FortiCloud:FAQ
FortiCloud(FAMS):FAQ
Vorwort
Diese FAQ's sind für FortiGate Systeme basierend auf OS 4 MR3 oder höherk, Forti Access Point 5.2 oder höher sowie FortiCloud 3.0 oder höher!
Datenschutz
*********************************************************************
* *
* THIS FILE MAY CONTAIN CONFIDENTIAL, PRIVILEGED OR OTHER LEGALLY *
* PROTECTED INFORMATION. YOU ARE PROHIBITED FROM COPYING, *
* DISTRIBUTING OR OTHERWISE USING IT WITHOUT PERMISSION FROM *
* ALSO SCHWEIZ AG SWITZERLAND. *
* *
*********************************************************************
"Die in diesen Artikeln enthaltenen Informationen sind vertraulich und dürfen ohne
schriftliche Zustimmung von der ALSO Schweiz AG gegenüber Dritt-Unternehmen nicht
bekannt gemacht werden"
FAQ
FortiCloud
Was ist unter dem Service FortiCloud zu verstehen?
FortiCloud ist ein Service von Fortinet der verschiedenen Dienste in der Cloud zur Verfügung stellt. Dabei liegt der Fokus des Service speziell auf Logs, Sandbox und Forti Access Points. Die Funktionen umfassen im Allgemeinen die Folgenden:
- Centralized Dashboard: system and log widgets plus real-time monitors
- FortiView Log Viewer: real-time log viewing with filters and download capability
- Drilldown Analysis: user and network activity analysis
- Report Generator: create custom report templates, and schedule reports in different formats to display location-based analytics or illustrate network usage patterns
- Device Management: configuration backup and history, script management, and alert profiles for real-time monitors
- AV Submission: shows the status of suspicious files undergoing cloud-based sandbox analysis
- Wireless Health Monitoring: bandwidth, usage, clients, interference, failed login and rogue APs
- Wireless Security Logs & Events: Authentication, Antivirus, IPS, Web Access, PCI compliance
- Wireless Configuration: SSIDs (including IPS, Antivirus and Web Filtering configuration), Authentication, Captive Portal, Platform Profiles, Tags and Network Settings
- Guest Management: ability to add guests and notify them if credentials via SMS or email
- Social Media Account Integration: ability for guests to connect to wireless accounts via social media
Ueber FortiCloud können folgende Devices eingebunden werden:
• FortiGate
Alle FortiGate Modell bis zur FG-300 Serie (FortiCloud Aktivierung im Web Mgmt. Interface im "Licensing Information" Widget).
Alle Modell der 600 bis 800 Serie (FortiCloud Aktivierung in der CLI).
• FortiWiFi
Alle FortiWiFi Modell der 20 bis 90 Serie (FortiCloud Aktivierung im Web Mgmt. Interface im "Licensing Information" Widget).
• FortiAP
Alle FortiAP, FortiAP-S und FortiAP-C Modelle.
Der Service FortiCloud untersteht den Rechtsbestimmungen (under the law) von Kalifornien/US:
https://www.forticloud.com/help/agreement.html
Folgendes Offizielle Dokument von Fortinet geben Auskunft ueber verschiedenen Fragen im Zusammenhang mit FortiCloud:
Datei:FortiCloud FAQ.pdf (FortiCloud v3.1 Frequently Asked Questions) Datei:FortiCloud-ServiceDescription.pdf (FortiCloud Service Description) Datei:FortiCloud FortiMail-ServiceDescription.pdf (FortiCloud FortiMail Service Description) Datei:FortiCloud FortiSandbox-ServiceDescription.pdf (FortiCloud FortiSandbox Service Description) Datei:FortiCloud Regional data centers.pdf (FortiCloud and Regional FortiCloud Data Centers)
Datei:FortiCloud-ReleaseNotes-3.2.0-pdf (FortiCloud Release Notes Version 3.2.0) Datei:FortiCloud-ReleaseNotes-3.3.0-pdf (FortiCloud Release Notes Version 3.3.0) Datei:FortiCloud-AdminGuide.pdf (FortiCloud Administration Guide)
Nachfolgende Dokumente geben ebenfalls Auskunft über den Service jedoch basieren diese noch auf FortiCloud v2.0:
Datei:Forticloud-guide.pdf Datei:FortiCloud data sheet.pdf Datei:FortiCloud Sales Presentation.pptx
Gibt es eine Möglichkeit den FortiCloud Service zu Testen?
Die Möglichkeit gibt es in dem Sinne, dass unter der Login Seite von FortiCloud ein Link zur Verfügung gestellt wird für eine LiveDemo:
https://www.forticloud.com
Sind die verschiedenen Service's von FortiCloud Kostenlos?
