Firewall

VPN IPSEC Fortinet for Azure

How to VPN IPESec Fortinet for Azure Cloud.

ISO 5.4

http://cookbook.fortinet.com/ipsec-vpn-microsoft-azure-54/

Gateway

Nat Traversal “Disable”
Dead Peer Detection “On idle”
IKE “V2”

Phase1

Encryption “AES128”
Authentication “SHA256”
Diffie-Hellman Group “2”
Key Lifetime (seconds) “28800”

Phase2

Encryption “AES128”
Authenticaton “SHA256”
(PFS) “Disable”
Local Port “Enable”
Remote Port “Enable”
Protocol “Enable”
Auto-negotiate “Disable”
Auto Keep Alive “Disable”
Key Lifetime “seconds”
Seconds “27000”

IOS 5.2

http://cookbook.fortinet.com/download/3127

Gateway

Nat Traversal “Disable”
Dead Peer Detection “Disable”

IKE “V2”

Phase1

Encryption “AES128”
Authentication “SHA1”
Encryption “AES256”
Authentication “SHA256”

Diffie-Hellman Group “2”
Key Lifetime (seconds) “56600”

Phase2

Encryption “AES128”
Authentication “SHA1”
Encryption “AES256”
Authentication “SHA256”
Enable replay Detaction “Disable”
(PFS) “Disable”
Local Port “Enable”
Remote Port “Enable”
Protocol “Enable”
Auto-negotiate “Disable”
Auto Keep Alive “Disable”
Key Lifetime “seconds”
Seconds “2900” “Segunda suporte Microsoft esses valores devem ser maiores que do Azure”

Best Regards.

Configuration VPN Palo Alto Networks for Microsoft Azure with VPN RoutedBased

Olá,

Neste tutorial iremos criar um tunnel de VPN entra Azure (RoutedBased) e Palo Alto (Iremos abordar somente configuração do no Palo Alto).

Iremos considerar o seguinte cenário:

Rede Local (Palo Alto): 10.91.0.0/16
Rede Remota (Azure): 10.255.0.0/16

https://docs.microsoft.com/en-us/azure/vpn-gateway/vpn-gateway-about-vpn-devices

No Palo Alto

1-) Passo

IKE Crypto

Name: ike_crypto_azure

DH Group: group2

Encryption: aes-128-cbc

Authentication: sha1

Key Lifetime: Seconds 29000

IKEv2 Authentication Multiple: 0

2) Passo

IPSec Crypto

Name: ipsec_crypt_azure

Encryption: aes-256-cbc

Authentication: sha1

DH Group: no-pfs

Lifetime: Hours 8

3) Passo

IKE Gateway (General)

Name: ike_gateway_azure

Version: IKEv2 only mode

Address Type: IPv4

Interface: ae1.200 (Neste exemplo essa é minha interface)

Peer IP Type: Static

Peer IP Address: IP do PUBLICO

Pre-shared Key: XXXXXXXXXXXX

Local Identification: Nome

4) Passo

IKE Gateway (Advanced Options)

Common Options: Enable Passive Mode

IKEv2: ike_crypt_azure

Liveness Check: Interval (sec) 5

5) Passo

Interfaces

Add

Name: ipesec_tunnel_azure

Tunnel Interface: tunnel.114

Type: Auto Key

Address Typer: IPv4

IKE Gateway: ike_gateway_azure

IPSec Crypto Profile: ipsec_crypt_azure

Show Advanced Options
Enable Replay Protection

6) Passo

Proxy ID

Sem Proxy ID

Pronto!!! Tunel de VPN entre Palo Alto e Azure está ok.

Não esqueça de criar:

Route – Zone – Rule Firewall

Update IOS Apple Error WiFi Sonicwall “Drop Code: 41, Module ID: 26”

Hoje me deparei com o seguinte cenário:

Rede WiFi de visitantes –> Atualização IOS Apple 8.1 –> Download concluído com sucesso –> IOS Apple faz mais uma checagem antes do Update, neste momento recebemos a mensagem, “Não possível fazer atualização, por favor verificar sua conexão com Internet.

Olhando os logs do firewall obtive o seguinte erro:
Ethernet Header
Ether Type: IP(0x800), Src=[f0:db:f8:96:07:82], Dst=[00:17:c5:e0:12:48]
IP Packet Header
IP Type: TCP(0x6), Src=[192.168.31.134], Dst=[17.151.36.30]
TCP Packet Header
TCP Flags = [ACK,PSH,], Src=[49534], Dst=[80], Checksum=0x20e
Application Header
HTTP
Value:[0]
DROPPED, Drop Code: 41, Module Id: 26, (Ref.Id: _4996_uyHtJcpfngKrRmv) 2:2)

Drop Code: 41 IDP Detection

Solução rápida, colocar sua rede WiFi na “Excluision List IPS” e habilitar em Firewall –> App Control Advanced –> Configure App Control Setting –> “Enable Application Control Exclusion List” depois –> “Use IPS Excluison List”

OU pode ir na FONTE em Control App Advantage

PROXY-ACCESS

NON_SSL_TRAFFIC_OVER_SSL_PORT

PROXY RESQUEST

HTTP Proxy

Seja feliz!!!

