FortiManager:FAQ
FortiManager:FAQ
Vorwort
Diese FAQ's sind für FortiManager Systeme basierend ab FortiOS Version 5.4 bis 6.0
Datenschutz
*********************************************************************
* *
* THIS FILE MAY CONTAIN CONFIDENTIAL, PRIVILEGED OR OTHER LEGALLY *
* PROTECTED INFORMATION. YOU ARE PROHIBITED FROM COPYING, *
* DISTRIBUTING OR OTHERWISE USING IT WITHOUT PERMISSION FROM *
* ALSO SCHWEIZ AG SWITZERLAND. *
* *
*********************************************************************
"Die in diesen Artikeln enthaltenen Informationen sind vertraulich und dürfen ohne
schriftliche Zustimmung von der ALSO Schweiz AG gegenüber Dritt-Unternehmen nicht
bekannt gemacht werden"
FAQ
License
Wie wird ein FortiManager unter VMware lizensiert?
Eine FortiManager Lizenz basiert auf folgender Matirx (Stackable License basierend auf Devices und NICHT GB Logs pro Tag):
NOTE Grundsäztlich gilt betreffend WAS ist ein Device etc. folgendes:
1 Cluster = 1 Device
1 VDOM = 1 Device
1 Forti Access Point = 1 Device
1 FortiSwitch = 1 Device
Ab FortiOS 5.4.2 werden Forti Access Point sowie FortiSwitch ebenfalls als Devices gezählt!
Weitere Informationen welche Platform resp. Versionen der Virtualisierung genau unterstützt wird siehe nachfolgender Artikel:
Fortinet:Virtualisierung#Gibt_es_f.C3.BCr_Fortinet_VMware_eine_Uebersicht_betreffend_Compatibility_Matrix.3F
NOTE Weitere Informationen wie eine FortiAManager VM Lizenz registriert resp. eingespielt wird
siehe folgender Artikel:
FortiManager-5.0-5.2:FAQ#Wie_wird_eine_License_f.C3.BCr_FortiManager_f.C3.BCr_VMware_registriert_und_eingespielt.3F
Bei der Generierung der Lizenz muss die IP Adresse des FortiManagers angegeben werden. Anhand dieser IP Adresse wird das Lizenz File erstellt. Wird die IP des FortiManagers gewechselt muss das entsprechende Lizenz File neu über den entsprechenden Support Account erstellt werden! Desweiteren sind die Maximum Values eines FortiManagers Wichtig. Dazu siehe nachfolgender Artikel:
FortiManager-5.0-5.2:FAQ#Was_sind_die_.22maximum_values.22_f.C3.BCr_FortiManager_Platformen.3F
Wie wird ein FortiManager unter VMware/HyperV installiert?
Nachfolgender Link gibt Auskunft wie ein FortiManager unter VMware/HyperV installiert wird:
Fortinet:Virtualisierung#Wie_installiere_ich_VMware_basierende_Fortinet_Produkte_wie_Fortigate.2C_FortiManager_und_FortiAnalyzer.3F
Wie wird eine License für FortiManager für VMware registriert und eingespielt?
Wenn man einen FortiManager für VMware installiert fällt einem auf, dass diese keine Serien Nummer aufweist! Diese Serien Nummer wird erstellt beim Registrierungsvorgang. Dies bedeutet, als License Lieferung erhält man folgendes Dokument:
Datei:FMVM0002306.pdf
In diesem Dokument ist ein "Registration Code" angegeben dh. anhand dieses "Registration Code" wird die Registrierung durchgeführt und in dieser Registrierung wird die Serien Nummer erstellt sowie das effektive License File. Um die Registrierung durchzuführen gehe auf folgende Seite:
http://support.fortinet.com NOTE Auf dieser Support Seit muss für den Registrierungsprozess eingeloggt werden. Ist "noch" kein Account vorhanden so führe den ersten Teil (erstellen eines Accounts) der folgende Anweisungen durch: FortiGate-5.0-5.2:FAQ#Wie_wird_ein_Fortinet_Device.2FGer.C3.A4t_Registriert.3F Wenn ein Account existiert logge dich anhand des Usernamens und Passwortes auf http://support.fortinet.com ein. Danach wähle unter "Asset Management" die Position "Register/Renew". Es erscheint folgender Dialog: Datei:Fortinet-212.jpg
Datei:Fortinet-216.jpg
Datei:Fortinet-217.jpg
Datei:Fortinet-218.jpg NOTE Auf diser Seite kann uner der Positon "License File Download" das Licens File, dass auf dem FortiManager eingespielt werden muss runtergeladen werden!