Grundsätzlich ist der Service von FortiCloud kostenlos jedoch ist dabei zu unterscheiden zwischen Logging, Sandbox und Management von Forti Access Points. Dies bedeutet wiederum Folgendes:
| Cloud Sandbox |
|
Der Service "Cloud Sandbox" der auf einem FortiGate Device eingebunden werden kann ist nicht Kostenlos! Der Service kann als jährliche Subscription entweder über den einzelnen Service "FortiGuard Fortsandbox FortiCloud Service" oder als Bundle über das "Enterprise Bundle" bezogen werden. Der Service wird auf einer FortiGate aktiviert. Weitere Informationen dazu siehe nachfolgender Artikel: |
| Cloud Centralized Logging |
|
Der Service "Cloud Centralized Logging" der auf einer FortiGate anhand FortiCloud Logging aktiviert werden kann ist Grundsätzlich im folgenden Modus kostenlos:
Diese Kostenloste Variante kann erweitert werden auf unlimitierten Storage sowie 1 Year Log Retention: FortiCloud Analysis Service- 1 Year Log Retention FC-10-000[FortiGate Device]-131-02-[Month] Die SKU ist für jedes Modell unterschiedlich sowie können 1, 2 oder 3 Jahre bezogen werden [Month]. Zusätzlich zu dieser 1 Year Log Retention steht der "Threat Detection Service" zur Verfügung. Dieser "Thread Detection |
| Cloud Managed Forti Access Points |
|
Dieser Service "Cloud Managed Forti Access Points" steht kostenlos zur Verfügung. Weitere Informationen wie dieser Service benützt wird siehe nachfolgender Artikel: |
Wie werden meine Daten von Fortinet verwendet ?
Im folgenden Dokument wird erklärt, was mit meinen Daten passiert, welche an Fortinet kommuniziert werden:
Datei:Fortinet-Service-secure-Customer-Data-handling.pdf Customer Data Handling for Fortinet Services and Websites
Wie kann ich einen Account in der FortiCloud eröffnen?
Damit die FortiAPs oder FortiGates über FortiCloud verwaltet werden können, muss ein entsprechender Account erstellt werden. Der Account wird auch benötigt um die anderen FortiCloud Dienste wie Sandboxing, FortiMail usw zu monitoren und konfigurieren. Der Account sollte für jeden Endkunden separat erstellt werden. Es ist keine Lizenz notwendig um einen Account zu erstellen und diesen zu verwalten. Die Lizenzen werden benötigt um die entsprechenden Clouddienste zu nutzen. Über folgenden link kann man einen Account erstellen:
https://login.forticloud.com/
|
FortiCloud Account eröffnen über https://login.forticloud.com/ |
| Für einen neuen Account zu eröffnen Create a new account anwählen: |
|
| Email Adresse und Passwort definieren: |
|
| Nach Abschluss wird eine Bestätigungs E-Mail an die angegebene Adresse gesendet
mit weiteren Instruktionen um den FortiCloud Zugriff fertig zu stellen: Dies kann ein paar Minuten dauern bis das E-Mail eintrifft: |
|
| Den Aktivierungs Link im E-Mail anwählen und man wird weitergeleitet auf das FortiCloud
Portal um die Registration zu finalisieren: |
|
| Wenn alles geklappt hat, bekommt man dieses Fenster. Nun kann auf die Cloud verbunden werden: |
|
| Jetzt muss ausgewählt werden, auf welches Rechenzenter wir auf die Cloud Services nutzen wollen:
Es gibt die Möglichkeit Nordamerika oder Europa. In Europa steht das Datenzenter in Frankfurt Deutschland. |
|
|
NOTE: Das Rechenzenter kann nachträglich nicht mehr gewechselt werden.
Das heisst es muss ein neuer Account auf dem anderen Rechenzenter eröffnet
werden und die Geräte dort neu hinzugefügt und konfiguriert werden |
| Ab jetzt können die Geräte und Dienste in der FortiCloud genutzt werden: |
|
Jetzt kann ein entsprechender Service lokal auf dem Fortinet Device für FortiCloud aktiviert werden. Nachdem dies durchgeführt wurde erscheint der entsprechende Fortinet Device im entsprechenden Account der FortiCloud. Detailliert Informationen wie dies für einen FortiAP-S durchgeführt wird siehe nachfolgender Artikel:
FortiAP-S:FAQ
Grundvoraussetzung damit ein Fortinet Device in die FortiCloud eingebunden werden kann ist eine korrekte Registrierung anhand der Serien Nummer im Support Portal sowie zusätzliche Subscriptions für en entsprechenden Fortinet Device (FortiCare/FortiGuard). Weitere Informationen siehe nachfolgender Artikel:
Fortinet:DeviceRegistrierung
Welche Service Ports werden für die verschiedenen Service in der FortiCloud benutzt?
