iT邦幫忙

0

fortigate 100e proxy-base問題

fortigate 100e proxy-base
applepieeasy 2020-08-31 10:30:52 ‧ 3765 瀏覽

  • 分享至 

  • xImage

各位大佬好!!
小弟再次來請教問題了
https://ithelp.ithome.com.tw/upload/images/20200831/20121627OuDI8vfqGc.png
https://ithelp.ithome.com.tw/upload/images/20200831/201216274b5qIQyRH0.png
如上圖一，在filtering services availability中的網頁過濾是紅色狀態
如果再圖二，把flow-based切換成proxy-based，而他下面網頁安全存取管理是 allow-default，這樣子，在allow-default所允許打開的網站或是程式能夠打開或是使用嗎??

登入發表討論
圖片
  直播研討會
圖片
{{ item.channelVendor }} {{ item.webinarstarted }} |
{{ formatDate(item.duration) }}
直播中

3 個回答

0
mytiny
iT邦超人 1 級 ‧ 2020-08-31 10:45:32
最佳解答

樓主，與用flow-based或proxy-based無關
只要查不到 URL 的 DB
應該就會不能用的

照說，自己試一下就知道了
還有，請問樓主用的是哪一版OS ?

看更多先前的回應...收起先前的回應...
applepieeasy iT邦新手 5 級 ‧ 2020-08-31 10:53:25 檢舉

您好!!
版本是 V6.4.2 build1723(GA)
額..也就是他們 filtering services availability 網頁過濾功能是無法使用的
進而影響到 政策中的 網頁安全存取管理功能 是無法生效的，不管是用flow-based或proxy-based模式。

因為這部分是其他公司的防火牆，今天有詢問我們這個問題..
我這邊無法直接動.所以來版上先跟大大們請教再做回覆.

mytiny iT邦超人 1 級 ‧ 2020-08-31 12:21:22 檢舉

首先，FortiGuard必須要能ckeck到 URL的DB
再者，Policy中ssl的檢測有必要用deep嗎?
有關的設定樓主清楚相關性嗎?
如果不清楚，可以看一下黃色的警示說明
要不就說清楚客戶到底想達成什麼目的

applepieeasy iT邦新手 5 級 ‧ 2020-08-31 13:42:32 檢舉

https://ithelp.ithome.com.tw/upload/images/20200831/20121627dr4WvC4Dqe.png
您好!
黃色警示說明是這個，如上圖，(發現將flow-based切換成proxy-based時 警界就會消失)
客戶的問題是這三角形的部分是否會造成甚麼影響，以及把flow-based切換成proxy-based時，網頁安全存取管理是否能夠正常執行allow-default這一個部分，如果沒切換是否這條政策其實是沒再作用。
他們希望 網頁安全存取管理 這一個部分是生效的，可以阻擋youtub,line'wechat之類的

其他的部分以及相關性..我的確不是很清楚

mytiny iT邦超人 1 級 ‧ 2020-08-31 19:34:37 檢舉

如果客戶只是希望網頁過濾某些運用
要開應用程式控制及DNS過濾比較有效
然後應用程式要關QUIC

另外，在下說的黃色警示是ssl檢查不要用deep-inspection
請改採certificate-inspection
這樣客戶要擋網頁就足夠了

applepieeasy iT邦新手 5 級 ‧ 2020-09-01 10:21:54 檢舉

mytiny大您好!客戶那邊認為現在網路可以正常使用以及也可以擋應用程式.就先保持原狀，如果後續有甚麼狀況再跟大大請教!
不過mytiny您說的這些細節也是我沒有特別接觸到的..學到很多東西!

mytiny iT邦超人 1 級 ‧ 2020-09-01 13:00:13 檢舉

建議樓主還是要跟客戶做些說明
因為畢竟客戶是需要SI的技術提供與服務

另外，也建議樓主提問一段落後要給協助解答的給予最佳解答
依據自己的喜好判斷給任一位都沒有關係
要不然下次就不容易得到協助了(可以看聊天室其他大大的反應)

applepieeasy iT邦新手 5 級 ‧ 2020-09-01 13:59:42 檢舉

了解了..直到今天才注意到這個狀況.，謝謝您的提醒阿!!

