#Was_ist_die_Default_IPv4_Adresse_f.C3.BCr_einen_Forti_Access_Point_und_wie_kann_ich_mich_auf_diese_IPv_Adresse_verbinden.3F

       3. Verbinde dich per "telnet" auf die IPv4 Adresse des Forti Access Point:
          
          > telnet 192.168.1.2

       4. Aktiviere den entsprechenden "Site Survey" Mode auf dem Forti Access Point anhand folgenden Befehls:
          
          # cfg –a AP_MODE=2
          # cfg -c
          
          AP_MODE=2 bedeutet "Site Survey". Per Standard ist konfiguriert 0"Thin AP"! Weitere Informationen findet 
          man ebenfalls unter folgenden Artikel:
          
          FortiAP:FAQ#Welche_Kommandos_k.C3.B6nnen_auf_einem_Forti_Access_Point_.C3.BCber_die_CLI_eingegeben_werden.3F                     

       5. Sobald die Konfiguration AP_MODE durchgeführt wurde wird ein Neustart des Forti Access Point durchgeführt!

       6. Nachdem Neustart sendet der Forti Access Point eine SSID aus mit dem Namen "FAP_SURVEY"! Anhand dieser kann 
          nun die Abedeckung Vorort mit einem Tool wie zB SSIDer überprüft werden!

       7. Soll die SSID oder andere Werte für die SSID im "Survey Mode" angepasst werden stehen folgende Einstellungen 
          zur Verfügung:
          
          • SURVEY_SSID='FAP_SURVEY'         --> Diese Option vergibt den Namen für die SSID im "Site Survey" Mode.
          • SURVEY_TX_POWER=30               --> Diese Option setzt den TX Power. Per Standard gilt 30dBm (Maximum). Fuer einige Forti Access Points gilt ein Maximum von 17dBm.
          • SURVEY_CH_24=6                   --> Diese Option setzt den TX Channel auf dem 2.4 GHz Band. Per Standard gilt Channel 6.
          • SURVEY_CH_50=36                  --> Diese Option setzt den TX Channel auf dem 5 GHz Band. Per Standard gilt Channel 36.
          • SURVEY_BEACON_INTV               --> Diese Option setzt den Beacon Interval. Per Standard gilt 100ms.
          
          Wenn die Werte für "Site Survey" konfiguriert werden müssen diese folgendermassen konfiguriert werden:
          
          # cfg -a [Entsprechende Option mit deren Wert]
          # cfg -c

       8. Nach einem "Site Survey" ist es empfohlen den Forti Access Point wieder auf Factory Default zu setzen. Dies
          wird folgendermassen durchgeführt:
          
          # cfg -x
          
          oder
          
          # factoryreset
          # reboot

Konfiguration

Was bedeutet der Konfigurationspunkt "security" (Security Mode) innerhalb einer SSID Konfiguration?

Für einen SSID auf einem Forti Access Point können verschiedenen Security Mode benutzt werden dh. zB WPA2 Enterprise. Die üblichen Security Mode's können über das Mgmt. Web Interface konfiguriert werden: 

       • Open
       • Captive Portal
       • WPA2 Personal
       • WPA2 Personal with Captive Portal
       • WPA2 Enterprise

Ueber CLI stehen jedoch weitere Security Mode zur Verfügung: 

       FortiOS 5.0
       # config wireless-controller vap
       # edit [Name der entsprechenden SSID]
       # set security [captive-portal | open | wep128 | wep64 | wpa-enterprise | wpa-only-enterprise | wpa-only-personal | wpa-personal | wpa2-only-enterprise | wpa2_only-personal]
       # end

       FortiOS 5.2/5.4
       # config wireless-controller vap
       # edit [Name des SSID Profile]
       # set security [captive-portal | open | wpa-enterprise | wpa-personal | wpa-personal+captive-portal | wpa2-only-personal | wpa2-only-personal+captive-portal | wpa2-only-enterprise]
       # end

Zusätzlich kann über CLI die Encryption für den Security Mode gesetzt werden sofern WPA benutzt wird. Per Standard wird für WPA die AES Encryption benutzt. Ebenso kann der Key Interface anhand "gtk-rekey-intv" gesetzt werden. Dieser ist per Standard auf 3600 gesetzt: 

       # config wireless-controller vap
       # edit [Name der entsprechenden SSID]
       # set encrypt [AES | TKIP | TKIP-AES]
       # set gtk-rekey-intv [Intervall in Sekunden von 60 bis 864000; Standard 3600]
       # end

Wenn zB für WEP ein Key definiert werden muss dh. das Passwort ist in den meisten Fällen 1 Passwort zu setzen. Einige Wireless Clients/Hosts dh. Treiber und Software unterstützen die Defintion von mehreren Key's. Wenn dies der Fall ist können mehrer Passwörter definiert werden und somit muss der "keyindex" erweitert werden mit der Anzahl zu definierenden Passwörter: 

       # config wireless-controller vap
       # edit [Name der entsprechenden SSID]
       # keyindex [1 | 2 | 3 | 4]
       # end

Was bedeutet der Konfigurationspunkt "schedule" innerhalb einer SSID Konfiguration?

Bis anhin unter FortiOS 5.0 sowie 5.2 war es nicht möglich eine SSID Zeitgesteuert zu aktivieren/deaktivieren. Neu unter FortiOS 5.4 ist dies nun möglich. Per Standard stehen alle konfigurierten SSID auf dem "schedule" Objekt "always". Möchte man Zeitgesteuert eine SSID aktivieren/deaktivieren, muss vorgängig ein "Schedule" Objekt erstellt werden, dass nachträglich unter der SSID konfiguriert werden kann. Ein "Schedule" Objekt wird unter folgender Position konfiguriert: 

       Policy & Objects > Schedules > Create New > Schedule

Danach kann anhand "Recurring" (Wiederholend), "Days" (Tagen) sowie einer "Start Time" und "Stop Time" ein "Schedule" Objekt erstellt werden. Ein zeitgesteuertes Objekt basierend auf "Schedule Group" kann nicht innerhalb einer SSID konfiguriert werden. Nachträglich kann das "Schedule" Objekt innerhalb der SSID konfiguriert werden. Dazu wähle im Mgmt. Web Interface folgendes: 

       WiFi Controller > SSID > Schedule > [Wähle das entsprechende "Schedule" Objekt]

Wenn ein "Schedule" Objekt auf CLI konfiguriert werden soll und dieses nachträglich ebenfalls auf CLI für die entsprechende SSID konfiguriert werden soll führe folgendes aus: 

       # config firewall schedule [recurring | onetime]
       # edit [Name des entsprechenden "Schedule" Objekt zB "daily-0800-1700-business-hour"]
       # set start [Gebe die Start Zeit ein zB "08:00"]
       # set end [Gebe die End Zeit ein zB "17:30"]
       # set day [Gebe die entsprechenden Tage ein für den "Schedule"; monday | tuesday | wednesday | thursday | friday | saturday | sunday]
       # end
       
       # config wireless-controller vap
       # edit [Name der entsprechenden SSID]
       # set schedule [Wähle das entsprechende "schedule" Objekt; Standard "always"]
       # end

Was bedeutet der Konfigurationspunkt "Override Settings/Automatic" innerhalb einer Forti Acces Point Konfiguration?

Die empfohlen Konfigurationsweise eines Forti Access Point ist es diesem ein entsprechendes WTP Profile zu zuweisen. Dies bedeutet: In diesem WTP Profile wird definiert welcher "radio" über welche Einstellungen (5 GHz oder 2.4 GHz) sowie "channel" verfügt. Dieses WTP Profile, das auf den entsprechenden Forti Access Point abgestimmt is, wird nach dessen Erstellung dem Forti Access Point über "Managed FortiAPs" zugewiesen. Ab FortiOS 5.0 ist es möglich anstelle dieses WTP Profile "automatic" zu wählen. Unter FortiOS 5.2 gibt es die Position "automatic" nicht mehr jedoch ist es möglich anhand "Override Settings" das entsprechende WTP Profile zu überschreiben. Wenn unter FortiOS 5.0 "automatic" gewählt wird gilt folgendes: 

       Datei:Fortinet-333.jpg

Wenn die Option "Override Settings" aktiviert wird so wird im Hintergrund folgendes Kommando ausgeführt: 

       # config wireless-controller wtp
       # edit [Name/Serien Nr. des entsprechenden Profiles]
       # set override-profile enable
       # end
       # end

Ueber Mgmt. Web Interface sieht die Option folgendermassen aus: 

       Fortinet-1291.jpg

Was bedeutet der Konfigurationspunkt "Scan Outgoing Connections to Botnet Sites" innerhalb einer SSID Konfiguration?

Dieser Konfigurationspunkt unter FortiOS 5.4 ist nicht Wireless Spezifisch sondern steht jedem FortiGate Interface zur Verfügung. Weitere Informationen zu dieser Funktion siehe nachfolgender Artikel: 

       FortiGate-5.4:FAQ#Wie_kann_ich_unter_FortiOS_5.4_f.C3.BCr_eine_FortiGate_Verbindungen_zu_.22botnet.22_Servern_blocken_oder_.C3.BCberwachen.3F

Was bedeutet der Konfigurationspunkt "Active Scanning" innerhalb einer SSID Konfiguration?

Dieser Konfigurationspunkt steht im Zusammenhang mit "Network Devices" resp. "Device Detection" und steht nur unter FortiOS 5.4 zur verfügung. Wenn "Device Detection" aktiviert wird und diese Funktion der "Device Detection" kann einen entsprechenden Device nicht identifizieren, wird dieser anhand "Active Scanning" Passive gescannt. Dabei wird die gleiche Technik angewandt wie in einem "vulnaribility scan". Diese Funktion wird auf allen Devices die "vulnerability scan" unterstützen per Standard aktiviert. Wir empfehlen im Wireless Bereich zwar die "Device Detection" zu aktivieren jedoch das "Active Scanning" per Standard zu deaktvieren sowie diese Funktion nur punktuell zu benutzen. Um die Funktion "Active Scanning" zu benutze muss "Device Detection" zuerst aktiviert werden. Dies kann im Mgmt. Web Interface durchgeführt werden für die entsprechende SSID oder über CLI: 

       WiFi Controller > SSID > [Wähle die entsprechende SSID] > Edit > Active Scanning

       # config system interface
       # edit [Gebe das entsprechende Interface an zB "dmz"]
       # set device-identification [enable | disable]
       # set device-identification-active-scan [enable | disable]
       # end

Was bedeutet der Konfigurationspunkt "Block Intra-SSID Traffic" innerhalb einer SSID Konfiguration?

Dieser Konfigurationspunkt innerhalb der SSID bedeutet folgendes: Wenn zwei User auf der gleichen SSID verbunden sind, können die User sofern "Block Intra-SSID Traffic" deaktiviert ist, nicht untereinander direkt komunizieren. Dieser Konfigurationspunkt verhindert auch eine "man-in-middle" Attacke, von einem Device im selben Segment/IP Range (SSID). Der zuständige Befehl auf der CLI der dies steuert wäre "intra-vap-privacy". Möchte man die Funktion aktivieren, dass die Clients über den Forti Access Point resp. SSID komunizieren können ohne das der Traffic den Forti Access Point verlässt, ist der zuständige Befehl "local-switching". Somit ergiebt sich auf der CLI folgendes: 

       Block Intra-SSID Traffic Aktiviert
       
       # config wireless-controller vaps
       # edit [Name der SSID]
       # set intra-vap-privacy enable
       # set local-switching disable
       # end

       Block Intra-SSID Traffic Deaktiviert
       
       # config wireless-controller vaps
       # edit [Name der SSID]
       # set intra-vap-privacy disable
       # set local-switching enable
       # end

Was bedeutet der Konfigurationspunkt "Broadcast SSID" innerhalb einer SSID Konfiguration?