Für die verschiedene Services werden auf den Fortinet Devices folgende Service Ports benützt:
Welche FortiOS Versionen werden für FortiCloud für FortiGate und Forti AccessPoint Devices unterstützt?
FortiCloud unterstützt folgende FortiOS Versionen:
- FortiGate ab FortiOS Version 4 MR3 oder höher
- Forti Access Point ab FortiOS Version 5.2 oder höher (Empfohlen FortiOS Version 5.4.1)
Wie kann ich für einen FortiGate Device die Management Funktionen in der FortiCloud aktivieren?
Wenn ein FortiGate Device korrekt Registriert wurde sowie nachträglich in den entsprechenden FortiCloud Account eingebunden wurde, sind die Management Funktionen nur dann ersichtlich zB Backup wenn diese lokal auf dem FortiGate Device konfiguriert wurden. Dazu muss folgendes durchgeführt werden:
| Konfiguration über CLI |
# config system central-management # set mode backup # set type fortiguard # end |
Kann ich über den FortiCloud Centralized Logging Service einen FortiGate Cluster einbinden?
Grundsätzlich kann ein FortiGate Cluster in den FortiCloud Centralized Logging Service eingebunden werden jedoch werde diese Logs nicht "aggregiert". Dies bedeutet: Der FortiCloud Server kennt keine Cluster Konfiguration und somit muss jeder Node des Cluster einzeln eingebunden werden. Da die Logs eines FortiGate Clusters in der FortiCloud nicht "aggregiert" werden ist kein einzelnes Log für den Cluster ersichtlich sondern für jeden Device einzeln. Somit muss auch jeder einzelne Node eines FortiGate Clusters für die FortiCloud lizensiert werden mit zB einer 1 Yare Anual Log Retention Lizenz.
Wie Registriere ich den 1-Year Log Retention Service auf der FortiGate?
Mit dem 1-Year Log Retention Service können die Logdaten über die FortiGate in die FortiCloud übermittelt werden. Es ist mit diesem Dienst möglich, dass Konfigurationsänderungen wie Interface Management, Routing, Objekt Management, Policy und NAT Verwaltungen durchgeführt werden können.
| In der FortiCloud erfasste FortiGate ohne 1-Year Log Retention Service: |
|
|
Damit der Service funktionieren wird, muss über das Supportportal die Lizenz auf die entsprechende FortiGate verknüpft und aktiviert werden.
| Enthaltene Features beim Log Retention Service: |
|
|
|
|
Registration über das Supportportal:
| Den FortiCloud-Key eingeben, welcher auf dem Gerät "FortiCloud Key" entnommen werden kann: |
|
|
| Die Serienummer der gewünschten FortiGate angeben: |
|
|
| Agreement durchlesen und bestätigen: |
|
|
| Einstellungen noch einmal kontrollieren. Achtung nach diesem Schritt sind keine Änderungen mehr möglich! |
|
|
| Die Registration ist abgeschlossen. |
|
|
| Wenn die FortiGate konfiguriert ist, wird diese im FortiCloud Portal ersichtlich sein: |
|
|
Auf dem FortiGate Dashboard unter FortiCloud Status erscheint die Meldung "Activation Pending. Please view confirmation email"?
Wenn FortiCloud aktiviert wird, kann es vorkommen das nach der Aktivierung diese Meldung auf dem Dashboard eines FortiGate Devices unter der Position FortiCloud bestehen bleibt und die Aktivierung nicht abgeschlossen werden kann. Ist dies der Fall führe folgendes durch:
| Konfiguration über CLI |
# config system fortiguard-log # unset service-account-id # end |
Durch "unset service-account-id" wird der Cache betreffend ID gelöscht. Danach kann anhand folgenden Befehls in der CLI die Aktivierung mitverfolgt werden:
| Konfiguration über CLI |
# execute fortiguard-log update |
Unterstütz mein FortiGate Modell die FortiCloud management Funktion?
In der folgenden Matrix kann nachgeschaut werden, ob mein FortiGate Modell die Management Funktion unterstütz in der FortiCloud:
https://www.forticloud.com/help/supportedmodels.html
In der Folgenden Datei findet man die unterstützen FortiGate Modelle, Stand 20.08.2020:
FortiGateCloud - Troubleshooting
Wie kann ich Fehlermeldungen (bei Aktivierung des FortiCloud-Accounts) vermeiden?
