Fortigate AddressGroup insert member by CLI

fortigate address group

jenyih 2018-03-12 08:59:01 ‧ 5819 瀏覽

向大家請教一個問題，因為最近做了一件事......造成70多台設備立即失去連線中斷服務

Forti上原本有一個Address Group，這裡我們叫它"IPATM"好了。Group裡面原有70多個member，後續因為要再增加上百個member進去這個Group，所以就捨棄GUI而改用CLI做了一些取巧的步驟。

上百個Address新增部分，透過一連串的檔案格式轉換再加上簡單的程式馬上就新增了上百個Address，這部分沒有問題。接著使用下面的Command把上百個Address加進IPATM這個Group

config firewall addrgrp
edit IPATM
set member XX.XX.XX.XX XX.XX.XX.XX ............
end

結果悲劇就發生了，上百個Address的確是加進去了，但原有的70多個IP卻被覆蓋掉了，WTF！

後來查了一下Forti的技術文件，好像也沒說得很清楚，所以想要問問有甚麼方式可以insert而不是replace。

bluegrass iT邦高手 1 級 ‧ 2018-03-12 09:31:37 檢舉

FORTIGATA CLI 特性是新的會取代舊的, 未試過用COMMAND可以"插入"

PALOALTO CLI 倒是可以用你的方法去做

登入發表討論

直播研討會

{{ item.channelVendor }} {{ item.webinarstarted }} |

直播中

1 個回答

mytiny

iT邦超人 1 級 ‧ 2018-03-12 17:36:14

最佳解答

根據樓主的想法，容在下點出誤解的地方

當初有一個IPATM代表了一群member group
現在您修改了IPATM這個group
(因為您用edit IPATM，事實也沒有insert指令)
自然就只會是樓主edit資料表單後的結果
原有的member就不復存在

其實要挽救這個情況很簡單
如果您曾經有備份過conf檔的話
從裡面可以節錄出IPATM全部內容
再將您需要加入的上百個Address按格式一筆筆貼入
將此文件另存為一個TXT檔案
然後到 "系統管理" > "進階" > "配置腳本"
使用 "上傳並運行一個新的腳本"
將該TXT檔案傳入
顯示 success 表示成功，若否，通常是格式錯誤
此後IPATM就會是一整個完整的Address表單

以上方式施作前，強烈建議先行備份conf
期望樓主運作順利，日後作業前可先詢問技術服務