Der Registrierungsprozess ist abgeschlossen. Das License File kann nun auf dem FortiManager unter folgender Position eingespielt werden:
NOTE Wird die IP des FortiManagers gewechselt muss das entsprechende Lizenz File neu über den entsprechenden Support
Account erstellt werden!
System Settings > General > Dashboard > License Information > Upload License
Nachdem einspielen der License wird der FortiManager neu gestartet. Nachdem erneuten einloggen kann nun die Serial Nummer dieser Installation aus der Position ausgelesen werden:
System Settings > Dashboard > System Information > Serial Number
Diese Serial Nummer identifiziert diese Installation bei Support Fällen bei Fortinet und muss bei einem Support Case angegeben werden.
Wo finde ich auf dem FortiManager eine Ueberblick über alle Lizenzen inkl. FortiGate?
Im Device Manager kann können die Lizenzstaten von der Fortigate eingesehen werden:
Device Manager -> Licence -> auf die entsprechende Position mit dem Mauscursor fahren,
dann werden die Daten eingeblendet
Documentation
Wo findet ich die Dokumente wie Datasheets, Quick Start Guide, User Guide etc. ?
Ueber folgenden internen Link findet man Datasheets und Quick Start Guide betreffend FortiManager Devices:
Fortinet:ProduktInfo
Ebenfalls lohnt es sich folgenden Link anzuschauen der "Cookbook" ähnliche Dokumente und Video's beinhaltet:
http://community.fortinet.com/
Auf folgender Seite findet man alle orginal Dokumente betreffend Fortigate:
http://docs.fortinet.com/fortimanager/admin-guides (Legacy Link http://docs.fortinet.com/fmgr.html)
Datei:FortiManager-Best-Practices-Guide.pdf (FortiManager Best Practices Guide) Datei:FortiManager-Security-Operations-App-1.2.pdf (FortiManager Security Operations FortiManager Integration App - User Guide) Datei:FortiOS-Compatibility-FMG.pdf (FortiManager v5.4 Managed Compatibility Matrix)
FortiOS 5.4
Datei:Fortimanager-admin-54.pdf (FortiManager v5.4 Administration Guide) Datei:FortiManager-cli-54.pdf (FortiManager v5.4 CLI Refrence) Datei:FortiManager-54-secure-dns-guide.pdf (FortiManager v5.4 Secure DNS Guide) Datei:FortiManager-54-event-log-reference guide.pdf (FortiManager v5.4 Event Log Reference) Datei:FortiManager Managing-FortiOS-with-FSSO.pdf (FortiManager - Managing FortiOS and FSSO)
API-XML
Datei:FortiManager-XML-API ReferenceGuide-5.4.4.pdf (FortiManager - XML API Reference 5.4.4)
FortiOS 5.6
Datei:FortiManager-admin-56.pdf (FortiManager v5.6 Administration Guide) Datei:FortiManager-cli-56.pdf (FortiManager v5.6 CLI Refrence) Datei:FortiManager-56-event-log-reference guide.pdf (FortiManager v5.6 Event Log Reference) Datei:FortiManager Managing-FortiOS-with-FSSO.pdf (FortiManager - Managing FortiOS and FSSO) Datei:FortiManager-VM-VMware-Install-Guide-56.pdf (FortiManager v5.6 VMware Install Guide)
Datei:FortiManager-56-SecurityOperationsApp-1.1.pdf (FortiManager 5.6.3 - Security Operations Integration App UserGuide)
FortiOS 6.0
Datei:FortiManager-Admin-60.pdf (FortiManager v6.0 Administration Guide) Datei:FortiManager-CLI-60.pdf (FortiManager v6.0 CLI Refrence) Datei:FortiManager-60-EventLog-ReferenceGuide.pdf (FortiManager v6.0 Event Log Reference) Datei:FortiManager Managing-FortiOS-with-FSSO.pdf (FortiManager - Managing FortiOS and FSSO) Datei:FortiManager-VM-InstallGuide-60.pdf (FortiManager v6.0 VMware Install Guide)
Datei:FortiManager-60-SecurityOperationsApp-1.1.pdf (FortiManager 6.0.1 - Security Operations Integration App UserGuide)
Die Aktuellen Fortimanager Dokumente für die Version 6.0 können auch auf dieser Fortinet Seite entnommen werden:
Wo finde ich die FAQs über die Version 5.0 und 5.2?
