FortiAP-S:FAQ
Zur Navigation springen
Zur Suche springen
FortiAP-S:FAQ
24 X 7 PROMOTION bis 31. Dezember 2015 Weitere Informationen finden Sie hier!
Vorwort
Diese FAQ's sind für FortiAP-S Systeme basierend auf OS 5.4.
Datenschutz
*********************************************************************
* *
* THIS FILE MAY CONTAIN CONFIDENTIAL, PRIVILEGED OR OTHER LEGALLY *
* PROTECTED INFORMATION. YOU ARE PROHIBITED FROM COPYING, *
* DISTRIBUTING OR OTHERWISE USING IT WITHOUT PERMISSION FROM *
* ALSO SCHWEIZ AG SWITZERLAND. *
* *
*********************************************************************
"Die in diesen Artikeln enthaltenen Informationen sind vertraulich und dürfen ohne
schriftliche Zustimmung von der ALSO Schweiz AG gegenüber Dritt-Unternehmen nicht
bekannt gemacht werden"
FAQ
Documentation
Wo findet ich die Dokumente wie Datasheets, Quick Start Guide, User Guide etc. ?
Ueber folgenden internen Link findet man Datasheets und Quick Start Guide betreffend FortiAP Devices:
Fortinet:ProduktInfo
Ebenfalls lohnt es sich folgenden Link anzuschauen der "Cookbook" ähnliche Dokumente und Video's beinhaltet:
http://community.fortinet.com/
Auf folgender Seite findet man alle orginal Dokumente betreffend FortiAP:
http://docs.fortinet.com/fortiap/admin-guides
FortiOS 5.4
Datei:Fortiap-s-release-notes-540.pdf
Datei:FortiAP-S-Series-Deployment-Guide.pdf
Hardware
Was ist unter einem "Fortinet Smart Access Point" (FortiAP-S) zu verstehen und um was handelt es sich dabei?
Fortinet verfügt heute über drei Produkt Linien (exkl. Meru) betreffend Forti Access Point dh.:
Light Forti Access Point
Thick Forti Access Point
Smart Forti Access Point
NOTE Weitere Informationen zu den Light/Thick Forti Access Points siehe auch folgender Artikel:
FortiAP:FAQ#Welche_FortiAP_Produkte_Linien_existieren_und_was_sind_die_Unterschiede.3F
Smart Forti Access Point oder kurz auf FortiAP-S verfügen über UTM Features "auf" den Smart Forti Access Point und können "nur" über "FortiCloud Wirless Controller" verwaltet werden! Dabei sind folgende Informationen zu beachten:
- Forti Smart Access Point's können "nicht" über einen FortiGate Wirlesss Controller betrieben werden!
- Forti Smart Access Point's können "nur" über FortiCloud Wirless Controller betrieben werden (FortiCloud v2.5.0).
- Forti Smart Access Point's werden gekennzeichnet als FAP-S Serie.
FortiAP-S wurden im Q3 2015 released und werden im ersten Schritt über folgenden UTM Features verfügen:
IPS
Web Content Filtering
Antivirus (Flow Based)
Access Control List (Allow/Block)
Application Control
Botnet Protection
In einer zweiten Phase (Datum umbekannt wahrscheinlich Q4) werden die UTM Features erweitert mit folgenden Funktionen (Vorbehalt):
Application Rate-Limiting
DSCP Value Changing
Network Address Translation (NAT)
User Group Based Policies (Firewall)
Welche Hardware/Device existieren für FortiAP-S und wie unterscheiden sich diese?
Die FortiAP's die momentan verfügbar sind, sind Indoor Access Point's:
Diese werden in zwei Kategorien eingeteilt dh. 311C und 313C mit einem Radio sowie 321C und 323C mit zwei Radio:
Details zu den einzelnen Devices siehe folgender Artikel:
Fortinet:ProduktInfo#FortiAP-S
Wie wird der Wireless Controller in der FortiCloud für den FortiAP-S Device lizensiert?
Die Linzenz für den FortiAP-S Device für den Wireless Controller in der FortiCloud ist in der Device SKU enthalten. Es muss keine seperate Lizenz erworben werden:
"Hardware SKU includes FortiCloud AP Management License"
Power Adapter
Wo finde ich eine Uebersicht ob ein FortiAP-S mit PowerAdapter geliefert wird oder PoE unterstützt??
Die FortiAP-S werden ohne PowerAdapter geliefert und unterstützen PoE folgendermassen:
NOTE Betreffend FortiAP und PowerAdapter / PoE siehe nachfolgnder Artikel:
FortiAP:FAQ#Wo_finde_ich_eine_Uebersicht_ob_ein_FortiAP_mit_PowerAdapter_geliefert_wird_oder_PoE_unterst.C3.BCtzt.3F
FortiAP-S311C Injector order: GPI-130 IEEE 802.3at (25.5 W) FortiAP-S313C Injector order: GPI-130 IEEE 802.3at (25.5 W) FortiAP-S321C Injector order: GPI-130 IEEE 802.3at (25.5 W) FortiAP-S323C Injector order: GPI-130 IEEE 802.3at (25.5 W)
Wenn für die oben aufgelisteten FortiAP-S ein seperater PowerAdapter bestellt werdem möchte ist folgender Artikel kompatibel:
ALSO SKU Fortinet SKU Beschreibung
16503530H SP-FG20C-PA-EU AC power adaptor FG/FWF-20C series, FG/FWF-30D, FS-28C, FAP-28C, FAP-221C, FAP-320B and FAP-320C,
FortiAP-S311C, FortiAP-S313C, FortiAP-S321C, FortiAP-S323C
FortiCare/FortiGuard
Wieso benötige ich für einen FortiAP-S ein FortiCare/FortiGuard?
Um die UTM Features auf einem FortiAP-S zu benutzen muss eine FortiGuard Subscription (Bundle) zum FortiAP-S erworben werden! Es steht auch explizit nur FortiCare 8 X 5 oder 24 X 7 zur Verfügung. Wenn jedoch ein FortiAP-S nur mit FortiCare ausgestattet wird stehen die verschiedenen UTM Features nicht zur Verfügung.