Wenn auf einem Forti Access Point eine SSID konfiguriert wird so wird diese per Standard über Broadcast mitgeteilt. Dies erlaubt dem Wireless Host/Client diese auf den Device's auszuwählen und dementsprechend für die Authentifizierung zu konfigurieren. Wenn der Broadcast der SSID unterbunden werden soll, kann dies für FortiOS 5.4 über Mgmt. Web Interface konfiguriert werden oder für FortiOS 5.0 sowie 5.2 in der CLI: 

       WiFi Controller > SSID > [Wähle die entsprechende SSID] > Edit > Broadcast SSID

       # config wireless-controller vap
       # edit [Name der entsprechenden SSID]
       # set broadcast-ssid [enable | disable]
       # end

Die ebenfalls existierende Option "broadcast-suppress" unter der SSID resp. "wireless-controller vap" steht nicht im Zusammenhang mit der Option "broadcast-ssid". Die Option "broadcast-suppress" verhindert das ARP und/oder DHCP Broadcassts nicht zu den Forti Access Point's versendet werden die über die gleiche SSID verfügen resp. konfiguriert haben! Weitere Informationen zu "broadcast-suppress" siehe nachfolgender Artikel: 

       FortiAP:FAQ#Kann_ich_auf_einem_Forti_Access_Point_f.C3.BCr_ein_.22local_bridging.22_Broadcast.2FMulticast_verhindern_.28susspression.29.3F

Was bedeutet der Konfigurationspunkt "fast-roaming" innerhalb einer SSID Konfiguration?

Wenn Wireless Clients/Hosts sich in einem Wireless Netzwerk befinden/verbunden sind speziell zB mit Mobile Devices, kann die Situation entstehen, dass diese von Forti Access Point zu Forti Access Point wandern dh. ausser Reichweite des einten Forti Access Point sind und in Reichweite zu einem anderen Forti Access Point kommen! In solch einer Situation wird die Verbindung unterbrochen und auf dem neuen sich in Reichweite befindenden Forti Access Point wieder verbunden. Dadurch wird eine erneute Authentifizierung ausgelöst. Möchte man diese erneute Authentifikation verhindern so muss "fast-roaming" aktiviert werden was auf jeder SSID eines Forti Access Point der Fall ist. "fast-roaming" benützt 2 Unterschiedliche Techniken: 

       • Pairwise Master Key (PMK) Caching
       Aktiviert eine Radius Authentifikation und zwar indem ein Master-Key im Cache abgelegt wird der mit dem ersten Access Point mit dem sich der 
       User zu Beginn verbunden hat ausgehandelt wird. Dies aktiviert 802.11i und ist auch bekannt als "fast roam back"!

       • Pre-authentication oder "fast-associate in advance"
       Aktiviert einen 802.11 Access Point der mit einem Client/Host verbunden ist um den verbundenen Client/Host auf eventuell weiteren Access Points 
       zu authentifizieren. Dies aktiviert PMK (Pairwise Master Key) auf möglichen weiteren Access Points auf dem sich der Client/Host verbinden könnte
       dh. es veranlasst den Access Point auf dem der Client verbunden ist, diesen PMK abzulegen um zukünftige Authentifizierung für den Client/Host 
       durchzuführen ohne das dieser eine Authentifizierung selber/manuell erneut durchführen muss.

       # config wireless-controller vap
       # edit [Name der SSID]
       # set fast-roaming enable
       # end

Was bedeutet der Konfigurationspunkt "multicast-enhance" (Frame Acknoledgement) innerhalb einer SSID Konfiguration?

Im normal Fall wird Multicast Traffic in einem Netzwerk gleichbehandelt wie der Broadcast Traffic. Dazu wird die kleinste Datenrate gewählt und kein "frame acknowledgement" durchgeführt. Dieser Umstand kann Multicast" Uebermittlungen über die Forti Access Point's verlangsamen und somit die Performance im Multicast Bereich beeinträchtigen. Um diesen Umstand entgegenzutreten, kann der Multicast Traffic in "Unicast" Traffic umgewandelt werden um eine optimale Datenrate zu erreichen. Ebenso profitiert innerhalb des Multicast das optimitert "frame acknoledgement" von der Performance. Um die Optimierung des Multicast auf einer SSID zu aktivieren führe folgendes durch: 

       # config wirless-controller vap
       # edit [Name der entsprechenden SSID]
       # set multicast-enhance [enable | disable]
       # end

Dieses Kommando "multicast-enhance" aktiviert die Konvertierung von Multicast zu Unicast jedoch muss ein "threshold" konfiguriert werden dh. der Zeitpunkt ab dem Multicats zu Unicast umkonvertiert wird. Dies wird anhand "me-disable-thresh" konfiguriert. Dieser "thresold" konfiguriert eine obere Grenze für die Multicast Erweiterung dh. Sobald der "threshold" erreicht wird so wird die Konvertierung von Multicast zu Unicast unterbunden um zu verhindern das die Multicast Gruppe zu gross wird (Anzahl Forti Access Point's). 

       # config wirless-controller vap
       # edit [Name der entsprechenden SSID]
       # set me-disable-thresh [Standard Wert 64, Mögliche Einstellungen 2 - 256]
       # end

Was bedeutet der Konfigurationspunkt "probe-resp-suppression" (Probe Respond Suppression) innerhalb einer SSID Konfiguration?

Um dem Wireless Client/Host eine Verbindung auf einen Forti Access Point zu ermöglichen, sendet der Forti Access Point in bestimmten Intervallen "beacon's" aus. Weitere Informationen betreffend "beacon's" siehe nachfolgender Artikel: 

       FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22beacon-interval.22_innerhalb_einer_WTP_Profile_Konfiguration.3F

Auf der Wireless Client/Host Seite gibt es eine ähnliche Funktion und zwar "probe request". Diese Frame's ähneln den "beacon's" jedoch führen diese "probe response" Frame's die auf einen "probe request" gesendet werden keine Traffic Indication Message (TIM) Informationen. Zum Beispiel: Werden diese "probe request" Frame vom Wireless Client/Host an den Forti Access Point gesendet um über den "probe response" Informationen über einen Wireless Client/Host im gleichen Wireless Netzwerk zu erhalten. Ebenfalls wird zB diese Funktion von Sniffer Applikationen verwendet um genau diese Informationen über den "probe response" zu erhalten. Diese Funktion wird auf dem Forti Access Point über die folgende Option gesteuert: 

       # config wireless-controller vap
       # edit [Name der entsprechenden SSID]
       # set probe-resp-suppression [enable | disable]
       # set probe-resp-threshold [Möglicher Range [-20,-95]dBm; Standard -80dBm sofern aktiviert]
       # next
       # end

Per Standard ist "probe-resp-suppression" deaktiviert dh. Die Funktion selber kann nicht komplett deaktiviert werden durch "enable". Jedoch kann durch den Werte "dBm" der Wert gesetzt werden in welchem Range ein "prope response" gesendet werden soll. "probe request" ausserhalb des Ranges werden nicht mehr beantwortet mit einem "probe response". Ebenfalls ist zu berücksichtigen, dass viele Mobile Wireless Clients/Hosts diese Funktion sobald eine Verbindung zu einem Forti Access Point etabliert wurde deaktivieren um deren Akkus zu schonen!

Was bedeutet der Konfigurationspunkt "Rogue AP’s" innerhalb einer WIDS Konfiguration?

"Rogue" bedeutet "Schurke" und bezeichnet ein Access Point der nicht zum regulären Forti Access Point Verbund/Netzwerk gehört. Dies kann bedeuten: Illegale betriebenen Access Points mit gleicher SSID wie für die regulären Forti Access Points konfiguriert wurde. Die Funktion "Rogue AP's" sammelt in der Umgebung Informationen über Broadcasting SSID's und listet diese auf. Wenn diese nicht zum regulären Verbund/Netzwerk gehören, können diese Unterdrückt werden (Susspressed). Ob diese Access Points zum regulären Verbund/Netzwerk gehören definiert der FortiGate Wireless Controller in dem die Mac Adressen mit den regulären Forti Access Point's verglichen werden. Um diese nicht regulären Access Points (Fake AP) zu unterdrücken, werden "deAuthentiation Frames" zu diesen Access Points gesendet um ein Verbinden der Clients zu diesem Access Point zu verhindern. Unter FortiOS 5.0 wird/kann die Funktion "nur" Global aktiviert oder deaktiviert werden. Ab FortiOS 5.2 ist diese Funktion WTP Profile basierend und wird über ein WIDS Profile konfiguriert und dem entsprechenden WTP Profile zugewiesen! Desweiteren muss berücksichtigt werden, dass auf einem "radio" für 802.11ac kein "Roque AP" Scan benützt werden kann (Stand FortiOS 5.2.5 Bug ID 225550). Um den FortiGate Wireless Controller für "AP-Scan" resp. "On-Wire-Scan" zu aktivieren muessen über das Web Mgmt. Interface die folgenden Position aktiviert werden: 

       FortiOS 5.0
       
       WiFi Controller > WiFi Network > Rogue AP Settings
       
       Fortinet-1268.jpg
       
       # config wireless-controller setting
       # set ap-scan enable
       # set on-wire-scan enable
       # end

       FortiOS 5.2/5.4
       
       Fortinet-1269.jpg
       
       # config wireless-controller wids-profile
       # set ap-scan enable
       # set rogue-scan enable
       # end

Um das Scanning resp. Monitoring zu benutzen, muss in den entsprechenden WTP Profile's folgendes konfiguriert werden: 

       FortiOS 5.0
       
       WiFi Controller > WiFi Network > Custom AP Profiles
       
       # config wireless-controller wtp-profile
       # edit [Name des entsprechenden WTP Profils]
       # config radio-1
       # set ap-bgscan enable
       # set rogue-scan enable
       # set ap-bgscan-period 300
       # set ap-bgscan-intv 1
       # set ap-bgscan-duration 20
       # set ap-bgscan-idle 100
       # end
       # end

       FortiOS 5.2/5.4
       
       WiFi Controller > WiFi Network > WIDS Profiles
       
       # config wireless-controller wids-profile
       # edit [Name des entsprechenden WIDS Profil]
       # set ap-scan [enable | disable]
       # set ap-scan-passive [enable | disable]
       # set ap-bgscan-duration [Zeit in ms 10 - 1000; Standard 20]
       # set ap-bgscan-intv [Interval in Sekunden 1 - 600; Standard 1]
       # set ap-bgscan-period [Interval in Sekunden; Standard 600]
       # set ap-bgscan-report-intv [Interval Refresh/Update 15 - 600; Standard 15]
       # set ap-bgscan-disable-day [Tag der Woche dh. sunday | monday | tuesday | wednesday | thursday | friday | saturday]
       # set ap-bgscan-disable-start [Zeitdefinition Start für Tag "ap-bgscan-disable-day"; Format hh:mm]
       # set ap-bgscan-disable-end [Zeitdefinition End für Tag "ap-bgscan-disable-day"; Format hh:mm]
       # end

Im Gegensatz zu FortiOS 5.0 kann nun diese Konfiguration ab FortiOS 5.2 vollumfänglich über das Web Mgmt. Interface durchgeführt werden: 

       WiFi Controller > WiFi Network > WIDS Profiles

       Fortinet-1270.jpg

Im Zusammenhang mit dieser Funktion "ap-scan" gibt es einige Situationen in dem folgendes zu berücksichtigen ist:Wenn ein Forti Access Point auch als Router agiert sowie NAT (Network Address Translation) durchführt wird, wird die Suche nach irregulären Access Points über die Funktion "Rogue Scan" erschwert. Im normal Fall ist ein Interface eines Forti Access Points im gleichen IPv4 Adress Range wie dessen MAC Adresse! Die "MAC adjacency rogue detection method" vergleicht LAN und Wireless Netzwerk MAC Adressen die sich in einer bestimmten "Nummerischen Abstand (Distance)" befinden. Per Standard gilt "MAC adjacency distance" "7". Wenn der Access Point für diese übereinstimmenden MAC-Adressen nicht in der FortiGate Gerätekonfiguration ermächtigt wird, wird der Access Point alse "On-Wire rogue" erachtet. Für "On-wire Rogue-Erkennung" muss mindestens ein Wireless Client/Host vorhanden/verbunden sein auf einem verdächtigen Access Point der kontinuierlich Daten sendet und Traffic produziert. Wenn es sich beim verdächtigen Access Point um einen Router handelt, muss die Wireless MAC-Adresse des Access Point ähnlich zu dessen Ethernet-Port MAC-Adresse sein ansonsten kann die Erkennung nicht korrekt durchgeführt werden. Um den Standard Wert "7" für "MAC adjacency distance" anzupassen führe folgendes durch: 

       # config wireless-controller global
       # set rogue-scan-mac-adjacency [0 - 7; Standard 7]
       # end

Was bedeutet der Konfigurationspunkt "Band" (IEEE_802.11 Standard) innerhalb einer WTP Profile Konfiguration?

