Tulemüür on ettevõtte võrgu esimene kaitseliin, kuid ainult siis, kui selle püsivara on ajakohane. Uuendamine ei ole keeruline, kuid kiirustades võib see jätta kontori ilma internetita. Allpool on kord, mida järgides läheb uuendus enamasti sujuvalt.
Miks uuendada
Fortinet avaldab regulaarselt turvateateid (PSIRT advisories) FortiOS-is leitud haavatavuste kohta. Osa neist on kriitilised ja mõnda on ründajad juba aktiivselt ära kasutanud, eriti haldusliidese ja SSL VPN-iga seotud vigu. Vana püsivara tähendab, et teadaolev turvaauk jääb lahti. Lisaks parandavad uuendused vigu ja toovad uusi funktsioone.
Ettevalmistus
- Kontrollige praegust versiooni. Dashboard → Status või CLI-s
get system status. Pange kirja täpne versioon ja mudel. - Valige sihtversioon. Fortinet märgib versioonid väljalaskemärkmetes ja püsivara lehel kui Mature (küps, stabiilsem) või Feature (uuemad funktsioonid, vähem läbi proovitud). Tootmises eelistage üldjuhul küpsemat versiooni, mis sisaldab vajalikke turvaparandusi.
- Kasutage uuendusteed (upgrade path). FortiOS-i ei saa alati otse vanast versioonist uusimale uuendada. Fortineti dokumentatsiooni- ja tugisaidil on upgrade path tööriist, mis näitab, milliseid vaheversioone läbida. Vahelülide vahelejätmine võib seadistusest osa kaotada.
- Lugege väljalaskemärkmeid (release notes). Vaadake eriti jaotisi muudetud ja eemaldatud funktsioonide ning teadaolevate probleemide kohta. Näiteks FortiOS 7.6 harus eemaldatakse SSL VPN ja kaugligipääs tuleb viia IPsec IKEv2 peale.
- Tehke varukoopia. Admin-menüü paremal üleval → Configuration → Backup. Salvestage fail väljapoole tulemüüri ja pange failinimesse versiooninumber ja kuupäev.
- Kontrollige FortiCare litsentsi. Ilma kehtiva FortiCare'ita ei saa püsivara alla laadida.
Uuendamine
- Hooldusaken. Uuendus taaskäivitab seadme, nii et internet ja VPN katkevad tavaliselt mõneks minutiks. Valige aeg, mil keegi ei tööta, ja teavitage kasutajaid.
- Olge kohapeal või hoidke konsooli valmis. Kui midagi läheb valesti, ei pruugi seade võrgu kaudu kättesaadav olla. Konsoolikaabel ja ligipääs seadmele füüsiliselt on parim kindlustus.
- Uuendage. System → Firmware & Registration (vanemates versioonides System → Firmware): valige sihtversioon FortiGuardist või laadige üles Fortineti tugiportaalist alla laaditud fail. Läbige vaheversioonid ükshaaval ja kontrollige iga sammu järel, et seade tuleb üles.
- HA klaster. Kui kaks FortiGate'i töötavad HA klastris, uuendatakse need tavaliselt koos ja liiklus liigub vahepeal teise seadmesse. Kontrollige enne ja pärast klastri olekut käsuga
get system ha status.
Kontroll pärast uuendust
- Kontrollige versiooni uuesti:
get system status. - Kas internet töötab kõigis võrkudes (LAN, külalised, VLAN-id)?
- Kas VPN ühendub ja kaugtöötajad pääsevad ligi?
- System → FortiGuard: kas litsentsid on aktiivsed ja signatuurid uuenevad?
- Vaadake süsteemilogidest (Log & Report → System Events) vigu.
- Tehke uus varukoopia, nüüd juba uuest versioonist.
Kui midagi on katki ja kiiret lahendust ei leia, saab eelmisele versioonile tagasi minna, laadides vana püsivara ja seejärel taastades enne uuendust tehtud varukoopia.
Kui tihti uuendada
Mõistlik rütm on vaadata püsivara üle umbes kord kvartalis ja planeerida uuendus siis, kui teie versioonis on parandatud turvavigu. Kriitilise ja aktiivselt ära kasutatava haavatavuse korral uuendage kohe, mitte järgmisel kvartalil. Fortineti PSIRT teadete jälgimine aitab sellistest juhtumitest kiiresti teada saada.
Millal kutsuda abi
Kui seade on mitu versiooni maas, kasutab HA-d või VPN-i, mida uus versioon mõjutab, või teil pole võimalust olla uuenduse ajal kohapeal, tasub uuendus anda spetsialistile. ITABIKS teeb FortiGate'i uuendusi hooldusaknas ja kontrollib tulemust, vaata võrguseadmete seadistus või helista +372 53 888 229.