Antenna
Kann man die FortiAP-S mit externen Antenna's nach-/ausrüsten?
Grunsätzlich ist dies möglich dh. das FortiAP-S Modell entscheidet über den verfügbaren Anschluss ob dies möglich ist oder nicht! Sprich ob der vorhanden Anschluss zur Verfügung steht oder nicht. Ob dies der Fall ist, kann im jeweiligen Quickstart und/oder Datasheet eruiert werden:
Fortinet:ProduktInfo#FortiAP-S
Ebenfalls führt Fortinet eigene externe Antenna's. Der Wirkungsgrad etc. kann im jeweiligen Datasheet nachgelesen werden:
Fortinet:ProduktInfo#FortiAntenna
Was ist zu beachten wenn ein FortiAP-S mit einer externen Antenne ausgerüstet wird?
Eine externe Antenne "verteilt" das Signal nur dh. es verstärkt dieses nicht! Die Antennen "verteilen" das Signal in Ihrer speziellen Art und Weise. Verstärker resp. Verstärkungen eines Antennen Signals für zB Richtfunk ist Bewilligungspflichtig:
http://www.bakom.admin.ch/themen/frequenzen/00689/01638/index.html?lang=de
Welchen Anschluss benützt eine FortiAP-S für den externe Antenna Anschluss?
Grundsätzlich gibt das Datasheet und/oder der Quickstart Guide Auskunft welcher Anschluss benützt werden muss/kann:
Fortinet:ProduktInfo#FortiAP-S
Gibt es von Fortinet eine "omnidirect" externe Antenne?
"Omnidirect" bedeutet 360°; was wiederum bedeutet das Signal wird durch die Antenne 360° verteilt. Das Gegenteil wäre "unidirect" was wiederum einer Richtantenne entspricht (gebündelt). Bei den Fortinet Antenna gibt das jeweilige Datasheet Auskunft über die jeweilige Art und Weise der Signal Verteilung:
Fortinet:ProduktInfo#FortiAntenna
Grundsetup
Wie nehme ich ein FortiAP-S in Betrieb und konfiguriere ich diesen?
Der nachfolgende Artikel zeigt wie ein FortiAP-S in Betrieb genommen wird. Die Art und Weise ist denkbar einfach.
Schritt 1:
Wie schon erwähnt sind FortiAP-S nicht über FortiGate Wirelesser Controller verwaltbar sondern werden über den Wireless Controller in
der FortiCloud verwaltet. Damit ein FortiAP-S über FortiCloud verwaltet werden können muss ein entsprechender Account erstellt werden.
Dieser sollte basierend auf den Endkunden erstellt werden. Es bedarf keiner Lizenz für die Erstellung und Verwaltung eines FortiCloud
Accounts. Um einen Account zu erstellen gehe auf folgenden Link und sofern nicht vorhanden erstelle einen Account:
https://www.forticloud.com/
Wenn ein neuer Account erstellt werden soll wähle die Position unterhalb des Logins:
Create a new account
Danach muss folgende Information eingegeben werden:
Nach der Bestätigung wird über die angegeben E-Mail Adresse ein Bestätigungsmail versendet das die nötigen Informationen enthält um ein
Login durchzuführen. Nach dem erfolgreichen Login muss der entsprechende Device dh. FortiAP-S anhand des FortiCloud-Key registriert
werden. Dieser FortiCloud-Key befindet sich als Aufklebe auf dem FortiAP-S und sieht als Beispiel folgendermassen aus:
MNSOTMTX
Wähle nun im FortiCloud Account "Add Device" und gebe den Key ein! Sobald der FortiCloud-Key eingegeben wurde erscheint ein zusätzlicher
Dialog in dem ein Name sowie ein Passwort für den FortiAP-S vergeben werden muss. Dabei ist zu beachten das für das Passwort mind. 5
Zeichen jedoch nicht mehr als 8 vergeben werden kann:
Sobald der Vorgang abgeschlossen ist erscheint der Registrierte FortiAP-S folgendermassen:
Schritt 2:
Wenn ein FortiAP-S mit einem Netzwerk verbunden ist so wie gestartet wird, sucht sich der FortiAP-s in diesem Segment ein DHCP Server.