Beispiele:
Invalid Username or Password FortiCloud Internal Error HTTP 400
Lösungen:
- Passwort muss maximal 20 Zeichen enthalten
- Port TCP 443 muss offen/verfügbar sein
- FortiGate muss logctrl1.fortinet.com oder globallogctrl.fortinet.net pingen können
- Falls keine Änderung, dann wird FortiGateCloud-Debug empfohlen (Output anschliessend an TAC senden):
 Konfiguration über die CLI:
|
# get # end # diag debug console timestamp enable # diag debug app forticldd -1 # diag debug enable # exec fortiguard-log login |
- Falls Fehlermeldung mit HTTP 400, dann wird HTTP-Debug empfohlen:
| Konfiguration über die CLI:
|
# diag debug app httpsd -1 |
- Falls Login für FortiCloud-Portal funktioniert, aber FortGateCloud-Account lässt sich nicht (mit gleichen Credentials) auf FortiGate aktivieren, dann müssen ggf. Sonderzeichen im Passwort entfernt werden -> diese werden nicht in allen FortiOS-Versionen unterstützt
- Falls HA-Cluster: Erst-Aktivierung immer im Master/Primary -> Aktivierung findet gleichzeitig im Slave/Secondary statt
Wie aktiviere ich den Management Tunnel Status auf der FortiGate?
- Mit foldendem CLI-Befehl:
| Konfiguration über die CLI:
|
# config system central-management # set type fortiguard # end # diag fdsm contract-controller-update # fnsysctl killall fgfmd |
- Falls FortiGate länger als 24 Stunden inaktiv ist, muss überprüft werden, ob Port443 offen/verfügbar ist, und via Port443 eine Telnet-Verbindung zu logctrl1.fortinet.com oder globallogctrl.fortinet.net möglich ist
Wie finde ich eine neu-hinzugefügte FortiGate im FortiCloud-Portal?
- Es kann sein, dass FortiCloud-Aktivierung auf der FortiGate erfolgreich war, aber die FortiGate anschliessend nicht im FortiCloud-Portal erscheint
- FortiGate wird entweder zum globalen oder europäischen FortiCloud-Service hinzugefügt (gemäss jeweiliger IP Geo-Location) -> daher beide überprüfen!
- Falls auf der FortiGate Domain Selection (beim Login) möglich ist, kann man direkt auf den globalen (www.forticloud.com) oder europäischen (europe.forticloud.com) Service gelangen
Wie aktiviere ich FortiCloud mit einer E-Mail-Adresse, die vom FortiCare-Account abweicht?
- Mit foldendem CLI-Befehl:
| Konfiguration über die CLI:
|
# execute fortiguard-log login |
Wie gehe ich vor, wenn Log-Uploads auf FortiCloud nicht funktionieren?
- Mit folgenden CLI-Befehlen:
| Konfiguration über die CLI:
|
# execute telnet 514 # diag test app forticldd 1 # diag test app miglogd 6 # diag debug app miglogd -1 # diag debug enable |
- Um Unterbrüche bei schlechter Netzwerkverbindung zu vermeiden, kann das Time-Out erhöht werden:
| Konfiguration über die CLI:
|
# config log fortiguard setting # set conn-timeout 120 # end |
Wie gehe ich vor, wenn keine Dateien zum Sandboxing gesendet werden?
- GUI: System > Feature Visibility, FortiSandbox Cloud einstellen
- GUI: Security Fabric > Settings, Sandbox Inspection einstellen
- GUI: Security Profile > AntiVirus, Suspicious Files Only oder All Supported Files einstellen
- GUI: Policy & Objects > IPv4 Policy, AntiVirus für die entsprechende Policy aktivieren
Was muss ich beim Auto-Backup beachten?
- Auto-Backup entweder Per Session (default: nach 600 Sekunden) oder Per Day
- Backup findet nur statt, wenn auf der FortiGate (System-)Änderungen vorgenommen werden
- Für Backups besteht kein Speicher-Limit, bei nicht-lizenzierten FortiGates dauert die Aufbewahrung 7 Tage, bei lizenzierten FortiGates hingegen 1 Jahr
Wie gehe ich vor, wenn FortiDeploy nicht funktioniert?
- FortiManager-Einstellungen überprüfen
- Sicherstellen, dass Central Management Settings auf FortiGateCloud eingestellt sind
- Sicherstellen, dass via Port443 auf logctrl1.fortinet.com verbunden werden kann
- Mittels Device Key das Inventory importieren
- FortiGate im FortiManager ausrollen und neustarten, ansonsten:
| Konfiguration über die CLI:
|
# execute fortiguard-log join |
Welcher IP Range benutzt die FortiGate Cloud in Europa?
