iT邦幫忙

0

Fortigate AddressGroup insert member by CLI

向大家請教一個問題,因為最近做了一件事......造成70多台設備立即失去連線中斷服務

Forti上原本有一個Address Group,這裡我們叫它"IPATM"好了。Group裡面原有70多個member,後續因為要再增加上百個member進去這個Group,所以就捨棄GUI而改用CLI做了一些取巧的步驟。

上百個Address新增部分,透過一連串的檔案格式轉換再加上簡單的程式馬上就新增了上百個Address,這部分沒有問題。接著使用下面的Command把上百個Address加進IPATM這個Group

config firewall addrgrp
edit IPATM
set member XX.XX.XX.XX XX.XX.XX.XX ............
end

結果悲劇就發生了,上百個Address的確是加進去了,但原有的70多個IP卻被覆蓋掉了,WTF!

後來查了一下Forti的技術文件,好像也沒說得很清楚,所以想要問問有甚麼方式可以insert而不是replace。

bluegrass iT邦新手 1 級 ‧ 2018-03-12 09:31:37 檢舉
FORTIGATA CLI 特性是新的會取代舊的, 未試過用COMMAND可以"插入"

PALOALTO CLI 倒是可以用你的方法去做

1 個回答

0
mytiny
iT邦大師 1 級 ‧ 2018-03-12 17:36:14
最佳解答

根據樓主的想法,容在下點出誤解的地方

當初有一個IPATM代表了一群member group
現在您修改了IPATM這個group
(因為您用edit IPATM,事實也沒有insert指令)
自然就只會是樓主edit資料表單後的結果
原有的member就不復存在

其實要挽救這個情況很簡單
如果您曾經有備份過conf檔的話
從裡面可以節錄出IPATM全部內容
再將您需要加入的上百個Address按格式一筆筆貼入
將此文件另存為一個TXT檔案
然後到 "系統管理" > "進階" > "配置腳本"
使用 "上傳並運行一個新的腳本"
將該TXT檔案傳入
顯示 success 表示成功,若否,通常是格式錯誤
此後IPATM就會是一整個完整的Address表單

以上方式施作前,強烈建議先行備份conf
期望樓主運作順利,日後作業前可先詢問技術服務

我要發表回答

立即登入回答