Dies bedeutet: In diesem Segement sendet der FortiAP-S DHCP Anfragen aus. Werden diese beantworter erhält der FortiAP-S ein IP. Wenn
der FortiAP-S mit einer statischen IP versehen werden soll kann dies über Kommandozeile sowie die Console durchgeführt werden. Weitere
Informationen siehe nachfolgenden Artikel:
FortiAP-S:FAQ#Wie_kann_ich_einen_FortiAP-S_auf_CLI_betreffend_Netzwerk_manuell_.22statisch.22_konfigurieren.3F
Das sich per Standard der FortiAP-S einen DHCP Server basiert auf seinen Grundeinstellungen. Wurde die Konfiguration verändert und der
FortiAP-S soll auf "Factoryreset" zurück gestellt werden kann dies ebenfalls über die Console durchgeführt werden:
FortiAP-S:FAQ#Wie_kann_ich_einen_FortiAP-S_auf_.22Factoryreset.22_setzen.2Fzur.C3.BCckstellen.3F
Wenn kein Consolen Verbindung dh. RS232 zur Verfügung steht kann der FortiAP-S auch über "telnet" Kommandozeile konfiguriert werden. Dies
ist jedoch per Standard nicht möglich. Dies bedeutet: "telnet" kann über Web Mgmt. Interface aktiviert werden. Dazu kann der FortiAP-S
lokal an eine Workstation/Laptop angeschlossen werden und über die Standard IP des FortiAP-S verbunden werden um die Funktion "telnet"
zu aktivieren. wie dies durchgeführt wird siehe nachfolgenden Artikel:
FortiAP-S:FAQ#Was_ist_die_Default_IP_f.C3.BCr_einen_FortiAP-S_und_wie_kann_ich_mich_auf_diese_IP_verbinden.3F
Wenn die FortiAP-S Firmware auf den neusten Stand gebracht werden muss kann dies einerseits in einem späteren Zeitpunkt über die FortiCloud
durchgeführt werden. Muss die Firmware bereits zu beginn auf den neusten Stand gebracht werden kann dies im "staging" Verfahren durchgeführt
werden, über CLI anhand eines TFTP Servers oder über Web Mgmt. Interface. Dazu nachfolgenden Artikel wie dies durchgeführt wird:
FortiAP-S:FAQ#Wie_.22stage.22_ich_einen_FortiAP-S_von_Grundauf_neu_mit_einer_entsprechenden_Firmware.3F
FortiAP-S:FAQ#Wie_f.C3.BChre_ich_lokal_f.C3.BCr_einen_FortiAP-S_ein_Firmware_Upgrade_durch.3F
Schritt 3:
Sobald der FortiAP-S eine IP vom DHCP Server aus dem Netzwerk in dem er verbunden ist erhält oder eine statische IP konfiguriert wurde, kann
Grundsätzlich auf den FortiAP-S über HTTP ein Verbindung aufgebaut werden. Dazu benötigt man die Informatione welche IP dem FortiAP-S über
DHCP Server zugewiesen wurde. Danach kann über HTTP eine Verbindung aufgebaut werden sofern dies die Security resp. Firewall zulässt:
http://[FortiAP-S IP vom DHCP Server]
User: admin
Passwort: [Kein Passwort]
Sobald der FortiAP-S über eine DHCP IP verfügt oder eine statische IP Konfiguration werden folgende Protokolle und Destinationen "requested":
Destination "apctrl1.fortinet.com" Protokolle HTTPS, DNS
Sofern nötig muss für den FortiAP-S enstprechende Firewall Rules implementiert werden die dem FortiAP-S ermöglichen in das Internet zu
komunizieren mit den nötigen Protokollen und Destination.
Schritt 4:
Der FortiCloud Account wurde erstellt sowie der entsprechende FortiCloud-Key für den FortiAP-S wurde im Account registriert. Ebenso ist der
FortiAP-S im entsprechenden Netzwerk und hat die Möglichkeit in das Internet zu komunizieren mit den entsprechenden Protokollen sowie
Destination. Nun muss der FortiAP-S mit dem entsprechenden Account verbunden werden dh. gehe auf den FortiAP-S und führe die entsprechende
Konfiguration durch was wiederum heisst:
Ueber Web Mgmt. Interface des FortiAP-S
Verbinde dich auf die IP die der FortiAP-S über DHCP zugewiesen wurde per http dh.:
http://[FortiAP-S IP vom DHCP Server]
Danach wähle im Web Mgmt Interface des FortiAP-S folgendes:
AC Discovery Type: [Passwort des entsprechenden FortiCloud Accounts]
FortiCloud Account: [Username dh. Email Adresse des entsprechenden FortiCloud Accounts]
FortiCloud Password: [Passwort des entsprechenden FortiCloud Accounts]
Ueber Console des FortiAP-S
# cfg -a AC_DISCOVERY_TYPE=[Setze die Option FortiCloud dh. "7"]
# cfg -a AC_DISCOVERY_FCLD_ID=[Username dh. Email Adresse des entsprechenden FortiCloud Accounts]
# cfg -a AC_DISCOVERY_FCLD_PASSWD_ENC=[Passwort des entsprechenden FortiCloud Accounts]
# cfg -c
Nun gehe in den entsprechenden FortiCloud Account und wähle den FortiAP-S den wir registrieren möchten denn dieser muss nun aktiviert werden.
Klicke auf den entsprechenden Eintrag für den FortiAP-S:
https://www.forticloud.com/
Danach wähle die Menüposition "Access Points" und aktiviere die "Checkbox" für den entsprechenden FortiAP-S und besätige mit "Activate":
Nachdem mit "Activate" bestätigt wurde wird der "Status" des FortiAP-S auf "down" angezeigt da der FortiAP-S über noch keine Konfiguration
verfügt:
Setup
Was ist die Default IP für einen FortiAP-S und wie kann ich mich auf diese IP verbinden?
Wenn ein FortiAP-S gestartet wird reagiert auf Netzwerkebene der FortiAP-S folgendermassen:
--> Der FortiAP-S sendet einen DHCP Anfrage! Wird dieser beantwortet wird das Netzwerkinterface anhand dieser Informationen konfiguriert!
--> Beantwortet "Kein" DHCP Server die Anfrage des FortiAP-S so wird auf dem Netzwerk Interface folgende IP konfiguriert:
192.168.1.2/24
Somit kann man sich auf einen FortiAP-S folgendermassen verbinden sofern der FortiAP-S betreffend Netzwerk Interface nicht auf "Static" konfiguriert ist (Standard DHCP):
1. Konfigruriere eine Workstation/Laptop mit folgender IP (Kein Default Gateway):
192.168.1.1 255.255.255.0
2. Verbinde den FortiAP-S mit der Workstation/Laptop anhand eines RJ-45 Kabel (nicht gekreuzt)
3. Starte den FortiAP-S und nach 1 - 2 Minuten kann auf den FortiAP anhand eines Browser zugegriffen werden (Username "admin"; Kein Passwort):
http://192.168.1.2
Dieser Vorgang ist insofern Wichtig, dass über das Web Mgmt. Interface des FortiAP's zB "telnet" aktiviert werden kann wenn zB kein Console Kable zur Verfügung steht und man den FortiAP-S über CLI statisch konfigurieren möchte. Weitere Informationen welche Befehle auf der CLI zur Verfügung stehen sowie eine statische Konfiguration durchgeführt werden kann siehe nachfolgende Artikel:
FortiAP-S:FAQ#Welche_Kommandos_stehen_auf_einem_FortiAP-S_auf_CLI_zur_Verf.C3.BCgung.3F FortiAP-S:FAQ#Wie_kann_ich_einen_FortiAP-S_auf_CLI_betreffend_Netzwerk_manuell_.22statisch.22_konfigurieren.3F
Wie sieht der Startvorgang eines FortiAP-S aus über Serial Console (RS232)?
