Fortios 5.6: Jak ograniczyć przepustowość dla http i https?

Question

Witam, czy da się ograniczyć przepustowość internetu ale tylko dla http i https?

jprzedworski · Accepted Answer

Nie pracuję z rozwiązaniami Fortgate tylko z innymi, ale chyba to wszystko jest możliwe W politykach można określić źródło, cel, aplikacje, kategorie URL itd. Na pewno więcej możliwości niż ma GPO jeśli chodzi o połączenie z internetem. Lektura na długie zimowe wieczory:
https://docs.fortinet.com/uploaded/files/3999/fortios-handbook-56.pdf

IC_Current · Accepted Answer

Teraz oczywiście nie, ale w przyszłości ... Jednym z kryteriów projektowania sieci jest jej skalowalność. W żadnym wypadku serwer nie chroni sieci, to właśnie serwery (bazy danych, plików itd) są elementami które chroni się w sposób szczególny.

jprzedworski · Accepted Answer

Jest sobie taka sieć w instytucji. Kilkanaście lat temu zrobiono standardową adresację. O VPN nikt wtedy nie myślał bo nawet łącze było niewystarczające. Sieć się rozrosła, doszła konieczność pracy zdalnej, a więc VPN. Z różnych miejsc i sieci - zaczął się problem, bo często te zdalne sieci mają taką samą adresację. Routery LTE taką mają. Sieci w hotelach, domach pracowników. A nie tak łatwo zmienić adresy ponad 200 urządzeń w firmie. Lepiej o tym pomyśleć, gdy sieć jest mała.

jprzedworski · Accepted Answer

Tu jest przykład, jak w lokalnym serwerze DNS dodać zewnętrzne serwery - tu Netia. Tu nasz serwer nazywa się DC1. Prawoklik na DC1 iw wybieramy z menu Właściwości. Resztę widać na obrazku.

IC_Current · Accepted Answer

Możesz zrobić tak, jak wskazał kolega, choć nie jest to konieczne. Możesz nic nie ustawić. W celu lokalizacji serwerów DNS Windows Serwer korzysta bezpośrednio z wpisów w strefie globalnej ROOT DNS.

jprzedworski · Answer

Da się. W menu Traffic Shaping Policy w pozycji Service można to wybrać.

Pawel1924 · Answer

Dziękuje za odpowiedz, a da się z tego zakresu wykluczyć aplikacje? Chciałem zablokować https ale wykorzystuje go jedna aplikacja.

A czy dało by radę np. Ograniczyć prędkość przesyłania dla konkretnej strony? Np. Nie chce blokować youtuba ale chce aby działa wolno np z prędkością 2Mbps , a reszta stron bez ograniczeń.

Czy lepiej wykorzystać qos w gpo w2012 r2?

Pawel1924 · Answer

tam jest prawie 3500 stron:) Realnie nie dam rady Może ktoś jednak poprowadzi za rączkę z tym ograniczeniem na youtube?

Pawel1924 · Answer

Dobra, jednak nie jest tak źle. Wiem już jak to zrobić ale...
Mam serwer z dhcp z podsiecią 192.193.194.x, utm wstawiłem przed serwer na nim mam sieć 192.168.1.x

Problem polega na tym że firewall widzi wszystkie połączenia z adresem ip serwera bo tam jest dhcp.

Czy da się jakoś ograniczyć połączenia konkretnym adresom ip z sieci 192.193.194.x?

IC_Current · Answer

Przecież masz całkowicie źle zaprojektowaną sieć. 1. W sieci wewnętrznej używasz adresów publicznych ? 2. Ten serwer pewnie robi NAT, więc wszystkie połączenia są z adresem serwera. 3. Na FG tworzysz polisy Zezwól Odmów Sprawdzaj dla konkretnego ruch (IP, aplikacje, dscp, adresy itd itp itz oraz wszelkie kombinacje pomiędzy wcześniejszymi). Polisy są analizowane wg kolejności na liście. Najpierw polisa z Twoją aplikacją, później polisa dla reszty HTTP. 4. Wydałeś kilka tysięcy za FG, wydaj jeszcze tysiąc na dobrego informatyka, żeby Ci to porządnie skonfigurował, bo inaczej ten firewall będzie tyle warty, co TP-Link za 300zł.

Pawel1924 · Answer

Czemu źle?
ISP-UTM-Serwer-Komputery
UTM dostaje adres od isp, na nim jest serwer DHCP. Pod utm podłączony jest serwer na którym mam ad, dhcp. Z serwera do switcha i do komputerów.

W związku z tym utm widzi wszystkie połączenia z komputerów jako adres serwera.

jprzedworski · Answer

To na serwerze jest NAT? To, w ogóle, dziwna konfiguracja sieci. Nie widzę powodu, żeby ruch internet - komputery przechodził przez serwer, bo co nowego wnosi ten serwer. Od zabezpieczenia ruchu jest FG. Serwer, skoro jest serwerem domeny, powinien być w tej samej sieci co komputery, albo w wydzielonej strefie FG z odpowiednimi regułami routingu i firewalla. Ale nie jako pośrednik do internetu.

