Новый FortiGate начинает пропускать трафик почти сразу, но межсетевой экран с настройками по умолчанию ещё не защищён. Этот чек-лист рассчитан на небольшой офис и идёт в том порядке, в котором имеет смысл работать: сначала защитить само устройство, потом сеть, и в конце позаботиться о том, чтобы конфигурация не потерялась.
1. Прошивка и регистрация
- Проверьте версию прошивки. Dashboard → Status показывает текущую версию FortiOS, в CLI то же самое выводит
get system status. Устройство, долго лежавшее на складе, может работать на старой версии с известными уязвимостями. Обновите его до ввода в работу, пока перерыв никому не мешает. - Зарегистрируйте устройство. Добавьте серийный номер в учётную запись на портале поддержки Fortinet. Без регистрации поддержка FortiCare и сервисы FortiGuard не активируются. Статус виден в System → FortiGuard.
2. Защита доступа администратора
Это самый важный шаг: межсетевой экран, панель управления которого доступна из интернета, становится первой целью атак.
- Создайте именную учётную запись администратора (System → Administrators) с надёжным паролем. Не используйте стандартную учётную запись
adminв повседневной работе: задайте ей очень длинный пароль или переименуйте, если это позволяют ваши процессы. - Trusted Hosts. В настройках администратора ограничьте, с каких IP-адресов или подсетей можно входить под этой учётной записью, например только из офисной сети.
- Многофакторная аутентификация (MFA). Подключите администраторам FortiToken (User & Authentication → FortiTokens). С некоторыми моделями идут несколько бесплатных лицензий FortiToken Mobile.
- Отключите управление на WAN. Network → Interfaces → WAN-интерфейс → Administrative Access: снимите галочки HTTPS, HTTP, SSH и, если не нужен, PING. Для удалённого управления используйте VPN, а не публичную панель.
3. Интерфейсы, DHCP, DNS и время
- Интерфейсы и DHCP. Задайте IP-адрес LAN-интерфейса и DHCP-сервер. Сразу решите, нужна ли отдельная сеть (VLAN) для гостей, принтеров или камер: позже это сделать сложнее.
- Избегайте популярных подсетей. Если офисная сеть 192.168.1.0/24, она совпадает с сетью многих домашних роутеров, и позже возникнут проблемы с VPN. Выберите менее распространённый диапазон.
- DNS. Network → DNS: используйте FortiGuard или предпочитаемые DNS-серверы. Если в офисе есть контроллер домена, раздавайте клиентам его адрес через DHCP.
- Время и часовой пояс. System → Settings: укажите часовой пояс и включите синхронизацию NTP. Неверное время ломает хронологию логов, проверку сертификатов и коды FortiToken.
4. Политики и профили безопасности
Policy & Objects → Firewall Policy. Принцип — минимально необходимые права: разрешайте только то, что нужно, всё остальное по умолчанию запрещено.
- Не создавайте правило «всё ко всему, все сервисы». Разделите внутреннюю сеть, гостевую сеть и серверы и разрешайте между ними только нужные соединения.
- Входящие соединения (проброс портов, Virtual IP) открывайте только при реальной необходимости и по возможности ограничивайте по IP-адресу источника.
- Добавьте к исходящим политикам профили безопасности: AntiVirus, Web Filter, IPS и Application Control. Начните с профилей по умолчанию и уточняйте их позже.
- Включите логирование в каждой политике (Log Allowed Traffic), чтобы потом было видно, что происходило.
5. Логи и резервная копия
- Логи. Log & Report → Log Settings. У младших моделей локального места для логов мало или нет вовсе. Рассмотрите отправку логов в FortiAnalyzer, FortiAnalyzer Cloud или на syslog-сервер, чтобы при инциденте была история.
- Резервная копия. После настройки сохраните конфигурацию (меню администратора справа вверху → Configuration → Backup) и храните её в надёжном месте вне межсетевого экрана. Если копия зашифрована, сохраните пароль в менеджере паролей. Делайте новую копию после каждого заметного изменения.
- Документируйте. Запишите диапазоны IP, администраторов, открытые порты и даты окончания лицензий.
Когда обращаться к специалисту
Если у вас несколько офисов, удалённые сотрудники, VLAN или сервисы, которые нужно опубликовать в интернет, первичную настройку лучше доверить опытному сетевому инженеру: ошибки проще не допустить, чем потом найти. ITABIKS ежедневно настраивает FortiGate — подробнее на странице настройка сетевых устройств или по телефону +372 53 888 229.