Wenn ein WTP Profile innerhalb des Mgmt. Web Interface einer FortiGate konfiguriert wird, stehen unter der Position "Band" folgende Möglichkeiten zur Verfügung: 

       2.4 GHz Band
       
       Fortinet-1740.jpg

       5 GHz Band
       
       Fortinet-1740.jpg

In der CLI sieht diese mögliche Konfiguration folgendermassen aus: 

       # config wireless-controller wtp-profile
       # edit [Name des entsprechenden WTP Profils]
       # config radio-[1 oder 2]
       # set band [802.11a | 802.11b | 802.11g | 802.11n | 802.11n-5G | 802.11ac | 802.11n,g-only | 802.11g-only | 802.11n-only | 802.11n-5G-only | 802.11ac,n-only | 802.11ac-only]
       # end
       # end

Weitere Informationen zu den einzelnen IEEE_802.11 Möglichkeiten siehe nachfolgender Link: 

       https://en.wikipedia.org/wiki/IEEE_802.11

Was bedeutet der Konfigurationspunkt "Radio Resource Provisioning" (ARRP/DARRP) innerhalb einer WTP Profile Konfiguration?

ARRP "Automatic Radio Resource Provisioning" oder DARRP "Distributed Automatic Radio Resource Provisioning" steht im Zusammenhang mit den "channels" (Kanäle) für 2.4 GHz sowie 5 GHz. Diesem Konfigurationspunkt kommt eine wichtige Funktion zu. DARRP steuert bei Kollidierung (overlapping) der "channel's" das Ausweichen auf einen nicht besetzen resp. kollidierenden "channel". Dies bedeutet: Wenn diese Position aktiviert ist, sucht sich der FortiGate Wireless Controller den oder die besten "channels" raus, die nicht mit anderen Access Points kollidieren oder am wenigsten benutzt werden. Die "channel" Benutzung wird alle 5 Minuten evaluiert und falls notwendig dem FortiGate Wireless Client/Host mitgeteilt damit dieser auf den neuen "channel" wechseln kann. Somit um DARRP richtig nutzen zu können, ist die Vorraussetzung zu wissen welche "channels" in der Umgebung benutzt werden. Dies kann über die "Rogue AP Monitor" und dessen Funktion eruiert werden. Dazu siehe nachfolgender Artikel: 

       FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Rogue_AP.E2.80.99s.22_innerhalb_einer_WIDS_Konfiguration.3F

Wenn nun feststeht welche "channels" in der Umgebung bereits benutzt werden, kann ein entsprechendes Forti Access Point WTP Profil erstellt werden unter berücksichtigung der zu wählenden "channels" speziell für den 2.4 GHz Bereich. Dazu siehe nachfolgender Artikel: 

       FortiAP:FAQ#Was_bedeutet_.22overlapping_wifi_channels.22_f.C3.BCr_einen_Radio_eines_Forti_Access_Point_Konfiguration.3F
       FortiAP:FAQ#Welche_Radio_.22channel.22_muss_ich_auf_dem_Forti_Access_Point_f.C3.BCr_verschiedenen_L.C3.A4ndern_benutzen.3F
       FortiAP:FAQ#Was_bedeutet_es_wenn_ein_Forti_Access_Point_.C3.BCber_den_DFS_.28Dynamic_Frequency_Selection.29_Support_verf.C3.BCgt.3F

Somit ist es unabdingbar diese Position zu aktivieren, speziell wenn mehrere Access Points in Reichweite sind um diese Kollisionen unter den "channels" zu verhindern. DARRP wird in den entsprechenden WTP Profil "radios" des Forti Access Point für 2.4 GHz sowie 5 GHz konfiguriert. Im Mgmt. Web Interface findet man diese Position im WTP Profile unter: 

       WiFi Controller > [WiFi Network] > FortiAP Profiles > [Wähle das entsprechende Profil] > Edit > [Radio 1 und/oder 2 Position "Radio Resource Provision"]

Um die Konfiguration auf Kommandozeile durchzuführen muss folgendes durchgeführt werden: 

       # config wireless-controller wtp-profile
       # edit [Name des entsprechenden WTP Profils]
       # config radio-[1 oder 2]
       # set darrp enable
       # end
       # end

Um nach der Konfiguration festzustellen ob eine Kollidierung (overlapping) unter den "channels" exisitiert, kann über "Wireless Health Monitor" die Interferenzen eingesehen werden. Für nähere Informationen siehe nachfolgende Artikel: 

       FortiAP:FAQ#Gibt_es_eine_M.C3.B6glichkeit_die_Forti_Access_Points_.C3.BCber_den_FortiGate_Wireless_Controller_zu_.C3.BCberwachen_.28Health_Monitor.29.3F

aB FortiOS 5.2 wurde innerhalb des Forti Access Point wtp Profile's unter Radio-1 und/oder 2 die Position "Background Scan" (ap-bgscan) ersetzt mit der Position "Spectrum Analysis"! Weitere Informationen dazu siehe nachfolgender Artikel: 

       FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22Background_Scan.2FSpectrum_Analyse.22_innerhalb_einer_WTP_Profile_Konfiguration.3F

Was bedeutet der Konfigurationspunkt "Background Scan/Spectrum Analyse" innerhalb einer WTP Profile Konfiguration?

Unter FortiOS 5.0 existiert in den Forti Access Point WTP Profile unter Radio-1 und/oder 2 die Position "Background Scan". Diese Position ist zuständig über Radio-1 und/oder 2 Informationen zu sammeln und diese unter "Wireless Health Monitor" zur Verfügung zu stellen. Weitere Informationen zum "Wireless Health Monitor" siehe nachfolgenden Artikel: 

       FortiAP:FAQ#Gibt_es_eine_M.C3.B6glichkeit_die_Forti_Access_Points_.C3.BCber_den_FortiGate_Wireless_Controller_zu_.C3.BCberwachen_.28Health_Monitor.29.3F

Aus diesen Informationen können Rückschlüsse gezogen werden über zB Interference's" (overlapping channel). "Background Scan" sowie "Spectrum Analyse" sollte unter normalen Umständen deaktiviert werden da diese Funktion enorm Performance Intensiv sind. Diese Funktion sollte nur vorübergehend aktiviert werden um "troubleshooting" oder "Analysen" durchzuführen! Desweiteren ist zu beachten, dass für die Forti Access Point FAP-221B, FAP-223B und FAP-221C im Zusammenhang mit FortiOS 5.2.4/5 diese Funktion nicht benutzt werden sollte (Bug 245323) da durch die Funktion "Spectrum Analyse" auf den Forti Access Point ein "high cpu" produziert wird! Ueber Mgmt. Web Interface findet man diesen Konfigurationspunkt unter: 

       WiFi Controller > [WiFi Network] > FortiAP Profiles > [Wähle das entsprechende Profil] > Edit > [Radio 1 und/oder 2 Position "Background Scan/Spectrum Analyse"]

       Fortinet-1271.jpg

Auf der Kommandozeile wird diese Konfiguration folgendermassen durchgeführt: 

       # config wirless-controller wtp-profile
       # edit [Name des entsprechenden WTP Profils]
       # config radio-[1 oder 2]
       # set ap-bgscan eanble
       # end
       # end

       Fortinet-1272.jpg

       # config wirless-controller wtp-profile
       # edit [Name des entsprechenden WTP Profils]
       # config radio-[1 oder 2]
       # set spectrum-analysis eanble
       # end
       # end

Wenn die Funktion "Background Scan/Spectrum Analyse" aktiviert wird, können die entsprechenden Informationen auch über Kommandozeile abgeruft werden anhand folgenden Befehls: 

       # diagnose wireless wlac -c rf-sa [Name des FAP zB "FP221B3X13843475"]  1

Weitere Informationen betreffend dem Troubleshooting Kommando "diagnose wireless" siehe nachfolgenden Artikel: 

       FortiAP:FAQ#Welche_Troubleshooting_Kommandos_.28diagnose.29_stehen_auf_dem_Wireless_Controller_einer_FortiGate_zur_Verf.C3.BCgung.3F

Was bedeutet der Konfigurationspunkt "short guard intervall" innerhalb einer WTP Profile Konfiguration?

"Guard Intervalle" auch Schutzintervalle genannt, werden in der Nachrichtentechnik eingesetzt um zu verhindern, dass sich bestimmte Übertragungen vermischen. Sie erhöhen die Störfestigkeit gegenüber Ausbreitungsverzögerungen, Echos und Reflexionen gegen die digitale Daten die in der Regel sehr anfällig sind. Die Länge des "Guard Intervalls" entscheidet dabei wie störanfällig eine Übertragung ist. Je länger ein solcher Intervall ist, desto besser schützt es gegen Störungen sowie geringer wird allerdings auch die Kanaleffektivität (Performance). 

       802.11 Guard Interval
       
       Der Standard-Symbol Guard Interval der in 802,11 OFDM verwendet wird, ist 0.8μs. Um die Datenrate zu erhöhen,
       fügt die 802.11n-Unterstützung einen optionale 0.4μs Guard Interval hinzu. Diese Optionale Zuschaltung eines
       "short guard intervall" bietet eine 10% bis 11% Erhöhung der Datenrate. Die kürzeren Schutzintervall führen
       jedoch zu einer höheren Paketfehlerrate denn die Verzögerung des Schutzintervalls innerhalb des Kanals und /
       oder Timing-Synchronisation zwischen dem Sender und Empfänger ist nicht genau festgesetzt. Eine Regelung 
       könnte entwickelt werden, um herauszufinden ob ein "short guard intervall" von Vorteil wäre. Um die Komplexität
       zu reduzieren, implementieren die Herstellern in der Regel nur einen kurzen Schutzintervall um die Performance
       zu erhöhen.

Wie beschrieben dient diese Konfiguration der Performance resp. um diese zu erhöhen. Jedoch kann die Aktivierung des "short guard intervall" auch die Stabilität der Uebertragung beeinflussen. Aus diesem Grund ist empfohlen dieser diese Funktion "short guard intervall" in der ersten Phase nicht zu benutzen resp. zu deaktivieren! "short guard intervall" kann für den 5 GHz Bereich für 40/80 MHz aktiviert/deaktiviert werden: 

       WiFi Controller > [WiFi Network] > FortiAP Profiles > [Wähle das entsprechende Profile] > [Radio-1 und/oder 2 "Short Guard Interval"]
       
       Fortinet-1273.jpg

       # config wireless-controller wtp-profile
       # edit [Name des entsprechenden WTP Profils]
       # config radio-[1 oder 2]
       # set short-guard-interval enable
       # end
       # end

Was bedeutet der Konfigurationspunkt "channel-bonding" (Channel Width) innerhalb einer WTP Profile Konfiguration?

