Fortigate Poicy Route

紀錄一下

1.沒有longest mask matching，Policy Route權限最大。

所以如果有一筆Policy Route 是 DMZ > WAN，0.0.0.0/0。這樣會全部流量都走WAN出去，就算static route有路由往Lan，還是不會走。
解決方式為新增一筆Policy Route，source and destination 就輸入想要的，下面Action選擇Stop Policy Routing。並將此條往上拉，這樣就不會看Policy Route，而是看Static route了。

2.Routing Table沒有的，Policy Route 不會生效。

Fortigate Block Youtube

LAB了一個上午.....
當然有web filter最快。
如果要用Application control去阻擋。
除了Youtube相關要Block，QUIC的服務也要Block。
如果沒有擋QUIC，Chrome開youtube還是正常。
擋QUIC除了Youtube還會有啥影響，測試了一個上午還沒遇到。

Fortigate 60C WAN Load Balance LAB

紀錄一下
1.要做load balane的兩條WAN，要先把相關的policy與route先移除掉。

2.System > Network > WAN Link Load Balancing. Weighted Round Robin
然後輸入對點與偵測對點存活的設定。

3.設定路由，預設路由往Load Balance的介面丟。

4.設定policy，原本outgoing interface是WAN1或WAN2，變更成Load Balance介面。

Fortigate 在 Transparent mode 時，兩邊設備用trunk port

參考fortinet KB文件


兩邊要通過的VLAN，在Fortigate上面也要起一樣的vlan interface。

只是一個vlan name只能在一個port上。

所以要新增兩個vlan 100的interface：vlan100inte、vlan100ext。

policy要用vlan interface去新增，或是直接in and out interface選擇any。

要允許或阻擋再用ip去做就好。

Fortigate HA CLI切換設備登入

CLI指令

execute ha manage ?

之後會帶ID 0 or 1

execute ha manage 1

之後就會切換到另外一台，再輸入帳密就可以登入

Fortigate trusted hosts only(受信任主機)

1.要啟用只有受信任主機才能訪問到管理頁面，要全部帳號都要啟用"Restrict this Administrator Login from Trusted Hosts Only"。

2.如果只有部分帳號有啟用，會變成可以訪問管理頁，但只有受信任的host與帳號雙方都有符合到才能登入。

3.會影響到Ping介面的功能，就算在interface上有開通ping，但是發送ping的主機沒有落在受信任主機內，這樣會無法ping到介面。

4.如果要讓特定hosts才能訪問與登入到web管理，又想讓內部的人都可以ping到fortigate的interface，就要開啟一個only-read的帳號，only-read帳號要信任內部的網段。

FortiAP & Fortigate 設定 第二篇

會有這一篇是後來工作需要，上一篇太過於簡略XD。

這次主要目的就是當wireless controller的Fortigate只有一個port來連接到原本網路環境。

底下是LAB架構圖

1.Fortigate wireless controller設定

a.設定與L3 switch的介面，需勾選CAPWAP。此介面的DHCP Server是給FortiAP用的，

   如果跨網段就要用cli進入dhcp server，加入set option 138 '16進制的IP(controller IP)'。

 b.設定預設路由，目的地為連接的對點IP。

 c.FortiAP接上switch，設定無誤的話就可以看到。注意，switch接AP的port與fortigate同一個VLAN就好。因為client流量是透過fortiAP，進到tunnel，在回到fortigate。

 d.建立SSID，這裡的dhcp是指client拿到的IP。

 e.建立FortiAP profile，將剛剛建立好的SSID放進去。

 f.建立policy，SSID介面到實體介面。這邊要注意，如果不做NAT，那L3 switch要加入client網段路由回去到fortigate wireless controller。

2.L3 switch

a.因為我環境有另外架設DHCP server給client IP，所以我的AP 管理網段的interface vlan要加入ip help-address，讓client可以跟dhcp server要到IP。

b.還有就是，因為我的SSID到實體介面沒有設定NAT，所以在L3 switch上，得增加client網段回去的路由。

c.client流量是透過tunnel回到fortigate wireless controller身上。所以接AP的switch port只要access就好，不用trunk。