Межсетевой экран — первая линия защиты сети компании, но только если его прошивка актуальна. Обновление несложное, но в спешке можно оставить офис без интернета. Порядок ниже обычно позволяет пройти обновление без сюрпризов.
Зачем обновлять
Fortinet регулярно публикует бюллетени безопасности (PSIRT advisories) об уязвимостях в FortiOS. Часть из них критические, и некоторые уже активно использовались злоумышленниками, особенно ошибки в интерфейсе управления и SSL VPN. Старая прошивка означает, что известная дыра остаётся открытой. Кроме того, обновления исправляют ошибки и добавляют новые функции.
Подготовка
- Проверьте текущую версию. Dashboard → Status или
get system statusв CLI. Запишите точную версию и модель. - Выберите целевую версию. Fortinet помечает версии в release notes и на странице прошивок как Mature (зрелая, более стабильная) или Feature (новые функции, меньше проверена на практике). Для рабочей сети, как правило, выбирайте более зрелую версию, в которой есть нужные исправления безопасности.
- Используйте путь обновления (upgrade path). FortiOS не всегда можно обновить напрямую со старой версии на самую новую. Инструмент upgrade path на сайте документации и поддержки Fortinet показывает, через какие промежуточные версии нужно пройти. Пропуск шагов может привести к потере части конфигурации.
- Прочитайте release notes. Особенно разделы об изменённых и удалённых функциях и известных проблемах. Например, в ветке FortiOS 7.6 убирается SSL VPN, и удалённый доступ нужно переводить на IPsec IKEv2.
- Сделайте резервную копию. Меню администратора справа вверху → Configuration → Backup. Сохраните файл вне межсетевого экрана и укажите в имени файла версию и дату.
- Проверьте лицензию FortiCare. Без действующего FortiCare скачать прошивку нельзя.
Обновление
- Окно обслуживания. Обновление перезагружает устройство, поэтому интернет и VPN обычно пропадают на несколько минут. Выберите время, когда никто не работает, и предупредите пользователей.
- Будьте на месте или держите консоль наготове. Если что-то пойдёт не так, устройство может быть недоступно по сети. Консольный кабель и физический доступ — лучшая страховка.
- Обновите. System → Firmware & Registration (в старых версиях System → Firmware): выберите целевую версию из FortiGuard или загрузите файл, скачанный с портала поддержки Fortinet. Проходите промежуточные версии по одной и после каждого шага проверяйте, что устройство поднялось.
- HA-кластер. Если два FortiGate работают в HA-кластере, их обычно обновляют вместе, а трафик на это время переходит на второе устройство. Проверьте состояние кластера до и после командой
get system ha status.
Проверка после обновления
- Ещё раз проверьте версию:
get system status. - Работает ли интернет во всех сетях (LAN, гостевая, VLAN)?
- Подключается ли VPN и есть ли у удалённых сотрудников доступ к нужным ресурсам?
- System → FortiGuard: активны ли лицензии и обновляются ли сигнатуры?
- Посмотрите ошибки в системных логах (Log & Report → System Events).
- Сделайте новую резервную копию — уже с новой версии.
Если что-то сломалось и быстрого решения нет, можно откатиться: загрузить предыдущую прошивку и затем восстановить резервную копию, сделанную перед обновлением.
Как часто обновлять
Разумный ритм — проверять прошивку примерно раз в квартал и планировать обновление, когда для вашей версии вышли исправления безопасности. При критической уязвимости, которую уже активно используют, обновляйтесь сразу, а не в следующем квартале. Следить за такими случаями помогают бюллетени PSIRT от Fortinet.
Когда обращаться к специалисту
Если устройство отстало на несколько версий, работает в HA или использует VPN, на который влияет новая версия, либо у вас нет возможности быть на месте во время обновления, работу лучше доверить специалисту. ITABIKS обновляет FortiGate в окне обслуживания и проверяет результат — см. настройка сетевых устройств или звоните +372 53 888 229.