Wenn ein FortiAP-S korrekt arbeitet sieht der Startvorgang über die Console folgendermassen aus:
--------------- RS232 output ---------------
FortiAP-S323C (May 06 2015 - 21:38:56)
DRAM: 1003 MiB
NAND: 288 MiB
*** Warning - bad CRC, using default environment
Flash: 32 MiB
Ver:04000002
Serial number: PS323C3U15000216
Region code: E
In: serial
Out: serial
Err: serial
Net: eth0 up
eth0 speed 1000Mbps
eth0
Hit any key to stop autoboot: 0
Device 1: nand1... is now current device
Loading from nand1, offset 0x320000
Image Name: Linux-3.4.0
Image Type: ARM Linux Kernel Image (uncompressed)
Data Size: 1727144 Bytes = 1.6 MiB
Load Address: 41508000
Entry Point: 41508000
Automatic boot of image at addr 0x44000000 ...
Image Name: Linux-3.4.0
Image Type: ARM Linux Kernel Image (uncompressed)
Data Size: 1727144 Bytes = 1.6 MiB
Load Address: 41508000
Entry Point: 41508000
Verifying Checksum ... OK
Loading Kernel Image ... OK
OK
info: "mtdparts" not set
Using machid 0x12ca from environment
Starting kernel ...
PS323C3U15000216 login: admin
--------------- RS232 output ---------------
Um sich auf den FortiAP-S einzuloggen benütze User "admin" sowie "kein" Passwort!
Wie kann ich einen FortiAP-S auf CLI betreffend Netzwerk manuell "statisch" konfigurieren?
Nun Grundsätzlich kann ein FortiAP-S manuell konfiguriert werden dh. dazu steht das Kommando "cfg" zur Verfügung. Dabei ist zu berücksichtigen, dass die Konfiguration die durch "cfg" gesetzt wird erst mit "cfg -c" geschrieben wird. Für "cfg" stehen folgende Optionen zur Verfügung:
cfg -h - output this help
cfg -r var - remove variables
cfg -e - export variables
cfg -s - list variables
cfg -x - resetting to factory defaults
cfg -c - commit the change to flash
cfg -a var=value - add or change variables
Um alle Konfigurationspunkte die Konfigurierbar sind aufzulisten kann folgende Option benutzt werden:
# cfg -h
cfg -h - output this help
cfg -r var - remove variables
cfg -e - export variables
cfg -s - list variables
cfg -x - resetting to factory defaults
cfg -c - commit the change to flash
cfg -a var=value - add or change variables
Supported Variable Names:
BAUD_RATE
9600, 19200, 38400, 57600, 115200
WTP_NAME
WTP_LOCATION
FIRMWARE_UPGRADE
LOGIN_PASSWD
ADMIN_TIMEOUT
Telnet and GUI session admin timeout in minutes [0-480]
ADDR_MODE
DHCP, STATIC
AP_IPADDR
AP_NETMASK
IPGW
AP_MODE
0(Thin AP), 2(Site Survey)
DNS_SERVER
STP_MODE
0(disabled), 1(enabled), 2(disabled with blocked WAN port switch)
AP_MGMT_VLAN_ID
TELNET_ALLOW
HTTP_ALLOW
DDNS_ENABLE
DDNS_PORT
DDNS_SERVER
0(fortiddns.com), 1(fortidyndns.com), 2(float-zone.com)
DDNS_UNIQUE_LOCATION
AC_DISCOVERY_TYPE
0(auto), 1(static), 2(dhcp), 3(dns), 5(broadcast), 6(multicast), 7(forticloud)
AC_IPADDR_1
AC_IPADDR_2
AC_IPADDR_3
AC_HOSTNAME_1
AC_HOSTNAME_2
AC_HOSTNAME_3
AC_DISCOVERY_MC_ADDR
AC_DISCOVERY_DHCP_OPTION_CODE
AC_DISCOVERY_FCLD_APCTRL
AC_DISCOVERY_FCLD_ID
AC_DISCOVERY_FCLD_PASSWD
AC_DISCOVERY_FCLD_PASSWD
AC_CTL_PORT
AC_DATA_CHAN_SEC
0(Clear Text), 1(DTLS Enabled), 2(Clear Text or DTLS Enabled)
MESH_AP_TYPE
0(Ethernet), 1(Mesh), 2(Ethernet with mesh backup support)
MESH_AP_SSID
MESH_AP_BSSID
MESH_AP_PASSWD
MESH_AP_PASSWD
MESH_ETH_BRIDGE
Only take effect with MESH_AP_TYPE 1(mesh) AP
MESH_MAX_HOPS
MESH_SCORE_HOP_WEIGHT
MESH_SCORE_CHAN_WEIGHT
MESH_SCORE_RATE_WEIGHT
MESH_SCORE_BAND_WEIGHT
MESH_SCORE_RSSI_WEIGHT
SURVEY_SSID
SURVEY_TX_POWER
SURVEY_CH_24
SURVEY_CH_50
SURVEY_BEACON_INTV
Um zu sehen "was" momentan konfiguriert ist kann folgendes benutzt werden:
# cfg -s
BAUD_RATE:=9600
ADMIN_TIMEOUT:=5
ADDR_MODE:=DHCP
AP_IPADDR:=192.168.1.2
AP_NETMASK:=255.255.255.0
IPGW:=192.168.1.1
AP_MODE:=0
DNS_SERVER:=208.91.112.53
STP_MODE:=0
AP_MGMT_VLAN_ID:=0
TELNET_ALLOW:=0
HTTP_ALLOW:=1
DDNS_ENABLE:=0
AC_DISCOVERY_TYPE:=0
AC_IPADDR_1:=192.168.1.1
AC_HOSTNAME_1:=_capwap-control._udp.example.com
AC_DISCOVERY_MC_ADDR:=224.0.1.140
AC_DISCOVERY_DHCP_OPTION_CODE:=138
AC_DISCOVERY_FCLD_APCTRL:=
AC_DISCOVERY_FCLD_ID:=
AC_DISCOVERY_FCLD_PASSWD_ENC:=
AC_CTL_PORT:=5246
AC_DATA_CHAN_SEC:=2
MESH_AP_TYPE:=0
MESH_MAX_HOPS:=4
MESH_SCORE_HOP_WEIGHT:=50
MESH_SCORE_CHAN_WEIGHT:=1
MESH_SCORE_RATE_WEIGHT:=1
MESH_SCORE_BAND_WEIGHT:=100
MESH_SCORE_RSSI_WEIGHT:=100
Um zB die Netzwerk Komponenten zu konfiguriere können folgende Befehle benutzt werden:
# cfg -a ADDR_MODE=STATIC
# cfg -a AP_IPADDR=[Gebe die entsprechende IP an zB 192.168.1.2]
# cfg -a AP_NETMASK=[Gebe die entsprechende Subnet Mask ein zB 255.255.255.0]
# cfg -a IPGW=[Gebe den entsprechenden Gateway ein zB 192.168.1.1]
# cfg -a DNS_SERVER=[Gebe den entsprechenden DNS Server ein zB 208.91.112.53]
NOTE Jede Konfiguration die anhand "cfg -a" geschrieben wird ist nicht "persistent" dh. die ausgeführt Konfiguration
muss anhand folgenden Befehls "geschrieben" werden (commit to flash) ansonsten geht diese nach einem Neustart
verloren. Die Konfiguration wird es durch nachfolgenden Befehl aktiviert:
# cfg -c
Danach kann wiederum mit "cfg -s" die Konfiguration kontrolliert werden!
Wie kann ich einen FortiAP-S über CLI neu starten?
Um einen FortiAP-S über CLI neu zu starten gebe folgendes ein:
# reboot
Wie kann ich einen FortiAP-S auf "Factoryreset" setzen/zurückstellen?
Wenn ein FortiAP-S auf "Factoryreset" gesetzt werden soll dh. dadurch gehen sämtliche Konfigurationen verloren, kann über CLI folgendes durchgeführt werden:
# factoryreset
This operation will reset the system to factory default!
Do you want to continue? (y/n)y
[ 2460.300812] Restarting system.
Ebenso steht folgendes Kommando zu Verfügung das ebenfalls im Hintergund einen "factoryreset" ausführt:
# cfg -x
# reboot
Upgrade
Wie "stage" ich einen FortiAP-S von Grundauf neu mit einer entsprechenden Firmware?
Die Modelle FAP-S311/3 sowie FAP-S321/3 kommen mit einen Console Port. Wie bei einer FortiGate ist es möglich über TFTP Server den FAP-S von Grundauf neu zu stagen. Der Start Vorgang muss wie bei einer FortiGate zu Beginn des Neustarts abgebrochen werden (5 Sekunden Zeit) um in das Bios zu kommen. Die IP des TFTP Servers sowie die lokale IP kann beim Vorgang "Get OS image from TFTP server" on the fly definiert werden. Nachfolgend ein kurzes Beispiel wie dieser Vorgang durchzuführen ist:
_____________________________
| RS232 Verbindung |
Consolen Port | |
___________|___ | RS232 Anschluss
| | ____|_______________
| FortiAP-s | 192.168.1.1/24 | |
|_______________| _____| LapTop/Workstation | --> SolarWindsTFTP Server starten
| | NIC |____________________| --> FortiOS als image.out im C:\TFTP-Root
WAN | |
|_____________________|
NOTE Auf dem Laptop müssen sämtliche Firewall's, Endpoint Security und Netzwerkkarten deaktiviert sein und auf der LAN Netzwerkarte
muss die IP 192.168.1.100 mit dem Subnet 255.255.255.0 konfiguriert sein (Kein DNS, kein Default Gateway nötig)!
Oeffne über Putty eine Serielle rs232 Verbindung (Console). Schalte den FortiAP-S ein und breche den Startprozess ab wenn folgendes erscheint:
Hit any key to stop autoboot:
--------------- RS232 output ---------------
FortiAP-S323C (May 06 2015 - 21:38:56)
DRAM: 1003 MiB
NAND: 288 MiB
Flash: 32 MiB
Ver:04000002
Serial number: PS323C3U15000216
Region code: E
In: serial
Out: serial
Err: serial
Net: eth0 up
eth0 speed 1000Mbps
eth0
Hit any key to stop autoboot: 5
[G]: Get OS image from TFTP server.
[Q]: Quit menu and continue to boot with default OS.
[H]: Display this list of options.
Enter G,Q,or H: G
Please connect TFTP server to Ethernet port WAN.
Enter TFTP server address [192.168.1.10]: 192.168.1.10
Enter local address [192.168.1.1]: 192.168.1.1
Enter firmware image file name [image.out]: image.out
Using eth0 device
TFTP from server 192.168.1.10; our IP address is 192.168.1.1
Filename 'image.out'.
Load address: 0x42000000
Loading:
--------------- RS232 output ---------------
Danach wird das Image installiert und der FortiAP-S gestartet! Um sich auf der CLI einzloggen benütze User "admin" sowie "kein" Passwort.
Wie führe ich lokal für einen FortiAP-S ein Firmware Upgrade durch?
Ausgehend davon, dass man für einen FortiAP-S ein lokales Firmware Upgrade durchführen will kann dies über einen lokalen TFTP Server durchgeführt werden oder über das lokale Web Mgmt. Interface des FortiAP-S:
Firmware Upgrade über CLI und TFTP Server
# restore [Name des Images für die Firmware] [IP Adresse des TFTP Servers]
NOTE Um das Kommando eingeben zu können muss mit RS232 Console verbunden werden. Es ist jedoch auch möglich "telnet"
über Web Mgmt. Interface zu aktivieren (Per Standard deaktiviert) und über "telnet" diesen Befehl einzugeben.