Die FortiGate Cloud in Europa (EU) benutzt ab dem 3.12.2021 folgender IP Range:
154.52.10.0/24
Bis zum 3.12.2021 warn folgende Netze für die EU-FortiGate Cloud benutzt worden:
81.201.100.224/24, 81.201.101.192/26 und 62.209.37.64/26
Somit kann man an einer Perimeter Firewall das entsprechende Netz für den Zugriff auf die FortiGate Cloud mit einer Firewall Regel einschränken.
FortiSwitch Cloud
Dokumente
| FortiSwitch Cloud - Release Notes |
|---|
| FortiSwitch Cloud - Admin Guide |
FortiExtender Cloud
Dokumente
| FortiExtender Cloud - Release Notes: |
|---|
| FortiExtender Cloud - Handbook: |
FortiAnalyzer Cloud
Welche Features sind in der FortiAnalyzer Cloud enthalten?
Folgende Features werden unterstützt:
Central Log Management & Reporting Security Logs (UTM) Event Logs Traffic Logs (nur Premium) IOC Scan SOC Subscription (nur Premium) FortiView Network Monitoring & Alerting Multi-Tenancy
|
FortiAnalyzer Cloud unterstützt momentan (Stand: April 2021) nur Logs seitens FortiGate. |
Wie funktioniert das Lizenzierungsmodell für die FortiAnalyzer Cloud?
Für FortiAnalyzer Cloud benötigt man folgende Lizenzen/Subscriptions:
FortiAnalyzer Cloud Subscription (Anzahl Subscriptions = Anzahl verwalteter FortiGates) sowie FortiCloud Premium Subscription (Anzahl Subscriptions = 1x)
FortiAnalyzer Cloud Subscription gibt es als:
FAZ Cloud Base (Fokus: u.a. Event Logs, Security Logs (UTM))
FAZ Cloud Premium (seit FortiOS 6.44, Fokus: u.a. Traffic Logs)
Wichtig: FAZ Cloud Premium ist keine Erweiterung zu FAZ Cloud Base, d.h.
- Besitzt man FAZ Cloud Premium, dann ist FAZ Cloud Base obsolet
- FAZ Cloud Premium deckt alles: Alle Log-Types, IOC, sowie SOC-Service
- FAZ Cloud Premium ist (im Gegensatz zu Base) nicht im 360 Protection Bundle integriert
- FAZ Cloud Premium ist nur für folgende Desktop-Modelle verfügbar: FG-30- bis FG-80-Serie
Wünscht man alle Log-Funktionalitäten, dann sind folgende Subscriptions nötig:
FAZ Cloud Premium für jede verwaltete FortiGate z.B. FC-10-0060F-208-02-12: FortiGate-60F Premium subscription for Cloud-based Central Logging & Analytics. Supports all FortiGate log types with IOC service, SOC subscription and 24x7 FortiCare support included. - FortiGate-60F 1 Year
FortiCloud Premium für FortiCare-Account (1x) z.B. FC-15-CLDPS-219-02-12: FortiCloud Premium Account License Access to advanced account and platform features. Per account license. - FortiCloud Premium Account License 1 Year
Wünscht man nur Event Logs und Security Logs (UTM), dann sind folgende Subscriptions nötig:
FAZ Cloud Base für jede verwaltete FortiGate z.B. FC-10-0060F-188-02-12: FortiGate-60F FortiAnalyzer Cloud: Cloud-based Events and Security Log Monitoring including IOC Service - FortiGate-60F 1 Year
FortiCloud Premium für FortiCare-Account (1x) z.B. FC-15-CLDPS-219-02-12: FortiCloud Premium Account License Access to advanced account and platform features. Per account license. - FortiCloud Premium Account License 1 Year
Wieviel Speicherplatz habe ich in der FortiAnalyzer Cloud zu Verfügung?
FAZ Cloud Base bietet einen Standard-Speicher von total 500 GB.
FAZ Cloud Premium hat keinen Standard-Speicher, dieser ist abhängig vom FortiGate-Modell - siehe Tabelle (Totaler Speicher):
FAZ Cloud Base hat kein Limit bezüglich Speichernutzung pro Tag, da keine Traffic Logs unterstützt werden.
FAZ Cloud Premium weist hingegen ein Limit auf; die Speichernutzung pro Tag ist abhängig vom FortiGate-Modell - siehe Tabelle (Speicher pro Tag):