Unter folgenden Link können die FAQs für 5.0 und 5.2 über die FortiGate, den FortiAnalyzer und den FortiManager eingesehen werden:
Gibt es einen Link auf die Fortinet Knowledgebase auf der die Artikel gelistet sind?
http://pub.kb.fortinet.com/index/
Request of Proposel (RFP)
Gibt es produktspezifische Dokumente die für eine Ausschreibung die Funktionen/Möglichkeiten beschreiben?
Wenn eine Ausschreibung existiert und man eine Fortinet Offerte abgibt für diese Ausschreibung, ist es Sinnvoll Dokumente beizulegen die entsprechenden Funktionen eines Fortinet Produkts beschreibt sowie dessen Möglichkeiten. Nachfolgende Dokumente sind RFP Dokumente (Proof of Proposel) die genau für diese Zwecke erstellt wurden:
Datei:FortiOS-FGT-RFP-EN.docx Request of Proposal FortiGate FortiOS 5.4 Q042016 V1.0 (Englisch) Datei:FortiOS-FGT-RFP-FR.docx Request of Proposal FortiGate FortiOS 5.4 Q042016 V1.0 (Französisch)
Datei:FortiOS-FMG-FAZ-CSF-FCL-RFP-EN.docx Request of Proposal FortiManager, FortiAnalyzer, Corporate Security Fabric, FortiClient 5.4 Q042016 V1.0 (Englisch)
Hardware
Was sind die "maximum values" für FortiManager Platformen?
Für die verschiedenen Platformen sei es Hardware Appliance und VMWare existieren folgende "maximum values":
NOTE Grundsäztlich gilt betreffend WAS ist ein Device etc. folgendes:
1 Cluster = 1 Device
1 VDOM = 1 Device
FortiManager Series
| Produkt | Max Device | Max ADOMS | Storage Kapazität |
|---|---|---|---|
| FMG-200D | 30 | 30 | 1x1TB |
| FMG-300D | 300 | 300 | 2x2TB |
| FMG-300E | 100 | 100 | 4x3TB |
| FMG-400E | 300 | 300 | 8x3TB |
| FMG-1000D | 1000 | 1000 | 4x2TB |
| FMG-2000E | 1200 | 1200 | 12x3TB |
| FMG-3000F | 4000 | 4000 | 16x3TB |
| FMG-3900E | 10000 | 10000 | 15x1TB |
FortiManager-VM Series
| Produkt | Max Device | Max ADOMS | Max Webportal | Max Portal Users | GB Logs/day | Storage Kapazität (Min/Max) |
|---|---|---|---|---|---|---|
| FMG-VM-Base | 10 | 10 | 10 | 10 | 1 | 80GB / 16TB |
| FMG-VM-10 | +10 | +10 | +10 | +10 | 2 | 80GB / 16TB |
| FMG-VM-100 | +10 | +100 | +100 | +100 | 5 | 80GB / 16TB |
| FMG-VM-1000 | +10 | +1000 | +1000 | +1000 | 10 | 80GB / 16TB |
| FMG-VM-5000 | +5000 | +5000 | +5000 | +5000 | 25 | 80GB / 16TB |
| FMG-VM-U | Unlimited | Unlimited | Unlimited | Unlimited | 50 | 80GB / 16TB |
Was für ein Kabel benötige ich für den Consolen Anschluss (Seriell RS232) einer Fortinet?