Firmware Upgrade über Mgmt. Interface
Auf dem Web Mgmt Interface des FortiAP-S seht eine entsprechende Position zur Verfügung über die ein Firmware Upgrade
durchgeführt werden kann:
Firmware Version: Update
Um auf den FortiAP-S Web Mgmt. Interface zu gelangen (Standard IP des FortiAP-S) siehe auch nachfolgenden Artikel:
FortiAP-S:FAQ#Was_ist_die_Default_IP_f.C3.BCr_einen_FortiAP-S_und_wie_kann_ich_mich_auf_diese_IP_verbinden.3F
Backup
Wie erstelle ich für einen FortiAP-S für dessen Konfiguration ein Backup?
Ein Backup der Konfiguration eines FortiAP-S kann über Web Mgmt. Interface durchgeführt werden sowie über CLI. Bei einem Backup über Web Mgmt. Interface wird im Hintergrund folgender Befehl ausgeführt:
Backup der Forti Access Point Konfiguration über CLI
# cfg -e
BAUD_RATE=9600
ADMIN_TIMEOUT=5
AP_IPADDR=192.168.1.2
AP_NETMASK=255.255.255.0
IPGW=192.168.1.1
AP_MODE=0
DNS_SERVER=208.91.112.53
AP_MGMT_VLAN_ID=0
ADDR_MODE=DHCP
STP_MODE=0
TELNET_ALLOW=1
HTTP_ALLOW=1
AC_DISCOVERY_TYPE=0
AC_IPADDR_1=192.168.1.1
AC_HOSTNAME_1=_capwap-control._udp.example.com
AC_CTL_PORT=5246
AC_DISCOVERY_MC_ADDR=224.0.1.140
AC_DISCOVERY_DHCP_OPTION_CODE=138
AC_DATA_CHAN_SEC=2
MESH_AP_TYPE=0
MESH_AP_SSID=fortinet.mesh.root
MESH_AP_BSSID=
MESH_AP_PASSWD=fortinet.mesh.root
MESH_ETH_BRIDGE=0
MESH_MAX_HOPS=4
MESH_SCORE_HOP_WEIGHT=50
MESH_SCORE_CHAN_WEIGHT=1
MESH_SCORE_RATE_WEIGHT=1
MESH_SCORE_BAND_WEIGHT=100
MESH_SCORE_RSSI_WEIGHT=100
Backup der Forti Access Point Konfiguration über Web Mgmt. Interface
Das Web Mgmt. Interface einer FortiGate ist -sofern dies die Firewall Policy Rule erlaubt wird- per Standard über dessen IP zugänglich.
NOTE Wenn das Backup des Forti Access Point lokal über seine Standard IP durchgeführt werden soll siehe
nachfolgenden Artikel:
FortiAP-S:FAQ#Was_ist_die_Default_IP_f.C3.BCr_einen_FortiAP-S_und_wie_kann_ich_mich_auf_diese_IP_verbinden.3F
Danach kann ein manuelles Backup unter folgender Position ausgeführt werden:
Status > System Configuration > Last Backup
Das Backup File ist clear-text und enthält die gleichen Positionen wie das Komando "cfg -e".
BAUD_RATE=9600
ADMIN_TIMEOUT=5
AP_IPADDR=192.168.1.2
AP_NETMASK=255.255.255.0
IPGW=192.168.1.1
AP_MODE=0
DNS_SERVER=208.91.112.53
AP_MGMT_VLAN_ID=0
ADDR_MODE=DHCP
STP_MODE=0
TELNET_ALLOW=0
HTTP_ALLOW=1
DDNS_ENABLE=0
DDNS_PORT=443
DDNS_SERVER=0
DDNS_UNIQUE_LOCATION=FortiAP
AC_DISCOVERY_TYPE=0
AC_IPADDR_1=192.168.1.1
AC_HOSTNAME_1=_capwap-control._udp.example.com
AC_CTL_PORT=5246
AC_DISCOVERY_MC_ADDR=224.0.1.140
AC_DISCOVERY_DHCP_OPTION_CODE=138
AC_DISCOVERY_FCLD_APCTRL=
AC_DISCOVERY_FCLD_ID=
AC_DISCOVERY_FCLD_PASSWD_ENC=
AC_DATA_CHAN_SEC=2
MESH_AP_TYPE=0
MESH_AP_SSID=fortinet.mesh.root
MESH_AP_BSSID=
MESH_AP_PASSWD_ENC=MjAyMDIwMjAyMDIwMjAyMDBlMmUyNDIzM2Y2ZjIyNGYyZDM1
MESH_ETH_BRIDGE=0
MESH_MAX_HOPS=4
MESH_SCORE_HOP_WEIGHT=50
MESH_SCORE_CHAN_WEIGHT=1
MESH_SCORE_RATE_WEIGHT=1
MESH_SCORE_BAND_WEIGHT=100
MESH_SCORE_RSSI_WEIGHT=100
SURVEY_SSID=FAP_SURVEY
SURVEY_TX_POWER=30
SURVEY_CH_24=6
SURVEY_CH_50=36
SURVEY_BEACON_INTV=100
NOTE Das Backup File kann herangezogen werden um für verschiedene Forti Access Point ein Konfigurationsfile vorzubereiten und
dieses als Restore wieder einzuspielen.
CLI
Welche Kommandos stehen auf einem FortiAP-S auf CLI zur Verfügung?