Die Funktion "channel-bonding" (40/20 MHz Kanal Breite) kann auf dem 5 GHz Frequenz aktiviert werden weil auf diesem Frequenz Band weniger überschneidende Kanäle vorhanden sind. Die 40 Mhz Option auf der 2.4 Ghz zerstückelt das Spektrum und da es in dieser Bandbreite mehr überschneidende Kanäle hat, ist der Einsatz dieser Funktion kontraproduktiv sowie störanfällig und sollte deshalb nicht benutzt werden. Viele 11n-Geräte schalten daher je nach Umgebungsbedingungen zwischen 40- und 20-MHz-Kanälen hin und her oder lassen 40-MHz-Känale nur im 5-GHz-Band zu auf dem weniger Funkverkehr herrscht. Aus diesem Grund ist "channel-bonding" für 2.4 GHz nicht im 40 MHz Bereich zu empfehlen! Da die einzelnen Kanäle breiter werden aber insgesamt nicht mehr Kanäle als bisher verfügbar sind, erhöht sich die Gefahr das sich WLANs gegenseitig stören wenn sie auf angrenzenden Kanälen (channel) funken. Die Standard Werte für das "channel-bonding" im 2.4 GHz und 5 GHz Bereich ist 20 MHz. Das "channel-bonding" im 5 GHz Bereich kann unter FortiOS 5.0/5.2 innerhalb der Forti Access Point WTP Profile konfiguriert werden. Unter FortiOS 5.4 steht diese Funktion nur über CLI zur Verfügung.: 

       FortiOS 5.0
       
       WiFi Controller > WiFi Network > Custome AP Profiles > [Wähle das entsprechende Profile] > [Radio-1 und/oder 2 "Channel Width"]
       
       Fortinet-1274.jpg
       
       # config wireless-controller wtp-profile
       # edit [Name des entsprechendend WTP Profile]
       # config [radio-1 oder 2]
       # set channel-bonding [enable | disable]
       # end

       FortiOS 5.2
       
       WiFi Controller > [WiFi Network] > FortiAP Profiles > [Wähle das entsprechende Profile] > [Radio-1 und/oder 2 "Channel Width"]
       
       Fortinet-1275.jpg
       
       # config wireless-controller wtp-profile
       # edit [Name des entsprechendend WTP Profile]
       # config [radio-1 oder 2]
       # set channel-bonding [20MHz | 40MHz]
       # end

Damit "channel-bonding" aktiviert werden kann für 40 MHz im 2.4 GHz Bereich obwohl dies nicht zu empfehlen ist, müssen zuerst im entsprechende WTP Profile für die "channel" ein "unset" durchgeführt werden: 

       # config wireless-controller wtp-profile
       # edit [Name des entsprechendend WTP Profile]
       # config radio-1
       # unset channel
       # set channel-bonding 40MHz
       # end

Diese Funktion steht ebenfalls im Zusammenhang mit der Funktion "coexistence". Weitere Informationen dazu siehe nachfolgender Artikel: 

       FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22coexistence.22_innerhalb_einer_WTP_Profile_Konfiguration.3F

Was bedeutet der Konfigurationspunkt "Client Load Balancing Access Point Hand-off" innerhalb einer WTP Profile Konfiguration?

Diese Funktion wird benutzt im Zusammenhang mit dem "Wireless Load Balancing" ab FortiOS 5.0. Die Funktionsweise des "Forti Access Point Hand-off" ist die folgende: Ein "Hand-off" wird durch den Forti Access Point ausgelöst anhand des "threshold" (Standard 30). Wenn der "Load" auf einem Forti Access Point den gesetzten "threshold" übersteigt, wird der Wireless Client/Host angewiesen auf den nächsten Forti Access Point und/oder "radio" zu wechseln. Für diesen Wechsel des "Hand-off" ist die Signalstärke des Client/Host entscheidend (RSSI threshold). Dieser Wert erhält der Client/Host vom zuständigen Forti Access Point. Um zu verhindern das der Zugriff auf den Client/Host durch einen Forit Access Point verhindert wird, werden wiederholende Anfragen zum Forti Access Point durch den Wirless Client/Host der auf dem Forti Access Point verbunden ist akzeptiert. Dieser Vorgang nennt man "soft-limit": 

       Datei:Fortinet-340.jpg

Folgendes Kommando kann benutzt werden um das "hand-off" auf dem entsprechenden WTP Profil ein- oder auszuschalten sowie den "threshold" zu setzen: 

       # config wireless-controller wtp-profile
       # edit [Name des entsprechendend WTP Profile]
       # set handoff-sta-thresh [Grenzwert des handoff; Standard 30]
       # config [radio-1 oder 2]
       # set ap-handoff {disable | enable}
       # end
       # end

"handoff-sta-thresh" bedeutet: Der Durchschnitt verbundener Wireless Clients/Host der erreicht werden soll auf einem Forti Access Point, bevor diese Wireless Clients/Hosts durch den Forti Access Point angewiesen werden sich auf dem nächsten Forti Access Point zu verbinden! Die Funktion des "ap-handhoff" kann wie hier gezeigt über Mgmt. Web Interface durchgeführt werden. Jedoch ist die Konfiguration "handoff-sta-thresh" nur über CLI möglich! Im Mgmt. Web Interface findet man die Funktion unter folgender Position: 

       WiFi Controller > [WiFi Network] > FortiAP Profiles > [Wähle das entsprechende Profile] > [Radio-1 und/oder 2 "AP Handoff"]

Was bedeutet der Konfigurationspunkt "Client Load Balancing Frequency Hand-off" innerhalb einer WTP Profile Konfiguration?

Diese Funktion wird benutzt im Zusammenhang mit dem "Wireless Load Balancing" ab FortiOS 5.0. Die Funktionsweise des "Access Point Frequenzy Hand-off" ist die folgende: Der FortiGate Wireless Controller überprüft in gewissen Abständen die Wireless Clients/Hosts betreffend Ihrer Band-Fähigkeit (Frequenzen)! Ebenfalls wird durch den FortiGate Wireless Controller betreffend dem Wireless Client/Host die RSSI (Signal Stärke) überwacht und das auf allen möglichen Frequenzen. Wenn ein neuer Wireless Client/Host sich verbinden will, überprüft der FortiGate Wireless Controller die MAC Adresse des Wireless Client/Host und schaut gleichzeitig in den "Tabellen" nach in denen die verschiednen Informationen abgelegt sind, wie zB Band-Fähigkeit und RSSI (Signal Stärke). Daraus resultierend kann der FortiGate Wireless Controller entscheiden ob der Device über "dual band" (2.4 GHz / 5 GHz verfügt oder nicht: 

       Datei:Fortinet-341.jpg

       • Wenn der Wireless Client/Host über "kein" Dual-Band verfügt: Wird dem Wireless Client/Host erlaubt sich mit dem Access Point 
         (2.4 GHz) zu verbinden!
         
       • Wenn der Wireless Client/Host über Dual-Band verfügt mit "guter" Signal Stärke: Antwortet der FortiGate Wireless Controller 
         nicht auf die Anfrage betreffend 2.4 GHz sondern der Wireless Client/Host wird angewiesen sich mit 5 GHz auf den Forti Access 
         Point zu verbinden. Um zu verhindern, dass ein Zugriff auf den Client verhindert wird, werden wiederholende Anfragen zum Forti 
         Access Point durch den Wireless Client/Host auf dem Forti Access Point auf dem sich der Wireless Client/Host verbinden will 
         akzeptiert (soft-limit).

Einige Wireless Clients/Hosts unterstützen diesen Vorgang dh. diese Wireless Client/Host unterstützen 2.4 GHz sowie 5 GHz. Ist beides vorhanden wird automatisch 5 GHz benutzt. Auf den Wireless Clients/Hosts wird jedoch "nur" 5 GHz angezeigt. Ein Beispiel für solche Device's sind iOS Devices. Das "frequency-off" respektive der "threshold" wird unter der CLI folgendermassen konfiguriert: 

       # config wireless-controller wtp-profile
       # edit [Name des entsprechendend WTP Profile]
       # set handoff-rssi  [Grenzwert des handoff; Standard 25]
       # config [radio-1 oder 2]
       # set frequenciy-handoff {disable | enable}
       # end
       # end

"handoff-rssi" bedeutet die Durchschnittliche Signalstärke die erreicht werden muss durch einen Wireless Client/Host bevor der Wireless Client/Host auf den 5 GHz Bereich verschoben wird! Die Konfiguration des "frequenciy-handoff kann ebenfalls im Mgmt. Web Interface durchgeführt werden jedoch kann die Funktion nur aktiviert oder deaktiviert werden. Um die "handoff-rssi" zu konfigurieren muss die CLI benutzt werden! Im Mgmt. Web Interface findet man die Funktion unter folgender Position: 

       WiFi Controller > [WiFi Network] > FortiAP Profiles > [Wähle das entsprechende Profile] > [Radio-1 und/oder 2 "Frequency Handoff"]

Was bedeutet der Konfigurationspunkt "Auto TX Power Control" innerhalb einer WTP Profile Konfiguration?

Bei "Auto TX Power Control" handelt es sich um die Stärke des Signals für ein Forti Access Point! Benützt werden kann diese Funktion, wenn zwei Forti Access Points zu nah zueinander positioniert wurden und sich somit selber stören durch Interferenzen (channel overlapping)! Um dies zu verhindern, kann manuell der "Auto TX Power Control" aktiviert und somit herabgesetzt werden. AB FortiOS 5.0 kann diese Konfiguration automatisiert werden. Dies bedeutet folgendes: 

       • Ist das Signal grösser als 70dBm wird der TX Power auf "auto-power-low" (TX Power Low Standard 10dBm) gesetzt!
         
       • Ist das Signal kleiner als 70dBM wird der TX Power auf "auto-power-high" (TX Power High Standard 17dBm) gesetzt!

Die Informationen über die Signalstärke wird durch den FortiGate Wireless Controller im Hintergrund gesammelt und ausgewertet. Aus diesem Grund erkennt der FortiGate Wireless Controller ein "channel overlapping" innerhalb des Forti Access Point Verbund der über dessen FortiGate Wireless Controller verwaltet wird. Desweiteren ist nachfolgende Tabelle Aufschlussreich betreffend verwendeter Stärke in "dBm" resp. "milliwatt". Dabei ist zu berücksichtigen das wenn 50% TX Power benützt wird folgendes gilt: 

            50% of 100mW = 50mW was wiederum 17dBm entspricht
            
             0 dBm =   1 mW
             3 dBm =   2 mW
             6 dBm =   4 mW
             9 dBm =   7.9 mW
            12 dBm =  15.8 mW
            15 dBm =  31.6 mW
            18 dBm =  61.1 mW
            21 dBm = 125.9 mW
            24 dBm = 251.2 mW

Dieser Konfigurationspunkt kann im entsprechenden Forti Access Point WTP Profil konfiguriert werden: 

       WiFi Controller > [WiFi Network] > FortiAP Profiles > [Wähle das entsprechende Profile] > [Radio-1 und/oder 2 "Auto TX Power Control"]

       Fortinet-1278.jpg

       # config wireless-controller wtp-profile
       # edit [Name des entsprechendend WTP Profile]
       # config [radio-1 oder 2]
       # set auto-power-level [enable | disable]
       # set power-level [Setze den entsprechenden Wert in % dh. 1 - 100; Standard 100]
       # end

Was bedeutet der Konfigurationspunkt "protection-mode" (802.11g Protection Mode) innerhalb einer WTP Profile Konfiguration?

Beim "802.11g Protection Mode" handelt es sich um die im IEEE Standard beschriebene "RTS/CTS" (Request-to-send/Clear-to-send) Funktion innerhalb eines Wireless Netzwerk's! Bei RTS/CTS handelt es sich um ein Verfahren das Kollisionen im Wireless Netzwerk verringern kann/soll. Bei Wirless Netzerken hilft es auch das Problem des unsichtbaren Hosts zu lösen. Das ist der Fall, wenn zwei Stationen einen Access Point nutzen, sich aber gegenseitig nicht hören können. Dieser Prozess kann den Datendurchsatz verlangsamen. In den Wireless Netzwerken, in denen eine hohe Performance sehr wichtig ist, sollte die Anzahl der 802.11b Komponenten minimiert werden oder besser gegen 802.11g Produkte ausgetauscht werden. Weitere Informationen zu "RTS/CTS" findet man unter folgenden Link: 

       http://de.wikipedia.org/wiki/Carrier_Sense_Multiple_Access/Collision_Avoidance#RTS.2FCTS_Koordination

Ab FortiGate 5.06 sowie FortiAP 5.0.7 kann dieser "802.11g Protection Mode" manipuliert werden dh. dieser kann auf CTS only gesetzt werden oder RTS/CTS. Per Standard steht der Wert für "protection-mode" auf "disable": 

       # config wireless-controller wtp-profile
       # edit [Name des entsprechendend WTP Profile]
       # config [radio für 5 GHz]
       # set protection-mode [ctsonly | disable | rtscts]
       # end
       # end
       # end

Durch die Deaktivierung "disable" des Protection Mode kann nicht erreicht werden, dass sich 802.11a und/oder 802.11b Wireless Clients/Hosts verbinden können resp. ausgeschlossen werden! Jedoch wird durch die Aktivierung dieses Modus Focus auf 802.11g gesetzt und die 802.11a/b Client's vernachlässigt. Aus diesen Informtionen stellt sich die Frage wann dieser Protection Mode aktiviert werden soll und wenn nicht. Die Antwort ist nicht Generell zu beantworten! Jedoch kann man Grundsätzlich von Folgendem ausgehen: 

       • Wenn der Forti Access Point sowie die Wireles Clients/Hosts ausschliesslich 802.11g und/oder 802.11n benutzen, kann der 
         Protect Mode ausgeschaltet (deaktiviert) werden um die Performance zu erhöhen da der Overhead von RTS/CTS wegfällt:
         
         protection-mode disabled             = Hoher Durchsatz für 802.11g und/oder 802.11n da der Overhead von RTS/CTS wegfällt

       • Wenn der Forti Access Point sowie die Wireless Clients/Hosts zu 802.11g und/oder 802.11n ebenfalls 802.11b benutzen, sollte der 
         Protect Mode RTS/CTS oder CTS aktiviert werden um eine Rückwärtskompatibilität gegenüber 802.11b zu gewährleisten und diese 
         "vor" 802.11g und/oder 802.11n Uebermittlungen zu schützen:
         
         protection-mode ctsonly oder rtscts  = Tiefer Durchsatz für 802.11g und/oder 802.11n da Overhead jedoch guter Durchsatz für 802.11a und/oder 802.11b

Was bedeutet der Konfigurationspunkt "beacon-interval" innerhalb einer WTP Profile Konfiguration?