Pawel1924 · Answer

No jak nat. Nat jest na utm. W serwerze 2 karty, jedna dostaje adres z utm, a na drugiej działa dhcp dla komputerów, ustawiony routing.

IC_Current · Answer

Czyli dokładnie tak jak się tego nie powinno robić pracując z UTM. Nie wiem o jakiej skali sieci mówimy i czy UTM to malutkie 30E, czy jakiś kombajn. Jeśli to malutki 30E, to powinieneś mieć: ISP-UTM-reszta_sieci. W FG od strony switcha generujesz minimum 4 VLANy: a) Serwery+zarządzanie urządzeniami sieciowymi b) Stacje robocze c) WiFi dla klientów d) DMZ. W serwerze podłączasz 1 kartę do UTM, ewentualnie robisz agregację portów. Dalej tworzysz strefy (Internet, serwery, pc ...) oraz ustawiasz reguły ruchu pomiędzy tymi strefami. Do serwera obcinasz wszystko, z wyjątkiem tylko tego co ewidentnie niezbędne. UTM spinasz przez LDAP +SSO z AD i dostajesz bazę użytkowników dla VPN oraz możesz każdemu użytkownikowi udzielić praw i zasad dostępu do zasobów np w Internecie.

jprzedworski · Answer

Tak napisałeś. Pakiet TCP zawiera adres źródła i adres celu. Jeśli jest routing, pakiet przechodzi do kolejnej sieci bez zmiany. Przy NAT nap. adres źródła jest zamieniany na adres routera. W serwerze raczej nie ma NAT tylko routing, więc UTM powinien widzieć adresy komputerów a nie serwera. Pytanie tylko, po co w ogóle ten routing przez serwer. Czy, poza AD, ma on jakieś funkcje, że tak to zostało zrobione? Najprościej powinno być tak: W tej reszcie sieci serwer i komputery razem. Jeśli zależy na lepszej separacji, można zrobić VLAN-y - opis jak wyżej albo jeszcze inaczej. Ale nie widzę sensu przepuszczania wszystkiego przez serwer. Chyba że czegoś nie wiem.

Pawel1924 · Answer

Poprostu wcześniej nie było utm, wiec musiałem mieć dhcp na serwerze. Dokupiłem utm i chce to poprawnie podłączyć. Czyli rozumiem ze role dhcp powinien realizować utm? Na serwerze mam, iis,ad,dns,dhcp,serwer plików. Utm to najniższy model.

IC_Current · Answer

Ten UTM w monitorze sesji identyfikuje komputery po IP, ale już w monitorze urządzeń po MAC więc każdy komputer zdalny wyświetli się jako router ( z jednym MAC, ale z wieloma IP).

jprzedworski · Answer

Jeśli po MAC, to rozumiem.Niech to robi serwer a nie UTM, bo wtedy masz pełniejszą integrację z AD. Wyłącz na UTM, daj serwer z komputerami w jednej sieci LAN i sieć powinna działać. W VLANy zabawisz się później, bo na początek to chyba za dużo. Na serwerze może być uruchomiony firewall Windowsowy, to będzie go trochę chronił. Czyli przykładowo UTM adres 192.168.1.1 (DHCP wyłaczone) serwer (jedna karta) 192.168.1.10 DHCP na serwerze przyznaje komputerom: adres 192.168.1.20-100, maskę 255.255.255.0 i bramę 192.167.1.1 Wszystko na tym samym switchu. I na początek ma działać.

IC_Current · Answer

Z dobrych praktyk
Lepiej użyć innej podsieci niż 192.168.1.0/24 bo: a) w przyszłości będzie VPN i problem, bo w zdalnej lokalizacji ta sama adresacja - przerabiane wielokrotnie nawet tu na elektrodzie, b) każdy domorosły "hakier" zaczyna od "ataku” na 192.168.1.1.

Czy IIS jest dostępne w sieci publicznej?

jprzedworski · Answer

To prawda, dałem tylko przykład. Ze względu na ewentualny VPN dałbym nietypową sieć. U mnie np. brama ma adres gdzież środku puli adresowej a nie .1. Niby żadna przeszkoda dla hakera ale nic nie kosztuje.

Pawel1924 · Answer

Ale ja mam ustawiony VPN i działa bardzo dobrze.

Rozumiem że finalnie najlepiej zrobić vlany, czyli potrzebuję jeszcze switch który je obsługuję. W niedalekiej przyszłości pewnie tak się stanie.