Wie bei den FortiAP steht auch auf den FortiAP's über CLI verschiedenen Kommandos zur Verfügung. Nachfolgend die wichtigsten Kommandos im Ueberblick:
# help
help Display this text
? Synonym for 'help'
exit Exit
brctl
cfg
dmesg
cw_debug
cw_diag
cw_test_led
cw_test_radio
diag_console_debug
diag_debug_crashlog
factoryreset
fap-get-status
fap-set-hostname
get
radartool
reboot
restore
tftp
utm_diag
kp cw_diag kernel-panic
ut cw_diag uptime
bd cw_diag baudrate
sta cw_diag ksta
dv cat /proc/net/dvlan/debug
klog cw_diag repeat 1000000 1 "dmesg -c"
ton cw_diag --tlog on
toff cw_diag --tlog off
con cw_diag --clog on
coff cw_diag --clog off
fon cw_diag --flog 16
foff cw_diag --flog 0
don cw_debug app cwWtpd 0x7fff
doff cw_debug app cwWtpd 0
wcfg cw_diag -c wtp-cfg
rcfg cw_diag -c radio-cfg
vcfg cw_diag -c vap-cfg
perf cw_diag sys-performance
scanclr cw_diag -c scan-clr-all
apscan cw_diag -c ap-scan
stascan cw_diag -c sta-scan
txq0 iwpriv wifi0 get_txq_dump;dmesg
txq1 iwpriv wifi1 get_txq_dump;dmesg
crash diag_debug_crashlog read
br brctl show
brm brctl showmacs
nt cw_diag -c net-topo
cld cw_diag -c fcld-cfg
cldc rm /tmp/wtp.cldc.*; rm /etc/ftnt/wtp.cldc.*
kv ft_dbg_kvar -g
ka ft_dbg_kvar -s
# [fap-get-status | get system status]
Version: FortiAP-S323C v5.4,build0121,150722 (GA)
Serial-Number: PS323C3U15000216
BIOS version: 04000002
System Part-Number: P17651-03
Regcode: E
Base MAC: 08:5b:0e:eb:bb:54
Hostname: PS323C3U15000216
Branch point: 121
Release Version Information: GA
# fap-set-hostname
Usage:
fap-set-hostname <new hostname>
# get ?
Usage:
get system status
get current info
get cfg all|VAR_NAME
# get current info
S_RADIO_MODE_0: AP
S_RADIO_BAND_0: invalid
S_RADIO_TXPOWER_0: 31
S_RADIO_OPER_CHAN_0: 0
S_RADIO_MODE_1: AP
S_RADIO_BAND_1: invalid
S_RADIO_TXPOWER_1: 31
S_RADIO_OPER_CHAN_1: 0
S_IP_ADDR: 0.0.0.0
S_NETMASK: 0.0.0.0
S_GATEWAY: 0.0.0.0
S_CURR_STATE: 0
S_AC_IP: 0.0.0.0
S_DNS_IP: 208.91.112.53
# get current info
S_RADIO_MODE_0: AP
S_RADIO_BAND_0: invalid
S_RADIO_TXPOWER_0: 31
S_RADIO_OPER_CHAN_0: 0
S_RADIO_MODE_1: AP
S_RADIO_BAND_1: invalid
S_RADIO_TXPOWER_1: 31
S_RADIO_OPER_CHAN_1: 0
S_IP_ADDR: 0.0.0.0
S_NETMASK: 0.0.0.0
S_GATEWAY: 0.0.0.0
S_CURR_STATE: 0
S_AC_IP: 0.0.0.0
S_DNS_IP: 208.91.112.53
# get cfg all
BAUD_RATE: 9600
ADMIN_TIMEOUT: 5
ADDR_MODE: DHCP
AP_IPADDR: 192.168.1.2
AP_NETMASK: 255.255.255.0
IPGW: 192.168.1.1
AP_MODE: 0
DNS_SERVER: 208.91.112.53
STP_MODE: 0
AP_MGMT_VLAN_ID: 0
TELNET_ALLOW: 0
HTTP_ALLOW: 1
DDNS_ENABLE: 0
DDNS_PORT: 443
DDNS_SERVER: 0
DDNS_UNIQUE_LOCATION: FortiAP
AC_DISCOVERY_TYPE: 0
AC_IPADDR_1: 192.168.1.1
AC_HOSTNAME_1: _capwap-control._udp.example.com
AC_DISCOVERY_MC_ADDR: 224.0.1.140
AC_DISCOVERY_DHCP_OPTION_CODE: 138
AC_DISCOVERY_FCLD_APCTRL:
AC_DISCOVERY_FCLD_ID:
AC_DISCOVERY_FCLD_PASSWD_ENC:
AC_CTL_PORT: 5246
AC_DATA_CHAN_SEC: 2
MESH_AP_TYPE: 0
MESH_AP_SSID: fortinet.mesh.root
MESH_AP_BSSID:
MESH_AP_PASSWD_ENC: MjAyMDIwMjAyMDIwMjAyMDBlMmUyNDIzM2Y2ZjIyNGYyZDM1
MESH_ETH_BRIDGE: 0
MESH_MAX_HOPS: 4
MESH_SCORE_HOP_WEIGHT: 50
MESH_SCORE_CHAN_WEIGHT: 1
MESH_SCORE_RATE_WEIGHT: 1
MESH_SCORE_BAND_WEIGHT: 100
MESH_SCORE_RSSI_WEIGHT: 100
SURVEY_SSID: FAP_SURVEY
SURVEY_TX_POWER: 30
SURVEY_CH_24: 6
SURVEY_CH_50: 36
SURVEY_BEACON_INTV: 100
QUICK_SETUP_MODE: 0
# cw_test_radio -h
/sbin/cw_test_radio <1|2> <2g|5g|auto> <ssid|off> [address] [netmask]
# diag_console_debug -h
Usage:
diag_console_debug <on|off> --turn on/off console log message
# diag_debug_crashlog
Usage:
diag_debug_crashlog clear --clear crash log
diag_debug_crashlog read --read crash log and print
# cfg -h
cfg -h - output this help
cfg -r var - remove variables
cfg -e - export variables
cfg -s - list variables
cfg -x - resetting to factory defaults
cfg -c - commit the change to flash
cfg -a var=value - add or change variables
Supported Variable Names:
BAUD_RATE
9600, 19200, 38400, 57600, 115200
WTP_NAME
WTP_LOCATION
FIRMWARE_UPGRADE
LOGIN_PASSWD
ADMIN_TIMEOUT
Telnet and GUI session admin timeout in minutes [0-480]
ADDR_MODE
DHCP, STATIC
AP_IPADDR
AP_NETMASK
IPGW
AP_MODE
0(Thin AP), 2(Site Survey)
DNS_SERVER
STP_MODE
0(disabled), 1(enabled), 2(disabled with blocked WAN port switch)