Ein Forti Access Point sendet in einstellbaren Intervallen (beacon-intervall) kleine Datenpakete, sogenannte "beacons" (Leuchtfeuer) an alle Stationen im Empfangsbereich. Die "beacons" enthalten unter anderem folgende Informationen: 

       • Netzwerkname ("Service Set Identifier", SSID)
       • Liste unterstützter Übertragungsraten
       • Art der Verschlüsselung

Dieses "Leuchtfeuer" (beacons) erleichtert den Verbindungsaufbau ganz erheblich, da die Wireless Clients/Hosts lediglich den Netzwerknamen und optional einige Parameter für die Verschlüsselung kennen müssen. Gleichzeitig ermöglicht der ständige Versand der Beacon-Pakete die Überwachung der Empfangsqualität und zwar auch dann, wenn keine Nutzdaten gesendet oder empfangen werden. "beacons" werden immer mit der niedrigsten Übertragungsrate (1 MBit/s) gesendet um somit ein erfolgreiche Empfang des "Leuchtfeuers" garantiert wird. Der "beacon-interval" ist ein fixer Parameter der Konfiguriert wird. Bei einer FortiGate im WTP Profile steht dieser Wet auf 100 Millisekunden. Dies bedeutet: 100 steht für den Interval in Millisekunden für die Versendung der "beacon's". Im normal Fall sollte der Wert nicht manipuliert werden denn: Ist der "beacon-interval" hoch, bedeutet dies eine hohe Kapazität auf dem Forti Access Point sprich viele Wireless Clients/Hosts können sich auf dem Forti Access Point verbinden (es werden weniger "beacon's" versendet). Bedeutet jedoch auch: Die Wireless Clients/Hosts benötigen eine sehr lange Zeit bis die Verbindung zustande kommt, da der Interval in Millisekunden der "beacon's" höhere ist. Wenn man den Interval der "beacon's" verkleinert, werden die passiven Scan's der Wireless Clients/Hosts schneller beantwortet. Also ist die Verbindung schneller jedoch sinkt die Kapazität des Forti Access Point (es werden mehr "beacons" versendet). Wenn man einen Forti Access Point in einer Umgebung einsetzt mit vielen Interferenzen (overlapping channel) sollten die "beacon's" herabgesetzt werden um die Netzwerk Performance/Qualität zu erhöhen (es werden mehr "beacon's" versendet). In einer Umgebung mit wenig Interferenzen oder wenigen Wireless Clients/Hosts sollte der "beacon" erhöht werden um mehr Kapazität zu schaffen. Der Befehl um den "beacon's" zu manipulieren wäre der folgende: 

       # config system wireless-controller wtp-profile
       # edit [Name des entsprechendend WTP Profile]
       # config radio-[1 | 2]
       # set beacon-inteval [40 - 3500 Millisekunden; Standard 100]
       # end

Der Standard Wert 100 für "beacon's" sollte unter normalen Umständen nicht manipuliert werden! Kommt es zu Problemen, sollte bevor der Interval der "beacon's" manipuliert wird eventuell die Option "probe-resp-suppresion" konsultiert werden, Dazu siehe nachfolgender Artikel: 

       FortiAP:FAQ#Was_bedeutet_der_Konfigurationspunkt_.22probe-resp-suppression.22_.28Probe_Respond_Suppression.29_innerhalb_einer_SSID_Konfiguration.3F

Was bedeutet der Konfigurationspunkt "ekahau-blink-mode" innerhalb einer WTP Profile Konfiguration?

Die Option "ekahau-blink-mode" stellt einen Service dar für das "Real-Time Location System" von Ekahau Vision. Diese Funktion erlaubt es Informationen basierend auf dem Ekahau Vision zum diesem Dienst von Ekahau Vision zu senden um das "Real-Time Location System" zu benützen. Dies bedeutet: Diese Option steht nur im Zusammenhang mit diesem Dienst und muss auch nur dann aktiviert werden wenn dieser Dienst genutzt wird: 

       # config wireless-controller wtp-profile
       # edit [Name des entsprechenden WTP Profils]
       # config lbs
       # set ekahau-blink-mode [enalbe | disable]
       # set ekahau-tag [ Mac Adresse xx:xx:xx:xx:xx:xx]
       # set erc-server-ip [IPv4 Adresse]
       # set erc-server-port [Port Nummer]
       # end
       # end

Was bedeutet der Konfigurationspunkt "coexistence" innerhalb einer WTP Profile Konfiguration?

Wenn man ein WTP Profile konfiguriert existiert in den "radio-1 oder 2" settings eine Option mit dem Namen "coexistence". Diese Option steht im Zusammenhang mit den Modi "802.11n und 802.11ac" und somit für 2.4GHz und 5GHz. Die Konfiguration für "coexistence" kann nur über CLI durchgeführt werden und zwar folgendermassen: 

       # config wireless-controller wtp-profile
       # edit [Name des entsprechenden WTP Profils]
       # config radio-[1 | 2]
       # set channel-bonding [20MHz | 40MHz | 80MHz]
       # set coexistence [enable | disable]
       # end
       # end

Die Option steht im direkten Zusammenhang mit dem "channel-bonding". Dies bedeutet: ist das "channel-bonding" auf 20MHz gesetzt steht die Option "coexistence" nicht zur Verfügung da der 40MHz Bereich nicht aktiviert ist. Wenn das "channel-bounding" auf 40MHz gesetzt ist kann die "coexsistence" aktiviert werden was wiederum bedeutet: 20MHz und 40MHz koesistierten resp. beide sind erlaubt. Die Option "coexistence" definiert den HT20 resp. HT40 Mode was wiederum bedeutet: 

       HT20 = Einzelner 20MHz Channel
       HT40 = 2 X 20Mhz Channels und Autoselektierung des Sekundären höherer und tieferen Channels

Wenn somit ein "channel-bounding" aktiviert wird auf 40MHz jedoch die "coexistence" deaktiviert ist so wird 20MHz als Sekundärer Channel ausgeschlossen. Aus kompatibilitäts Gründen sollte dies nicht konfiguriert werden, kann jedoch in Ausnahmen Sinn machen wenn die Performance ausschlaggeben ist jedoch klar damit gerechnet wird das Geräte im 20MHz Bereich damit ausgeschlossen werden.

Was bedeutet der Konfigurationspunkt "max-distance" (ACK timeout) innerhalb einer WTP Profile Konfiguration?

Das "ACK timeout" auf einem Forti Access Point wird über die Option "max-distance" innerhalb eines WTP Profiles gesteuert. Dies wird in der CLI wie folgt beschrieben: 

       Setzt das erwartete Maximum in Meter zwischen dem Forti Access Point und den Wireless Clients. Dieser Wert verändert 
       "ACK timeout" auf dem Forti Access Point um einen maximalen throughput für die maximale definierte Distanz zwischen 
       Forti Access Point und Wireless Client zu erreichen. Mögliche Werte sind zwischen 0 und 20'000 Meter (Standard 0).

Unter normalen Umständen sollte dieser Wert dh. "0" belassen werden. Wird jedoch eine Punkt zu Punkt Verbindung konfiguriert/etabliert über lange Distanzen zB eine Bridge, kann dieser Wert angepasst werden um ein grosszügiges "ACK timeout" zu erlauben. Für ein Troubleshooting kann dieses Timeout auf dem Forti Access Point angepasst werden. Folgender Befehl Lokal auf dem Forti Access Point gibt den momentanen Wert aus für "ACK timeout" aus: 

       # iwpriv wifi0 get_acktimeout
       wifi0      get_acktimout:64   (0x40)

Um den das "ACK timeout" auf dem FortiAP anzupassen führe folgendes durch: 

       # Iwpriv wifi-acktimeout [ Wert zB "120"]

Wie Lokaler Zugriff erlangt wird auf einen Forti Access Point beschreibt nachfolgender Artikel: 

       FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F

CLI

Welche Kommandos können Lokal auf einem Forti Access Point über die CLI eingegeben werden?

Grundsätzlich wird eine Konfiguration eine Forti Access Points über den FortiGate Wireless Controller durchgeführt. Nichts desto trotz verfügt ein Forti Access Point Lokal über Befehlsatz der es erlaubt zB eine statische IPv4 Konfiguration durchzuführen oder ein Troubleshooting. Um Lokal auf einem Forti Access Point per "telnet" zu verbinden muss dieser Zugriff aktiviert werden. Danach kann über den FortiGate Wireless Controller per "telnet" eine Verbindung zu einem entsprechenden Forti Access Point erstellt werden um Lokal auf dem Forti Access Point die Kommandos einzugeben. Weitere Informationen wie dieser Zugriff aktiviert wird siehe nachfolgender Artikel: 

       FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F

Unter FortiOS 5.0/5.2/5.4 stehen folgende Kommandos zur Verfügung: 

       FortiOS 5.0
       
       # fap-get-status
       Version: FortiAP-220B v5.0,build064,140117 (GA)
       Serial-Number: FAP22B3U11011877
       BIOS version: 04000010
       Regcode: E 
       Hostname: FAP22B3U11011877
       Branch point: 064
       Release Version Information:GA
       
       # help
       FortiAP commands:
       -----------------
               brctl, cfg, cw_debug, cw_diag, cw_test_led, cw_test_radio
               diag_console_debug, diag_debug_crashlog, dmesg, factoryreset
               fap-get-status, fap-set-hostname, restore, radartool
       
       # brctl -h
       brctl: invalid argument '-h' to 'brctl'
       
       BusyBox v1.15.0 (2014-01-17 16:28:04 PST) multi-call binary
       
       Usage: brctl COMMAND [BRIDGE [INTERFACE]]
       
       Manage ethernet bridges.
       
