+372 53 888 229info@itabiks.ee

FortiGate esmane seadistus: kontrollnimekiri väikesele kontorile

Mida uuel FortiGate tulemüüril esimesena seadistada ja miks: püsivara, admin-ligipääs, MFA, reeglid, turvaprofiilid, varukoopia ja logid õiges järjekorras.

3 min

Uus FortiGate töötab karbist võttes üsna kiiresti, kuid vaikeseadetega tulemüür ei ole veel turvaline. Allolev kontrollnimekiri on koostatud väikese kontori jaoks ja järgib järjekorda, milles asju on mõistlik teha: kõigepealt kaitske seadet ennast, siis võrku ja lõpuks hoolitsege selle eest, et seadistus ei läheks kaotsi.

1. Püsivara ja registreerimine

  1. Kontrollige püsivara versiooni. Dashboard → Status näitab praegust FortiOS versiooni, CLI-s annab sama info get system status. Laos seisnud seadmel võib olla vana versioon, millel on teadaolevaid turvaauke. Uuendage enne, kui seade päris võrku läheb, sest siis ei sega katkestus kedagi.
  2. Registreerige seade. Seerianumber tuleb lisada Fortineti tugiportaali kontole. Ilma registreerimiseta ei aktiveeru FortiCare tugi ega FortiGuardi teenused. Seisu näete menüüs System → FortiGuard.

2. Admin-ligipääsu karmistamine

See on kõige olulisem samm, sest tulemüür, mille haldusliides on internetist kättesaadav, on ründajate esimene sihtmärk.

  • Looge oma nimega administraatori konto (System → Administrators) ja kasutage tugevat parooli. Vaikimisi kontot admin ärge igapäevaselt kasutage: andke sellele väga pikk parool või nimetage see ümber, kui teie protsessid seda võimaldavad.
  • Trusted Hosts. Administraatori seadetes saate määrata, milliselt IP-aadressilt või alamvõrgust tohib selle kontoga sisse logida, näiteks ainult kontori sisevõrgust.
  • Mitmeastmeline autentimine (MFA). Lisage administraatoritele FortiToken (User & Authentication → FortiTokens). Mõnele mudelile on kaasas paar tasuta FortiToken Mobile litsentsi.
  • Keelake haldus WAN-liidesel. Network → Interfaces → WAN-liides → Administrative Access: eemaldage linnukesed HTTPS, HTTP, SSH ja vajadusel ka PING juurest. Kaughalduseks kasutage VPN-i, mitte avalikku haldusliidest.

3. Liidesed, DHCP, DNS ja aeg

  • Liidesed ja DHCP. Seadistage LAN-liidesele IP-aadress ja DHCP-server. Mõelge kohe läbi, kas külalised, printerid või kaamerad vajavad eraldi võrku (VLAN). Hiljem on seda keerulisem muuta.
  • Vältige levinud alamvõrke. Kui kontori võrk on 192.168.1.0/24, kattub see paljude koduruuterite võrguga ja VPN-iga tekivad hiljem probleemid. Valige vähem levinud vahemik.
  • DNS. Network → DNS: kasutage FortiGuardi või oma eelistatud DNS-servereid. Kui kontoris on domeenikontroller, jagage klientidele DHCP kaudu selle aadressi.
  • Aeg ja ajavöönd. System → Settings: määrake ajavöönd ja lülitage sisse NTP sünkroonimine. Vale kellaaeg rikub logide ajajoone, sertifikaatide kontrolli ja FortiTokeni koodid.

4. Tulemüürireeglid ja turvaprofiilid

Policy & Objects → Firewall Policy. Põhimõte on minimaalne vajalik õigus: lubage ainult see, mida on vaja, ja kõik muu jääb vaikimisi keelatuks.

  • Ärge looge reeglit „kõik kõikjale, kõik teenused“. Eraldage sisevõrk, külaliste võrk ja serverid ning lubage nende vahel ainult vajalikud ühendused.
  • Sissetulevaid ühendusi (port forwarding, Virtual IP) avage ainult siis, kui see on tõesti vajalik, ja piirake võimalusel lähte-IP-aadressidega.
  • Lisage väljaminevatele reeglitele turvaprofiilid: AntiVirus, Web Filter, IPS ja Application Control. Alustage vaikeprofiilidest ja täpsustage neid hiljem.
  • Lülitage igas reeglis sisse logimine (Log Allowed Traffic), et hiljem oleks näha, mis toimus.

5. Logid ja varukoopia

  • Logid. Log & Report → Log Settings. Väiksematel mudelitel on kohalik logiruum piiratud või puudub. Kaaluge logide saatmist FortiAnalyzerisse, FortiAnalyzer Cloudi või syslog-serverisse, et intsidendi korral oleks ajalugu olemas.
  • Varukoopia. Pärast seadistamist tehke konfiguratsioonist varukoopia (admin-menüü paremal üleval → Configuration → Backup) ja hoidke seda turvaliselt väljaspool tulemüüri. Krüpteeritud varukoopia puhul pange parool paroolihaldurisse. Tehke uus varukoopia pärast iga suuremat muudatust.
  • Dokumenteerige. Kirjutage üles IP-vahemikud, administraatorid, avatud pordid ja litsentside lõppkuupäevad.

Millal kutsuda abi

Kui teil on mitu asukohta, kaugtöötajad, VLAN-id või vaja on avada teenuseid internetti, tasub esmane seadistus lasta teha kogenud võrguspetsialistil, sest vigu on hiljem raskem märgata kui vältida. ITABIKS seadistab FortiGate tulemüüre igapäevaselt, lisainfo leiate lehelt võrguseadmete seadistus või telefonil +372 53 888 229.

Kas see artikkel oli kasulik?