Fortinet

방화벽이 Fortinet인 경우 방화벽 장비와 FPMS를 설정하는 방법을 설명합니다.

방화벽 장비 설정하기

FPMS와 방화벽 연동을 위해 방화벽 장비를 설정하거나 정보를 확인하는 방법입니다.

방화벽 OS 버전 확인

하위 버전인 경우 FPMS 등록 전에 미리 OS 업데이트를 해주세요.

• [최소] 5.2.4 / [권장] 5.2.6
• ID 기반 인증 방화벽 연동: 동일

연동 계정 생성

FPMS 관리용 접속 계정입니다. 가이드 ID는 fpmsapi42이며, 비밀번호 설정 후 방화벽 신청서에 기재하거나 FPMS 운영자에게 알려주세요.

계정 권한 설정 (전체 RW를 얻을 수 없을 시)

계정 권한을 전체 RW로 설정할 수 없는 경우 다음과 같이 설정합니다.

ID 기반 인증 방화벽 설정

Fortinet은 ID/Group 룰에 대해 enable해 주는 방식이 Radius Accounting 패킷을 통해 가능합니다. Radius Accounting 패킷을 통한 방식이 RSSO(Radius Single Sign On) 기능입니다.

1. Network Interface(Listen Radius Accounting Message) 설정

• CLI 설정

  edit "port 4"
  set vdom "root"
  set allowaccess ping radius-acct
  

• GUI 설정

  

2. RSSO 설정 - Radius Server

• radius 서버 생성 (shared Secret: networks)

  

• 옵션 추가 (CLI로만 가능)

  config user radius
  edit "RSSO_Agent"
  set rsso enable
  set rsso-radius-response enable
  set rsso-endpoint-attribute Calling-Station-Id
  set sso-attribute Class
  

• FSSO secret key 설정: Single Sign On에서 secret key 설정 및 response enable

  

3. 서로 다른 VDOM 간의 RSSO 공유 (다중 VDOM 환경)

• CLI 설정: VDOM 중 radius server로 사용할 VDOM을 제외한 나머지 VDOM은 vdom-radius-server 설정을 만들어 줍니다. (예: ‘root’(management), ‘vdom1’ 두 개의 VDOM이 구성된 경우 ‘vdom1’은 ‘root’ VDOM의 과금 정보를 공유)

  FG600B-1 (global) # config system vdom-radius-server
  edit "vdom1"          <------- Radius server will be used in this vdom
  set status enable
  set radius-server-vdom "root"   <------ Radius server is declared in this vdom
  next
  end
  

FPMS 설정하기

정책 적용 관리 설정

Fortinet은 벌크 COMMIT을 지원하지 않습니다. (「방화벽 관리」의 정책 적용 관리 참고)

• 벌크 COMMIT 모드: No

방화벽 SYSLOG 설정하기

• 로그 & 보고서 > 로그 설정: Send Logs to Syslog를 enable하고 IP Address/FQDN에 IP를 입력하세요.

  

• VDOM 내부에서 각 VDOM별 상세 로그 설정이 가능합니다.

  

• CLI 접속해서 Syslog 포맷을 CSV로 변경 (다음 커맨드 수행)

  # config global
  # config log syslogd setting
  # set format csv
  # set server {수집서버ip}
  # set port 2514
  # set format csv
  

  # config {VDOM}
  # config log syslogd override-setting
  # set override enable
  # set status enable
  # set format csv
  # set server {수집서버ip}
  # set port 2514
  # set format csv
  

• show full-configuration 커맨드로 정상 반영 확인 (global 설정할 수도 있고 VDOM별로도 설정 가능)

  # show full-configuration
  

  

방화벽 SNMP 설정하기

1. Fortinet GUI 접속 > 설정 > SNMP

   

2. SNMP 설정

   • SNMP 에이전트: ‘사용’ 체크
   • ‘새로 생성’ 클릭하여 구성 추가
   • SNMP Trap 설정: 구성명(SNMP Community 값) / SNMP 송수신 서버 IP / 포트 / SNMP 버전 설정
   • Host Type 항목에서 ‘Accept Only’ 또는 ‘Accept + Send Trap’ 설정 가능
   • ‘적용’ 클릭

   

3. 신규 추가한 ‘SNMP 구성’ 확인