       Commands:
               show                    Show a list of bridges
               showmacs BRIDGE         Show a list of mac addrs
               addbr BRIDGE            Create BRIDGE
               delbr BRIDGE            Delete BRIDGE
               addif BRIDGE IFACE      Add IFACE to BRIDGE
               delif BRIDGE IFACE      Delete IFACE from BRIDGE
               setageing BRIDGE TIME           Set ageing time
               setfd BRIDGE TIME               Set bridge forward delay
               sethello BRIDGE TIME            Set hello time
               setmaxage BRIDGE TIME           Set max message age
               setpathcost BRIDGE COST         Set path cost
               setportprio BRIDGE PRIO         Set port priority
               setbridgeprio BRIDGE PRIO       Set bridge priority
               stp BRIDGE [1|0]                STP on/off
       
       # cw_test_radio -h
       /sbin/cw_test_radio <1|2> <2g|5g|auto> <ssid|off> [address] [netmask]
       
       # diag_console_debug -h
       Usage:
       
               diag_console_debug <on|off>               --turn on/off console log message
       
       # diag_debug_crashlog     
       Usage:
       
               diag_debug_crashlog clear                     --clear crash log
               diag_debug_crashlog read                      --read crash log and print
       
       # cfg -h
       cfg -h            - output this help
       cfg -r var        - remove variables
       cfg -e            - export variables
       cfg -s            - list variables
       cfg -x            - resetting to factory defaults
       cfg -c            - commit the change to flash
       cfg -a var=value  - add or change variables
       
       Supported Variable Names:
           BAUD_RATE
               9600, 19200, 38400, 57600, 115200
           WTP_NAME
           WTP_LOCATION
           FIRMWARE_UPGRADE
           LOG IN_PASSWD
           ADM IN_TIMEOUT
               Telnet and GUI session admin timeout in minutes
           ADDR_MODE
               DHCP, STATIC
           AP_IPADDR
           AP_NETMASK
           IPGW
           AP_MODE
               0(Thin AP), 2(Site Survey)
           DNS_SERVER
           STP_MODE
           AP_MGMT_VLAN_ID
           TELNET_ALLOW
           HTTP_ALLOW
           AC_DISCOVERY_TYPE
               0(auto), 1(static), 2(dhcp), 3(dns), 5(broadcast), 6(multicast)
           AC_IPADDR_1
           AC_IPADDR_2
           AC_IPADDR_3
           AC_HOSTNAME_1
           AC_HOSTNAME_2
           AC_HOSTNAME_3
           AC_DISCOVERY_MC_ADDR
           AC_DISCOVERY_DHCP_OPTION_CODE
           AC_CTL_PORT
           AC_DATA_CHAN_SEC
               0(Clear Text), 1(DTLS Enabled), 2(Clear Text or DTLS Enabled)
           MESH_AP_TYPE
               0(Ethernet), 1(Mesh), 2(Ethernet with mesh backup support)
           MESH_AP_SSID
           MESH_AP_BSSID
           MESH_AP_PASSWD
           MESH_ETH_BRIDGE
               Only take effect with MESH_AP_TYPE 1(mesh) AP
           MESH_MAX_HOPS
           MESH_SCORE_HOP_WEIGHT
           MESH_SCORE_CHAN_WEIGHT
           MESH_SCORE_RATE_WEIGHT
           MESH_SCORE_BAND_WEIGHT
           MESH_SCORE_RSSI_WEIGHT
           SURVEY_SSID
           SURVEY_TX_POWER
           SURVEY_CH_24
           SURVEY_CH_50
           SURVEY_BEACON_INTV
       
       # cw_diag help
       cw_diag usage:
           cw_diag help                             --show this usage
           cw_diag uptime                           --show daemon uptime
           cw_diag --tlog  <on|off>                 --turn on/off telnet log message.
           cw_diag --clog  <on|off>                 --turn on/off console log message.
           cw_diag baudrate [9600 | 19200 | 38400 | 57600 | 115200]
           cw_diag kernel-panic [size [ID]]         --show saved kernel panic log fromflash
           cw_diag kernel-panic clear               --clear saved kernel panic log from flash
           cw_diag k-dvlan-debug [0-15]             --enable/disable kernel dynamic vlan debug
           cw_diag plain-ctl [[0|1] | clear]        --show, set or clear current plain control setting
           cw_diag sniff-cfg [[ip port] | clear]    --show, set or clear sniff server ip and port
           cw_diag sniff [intf [0|1|2] | clear]     --show, set or clear sniff setting on intf
           cw_diag stats wl_intf                    --show wl_intf status
           cw_diag wl-log                           --get wlan's beacon/probe related info 
           cw_diag band-width [rId] [wId] [sta-mac] --show radio, vap, sta band width
           cw_diag pkt-pattern [rId]                --show traffic packet length info.
           cw_diag repeat cnt intv cmd              --run cnt times of cmd at intv interval
           cw_diag sys-performance                  --show CPU load and memory usage
           cw_diag clear debug                      --clear all debug settings
           cw_diag show debug                       --show all debug settings
           cw_diag show control                     --show all -c settings
           cw_diag show all                         --show all debug and -c settings
           cw_diag -c wtp-cfg                       --show current wtp config params in control plane
           cw_diag -c radio-cfg                     --show current radio config params in control plane
           cw_diag -c ssid                          --show current configrued SSIDs
           cw_diag -c vap-cfg                       --show current vaps in control plane
           cw_diag -c ap-rogue                      --show rogue APs pushed by AC for on-wire scan
           cw_diag -c sta-rogue                     --show rogue STAs pushed by AC for on-wire scan
           cw_diag -c arp-req                       --show scanned arp requests
           cw_diag -c ap-scan                       --show scanned APs
           cw_diag -c sta-scan                      --show scanned STAs
           cw_diag -c sta-cap                       --show scanned STA capabilities
           cw_diag -c sta-locate                    --show scanned STA locate data
           cw_diag -c sta-locate-reset [level]      --reset scanned STA locate data
           cw_diag -c wids                          --show scanned WIDS detections
           cw_diag -c mesh                          --show mesh status
           cw_diag -c mesh-veth-acinfo              --show mesh veth ac info, and mesh ether type
           cw_diag -c mesh-veth-vap                 --show mesh veth vap
           cw_diag -c mesh-veth-host                --show mesh veth host
           cw_diag -c mesh-ap                       --show mesh ap candidates
           cw_diag -c vlan                          --show current vlan info in daemon
           cw_diag -c sta                           --show current station info in daemon
           cw_diag -c sys-vbr                       --show WTP Vlan Bridges
           cw_diag -c net-topo                      --show interface topology
           cw_diag -c k-vap                         --show WTP Kernel local-bridge VAPs
           cw_diag -c k-host                        --show WTP Kernel local-bridge Hosts
           cw_diag -c k-wlvl                        --show WTP Kernel local-bridge Wlan Vlans
           cw_diag -c k-vbr                         --show WTP Kernel local-bridge Vlan Bridges
           cw_diag -c scan-clr-all                  --flush all scanned AP/STA/ARPs
           cw_diag -c ap-suppress                   --show suppressed APs
           cw_diag -c sta-deauth                    --de-authenticate an STA

       FortiOS 5.2
       
       # get system status
       Version: FortiAP-221C v5.2,build490,140616 (GA)
       Serial-Number: FP221C3X14001296
       BIOS version: 04000003
       Regcode: E 
       Base MAC: 08:5b:0e:5d:f7:0c
       Hostname: FP221C3X14001296
       Branch point: 212
       Release Version Information: GA
       
       # help
       FortiAP commands:
       -----------------
               brctl, cfg, cw_debug, cw_diag, cw_test_led, cw_test_radio
               diag_console_debug, diag_debug_crashlog, dmesg, factoryreset
               fap-get-status, fap-set-hostname, restore, radartool
       
       # cw_test_radio -h
       /sbin/cw_test_radio <1|2> <2g|5g|auto> <ssid|off> [address] [netmask]
       
       # diag_console_debug -h
       Usage:
       
               diag_console_debug <on|off>               --turn on/off console log message
       
       # diag_debug_crashlog      
       Usage:
       
               diag_debug_crashlog clear                     --clear crash log
               diag_debug_crashlog read                      --read crash log and print
       
       # cfg -h
       cfg -h            - output this help
       cfg -r var        - remove variables
       cfg -e            - export variables
       cfg -s            - list variables
       cfg -x            - resetting to factory defaults
       cfg -c            - commit the change to flash
       cfg -a var=value  - add or change variables
       
       Supported Variable Names:
           BAUD_RATE
               9600, 19200, 38400, 57600, 115200
           WTP_NAME
           WTP_LOCATION
           FIRMWARE_UPGRADE
           LOGIN_PASSWD
           ADMIN_TIMEOUT
               Telnet and GUI session admin timeout in minutes [0-480]
           ADDR_MODE
               DHCP, STATIC
           AP_IPADDR
           AP_NETMASK
           IPGW
           AP_MODE
               0(Thin AP), 2(Site Survey)
           DNS_SERVER
           STP_MODE
           AP_MGMT_VLAN_ID
           TELNET_ALLOW
           HTTP_ALLOW
           DDNS_ENABLE
           DDNS_PORT
           DDNS_SERVER
               0(fortiddns.com), 1(fortidyndns.com), 2(float-zone.com)
           DDNS_UNIQUE_LOCATION
           AC_DISCOVERY_TYPE
               0(auto), 1(static), 2(dhcp), 3(dns), 5(broadcast), 6(multicast), 7(forticloud)
           AC_IPADDR_1
           AC_IPADDR_2
           AC_IPADDR_3
           AC_HOSTNAME_1
           AC_HOSTNAME_2
           AC_HOSTNAME_3
           AC_DISCOVERY_MC_ADDR
           AC_DISCOVERY_DHCP_OPTION_CODE
           AC_CTL_PORT
           AC_DATA_CHAN_SEC
               0(Clear Text), 1(DTLS Enabled), 2(Clear Text or DTLS Enabled)
           MESH_AP_TYPE
               0(Ethernet), 1(Mesh), 2(Ethernet with mesh backup support)
           MESH_AP_SSID
           MESH_AP_BSSID
           MESH_AP_PASSWD
           MESH_ETH_BRIDGE
               Only take effect with MESH_AP_TYPE 1(mesh) AP
           MESH_MAX_HOPS
           MESH_SCORE_HOP_WEIGHT
           MESH_SCORE_CHAN_WEIGHT
           MESH_SCORE_RATE_WEIGHT
           MESH_SCORE_BAND_WEIGHT
           MESH_SCORE_RSSI_WEIGHT
           SURVEY_SSID
           SURVEY_TX_POWER
           SURVEY_CH_24
           SURVEY_CH_50
           SURVEY_BEACON_INTV
       
       # cw_diag help
       cw_diag usage:
           cw_diag help                             --show this usage
           cw_diag uptime                           --show daemon uptime
           cw_diag --tlog  <on|off>                 --turn on/off telnet log message.
           cw_diag --clog  <on|off>                 --turn on/off console log message.
           cw_diag baudrate [9600 | 19200 | 38400 | 57600 | 115200]
           cw_diag kernel-panic [size [ID]]         --show saved kernel panic log fromflash
           cw_diag kernel-panic clear               --clear saved kernel panic log from flash
           cw_diag k-dvlan-debug [0-15]             --enable/disable kernel dynamic vlan debug
           cw_diag plain-ctl [[0|1] | clear]        --show, set or clear current plain control setting
           cw_diag sniff-cfg [[ip port] | clear]    --show, set or clear sniff server ip and port
           cw_diag sniff [intf [0|1|2] | clear]     --show, set or clear sniff setting on intf
           cw_diag stats wl_intf                    --show wl_intf status
           cw_diag deauth wl_intf sta-mac           --deauthenticate the sta from wl_intf
           cw_diag disassoc wl_intf sta-mac         --disassociate the sta from wl_intf
           cw_diag ksta                             --show clients on the FortiAP
           cw_diag wl-log                           --get wlan's beacon/probe related info 
           cw_diag band-width [rId] [wId] [sta-mac] --show radio, vap, sta band width
           cw_diag pkt-pattern [rId]                --show traffic packet length info.
           cw_diag repeat cnt intv cmd              --run cnt times of cmd at intv interval
           cw_diag sys-performance                  --show CPU load and memory usage
           cw_diag clear debug                      --clear all debug settings
           cw_diag show debug                       --show all debug settings
           cw_diag show control                     --show all -c settings
           cw_diag show all                         --show all debug and -c settings
           cw_diag -c wtp-cfg                       --show current wtp config params in control plane
           cw_diag -c radio-cfg                     --show current radio config params in control plane
           cw_diag -c ssid                          --show current configrued SSIDs
           cw_diag -c vap-cfg                       --show current vaps in control plane
           cw_diag -c ap-rogue                      --show rogue APs pushed by AC for on-wire scan
           cw_diag -c sta-rogue                     --show rogue STAs pushed by AC for on-wire scan
           cw_diag -c arp-req                       --show scanned arp requests
           cw_diag -c ap-scan                       --show scanned APs
           cw_diag -c sta-scan                      --show scanned STAs
           cw_diag -c sta-cap                       --show scanned STA capabilities
           cw_diag -c sta-locate                    --show scanned STA locate data
           cw_diag -c sta-locate-reset [level]      --reset scanned STA locate data
           cw_diag -c wids                          --show scanned WIDS detections
           cw_diag -c mesh                          --show mesh status
           cw_diag -c mesh-veth-acinfo              --show mesh veth ac info, and mesh ether type
           cw_diag -c mesh-veth-vap                 --show mesh veth vap
           cw_diag -c mesh-veth-host                --show mesh veth host
           cw_diag -c mesh-ap                       --show mesh ap candidates
           cw_diag -c vlan                          --show current vlan info in daemon
           cw_diag -c sta                           --show current station info in daemon
           cw_diag -c sys-vbr                       --show WTP Vlan Bridges
           cw_diag -c net-topo                      --show interface topology
           cw_diag -c k-vap                         --show WTP Kernel local-bridge VAPs
           cw_diag -c k-host                        --show WTP Kernel local-bridge Hosts
           cw_diag -c k-wlvl                        --show WTP Kernel local-bridge Wlan Vlans
           cw_diag -c k-vbr                         --show WTP Kernel local-bridge Vlan Bridges
           cw_diag -c scan-clr-all                  --flush all scanned AP/STA/ARPs
           cw_diag -c ap-suppress                   --show suppressed APs
           cw_diag -c sta-deauth                    --de-authenticate an STA