AP_MGMT_VLAN_ID
TELNET_ALLOW
HTTP_ALLOW
DDNS_ENABLE
DDNS_PORT
DDNS_SERVER
0(fortiddns.com), 1(fortidyndns.com), 2(float-zone.com)
DDNS_UNIQUE_LOCATION
AC_DISCOVERY_TYPE
0(auto), 1(static), 2(dhcp), 3(dns), 5(broadcast), 6(multicast), 7(forticloud)
AC_IPADDR_1
AC_IPADDR_2
AC_IPADDR_3
AC_HOSTNAME_1
AC_HOSTNAME_2
AC_HOSTNAME_3
AC_DISCOVERY_MC_ADDR
AC_DISCOVERY_DHCP_OPTION_CODE
AC_DISCOVERY_FCLD_APCTRL
AC_DISCOVERY_FCLD_ID
AC_DISCOVERY_FCLD_PASSWD
AC_DISCOVERY_FCLD_PASSWD
AC_CTL_PORT
AC_DATA_CHAN_SEC
0(Clear Text), 1(DTLS Enabled), 2(Clear Text or DTLS Enabled)
MESH_AP_TYPE
0(Ethernet), 1(Mesh), 2(Ethernet with mesh backup support)
MESH_AP_SSID
MESH_AP_BSSID
MESH_AP_PASSWD
MESH_AP_PASSWD
MESH_ETH_BRIDGE
Only take effect with MESH_AP_TYPE 1(mesh) AP
MESH_MAX_HOPS
MESH_SCORE_HOP_WEIGHT
MESH_SCORE_CHAN_WEIGHT
MESH_SCORE_RATE_WEIGHT
MESH_SCORE_BAND_WEIGHT
MESH_SCORE_RSSI_WEIGHT
SURVEY_SSID
SURVEY_TX_POWER
SURVEY_CH_24
SURVEY_CH_50
SURVEY_BEACON_INTV
# cw_diag help
cw_diag usage:
cw_diag help --show this usage
cw_diag uptime --show daemon uptime
cw_diag --tlog <on|off> --turn on/off telnet log message.
cw_diag --clog <on|off> --turn on/off console log message.
cw_diag --flog <size in MB> --turn on/off log message to /tmp/var_log_wtpd.
cw_diag baudrate [9600 | 19200 | 38400 | 57600 | 115200]
cw_diag kernel-panic [size [ID]] --show saved kernel panic log fromflash
cw_diag kernel-panic clear --clear saved kernel panic log from flash
cw_diag k-dvlan-debug [0-15] --enable/disable kernel dynamic vlan debug
cw_diag plain-ctl [[0|1] | clear] --show, set or clear current plain control setting
cw_diag sniff-cfg [[ip port] | clear] --show, set or clear sniff server ip and port
cw_diag sniff [intf [0|1|2] | clear] --show, set or clear sniff setting on intf
cw_diag stats wl_intf --show wl_intf status
cw_diag deauth wl_intf sta-mac --deauthenticate the sta from wl_intf
cw_diag disassoc wl_intf sta-mac --disassociate the sta from wl_intf
cw_diag ksta [HHHH] --show clients on the FortiAP
cw_diag wl-log --get wlan's beacon/probe related info
cw_diag band-width [rId] [wId] [sta-mac] --show radio, vap, sta band width
cw_diag pkt-pattern [rId] --show traffic packet length info.
cw_diag repeat cnt intv cmd --run cnt times of cmd at intv interval
cw_diag sys-performance --show CPU load and memory usage
cw_diag clear debug --clear all debug settings
cw_diag show debug --show all debug settings
cw_diag show control --show all -c settings
cw_diag show all --show all debug and -c settings
cw_diag -c wtp-cfg --show current wtp config params in control plane
cw_diag -c fcld-cfg --show current forticloud client config
cw_diag -c radio-cfg --show current radio config params in control plane
cw_diag -c ssid --show current configrued SSIDs
cw_diag -c vap-cfg --show current vaps in control plane
cw_diag -c ap-rogue --show rogue APs pushed by AC for on-wire scan
cw_diag -c sta-rogue --show rogue STAs pushed by AC for on-wire scan
cw_diag -c arp-req --show scanned arp requests
cw_diag -c ap-scan --show scanned APs
cw_diag -c sta-scan --show scanned STAs
cw_diag -c sta-cap --show scanned STA capabilities
cw_diag -c sta-locate --show scanned STA locate data
cw_diag -c sta-locate-reset [level] --reset scanned STA locate data
cw_diag -c wids --show scanned WIDS detections
cw_diag -c mesh --show mesh status
cw_diag -c mesh-veth-acinfo --show mesh veth ac info, and mesh ether type
cw_diag -c mesh-veth-vap --show mesh veth vap
cw_diag -c mesh-veth-host --show mesh veth host
cw_diag -c mesh-ap --show mesh ap candidates
cw_diag -c vlan --show current vlan info in daemon
cw_diag -c sta --show current station info in daemon
cw_diag -c sys-vbr --show WTP Vlan Bridges
cw_diag -c net-topo --show interface topology
cw_diag -c wev --show queued wireless events to report
cw_diag -c k-vap --show WTP Kernel local-bridge VAPs
cw_diag -c k-host --show WTP Kernel local-bridge Hosts
cw_diag -c k-wlvl --show WTP Kernel local-bridge Wlan Vlans
cw_diag -c k-vbr --show WTP Kernel local-bridge Vlan Bridges
cw_diag -c scan-clr-all --flush all scanned AP/STA/ARPs
cw_diag -c ap-suppress --show suppressed APs
cw_diag -c sta-deauth --de-authenticate an STA