FortiSwitch

Aus Fortinet Wiki
Zur Navigation springen Zur Suche springen

Fortinet:FortiSwitch

Vorwort

Dieser Artikel enthält Informationen über das Produkt FortiSwitch

Dokumentation

Wo findet ich die Dokumente wie Datasheets, Quick Start Guide, User Guide etc. ?

Release Notes

Version 3.5.x


Version 3.6.x

Version 6.0.x

Administrations Guide Standalone Mode

Version 3.5.x

Version 3.6.x

Version 6.0.x

CLI Referenz

FortiSwitch gemanaget über die FortiGate

Wo finde ich Produkte Informationen für den FortiSwitch?

Die Datenblätter und Quickstart Guides sind hier zu finden: 

      Fortinet:ProduktInfo#FortiSwitch
      Datei:FortiSwitch-Compatible-Transceivers.pdf
      Datei:FortiSwitch-SecureAccess-Features.pdf

Welches Firewallmodell kann wie viele FortiSwitches verwalten?

Folgende Tabelle gilt für die Releases FortiOS 5.4, 5.6 und 6.0. Unter FortiOS 6.2 werden diese Werte eventuell angehoben. Die hier angegebenen Werte können nicht manuell erhöht werden und gelten pro Gerät und nicht pro VDOM.

Fortinet-2257.png

Firmwareupdate

Wo kann die aktuellste Firmware für einen FortiSwitch bezogen werden?

Herunterladen der Firmware
Die Firmware kann im Supportportal von Fortinet heruntergeladen werden.

  1. gehe nach https://support.fortinet.com
  2. Logge dich mit deinem Account ein (Erstelle allenfalls einen Account mit deiner Geschäftsaddresse falls du noch keinen Zugang hast)
  3. Navigiere nach Download > Firmware Images
  4. Wähle das Produkt FortiSwitch und klicke auf Download
  5. Wähle den gewünschten Release (Für gewisse D-Modelle gibt es keine Firmware auf dem Release v6.00. Dort muss auf den neuesten V3.00 Release zurückgegriffen werden)
  6. Wähle den gewünschten Sub- und Sub-Sub-Release
  7. Suche in der Liste dein Switchmodell und klicke anschliessend auf HTTPS, damit das *.out File geladen werden kann.

Wie kann die Firmware via GUI aktualisiert werden?

1. Konfiguriere auf der Netzwerkschnittstelle deines Rechners die IP 192.168.1.98 255.255.255.0.
2. Verbinde dein Notebook mit dem fabrikneuen oder auf Factoryreset gesetzten Switch via MGMT Port.
3. Öffne einen Browser, und navigiere nach https://192.168.1.99. Klicke allfällige Browserfehlermeldungen wegen eines fehlerhaften Zertifikates weg. Dann siehst du folgende Loginmaske:
Fortinet-2258.png
4. Logge dich hier mit dem Benutzernamen Admin und einem leeren Passwortfeld ein.
5. Wähle nun das Dashboard, und klicke im oberen Widget links bei Firmware auf Upgrade
Fortinet-2259.png
6. Wähle hier die zuvor heruntergeladene Datei, und lade diese hoch:
Fortinet-2260.png
7. Die Datei wird nun auf den Webserver des Switches geladen. Dies wird mit einer Statusanzeige auf dem GUI visualisiert:
Fortinet-2262.png
8. anschliessend bootet der Switch, und kommt mit der neuen Firmware hoch.

Wie kann die Firmware via CLI aktualisiert werden?

