Fortigate link-monitor 5.4

Fortigate 5.2的時候，GUI有個link-monitor的功能，可以偵測線路狀況。
5.4的時候，GUI就找不到了，原廠似乎建議使用WAN link load balancing功能去做。

不過link-monitor在CLI還是存在著，指令如下：

config system link-monitor
    edit "port2"
        set srcintf "port2"
        set server "1.1.1.2"
        set protocol ping
        set gateway-ip 1.1.1.2
        set source-ip 0.0.0.0
        set interval 5
        set timeout 1
        set failtime 5
        set recoverytime 5
        set ha-priority 1
        set update-cascade-interface disable
        set update-static-route enable
        set status enable
    next
    edit "port3"
        set srcintf "port3"
        set server "2.2.2.2"
        set protocol ping
        set gateway-ip 2.2.2.2
        set source-ip 0.0.0.0
        set interval 5
        set timeout 1
        set failtime 5
        set recoverytime 5
        set ha-priority 1
        set update-cascade-interface disable
        set update-static-route enable
        set status enable
    next
end

Cisco Switch Block 445 Port

1.透過Vlan

ACL

ip access-list extended deny445

permit tcp any any eq 445

permit udp any any eq 445

VLAN Map

vlan access-map deny445 10

 match ip address deny445

 action drop

vlan access-map deny445 20

action forward

Applying VLAN Map to VLAN

vlan filter deny445 vlan-list  “Vlan ID” 

2.透過port

ip access-list extended deny445

deny   tcp any any eq 445

deny   udp any any eq 445

permit ip any any

int r f0/1 – X or Gi1/0/1 - X

ip access-group deny445 in

Fortigate Poicy Route

紀錄一下

1.沒有longest mask matching，Policy Route權限最大。

所以如果有一筆Policy Route 是 DMZ > WAN，0.0.0.0/0。這樣會全部流量都走WAN出去，就算static route有路由往Lan，還是不會走。
解決方式為新增一筆Policy Route，source and destination 就輸入想要的，下面Action選擇Stop Policy Routing。並將此條往上拉，這樣就不會看Policy Route，而是看Static route了。

2.Routing Table沒有的，Policy Route 不會生效。

Fortigate Block Youtube

LAB了一個上午.....
當然有web filter最快。
如果要用Application control去阻擋。
除了Youtube相關要Block，QUIC的服務也要Block。
如果沒有擋QUIC，Chrome開youtube還是正常。
擋QUIC除了Youtube還會有啥影響，測試了一個上午還沒遇到。

Fortigate 60C WAN Load Balance LAB

紀錄一下
1.要做load balane的兩條WAN，要先把相關的policy與route先移除掉。

2.System > Network > WAN Link Load Balancing. Weighted Round Robin
然後輸入對點與偵測對點存活的設定。

3.設定路由，預設路由往Load Balance的介面丟。

4.設定policy，原本outgoing interface是WAN1或WAN2，變更成Load Balance介面。

Fortigate 在 Transparent mode 時，兩邊設備用trunk port

參考fortinet KB文件


兩邊要通過的VLAN，在Fortigate上面也要起一樣的vlan interface。

只是一個vlan name只能在一個port上。

所以要新增兩個vlan 100的interface：vlan100inte、vlan100ext。

policy要用vlan interface去新增，或是直接in and out interface選擇any。

要允許或阻擋再用ip去做就好。

Fortigate HA CLI切換設備登入

CLI指令

execute ha manage ?

之後會帶ID 0 or 1

execute ha manage 1

之後就會切換到另外一台，再輸入帳密就可以登入