Weitere Informationen siehe folgender Artikle:
FortiGate-5.0-5.2:FAQ#Was_f.C3.BCr_ein_Kabel_ben.C3.B6tige_ich_f.C3.BCr_den_Consolen_Anschluss_.28Seriell_RS232.29_einer_Fortinet.3F
Upgrade
Wie führe ich ein Upgrade beim FortiManager durch?
Die Software für den Upgrade kann im Supportportal von Fortinet im Download Bereich heruntergeladen werden:
| Konfiguration über das WebGui | Beschreibung |
|---|---|
 |
Einloggen im Supportportal : https://support.fortinet.com
Menu Download wählen und im PopUp Menu den FortiManager auswählen. Jetzt kann die entsprechende FortiOS Version unter dem Tab Download ausgewählt werden. |
Bevor ein Upgrade durchgeführt wird, empfiehlt es sich ein Backup zu erstellen. Wie ein Backup erstellt wird, kann im folgenden Artikel entnommen werden:
Es ist wichtig, dass die Release Notes durchgelesen werden, um wichtige Informationen über die entsprechende Version zu erhalten.
| Release Notes für FortiOS 5.4: |
|---|
| Release Notes für FortiOS 5.6: |
|
| Release Notes für FortiOS 6.0 |
Der Upgrade Pfad muss unbedingt eingehalten werden:
| Upgrade Guide auf FortiOS |
|---|
| Upgrade Guide auf FortiOS 6.0 |
| Upgrade Guide auf FortiOS 6.0 |
Jetzt kann das Update durchgeführt werden:
| Konfiguration über das WebGui | Beschreibung |
|---|---|
 |
System Settings -> Dashboard und bei Firmware Version das Symbol mit Pfeil nach oben anwählen |
 |
Jetzt kann die entsprechende Firmware ausgewählt werden und mit OK wird der Update gestartet. |
 |
Das ausgewählte File wird auf den FortiManager hochgeladen. Im Hintergrund wird das File auf die Korrekte Version geprüft, wenn dies erfolgreich verifiziert wurde, wird der Upgrade Prozess gestartet. |
 |
Nach dem Upgrade wird der FortiManager neu gestartet. |
Wie upgrade ich ein FortiGate Device über den FortiManager?
In diesem Dokument wird beschrieben wie eine FortiGate über den FortiManager upgegradet wird:
Datei:FortiManager-Upgrading-FortiGate Devices-56.pdf
Setup
Wie kann ich die Standard Ports 80 sowie 443 für die FortiManager Administration ändern?
Der FortiManager ist per Default für das Management über den Port TCP443(https) und TCP80(http) erreichbar. Es ist möglich den Management Port auf einen beliebig andern zu ändern. Der entsprechende Dienst muss aber auf dem Interface noch aktiviert werden. Folgendermassen muss vorgegangen werden um den Management Port zu ändern:
| WebGui Screenshot | Beschreibung | über CLI |
|---|---|---|
 |
System Settings -> Admin -> Admin Settings Im Feld HTTP oder HTTPS kann jetzt der gewünschte Port angepasst werden. |
# config system admin setting # set https_port <gewünschter Port> # set http_port <gewünschter Port> # end |
NOTE Der Port TCP8443 kann ab Version 5.6.1 nicht mehr verwendet werden, da dieser reserviert ist vom FortiClient EMS für Chrombook. Dies kann aus den ReleaseNotes vom FortiManager entnommen werden:
Der Management Zugriff muss auf dem Netzwerkinterface noch für den entsprechenden Dienst aktiviert oder deaktiviert werden:
| WebGui Screenshot | Beschreibung | über CLI |
|---|---|---|
 |
System Settings -> Network -> <Interface wählen> Die Dienste anwählen, welche gebraucht werden. Wir empfehlen http und telnet nicht zu benutzen! |
# config system interface # edit port1 [Entsprechendes Interface wählen] # set allowaccess [https ssh ping snmp webservice http telnet] # end |
Wie kann ich den Hostname für den FortiManager konfigurieren?
Der Hostname wird im Menu System Settings im Dashboard im Widgets System Information folgendermassen konfiguriert:
| WebGui Screenshot | Beschreibung | über CLI |
|---|---|---|
 |
System Settings -> Dashboard -> System Information Position Host Name Symbol  anwählen. |
# config system global # set hostname [Name des Host] # end |
Wie kann ich das Datum und die Zeit manuell auf dem FortiManager konfigurieren?