       FortiOS 5.4
       
       # get system status
       Version: FortiAP-221C v5.4,build0327,160107 (GA)
       Serial-Number: FP221C3X14001296
       BIOS version: 04000003
       System Part-Number: P15285-01
       Regcode: E 
       Base MAC: 08:5b:0e:5d:f7:0c
       Hostname: FP221C3X14001296
       Branch point: 327
       Release Version Information: GA
       
       # help
       FortiAP commands:
       -----------------
               brctl, cfg, cw_debug, cw_diag, cw_test_led, cw_test_radio
               diag_console_debug, diag_debug_crashlog, diag_sniffer
               dmesg, factoryreset, fap-get-status, fap-set-hostname
               ft_rate_config, restore, radartool, reboot
       
       # cw_test_radio -h
       /sbin/cw_test_radio <1|2> <2g|5g|auto> <ssid|off> [address] [netmask]
       
       # diag_console_debug -h
       Usage:
       
               diag_console_debug <on|off>               --turn on/off console log message
       
       # diag_debug_crashlog      
       Usage:
       
               diag_debug_crashlog clear                     --clear crash log
               diag_debug_crashlog read                      --read crash log and print
       
       # cw_test_led
       /sbin/cw_test_led <all|power|status|wifi1|wifi2> <all|0|1|2|3|4> [interval]
       lan is controlled by hardware, we don't test it here
                 0: Off
                 1: On-Amber
                 2: On-Green
                 3: On-Flashing Amber
                 4: On-Flashing Green
          interval: Period in each state when all is selected for state
       
       # dmesg 
       
       # ft_rate_config
       ft_rate_config usage:
       command and options:
                -n <dev_name> -p
                -n <dev_name> -m [11bg|11a|11n|11ac] -s <string_256>
                -n <dev_name> -a
                -n <dev_name> -r
                -p print out current rate configuration
                -m radio mode
                -s configure rate set
                   11a string format is (6|6-basic,9|9-basic,12|12-basic,18|18-basic,24|24-basic,36|36-basic,48|48-basic,54|54-basic)
                   11bg string format includes 11a string format and also (1|1-basic,2|2-basic,5.5|5.5-basic)
                   11n string format is (mcs0/1,mcs1/1,...,mcs6/1,mcs7/1,mcs8/2,mcs9/2,...,mcs15/2,mcs16/3,mcs17/3,...,mcs31/4)
                   11ac string format is (mcs0/1,mcs1/1,mcs2/1,...,mcs8/1,mcs9/1,mcs0/2,mcs1/2,...,mcs9/4)
                -a apply the current configuration to radio
                -r reset the user configuration from the ssid
       
       # cfg -h
       cfg -h            - output this help
       cfg -r var        - remove variables
       cfg -e            - export variables
       cfg -s            - list variables
       cfg -x            - resetting to factory defaults
       cfg -c            - commit the change to flash
       cfg -a var=value  - add or change variables
       
       Supported Variable Names:
           BAUD_RATE
               9600, 19200, 38400, 57600, 115200
           WTP_NAME
           WTP_LOCATION
           FIRMWARE_UPGRADE
           LOGIN_PASSWD
           ADMIN_TIMEOUT
               Telnet and GUI session admin timeout in minutes [0-480]
           ADDR_MODE
               DHCP, STATIC
           AP_IPADDR
           AP_NETMASK
           IPGW
           AP_MODE
               0(Thin AP), 2(Site Survey)
           DNS_SERVER
           STP_MODE
               0(disabled), 1(enabled), 2(disabled with blocked WAN port switch)
           AP_MGMT_VLAN_ID
           ALLOW_TELNET
               0(Telnet disable), 1(Telnet enable), 2(controlled by AC)
           ALLOW_HTTP
               0(Http disable), 1(Http enable), 2(controlled by AC)
           DDNS_ENABLE
           DDNS_PORT
           DDNS_SERVER
               0(fortiddns.com), 1(fortidyndns.com), 2(float-zone.com)
           DDNS_UNIQUE_LOCATION
           AC_DISCOVERY_TYPE
               0(auto), 1(static), 2(dhcp), 3(dns), 5(broadcast), 6(multicast), 7(forticloud)
           AC_IPADDR_1
           AC_IPADDR_2
           AC_IPADDR_3
           AC_HOSTNAME_1
           AC_HOSTNAME_2
           AC_HOSTNAME_3
           AC_DISCOVERY_MC_ADDR
           AC_DISCOVERY_DHCP_OPTION_CODE
           AC_DISCOVERY_FCLD_APCTRL
           AC_DISCOVERY_FCLD_ID
           AC_DISCOVERY_FCLD_PASSWD
           AC_CTL_PORT
           AC_DATA_CHAN_SEC
               0(Clear Text), 1(DTLS Enabled), 2(Clear Text or DTLS Enabled)
           MESH_AP_TYPE
               0(Ethernet), 1(Mesh), 2(Ethernet with mesh backup support)
           MESH_AP_SSID
           MESH_AP_BSSID
           MESH_AP_PASSWD
           MESH_ETH_BRIDGE
               Only take effect with MESH_AP_TYPE 1(mesh) AP
           MESH_MAX_HOPS
           MESH_SCORE_HOP_WEIGHT
           MESH_SCORE_CHAN_WEIGHT
           MESH_SCORE_RATE_WEIGHT
           MESH_SCORE_BAND_WEIGHT
           MESH_SCORE_RSSI_WEIGHT
           SURVEY_SSID
           SURVEY_TX_POWER
           SURVEY_CH_24
           SURVEY_CH_50
           SURVEY_BEACON_INTV
           LED_STATE
               0(LED on), 1(LED off), 2(controlled by AC)
               
       # cw_diag help
       cw_diag usage:
           cw_diag help [module [mod name]]   --show this usage
           cw_diag uptime                     --show daemon uptime
           cw_diag --tlog  <on|off>           --turn on/off telnet log message.
           cw_diag --clog  <on|off>           --turn on/off console log message.
           cw_diag --flog  <size in MB>       --turn on/off log message to /tmp/var_log_wtpd.
           cw_diag baudrate [9600 | 19200 | 38400 | 57600 | 115200]
           cw_diag kernel-panic [size [ID]]   --show saved kernel panic log fromflash
           cw_diag kernel-panic clear         --clear saved kernel panic log from flash
           cw_diag k-dvlan-debug [0-15]             --enable/disable kernel dynamic vlan debug
           cw_diag plain-ctl [[0|1] | clear]        --show, set or clear current plain control setting
           cw_diag sniff-cfg [[ip port] | clear]    --show, set or clear sniff server ip and port
           cw_diag sniff [intf [0|1|2] | clear]     --show, set or clear sniff setting on intf
           cw_diag stats wl_intf                    --show wl_intf status
           cw_diag deauth wl_intf sta-mac           --deauthenticate the sta from wl_intf
           cw_diag disassoc wl_intf sta-mac         --disassociate the sta from wl_intf
           cw_diag ksta [HHHH]                      --show clients on the FortiAP
           cw_diag wl-log                           --get wlan's beacon/probe related info
           cw_diag band-width [rId] [wId] [sta-mac] --show radio, vap, sta band width
           cw_diag pkt-pattern [rId]                --show traffic packet length info.
           cw_diag repeat cnt intv cmd              --run cnt times of cmd at intv interval
           cw_diag sys-performance                  --show CPU load and memory usage
           cw_diag clear debug                      --clear all debug settings
           cw_diag show debug                       --show all debug settings
           cw_diag show control                     --show all -c settings
           cw_diag show all                         --show all debug and -c settings
           cw_diag -c wtp-cfg                       --show current wtp config params in control plane
           cw_diag -c fcld-cfg                      --show current forticloud client config
           cw_diag -c radio-cfg                     --show current radio config params in control plane
           cw_diag -c ssid                          --show current configrued SSIDs
           cw_diag -c vap-cfg                       --show current vaps in control plane
           cw_diag -c ap-rogue                      --show rogue APs pushed by AC for on-wire scan
           cw_diag -c sta-rogue                     --show rogue STAs pushed by AC for on-wire scan
           cw_diag -c arp-req                       --show scanned arp requests
           cw_diag -c ap-scan                       --show scanned APs
           cw_diag -c sta-scan                      --show scanned STAs
           cw_diag -c sta-cap                       --show scanned STA capabilities
           cw_diag -c sta-locate                    --show scanned STA locate data
           cw_diag -c sta-locate-reset [level]      --reset scanned STA locate data
           cw_diag -c wids                          --show scanned WIDS detections
           cw_diag -c mesh                          --show mesh status
           cw_diag -c mesh-veth-acinfo              --show mesh veth ac info, and mesh ether type
           cw_diag -c mesh-veth-vap                 --show mesh veth vap
           cw_diag -c mesh-veth-host                --show mesh veth host
           cw_diag -c mesh-ap                       --show mesh ap candidates
           cw_diag -c vlan                          --show current vlan info in daemon
           cw_diag -c sta                           --show current station info in daemon
           cw_diag -c sys-vbr                       --show WTP Vlan Bridges
           cw_diag -c net-topo                      --show interface topology
           cw_diag -c wev                           --show queued wireless events to report
           cw_diag -c k-vap                         --show WTP Kernel local-bridge VAPs
           cw_diag -c k-host                        --show WTP Kernel local-bridge Hosts
           cw_diag -c k-wlvl                        --show WTP Kernel local-bridge Wlan Vlans
           cw_diag -c k-vbr                         --show WTP Kernel local-bridge Vlan Bridges
           cw_diag -c scan-clr-all                  --flush all scanned AP/STA/ARPs
           cw_diag -c ap-suppress                   --show suppressed APs
           cw_diag -c sta-deauth                    --de-authenticate an STA

Neu können unter FortiOS 5.0 / 5.2 auch Linux basierende Kommandos benützt werden. Weitere Informationen dazu siehe Artikel: 

       FortiAP:FAQ#Welche_Linux_Befehle_k.C3.B6nnen_auf_einem_FortiOS_f.C3.BCr_einen_Forti_Access_Point_ben.C3.BCtzt_werden.3F

Welche Kommandos kann ich auf einem Forti Access Point benützen um die Uptime eines Forti Access Point herauszufinden?

Wenn vermutet wird, dass ein Forti Access Point selbständig einen Neustart ausführt, kann folgender Befehl Lokal auf der CLI des Forti Access Point ausgeführt werden um die Uptime des entsprechenden Forti Access Point zu eruieren: 

       # cw_diag uptime
        Current uptime                  : 574652
        WTP daemon start uptime         : 18
        WTP daemon RUN uptime           : 74
        Time since WTP daemon started   : 574634
        Time since WTP daemon connected : 574578
        
        Watchdog timer triggered        : 0
        Watchdog timer action           : 1
        Watchdog timer time             : 22

Dazu benötigt man einen "telnet" Zugriff. Wie dieser Zugriff konfiguriert wird, wenn der Forti Access Point über keinen Consolen Port verfügt siehe nachfolgender Artikel: 

       FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F

Welche Kommandos kann ich auf einem Forti Access Point benützen um über die CLI die Netzwerk Konfiguration auszulesen?

