iT邦幫忙

0

Fortigate如何判斷 行動裝置設備

  • 分享至 

  • xImage

由於在公司內的網段,都有架設一台Fortigate 90D(通透模式) V6.0.11,
來做內部網路與裝置的控管,
另外要求希望行動裝置不能連接公司內部的網路,
所以我就在Fortigate 90D上設定此政策,
https://ithelp.ithome.com.tw/upload/images/20210318/20114295q2CdftpkBR.jpg
起初行動裝置確實都被阻擋掉,
最近發現有兩台桌上型電腦被阻擋掉,
查詢log發現是DNS服務解析被擋掉,
https://ithelp.ithome.com.tw/upload/images/20210318/20114295l5wYN9oiis.jpg
但我用被阻擋那台電腦PING 8.8.8.8,可以通,
使用IP瀏覽網站也會通,
只有DNS封包被擋下來。
Fortigate判定該電腦也是Windows裝置
https://ithelp.ithome.com.tw/upload/images/20210318/20114295AOEd4rSSrJ.jpg

想請問版上的大神們,
Fortigate的設備判斷機制是如何判斷的?
另外為何電腦已經被判定Windows裝置,但DNS傳輸的封包卻被擋下來?
謝謝

看更多先前的討論...收起先前的討論...
有人在自己的電腦開了安卓模擬器了吧
會不會前面DNS沒開到,因為你那條有ALL TO ALL ALWAYS DENY
全部設備都用固定IP,且不接受未登記的MAC ADDRESS的設備連入
tingpi iT邦新手 5 級 ‧ 2021-03-18 17:08:41 檢舉
我也蠻納悶的,全公司也只有兩台電腦的DNS封包被擋掉,
後來我從設備清單中,將這兩台電腦的從Other Windows Device指定成Windows PC後,就神奇的DNS封包就過了,連線就不會有問題了!!
所以才覺得很奇怪,為什麼防火牆會跑到那個政策!!
怕之後會有其他台電腦也這樣~~
圖片
  直播研討會
圖片
{{ item.channelVendor }} {{ item.webinarstarted }} |
{{ formatDate(item.duration) }}
直播中

2 個回答

2
mytiny
iT邦超人 1 級 ‧ 2021-03-18 17:25:47

首先,樓主應該先去問賣設備的經銷商
畢竟已經付過技術費用了
而且SI應該比較熟悉貴公司的網路
甚至那兩台終端是不是真的只有windows
就不用另外費事來這裡問,辛苦了一點

話說正事
因為樓主用的是6.0.11
會建議樓主改掉這個BYOD的管理模式
因為之後的6.2及6.4都不支援OS辨識政策了
猜想跟窮嘶發發發大大說的有關
而且為何樓主認為DNS的封包傳輸被擋與設備辨識BYOD有關?
根本就是不同的事情對吧,
只是剛好因為封鎖後顯示應用程式是DNS

標準的作法是准入的設備每台都先設定
做成群組再放行通過
要不然會建議反過來設政策
只有windows的可以通過,其他都不開放
這樣就比較符合防火牆運作法則
某些想通過的開通政策
最後是全部deny

希望有幫上忙,確實很少人問Fortigate這方面的運用

mytiny iT邦超人 1 級 ‧ 2021-03-18 17:42:40 檢舉

補充一下:
OS 6.2.x 及 6.4.x
依然可以辨識client的OS
在FortiView裡面依然看的到
只是不能拿來做防火牆政策
像樓主的政策就不再適用

0
納貝
iT邦新手 1 級 ‧ 2021-03-25 10:51:35

網路上有人說fortegate OS 5.2版本以後, 對windows device, android device等等的辨識度出現很多問題,而且很不穩定會變來變去,例如今天被辨識為Windows PC, 明天就變成是android tablet...

抱怨文在這裡,看回應
https://forum.fortinet.com/tm.aspx?m=155330&mpage=3

如果你更新到最新frameware都沒改善的話,建議別用firewall做控管,在wireless router上啟用Mac address filtering比較適合,就是把需要上網的mobile device一律經wifi連公司網路。

目前國外的作法
通常都會允許BYOD (Bring Your Own Device),因為這個可以增加員工效率,重點是要要監控、造冊列管上網的devic

然後防火牆應該是白名單的方式去做比較好,就是先 deny all to all, 然後在開rule放行哪些service 可以通過這樣

我要發表回答

立即登入回答