فورتیگیت FortiGate یکی از پرکاربردترین فایروالهای نسل جدید یا NGFW در شبکههای سازمانی است. بسیاری از سازمانها برای کنترل ترافیک، پیادهسازی VPN، تفکیک شبکهها، اعمال Policy، کنترل کاربران، محافظت در برابر تهدیدات و مدیریت امنیت مرز شبکه از محصولات Fortinet استفاده میکنند.
نکته سئو: در فارسی معمولاً FortiGate را با عبارتهایی مثل فورتیگیت، فایروال فورتیگیت، فایروال Fortinet و فورتی نت هم جستجو میکنند. در این صفحه هرجا از FortiGate صحبت میشود، منظور همان فورتیگیت و فایروال امنیتی فورتینت است.
هدف این صفحه این است که یک راهنمای جامع و کاربردی درباره فورتیگیت باشد؛ هم برای کسانی که تازه میخواهند با FortiGate آشنا شوند، هم برای مدیران شبکه و امنیتی که درگیر طراحی، راهاندازی یا نگهداری فایروال Fortinet هستند.
FortiGate فایروال سختافزاری/مجازی شرکت Fortinet است که علاوه بر قابلیتهای معمول فایروال، امکانات امنیتی پیشرفتهتری مثل IPS، Web Filtering، Application Control، Antivirus، VPN، SD-WAN و کنترل تهدیدات را ارائه میدهد. به همین دلیل در دسته فایروالهای نسل جدید یا Next-Generation Firewall قرار میگیرد.
در یک شبکه سازمانی، FortiGate معمولاً در مرز اینترنت، بین VLANها، بین دیتاسنتر و شعب، یا در مسیر ارتباط VPN قرار میگیرد و تصمیم میگیرد چه ترافیکی مجاز است، چه ترافیکی باید لاگ شود، و چه ترافیکی باید مسدود شود.
در FortiGate هر پورت فیزیکی، VLAN یا Tunnel میتواند بهعنوان interface تعریف شود. برای مدیریت بهتر Policyها، معمولاً interfaceهای مشابه در قالب Zone گروهبندی میشوند؛ مثلاً LAN، WAN، DMZ یا VPN.
برای نوشتن Policy تمیز و قابل نگهداری، بهتر است IPها، Subnetها، FQDNها و Rangeها بهصورت object تعریف شوند. سپس چند object مرتبط میتوانند داخل Address Group قرار بگیرند. این کار هم خوانایی Policy را بهتر میکند و هم تغییرات آینده را سادهتر میسازد.
Service مشخص میکند ترافیک روی چه پروتکل و پورتی مجاز است؛ مثل HTTP، HTTPS، SSH، RDP یا سرویسهای سفارشی. در شبکههای بزرگ، تعریف درست Service Groupها باعث میشود Policyها سادهتر و امنتر باشند.
Policy قلب اصلی FortiGate است. هر Policy مشخص میکند از چه مبدأیی به چه مقصدی، با چه سرویسی، در چه زمانبندی و با چه Actionی اجازه عبور دارد. ترتیب Policyها بسیار مهم است، چون FortiGate قوانین را از بالا به پایین بررسی میکند.
در بسیاری از پروژهها ممکن است لازم باشد از FortiGate به تجهیزات دیگری مثل Juniper SRX یا Cisco Firepower مهاجرت کنیم، یا برعکس. در چنین پروژههایی، فقط تبدیل دستورها مهم نیست؛ باید منطق امنیتی پشت Policyها، objectها، zoneها و سرویسها هم درست منتقل شود.
در یکی از پروژهها برای تبدیل بخشی از کانفیگ FortiGate به Juniper، یک ابزار پایتونی نوشتم که از API فورتیگیت استفاده میکند و خروجی اولیه Juniper CLI تولید میکند. درباره آن در مطلب زیر نوشتهام:
تبدیل کانفیگ FortiGate به Juniper با Python؛ تجربه یک مهاجرت واقعی فایروال
نه. FortiGate علاوه بر فایروال، قابلیتهایی مثل VPN، IPS، Web Filtering، Antivirus، Application Control، SD-WAN و لاگگیری امنیتی دارد.
از شرکتهای کوچک تا سازمانهای بزرگ میتوانند بسته به مدل دستگاه، ظرفیت ترافیک و نیاز امنیتی از FortiGate استفاده کنند.
بخش زیادی از کار از طریق Web UI انجام میشود، اما برای عیبیابی حرفهای، Backup، Automation و تنظیمات پیشرفته، دانستن CLI بسیار مفید است.
FortiGate فایروال شبکه و NGFW است، اما FortiWeb یک WAF یا Web Application Firewall برای محافظت تخصصی از وباپلیکیشنهاست.
فورتیگیت یکی از مهمترین ابزارهای امنیت شبکه در بسیاری از سازمانهاست، اما امنیت واقعی فقط با خرید فایروال ایجاد نمیشود. طراحی درست، Policyهای دقیق، مستندسازی، مانیتورینگ، بهروزرسانی و بازبینی دورهای نقش اصلی را در امنسازی شبکه دارند.
در arabiyan.ir تلاش میکنم تجربهها و نکات عملی مرتبط با FortiGate، امنیت شبکه، فایروالها و تجهیزات زیرساخت را به زبان کاربردی منتشر کنم.