1. Verbinde die serielle Schnittstelle deines Notebooks mit dem Konsolenport des Switches. Öffne ein Hyperterminal mit 115200 Baud, 8 Datenbit, 1 Stopbit, 0 Paritätsbit
2. Logge dich mit dem Hyperterminal oder Putty am Switch mit dem Benutzernamen admin und keinem Passwort ein: 

	S224EPTF18001198 login: admin
	Password:
	Welcome !
	S224EPTF18001198 #

3. Konfiguriere auf der Netzwerkschnittstelle deines Rechners die IP 192.168.1.98 255.255.255.0.
4. Verbinde deinen Rechner mit dem fabrikneuen oder auf Factoryreset gesetzten Switch via MGMT Port
5. Starte auf deinem Notebook ein TFTP Tool (Tftp64), stelle sicher dass dieses Tool auf der Netzwerkkarte mithört, und dass sich im Rootverzeichnis die zuvor heruntergeladene Firmware befindet. Benenne diese Datei um in image.out
Fortinet-2261.png
6. Stelle sicher dass auf deinem Notebook keine Firewall (Windows Firewall oder ähnliches) die Kommunikation blockiert. 7. Setze nun in der CLI folgendes Kommando ab:

	S224EPTF18001198 # execute restore image tftp image.out 192.168.1.98
	This operation will replace the current firmware version!
	Do you want to continue? (y/n)y

	Please wait...

	Connect to tftp server 192.168.1.98 ...
	#######

	Check image OK.

	Checking new firmware integrity ... pass

	Upgrading firmware.  Please wait for system to restart.


	Firmware upgrade in progress

	Writing the flash........100%
	Verifying the image in flash......100%
	Succeeded in verifying image written to flash.
	Done(2).

7. Der Upload beginnt unverimttelt. Nach dem Upload wird der Switch neu gebootet, was über die Konsole mitverfolgt werden kann: 

	The system is going down NOW !!

	Please stand by while rebooting the system.
	Restarting system.

	FortiSwitch-224E-POE (15:28-08.09.2017)
	BIOS version : 04000004
	Serial number: S224EPTF18001198

	Please wait for OS to boot, or press any key to display configuration menu...  0
	Booting backup partition : FortiSwitch-224E-POE v6.0.0,build0027,180529

	Kernel... OK
	RootFS... OK
	Booting FortiSwitch.

	System is started.
	The config file may contain errors,
	Please see details by the command 'diagnose debug config-error-log read'

	S224EPTF18001198 login:

8. Anschliessend kann man sich wieder mit dem admin am Switch einloggen. Auch via WebGUI ist nun ein Zugriff wieder möglich.

Basiskonfiguration

Wie wird ein Switch zu Verwaltungszwecken in eine Fortigate aufgenommen?

Die grossen Vorteile der Switches aus dem Porfolio von Fortinet liegen darin, dass ein solcher Switch über die Firewall verwaltet werden kann. Dies öffnet weitreichende Management- und Securityfunktionalitäten wie beispielsweise NAC-Szenarien mit Quarantäne welche sonst nur von Enterprise Netzwerken her bekannt sind.

Zielarchitektur:
Fortinet-2265.png

Vorbereitungen:

  • Um einen Switch mit einer Firewall zu verbinden, empfiehlt es sich, gemäss Kapitel Firmwareupdate die Firmware des Switches auf den neuesten Stand zu bringen.
  • Die Konfiguration des Switches sollte sich für folgendes Szenario auf Werkseinstellungen befinden.

Konfigurationsschritte:
Sämtliche Schritte werden auf der Fortigate Firewall vorgenommen.

Fortinet-2263.png Unter System > Feature Visibility muss die Funktion Switch Controller eingeschaltet werden.
Die Verbindung zwischen dem FortiSwitch und der Fortigate geschieht über einen so genannten FortiLink. Aus Ausfallsicherheitsgründen sollte dieser mit zwei Kabel über eine so genannte Aggregation gebaut werden. Dazu geht man unter Network > Interfaces und entfernt bei den Interfaces, welche später für den Fortilink verwendet werden sollen, sämtliche Konfiguration. 
config system interface
 edit "fortilink"
  set vdom "root"
  set fortilink enable
  set ip 10.20.30.1 255.255.255.0
  set allowaccess ping capwap
  set type aggregate
  set member "port13" "port14"
  set snmp-index 8
  set lacp-mode static
 next
end
Anschliessend wird der Fortilink über die Konsole konfiguriert. Für den Managementtraffic zwischen Firewall und Switches wird wenn keine IP konfiguriert wird ein IP Range aus dem 169.x.x.x Range verwendet. Dies kann übersteuert werden, indem auf dem Fortilink ein gültiger Range konfiguriert wird. Dies hilft später, um die Switches via FortiLink troubleshooten zu können. Es empfiehlt sich, hier einen Range zu wählen, der sich sonst nicht in Verwendung befindet.
Fortinet-2264.png Nun können die Kabel mit dem Switch verbunden werden. Als Ports für den FortiLink empfehlen sich jeweils die hintersten Ports. Sobald dies gemacht ist, erscheint der Switch unter Wifi & Switch Controller > Managed FortiSwitch. Dort kann er nun authorisiert werden. 
S224EPTF18001198 login: admin
Password:

Notice: 
This switch is currently under Fortilink remote control. 
Local changes to the system NOT recommended and may cause 
an inconsistency and/or disconnect from the FortiGate.

Welcome !
S224EPTF18001198 #
Wichtig! Ab diesem Zeitpunkt soll der Switch nicht mehr direkt verwaltet werden. Wird via RS232 auf diesen Switch zugegriffen, erscheint als Warnung linksstehende Meldung. Jede so getätigte Änderung wird von der Fortigate firewall wieder überschrieben.
Fortinet-2266.png Sobald dies gemacht wurde, wird der Switch neustarten. Dieser Vorgang kann je nach Modell bis zu 5 Minuten dauern. Sobald der Switch wieder verfügbar ist, so wird dies unter Wifi & Switch Controller > Managed FortiSwitch mit durchgezogenen Linien angezeigt. Gestrichelte Linien bedeuten inaktive Linien. Die Farbwahl der Linien sagt hierbei nichts über den Status aus.
Fortinet-2267.png Mittels Rechtsklick > Edit können die Parameter auf dem Switch eingesehen, respektive angepasst werden. Unter Name kann dem Switch eine aussagekräftige Bezeichnung vergeben werden. Unter connecting From kann die IP Addresse entnommen werden, welche der Switch geonmmen hat. Ein klick auf Restart löst einen reboot des Switches aus, und unter dem Abschnitt Firmware könnte sogar ein Firmwareupdate von der Firewall aus eingeleitet werden.
Fortinet-2268.png Unter Wifi & Switch Controller > FortiSwitch Port Kann nun die Konfiguration der einzelnen Swichports geändert werden. Standardmässig existiert ein VLAN namens vsw.fortilink welches als Natives VLAN konfiguriert ist, usowie ein qtn.fortilink welches als Allowed VLANs hinterlegt ist. Idee hinter diesem Konstrukt ist, dass mittels Security Policy definiert wird, was ein aktzeptables Verhalten eines Gerätes hinter einem Port darstellt und was nicht. Sobald ein Gerät gegen diese Verhaltensrichtlinie verstösst, wird er in die Quarantäne (qtn.fortilink) verschoben.
Unter Wifi & Switch Controller > FortiSwitch VLANs kann nun das vsw.fortilink auf die individuellen Bedürfnisse angepasst werden.

Technische Hintergründe

Welche Informationen werden über den FortiLink übermittelt?

Nebst den Nutzdaten wird über ein FortiLink auch der gesamte Management Traffic übermittelt. Hier handelt es sich um verschiedene unterschiedliche Protokolle:

  • FortiLink Heartbeat
  • LLDP wird verwendet für das FortiSwitch discovery
  • CAPWAP Konfigurationskommandos sowie die Software Upgrades der Switches
  • NTP für die Zeitsynchronisation zwischen Switches und Fortigate
  • HTTPS für die Konfiguration (Via REST API), Diagnosekommandos
  • FortiSwitch InterSwitch Link

Wie soll eine Architektur mit Fortiswitches grundsätzlich aufgebaut werden?

Verschiedene empfehlungen für Referenzarchitekturen sind in folgender Präsentation ab Folie 32 zu finden: Datei:Fsw secure switching.pdf

Abgerufen von „http://fortinet.also.ch/wiki/index.php?title=FortiSwitch&oldid=20173“