This guide shows the configuration steps to use a Samba 4 active directory domain as a source for Fortinet FSSO. Linux based active directory domains are not directly supported by FSSO, therefore we will use the FortiAuthenticator as a „middleware“ which receives the logon events from the samba ad-dc using syslog and sends them to […]
Kategorie: IT-Security
IKEv2 / IPsec Site-to-Site VPN Fortinet FortiGate <-> OpenBSD
This is a step-by-step tutorial to set up a site-to-site VPN between a Fortinet FortiGate and a OpenBSD VPN-Gateway. The Key Exchange will be done using IKEv2 and both sites are using static ip-addresses on their wan interfaces. I typically use the strongest possible cryptographic algorithms between the two sites / vendors in my tutorials. […]
IKEv2 / IPsec Site-to-Site VPN Fortinet FortiGate <-> Mikrotik RouterOS
This is a step-by-step tutorial to set up a site-to-site VPN between a Fortinet FortiGate and a Mikrotik RouterOS. The Key Exchange will be done using IKEv2 and both sites are using static ip-addresses on their wan interfaces. I typically use the strongest possible cryptographic algorithms between the two sites / vendors in my tutorials. […]
FortiClient Realtime Protection nicht aktivierbar
In meinen letzten FortiClient Projekten kam es wiederholt zu Problemen bei der Aktivierung der Realtime Protection des FortiClients auf Windows Systemen.Auf den betroffenen Endgeräten war vorher eine Endpoint Security Lösung eines anderen Herstellers installiert und diese wurde auf den ersten Blick korrekt deinstalliert. Problematisch war in meinen Fällen die weiterhin vorhandene Registrierung des vorherigen Endpoint […]
Windows Native VPN (IKEv2) mit FortiGate und lokalen Nutzern
Möchte man mit einem Windows Endgerät ein Client-VPN zu einer FortiGate als VPN-Gateway aufbauen, so gibt es abseits des FortiClients verschiedene Varianten.In diesem Beitrag stelle ich die Konfiguration eines Client-VPN mit IKEv2 zwischen einer FortiGate mit Nutzern in der lokalen Datenbank und der Windows integrierten IKEv2 Implementierung vor. Folgende Komponenten und Versionen wurden in diesem […]
SSL-Zertifikate mit LetsEncrypt auf FortiGate Firewalls nutzen
Seit FortiOS 7.0 unterstützten Fortigate Firewalls die Ausstellung von SSL-Zertifikaten über die Zertifizierungsstelle LetsEncrypt.Das nun folgende Beispiel wurde auf einer FortiGate mit FortiOS 7.0.5 erstellt. Für die Zertifikatsaustellung verwendet LetsEncrypt ein Protokoll mit dem Namen „ACME“, dieses erfordert eine HTTP Kommunikation auf dem TCP Port 80 der FortiGate Firewall.Die notwendige Konfiguration wird auf der FortiGate […]
GeoIP Firewallregeln mit nftables
Musste man bei der Verwendung von iptables noch den GeoIP Support durch die Installation der xtables Add-ons manuell hinzufügen, inklusive der Kompilierung der Kernelmodule nach jedem Kernelupdate, so ist dies ein fertig integriertes Feature von nftables. Abseits von nftables benötigen wir noch ein Script für den Download und die Umwandlung der GeoIP Daten in ein […]
FortiGate Sniffer
Der in FortiOS integrierte Packet Sniffer ist eines meiner meist genutzten Troubleshooting Tools der Fortinet FortiGate Firewalls. Der Packet Sniffer ist ein CLI Befehl mit folgendem Aufbau: Schnittstelle: Die Angabe der Schnittstelle erlaubt es die Ausgabe auf ein beliebiges Interface zu reduzieren. Soll keine Schnittstelle als Filter genutzt werden, so kann man dies durch die […]
Ivanti Connect Secure und FortiAuthenticator Integration mit RADIUS
Bei der Ivanti Connect Secure handelt es sich um eines der umfangreichsten Remote Access Lösungen und der FortiAuthenticator ist mein „Schweizer Taschenmesser“ für alle Belange der Authentifizierung.In diesem Artikel zeige ich die Integration der Ivanti Connect Secure mit dem FortiAuthenticator auf Basis von RADIUS.Die Ivanti Connect Secure führt eine primäre Authentifizierung mittels Benutzernamen und Kennwort […]
Neue FortiGate IPS-Signaturen auf Hold setzen
FortiGate Firewalls schauen in der Standardkonfiguration alle 2 Stunden nach neuen IPS-Signaturen (und natürlich nach vielen weiteren dynamischen Updates), dies kann potenziell zu einem Problem werden, wenn sich hier bei der Erstellung der IPS-Signaturen ein Fehler einschleicht.Eine fehlerhafte IPS-Signatur kann je nach Konfiguration des Security Profiles ein schwerwiegendes Problem im Netzwerk verursachen und eigentlich legitimen […]