登入發表回應
0
bluegrass
iT邦高手 1 級 ‧ 2020-08-31 11:21:54

感覺是你NGFW的LICENSE根本還沒注冊啟用- -

filtering services availability 如果不是綠的話, 建議先停用POLICY上的UTM

不然上網都成問題

看更多先前的回應...收起先前的回應...
applepieeasy iT邦新手 5 級 ‧ 2020-08-31 11:47:42 檢舉

https://ithelp.ithome.com.tw/upload/images/20200831/2012162712XnNftrOe.pnghttps://ithelp.ithome.com.tw/upload/images/20200831/20121627mvvHNsYZlC.png
您好! 圖一是授權的部分
圖二是您所說的UTM是哪一個部份呢??還是您的意思是整條政策建議關掉呢?

bluegrass iT邦高手 1 級 ‧ 2020-08-31 12:01:30 檢舉

到CLI MODE

execute ping www.google.com
execute ping 1.1.1.1

bluegrass iT邦高手 1 級 ‧ 2020-08-31 12:03:18 檢舉

SDWAN, STATIC ROUTE 設定也提供一下

IP要擋一下

applepieeasy iT邦新手 5 級 ‧ 2020-09-01 10:18:16 檢舉

bluegrass大您好!
客戶那邊認為現在網路可以正常使用以及也可以擋應用程式.就先保持原狀，如果後續有甚麼狀況再跟大大請教!
很謝謝bluegrass大能夠耐心地為小弟解答問題阿!

登入發表回應
0
mathewkl
iT邦高手 1 級 ‧ 2020-09-01 10:14:10

Flow-based和Proxy-based可用的設定檔不一樣，
會出現驚嘆號警告就如說明所述的一樣，
你的Flow-based防火牆政策使用到了Proxy-based的資安管理控制配置，所以該配置會無效。
https://docs.fortinet.com/document/fortigate/6.4.2/administration-guide/721410/inspection-modes

另外有Profile-based和Policy-based也會影響
https://docs.fortinet.com/document/fortigate/6.4.2/administration-guide/978598/profile-based-ngfw-vs-policy-based-ngfw
可以麻煩客戶有疑慮前可以先讀一下forti的document，人家公司很用心在寫的。

如果客戶在刪減設定有切換過Flow/Proxy或Profile/Policy，就..政策重作比較快?

applepieeasy iT邦新手 5 級 ‧ 2020-09-01 14:04:27 檢舉

mathewkl大 您好!
謝謝您的建議阿!!在看到您的建議之前客戶已經決定先不動了..，不過小弟也重您的回應中 "Flow-based防火牆政策使用到了Proxy-based的資安管理控制配置，所以該配置會無效。" 這一段判斷出他有這個問題應該不是這一次更新的關係..而是之前就設定這樣子了.

mathewkl iT邦高手 1 級 ‧ 2020-09-04 11:09:56 檢舉

那就是之前設定就是原本Proxy-based政策被改成Flow-based，而且哪時候動的客戶自己也忘了。

建議是客戶重新審視Flow/Proxy和Profile/Policy，只選擇其中一組來做政策，不要混用。

登入發表回應

我要發表回答

立即登入回答
iThome鐵人賽
參賽組數
1123 組
團體組數
52 組
累計文章數
23096 篇
完賽人數
656 人
iT+看影片追技術 看影片追技術 看更多
熱門tag 看更多
15th鐵人賽 13th鐵人賽 14th鐵人賽 12th鐵人賽 11th鐵人賽 鐵人賽 2019鐵人賽 2018鐵人賽 javascript 2017鐵人賽 python windows php c# windows server linux css 程式設計 react vue.js
熱門問題
熱門回答
熱門文章
IT邦幫忙