Das Datum und die Zeit können über die System Settings im Dashboard manuell konfiguriert werden.
| WebGui Screenshot | Beschreibung | über CLI |
|---|---|---|
 |
System Settings -> Dashboard -> System Information Position System Time Symbol anwählen. |
# execute time hh:mm:ss # execute date mm/dd/yyyy |
Wie kann ich die Zeitzone und einen NTP Server für den FortiManager konfigurieren?
| WebGui Screenshot | Beschreibung | über CLI |
|---|---|---|
 |
System Settings -> Dashboard -> System Information Position System Time Symbol anwählen. |
# config system global # set timezone [Entsprechende Zeitzone wählen] (siehe NOTE) # end |
 |
Der NTP Server kann über IP Adresse oder über FQDN eingetragen werden. Ein möglicher NTP Server : ch.pool.ntp.org |
# config system ntp # set status [enable | disable] # config ntpserver # edit [Integer zB "1"] # set server [IPv4 Adresse oder den FQDN an] # set ntpv3 [enable | disable] # end # end |
NOTE Durch die Angaben von "set timezone ?" werden die verschiedenen Zeitzonen aufgelistet.
Es kann für die gewünschte Zeitzone die entsprechende Nummer konfiguriert werden.
Für GMT+1 gilt "26".
Device Manager
Wie kann ich über den FortiManager 5.4 ein FortiGate Device upgraden?
Man kann die FortiGate bequem über den FortiManager auf das gewünschte FortiOS upgraden. Auch hier gilt, dass man die Release Notes gut durchlesen muss. Der Upgrade Pfad muss auch über das Upgraden im FortiManager beachtet werden. Damit man die FortiGate über den FortiManager upgraden kann, empfiehlt es sich die entsprechende Software auf den FortiManager hochzuladen. Das FortiOS für die entsprechende FortiGate kann über das Support Portal von Fortinet im Download Bereich heruntergeladen werden.
|
Konfiguration über das WebGui |
Beschreibung |
 |
Im Device Manager auf Firmware und dann Importet Images. |
 |
Import anwählen. |
 |
Den Pfad angeben, in welchem das gewünschte FortiOS abgelegt ist, damit es auf den FortiManager hochgeladen werden kann. |
 |
Das FortiOS Image wird auf den Manager hochgeladen. Dieses Image kann dann für alle Devices desselben FortiGate Modell benutzt werden. |
Wenn das Image im FortiManager hochgeladen wurde, kann die FortiGate jetzt upgegradet werden:
|
Konfiguration über das WebGui |
Beschreibung |
 |
Das gewünschte Device selektieren und dann den Menupunkt Upgrade anwählen. |
 |
Das hochgeladene Image kann jetzt im Dropdown Menu angewählt werden. (Upgrade Pfad muss beachtet werden!) |
 |
Der Upgrade Prozess wird initiiert. (Image auf die FortiGate hochgeladen und das Upgrade durchgeführt) |
 |
Im Taskmanager kann der Status des Updates überprüft werden. Den Taskmanager erreicht man unter System Settings -> Task Monitor |
Wenn das Upgrade durchgeführt wurde, kann auf der FortiGate überprüft werden, ob der Upgrade sauber funktioniert hat.
Policy Manager
Wie kann ich ein dynamisches Interface Objekt im FortiManager konfigurieren?
Im Fortimanager ist es möglich, dass man ein Interface nach seinen Wünschen benennen kann und pro FortiGate (Device) ein originales Interface darauf "mappen" kann. Zum Beispiel habe ich auf einer FortiGate 60E das Interface internal1, auf einer FortiGate 100E aber port1. In meinem Policy Template im FortiManager möchte ich jetzt aber Geräte unabhängig ein Interface für ein Server Lan erstellen. Das heisst in meiner Regel ist das Source Interface immer das Objekt server-lan. Wenn ich jetzt die FortiGate 60E in den Manager einbinde, hinterlege ich, dass internal1 Interface dem server-lan Interface entspricht. Das selbe funktioniert dann mit der FortiGate 100E. Da hinterlege ich aber das der port1 dem server-lan Interface entspricht.