IC_Current · Answer

Tak. VLANy i separacja ruchu to podstawy od których zaczyna się zabezpieczanie sieci. Dalej przeszkolenie pracowników (podejrzane wiadomości, hasła, pendrive, itp.). Teraz uprawnienia do plików, reguły zapory na serwerze i stacjach. Gdzieś po drodze antywirus na końcówkach.
Jak to działa montuje się UTM. Jak jest AD w sieci to polisy koreluje się z bazą.
Działa VPN w trybie Remote Access (ze splitem) ale nie zadziała Site To Site, czyli łączenie oddziałów firmy jeżeli nastąpi konflikt adresacji.

Pawel1924 · Answer

Antywirusy na końcówkach i serwerze mam. W UTM włączone wszystkie moduły bezpieczeństwa, filtrowanie aplikacji, stron itp. VPN site to site nie potrzebuję.
Specjalnie zrobiłem tak że UTM jest pierwszy a za nim serwer, przecież to jego zadaniem jest chronić sieć. To że jeszcze nie wszystko mam ustawione jak potrzeba, nie jest tu problemem bo powoli wszystko wdrożę. Np. po to jest forum.

Pawel1924 · Answer

Może nie jasno napisałem, oczywiście chodziło o UTM

Pawel1924 · Answer

Macie racje, źle to połączyłem...
Na początku był serwer (ISP->SERVER(NAT)->komputery
Później dołożyłem UTM (ISP->UTM(NAT)-SERVER(NAT)->komputery

Faktycznie bez sensu, no i UTM widzi wszystko jako adres ip servera.

To co teraz zrobić? Muszę zrobić to tak żeby wszystkie komputery były widoczne w utm jako ich ip.

Tylko co z działaniem domeny(dhcp, dns)?

IC_Current · Answer

Najlepiej, zanim jeszcze sieć jest malutka, przebudować według zasad podanych wcześniej, posegmentować VLANami i wdrożyć sensowny schemat adresacji. Na szybko i bez wysiłku z przykładową adersacją: Założenie- Twoja sieć LAN to 192.168.74.0/24 a domena contoso.local UTM - interfejs LAN podłączony do switcha - IP 192.168.74.254 Serwer - obecny interfejs WAN wyłączony w menedżerze urządzeń. Interfejs LAN podłączony do switcha. IP 192.168.74.10, brama xx.254, DNS 127.0.0.1. DHCP włączone na serwerze, wyłączone w UTM, Pula 192.168.74.0/24, Brama xx.254, DNS xx.10, domena wyszukiwania contoso.local + inne opcje jakich używasz. DNS włączone na serwerze, wyłączone w UTM. Sprawdzenie wpisów statycznych, czy hosty są w sieci 192.168.74.0/24 Teraz sieć powinna działać, a UTM zobaczy adresy IP hostów. Jak zrobisz porządek w sieci, to UTM podłączasz jako klienta LDAP do bazy AD i reguły filtracji nie strugasz scyzorykiem po IP, tylko ładnie spinasz z grupami zabezpieczeń z AD lub jednostkami organizacyjnymi. Klienci RA-VPN też mogą korzystać z loginu/hasła domenowego.

Pawel1924 · Answer

Wszystko ok.
W serwerze na lanie ustawiam bramę na UTM, dns na samego siebie 127.0.0.1.
W dhcp na serwerze,brama to utm, dns na samego siebie xx.10.
Dhcp i dns w utm wyłaczone.

A co z zewnętrznym adresem dns, przecież powinien być do łączenia na zewnątrz?

Pawel1924 · Answer

Ale przy łączeniu ze światem chciałbym używać serwerów dns od fortigate.

IC_Current · Answer

Z mojego doświadczenia (i moich testów) najszybsze serwery posredniczace DNS ma Tepsa. Używanie DNS proxy na UTM nie ma sensu gdy posiadasz własny serwer: 1. Musisz zrobić split do przekierowań z domeny lokalnej 2. Split mocno obciąża taki proxy, każdy pojedynczy musi być analizowany przez UTM, aby odczytać, czy zapytanie nie dotyczy lokalnej domeny. 3. Gdy korzystasz z DNS na serwerze, UTM sprawdzi tylko jedno zapytanie o dany adres publiczny (wg ustawionej polisy) resztę cacheuje WS. 4. Możliwości zarządzania DNS na WS są nieporównywalnie większe od tych z UTMa.

Fortios 5.6: Jak ograniczyć przepustowość dla http i https?

Jak w FortiOS 5.6 ograniczyć przepustowość tylko dla ruchu HTTP i HTTPS?

Post #1

Post #2

Post #3

Post #4

Post #5

Post #6

Post #7

Post #8

Post #9

Post #10

Post #11

Post #12

Post #13

Post #14

Post #15

Post #16

Post #17

Post #18

Post #19

Post #20

Post #21

Post #22

Post #23

Post #24

Post #25

Post #26

Post #27

Post #28

Post #29

Post #30

Podsumowanie tematu