Fortigate 設定*.fqdn 問題

fortigate firewall

Kailis 2024-10-03 17:43:36 ‧ 1551 瀏覽

分享至

fortigate 200f ver 7.4.5
目前有個需求,主機只能連特定fqdn , 其餘不能連
以下舉例:
測試 policy 只允許特定主機, destination 設定yahoo.com 可以連線,
測試可以通,

若將yahoo.com fqdn 改為 *.yahoo.com  測試如tw.yahoo.com , tw.stock.yahoo.com
都不能連線, 若再加一個webfilter wildcard ,url為 *.yahoo.com/* 設為allow 
也不行,  
因為網址很多,一筆一筆開太沒效率, 想請教該如何設定才能 讓*.fqdn 的設定能夠生效?

登入發表討論

直播研討會

{{ item.channelVendor }} {{ item.webinarstarted }} |

直播中

5 個回答

allenlai

iT邦新手 5 級 ‧ 2024-10-04 09:13:33

我的作法如下，給您參考。

第一條policy先允許可以連到的網址。來源主機-> 可以連線的全部fqdn allow
第二條policy再Deny all。來源主機-> all deny

回應 3
分享
檢舉

Kailis iT邦研究生 1 級 ‧ 2024-10-04 10:29:00 檢舉

感謝回覆, 因為這是Production 的設備,
上面已經很多條policy , 若用這個方法,容易會影響其它主機連線,
而第一條policy 因為若不使用*.fqdn , 那要開的網址就很多了, 而且還要測試, 而且也不能直接開any , 所以這個作法恐怕是不適合的

allenlai iT邦新手 5 級 ‧ 2024-10-04 11:16:06 檢舉

可以試著在DNS過濾器中新增*.yahoo.com，並設定為允許通過。
並在policy上開啟DNS過濾，並選擇這條DNS過濾的名稱(在我的範例中為TEST1)。
試試看這樣呢?

Kailis iT邦研究生 1 級 ‧ 2024-10-04 17:41:29 檢舉

依您的建議測試過了,但如果client沒有把dns指向跟firewall 上的一致,是沒有作用的, 不管有沒有設dns filter 都一樣
目前依bluegrass的建議有生效,但還需處理dns的問題

登入發表回應

mathewkl

iT邦高手 1 級 ‧ 2024-10-04 11:22:21

改用DNS Filter全鎖
在靜態域名過濾器設萬用字元允許
在policy拿掉Web Filter，改掛DNS Filter

如果是用物件的fqdn，那就不能用萬用字元

回應 1
分享
檢舉

Kailis iT邦研究生 1 級 ‧ 2024-10-04 17:43:36 檢舉

感謝回覆,但經測試物件 (address)的*.fqdn是可以用萬用字元的
但會需要跟樓下的建議一樣, client dns 和fortigate 上的dns 要一致

登入發表回應

bluegrass

iT邦高手 1 級 ‧ 2024-10-04 12:15:20

首先, 你要確保你FORTIGATE的DNS, 跟你用戶的DNS要一致

如果用戶跟防火牆的DNS不一樣, 你也是白費功夫

再來, 直接兩條POLICY放頂端

Policy 1: SOURRCE:特定主機, DESTINATION 改用 *.yahoo.com , ACTION ALLOW
Policy 2: SOURRCE:特定主機, DESTINATION 改用 ANY, ACTION DENY 不就可以了?

回應 5
分享
檢舉

看更多先前的回應...收起先前的回應...

Kailis iT邦研究生 1 級 ‧ 2024-10-04 17:29:01 檢舉

經測試, 如您所說,
真的要把DNS指向 Fortigate 預設的dns才可以,
而destination 可以直接用 *.google.com 不需要使用web filter , dns filter,
但因為一般公司都會讓client 指向公司自己內部的dns
所以如果把fortigate 預設的dns指向公司內部與client 相同的dns
也會生效嗎?

另外有沒有什麼要額外注意的地方? 因為若全公司網路突然不能連就檻尬了, 最好是一秒都不要發生

bluegrass iT邦高手 1 級 ‧ 2024-10-05 11:02:46 檢舉

把fortigate預設的dns指向公司內部與client 相同的dns [反正你就是AD是吧!?]

會生效的
也是很正常的方案

旦前提是: AD不能用FORTIGATE作為DNS FORWARDER

DNS FORWARDER建議用1.1.1.2 , 1.0.0.2
安全又快.

bluegrass iT邦高手 1 級 ‧ 2024-10-07 11:48:54 檢舉

如果成功了記得選我最佳喔 A_A

Kailis iT邦研究生 1 級 ‧ 2024-10-08 12:13:45 檢舉

好的,如果有成功的話,
再請教一下, 因為我們有透過switch 當dhcp 配送ip , 其中部份vlan 是將dns 指向 fortigate ,而且不與內網互通, 若把fortigate 的dns 指向ad , 理論上,應該也是可以透過firewall 查詢dns 吧? 畢竟要先check 好, 避免過程出錯

bluegrass iT邦高手 1 級 ‧ 2024-10-09 09:29:15 檢舉

反正都不想內通, 就把那些VLAN改成用1.1.1.3,1.0.0.3做DNS吧.

這兩個DNS自帶防MALWARE+色情功能

登入發表回應

mytiny

iT邦超人 1 級 ‧ 2024-10-04 22:06:13

這題引起在下的興趣，有做LAB花點時間測試
原廠手冊有寫在防火牆策略中使用萬用字元FQDN地址的方法

首先,萬用字元FQDN物件內容為空白,不能包含任何地址。
當客戶端嘗試解析FQDN地址時,FortiGate將分析DNS響應。
DNS響應的答案部分中包含的IP地址將添加到相應的通配符FQDN對像中。
因此,有必要在 config system session-helper 設置。
(由於FortiGate必須分析DNS響應,因此它不適用於HTTPS上的DNS)

因此確實可以在防火牆策略中使用萬用字元FQDN地址。
IPv4,IPv6,ACL,NAT64,NAT46和NGFW策略類型都支持萬用字元FQDN地址。