Folgendermassen kann man das Konfigurieren:
| Konfiguration über das WebGui | Durchzuführende Schritte |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
Wie kann ich ein dynamisches Adressenobjekt im FortiManager konfigurieren?
Wir haben auf dem FortiManager die Möglichkeit, Adressobjekte auch per Device zu definieren. Das heisst ein Adressobjekt welches im FortiManager internal-lan heisst, kann auf eine x-beliebige FortiGate deployed werden mit dem für die FortiGate relevanten IP-Wert. Dies kann sehr praktisch sein, wenn man ein Policyset definiert und dieses Policyset für diverse FortiGates brauchen will. So muss ich nicht für jede FortiGate ein eigenes Policy Set definieren
Folgendermassen kann man das Konfigurieren:
| Konfiguration über das WebGui | Durchzuführende Schritte |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
Wie kann ich ein dynamisches VIP-Objekt im Fortimanager konfigurieren?
Auf dem FortiManager ist es auch möglich, ein Virtuelle IP Objekt dynamisch zu konfigurieren. Dabei können auch die gemappten Interfaces benutzt werden. Im Prinzip wird ein Virtual IP (Destinations NAT) Objekt erstellt mit IP und Port Werten, welche dann per Device definiert werden kann. Mit diesem Objekt ist es also möglich zum Beispiel ein Destinations NAT Objekt für ein Mail Server zu definieren, welches dann auf die entsprechenden FortiGates mit den eigenen Werten deploeyed werden kann.
Folgendermassen kann man das Konfigurieren:
| Konfiguration über das WebGui | Durchzuführende Schritte |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
Was sind im PolicyManager ab Version 6.2 Policy Blocks?
Policy Blöcke sind dafür da, dass mehrere Regeln zusammen gespeicherte werden können. Diese Policy Blöcke können im Policypaket dann hinzugefügt werden. Dies hat der Vorteil, dass immer wiederkehrende Regeln auf verschiedene Policies Packet direkt angehängt werden können, ohne dass diese jedes Mal neu erstellt werden müssen. Dieses Feature ist in der Version 6.2.0 neu beim FortiManager hinzugefügt worden.
| Konfiguration über das WebGui | Durchzuführende Schritte |
|---|---|
|
|
Damit man Policyblöcke einrichten kann, muss man zuerst das Menu anzeigen lassen. Dies geht folgendermassen:
|
|
|
Im Seitenmenu wo die Policypaket angezeigt werden, wird jetzt der Ordner Policy Blocks mit angezeigt. Um einen neuen Policy Block zu erstellen, rechten Mausklick und New auswählen. |
|
|
|
|
|
|
|
|
|
|
|
Um einen Policy Block im Regelwerk einzubinden muss folgendermassen vorgegangen werden:
|
|
|
Im Policy Paket sehen wir die eingefügten Blöcke jetzt hellgrau geschrieben. Diese können nur im Policy Block Register editiert werden und die Änderungen werden auf alle Policy Paket angewendet, in welcher dieser Block konfiguriert ist. |
|
|
Auf der FortiGate sehen wir die eingefügten Policy Blocks im Policy Set. Die Policy ID wird automatisch vom Manager hinzugefügt und ist in der Regel eine sehr hohe Zahl. |
Backup/Restore
Wie führe ich ein Backup auf dem FortiManager durch?
|
Konfiguration über das WebGui |
Beschreibung |
 |
Unter System Settings -> Dashboard -> System Configuration das Icon mit dem schrägen Pfeil nach oben anwählen. |
 |
Das File kann durch ein Passwort gesichert und verschlüsselt werden. ACHTUNG wenn das Passwort verloren geht, gibt es keine Möglichkeit mehr das Backupfile wieder einzuspielen. Auch Fortinet ist nicht in der Lage das File zu entschlüsseln. |
 |
Den Pfad angeben, wohin das File gespeichert werden soll, danach wird der Backup durchgeführt. Das Backup wird als .dat File abgelegt. Wenn das Backup über das WebInterface durchgeführt wird, sind nicht alle Informationen vorhanden (Logs und Reports und dessen Konfigurationen)
Weitere Informationen siehe nachfolgenden Artikel: |