Die Netzwerk Konfiguration eines Forti Access Point kann über das Forti Access Point Mgmt. Web Interface ausgelesen werden. Wenn dies jedoch nicht möglich ist, kann die momentane Netzwerk Konfiguration über CLi Lokal auf dem Forti Access Point ausgelesen werden. Dazu benötigt man einen "telnet" Zugriff. Wie dieser Zugriff konfiguriert wird, wenn der Forti Access Point über keinen Consolen Port verfügt siehe nachfolgender Artikel: 

       FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F

Nachdem der Zugriff gewährleistet ist, kann folgendes Kommando ausgeführt werden um die Netzwerk Konfiguration Lokal auf dem Forti Access Point auszulsen: 

       # cfg -s
       AP_IPADDR:=192.168.1.2
       AP_NETMASK:=255.255.255.0
       IPGW:=192.168.1.1
       ADDR_MODE:=DHCP
       TELNET_ALLOW:=0
       AC_DISCOVERY_TYPE:=0
       AC_IPADDR_1:=192.168.1.1
       AC_CTL_PORT:=5246
       AC_DISCOVERY_MC_ADDR:=224.0.1.140
       AC_DISCOVERY_DHCP_OPTION_CODE:=138

Welche Kommandos kann ich auf einem Forti Access Point benützen um die Firmware Version eines Forti Access Points herauszufinden?

Die Firmware eines Forti Access Points ist über das Mgmt. Web Interface der Fortigate unter "Managed FortiAPs" ersichtlich. Zusätzlich kann Lokal auf dem Forti Access Point nachfolgender Befehl durchgeführt werden um die Firmware Version resp. FortiOS zu verifizieren: 

       # fap-get-status
       Version: FortiAP-220B v4.0,build222,120109 (MR3)
       Serial-Number: FAP22B1234567890
       BIOS version: 04000010
       Regcode: N
       Hostname: FAP22B1234567890
       Branch point: 222
       Release Version Information:MR3

Dazu benötigt man einen "telnet" Zugriff. Wie dieser Zugriff konfiguriert wird, wenn der Forti Access Point über keinen Consolen Port verfügt siehe nachfolgender Artikel: 

       FortiAP:FAQ#Wie_kann_ich_per_.22telnet.22_auf_einen_Forti_Access_Point_verbinden_wenn_dieser_.C3.BCber_keinen_Consolen_Port_verf.C3.BCgt.3F

Troubleshooting

Wie kann vorgegangen werden wenn Performance Problem auf einem Forti Access Point auftreten?

Wenn ein Wireless Infrastruktur aufgebaut wird, kommt es nicht selten zu Performance Probleme dh. Diese sind/können vielfältig sein dh. Abhängig von Umgebung, bestehender Infrastruktur, eingesetzter Wireless Clients usw. Nun wie soll vorgegangen werden wenn solche Performance Problem auftreten: 

        •  Als Erstes führe Tests durch mit den Wireless Client's/Workstation basierend auf einem "Freien Kanal" (ganz sicher 
           nicht besetzt oder beeinträchtigt durch "fremde" andere Wireless Infrastrukturen). Nach Möglichkeit ist der 5 Ghz 
           zu bevorzugen vor dem 2.4 Ghz. Beide zu benützen ist für den Test nicht zu empfehlen da der 2.4 GHz Bereich durch 
           Interferenzen das Resultat negativ beeinflusst. In diesen Test's sollten vers. Wireless Client's/Workstation benutzt 
           werden um festzustellen ob das Problem basierend auf einer spezifischen Gruppe von Wireless Client's/Workstation ist. 
           Ebenfalls sollte für die Wireless Client's/Workstations nur die neusten Wireless Treiber verwendet werden. Ziel ist 
           es zu versuchen das Problem einzugrenzen auf spezifische Wireless Client's/Workstation oder Bereich wie 5 GHz und
           oder 2.4 GHz usw.

        •  Stelle fest/sicher das der Wireless Client/Workstation mit der max. Rate verbunden ist:
           
           130Mbps für 2Ghz 2x2 
           300Mbps für 5Ghz 2x2 (Short Guard und Channel bonding akiviert)

        •  Folgendes Tool kann auf einem Laptop helfen Störungen (Interferenzen) und Signalqualität zu identifizieren:
           
           http://www.metageek.net/support/downloads                    (inSSIDer für Windows / Mac / Android)
           http://www.nirsoft.net/network_tools.html                    (WifiInfoView für Windows)
           http://www.ekahau.com/products/heatmapper/overview.html      (HeatMapper für Windows XP / Windows Vista / Windows 7)

        •  Vergewissere dich, dass zwischen den Forti Access Point, FortiGate Wireless Controller und Server 1000Mbit benutzt wird. Sofern 
           nötig setze den speed fix (set speed 1000full) und kontrolliere einen event. Duplex Mismatch.

        •  Ueberprüfe die Auslastungen auf der FortiGate (CPU und Memory). Ziel ist es bei einer Uebertragung die Auslastung/Auswirkungen 
           auf den CPU und/oder Memory herauszufinden/zu Monitoren:
           
           # get sys perf status
           # diagnose sys top

        •  Zeichne den Wireless Traffic auf und analysiere diesen in Bezug auf Packet ACK dh. um die Performance zu erhöhen werden die Packete 
           "aggregiert" sprich das Acknowledgement wird nur einmalig für eine Gruppe durchgeführt (Block Ack Technique 802.11n). Wenn Packete 
           verworfen werden ist dies ein Hinweis auf Interferenzen und gründet in schlechter Performance und Datenrate. Um den Verkehr 
           aufzuzeichnen benötigt man ein entsprechendes "capture tool" (zB WireShark http://www.wireshark.org/download.html).

        •  Teste den aktuellen "throughput" mit einem Tool wie "jperf" (http://sourceforge.net/projects/jperf)
           
           Datei:Jperf-how-to.pdf

        •  Um mehr als 54Mbps mit 802.11n herauszuholen benütze nicht "Legacy TKIP" sondern "CCMP" (CCMP oder auch Counter-Mode/CBC-MAC Protocol 
           ist gemäß IEEE 802.11i ein Kryptographie-Algorithmus siehe auch:
           
           http://en.wikipedia.org/wiki/CCMP
           
           CCMP Wird benutzt durch die Aktivierung von WPA2 Authentifizierungs-Methode.

        •  Ueberprüfe ob zuviele "Beacons per Second" gesendet/benützt werden (beacon-interval):
          
          Datei:Fortinet-332.jpg

        •  Ueberprüfe ob in der Umgebung zuviele existente Frequenz-Bänder existieren die Interferenzen (Störungen) verursachen.

        •  Ueberprüfe ob zuviele Broadcast sowie Multicast über das Wireless Netz gelangen/transportiert werden.

        •  Ueberprüfe ob Backward Kompatibilität für 802.11b sowie g genutzt und benötigt wird (event. deaktivieren)

        •  Ueberprüfe ob auf den End Devices der User die neusten Treiber sowie Wireless Software installiert ist und überprüfe deren Datenrate.

Wie kann vorgegangen werden wenn auf einem Forti Access Point für Performance Probleme Messungen durchgeführt werden sollen?

Um in einem Netzwerk sei es Wireless oder Ethernet Messungen durchzuführen, ist es ratsam eine kleine Client to Server Lösung zu benützen die Messungen im TCP sowie im UDP Bereich durchführt. Ein kleines unkompliziertes Tool wäre NetIO: 

       http://www.ars.de/ars/ars.nsf/docs/netio

Das Tool funktioniert auf Client to Server Basis dh. auf dem Server wird mit -s der Server gestartet und auf dem Client mit dem entsprecheneden Befehl (-t hostname/IP) der Client. Der Client setzt in vers. Packetgrössen (können auch definiert werden mit -b) Anfragen ab, die danach ausgewertet werden. Ein Scenario wäre zB: 

       Windows Client --> Windows Server
       
       Windows Server:
       Entpacke das .zip File und öffne eine Dos Box (cmd.exe). Danach wechsle ins Verzeichnis indem das .zip Fiel entpackt wurde.
       Gebe im Verzeichnis \bin über die Dos Box folgenden Befehl ein (startet den Server):
       
       C:\netio131>win32-i386.exe -s
       
       Der NetIO Server wird gestartet und läuft per Standard auf Port 18767. Ist dieser Port bereits belegt kann mit Option -p ein 
       anderer Port definiert werden.
       
       Windows Client:
       Entpacke das .zip File und öffne eine Dos Box (cmd.exe). Danach wechsle ins Verzeichnis indem das .zip Fiel entpackt wurde.
       Gebe im Verzeichnis \bin über die Dos Box folgenden Befehl ein (startet den Server):
       
       C:\netio131>win32-i386.exe -t [Hostname oder IP des Windows Server]
       
       Die Option -t bedeutet TCP dh. möchte man UDP Anfragen absetzen dann benutze die Option -u. Die Packetgrösse kann ebenfalls 
       angegeben werden mit -b. Weitere Optionen sind:
       
       Usage: netio [options] [<server>]
       
         -s            run server side of benchmark (o
         -b <size>[k]  use this block size (otherwise
         -B -K -M -G   force number formatting to Byte
       
         -t            use TCP protocol for benchmark
         -u            use UDP protocol for benchmark
         -h <addr>     bind TCP and UDP servers to thi
                       (default is to bind to all loca
         -p <port>     bind TCP and UDP servers to thi
       
         <server>      If the client side of the bench
                       a server name or address is req
       
       The server side can run either TCP (-t) or UDP
       (default, if neither -t or -u is specified). Th
       these protocols only (must specify -t or -u).

       Windows Client --> Linux Server
       
       Die Anwendung für ein Linux Server ist dieselbe wie beim Windows Server nur nimmt man ein anderes Binary dh. zB "linux-i386".
       Die Optionen und die Schalter sind dieselben. Bei der Installation des .zip Files ist zu beachten, dass auf das auszuführende
       File dh. "linux-i386" der chmod 777 gesetzt wird ansonsten wird das Binary nicht ausgeführt. Ein Beispiel Output eines Tests
       zwischen einem Linux Server und einem Windows Client sieht folgendermassen aus:
       
       #./linux-i386 -s
       
       NETIO - Network Throughput Benchmark, Version 1.30
       (C) 1997-2008 Kai Uwe Rommel
       
       UDP server listening.
       TCP server listening.
       TCP connection established ... 
       Receiving from client, packet size  1k ...  1364.51 KByte/s
       Sending to client, packet size  1k ...  803.63 KByte/s
       Receiving from client, packet size  2k ...  1473.31 KByte/s
       Sending to client, packet size  2k ...  645.55 KByte/s
       Receiving from client, packet size  4k ...  1452.13 KByte/s
       Sending to client, packet size  4k ...  640.69 KByte/s
       Receiving from client, packet size  8k ...  1120.63 KByte/s
       Sending to client, packet size  8k ...  716.57 KByte/s
       Receiving from client, packet size 16k ...  1506.04 KByte/s
       Sending to client, packet size 16k ...  658.24 KByte/s
       Receiving from client, packet size 32k ...  1433.88 KByte/s
       Sending to client, packet size 32k ...  855.72 KByte/s
       Done.
       TCP server listening.
       
       C:\netio131>win32-i386.exe -t [Linux Server / IP]
       
       NETIO - Network Throughput Benchmark, Version 1.31
       (C) 1997-2010 Kai Uwe Rommel
       
       TCP connection established.
       Packet size  1k bytes:  1381.22 KByte/s Tx,  780.68 KByte/s Rx.
       Packet size  2k bytes:  1486.13 KByte/s Tx,  567.92 KByte/s Rx.
       Packet size  4k bytes:  1466.74 KByte/s Tx,  612.15 KByte/s Rx.
       Packet size  8k bytes:  1129.70 KByte/s Tx,  702.39 KByte/s Rx.
       Packet size 16k bytes:  1541.18 KByte/s Tx,  617.14 KByte/s Rx.
       Packet size 32k bytes:  1472.19 KByte/s Tx,  796.44 KByte/s Rx.
       Done.
Abgerufen von „http://fortinet.also.ch/wiki/index.php?title=FortiAP:FAQ&oldid=11613“