Autenticação FSSO AGENT Fortinet

Vamos neste post como instalar e configurar FSSO AGENT do Fortinet.

Veja o desenho abaixo

Primeiro passo fazer download do FSSO AGENT pelo site da http://support.fortinet.com ou diretamente neste link http://migre.me/jr1kJ

Segundo passo a instalação em um servidor com Active Directory (AD)
Vamos a instalação

Duplo clique no instalador

Aceite os termos e clique em NEXT

Local de instalação, next

Usuário e senha do administrador do domínio

Deixe a tela de opção do jeito que está

Clique em Install

A instalação

Instalado com sucesso, vamos a configuração, habilite “Lanch DC Agente Install Wizard” depois Finish

Collector Agent IP address: IP do Servidor

Collector Agent listening port: 8002

Selecione o domínio a ser monitorado e clique em Next

Nesta tela vamos escolher as configurações padrões
Para maiores informações veja http://docs-legacy.fortinet.com/fos50hlp/50/index.html#page/FortiOS%205.0%20Help/FSAE.036.11.html

Clique em Next

Pronto, agente instalado clique em “Finish”

Vamos configurar o Agent

Acesse no menu iniciar, Fortinet, Fortinet Sing On Agent, Configure Fortinet Single On Agent

A primeira alteração a ser feita é a autenticação do agente com o fortinet, vamos configurar uma senha neste exemplo “123@mudar”

Depois vamos ver as opções, “Select Domains To Monitor”

Habilite seu domínio, neste exemplo “GLBX\glbx.local” clique em OK

O Agente está fazendo as configurações

Agora clique em “Set Group Filters”

Clique em “Add…”

Clique em “Advanced”

Escolha os grupos a serem monitorados, neste exemplo ACCESS_FULL_INTERNET e ACCESS_RESTRICT_INTERNET, clique em Add

Marque a opção “Default filter” e clique em OK

Aqui você verá os grupos monitorados, clique em OK

Agente sendo configurado

Agora vamos salvar

Clique em “Salve&Close”

Agente sendo configurado e salvo

Um detalhe muito importante as portas 8000 e 8002 devem estar liberados no firewall do servidor para comunicação em o firewall e o servidor.

Pronto nosso agente está instalado e configurado, agora vamos configura-lo em nosso firewall.

No Firewall clique em User & Device, Authentication, Single Sign-On, Create New

Type: Fortinet Single-Sign-On Agent
Name: SRV-DC01
Primary Agent IP/name: IP de nosso servidor 10.174.1.3
Password: lembra que configuramos a senha no agent no servidor, neste exemplo “123@mudar”
Neste exemplo vamos usar somente um Agent FSSO, mas é recomendável pelo menos dois, caso um falha teremos outro para autenticação, mas neste exemplo iremos utiliza somente um.

Clique em “Apply & Refresh”

Agora veja que nosso agente já trouxe as informações de nossos grupos com acesso a internet, neste exemplo “ACCESS_FULL_INTERNET e ACCESS_RESTRICT_INTERNET”

Clique em ok.

Pronto agente configurado no Firewall

Agora vamos criar os grupos de acesso no firewall

Clique em “User & Device” User Group, Creat New

Name: SRV-DC01-FULL-ACCESS
Type: Fortinet Single Sign-On (FSSO)
Available Members: Veja que trouxe nosso grupos, vamos selecionar “GLBX/ACCESS_FULL_INTERNET” e clicar na seta para adicionar em Members, clique ok

Grupo criado, agora vamos criar o grupo de acesso restrito, creat new

Name: SRV-DC01-RESTRICT-ACCESS
Type: Fortinet Single Sign-On (FSSO)
Available Members selecione o grupo GLBX/ACCESS_RESTRICT_INTERNET e clique na seta para adicionar em Members, clique ok

Pronto agora temos nossos dois grupos de acesso a internet FULL e RESTRICT criados em nosso firewall

Agora vamos criar a politica de acesso

Em POLICY, Policy,Creat New

Primeira Etapa

Policy Type: Firewall
Policy Subtype: User Identity
Incoming Interface: port1 (LAN)
Source Address: Objeto criado coma range de nossa rede interna
Outgoing Interface: port3 (WAN1)
Enable NAT: Habilite

Agora vamos a segunda etapa, em “Configure Authentication Rules” Creat New”

Destination Address: all
Group: SRV-DC01-FULL-ACCESS (Grupo que tem acesso FULL a internet)
User: Click to ad… não utilizamos usuários específicos
Schedule: always
Service: ALL
Action: ACCEPT
Log Allowed Traffic: Deixe habilitado
Generate Logs when Session Starts: Deixe habilitado

Clique em OK

Agora vamos criar o acesso para os usuário do grupo RESTRICT

Creat New

Destination: all
Group: ACCESS_RESTRICT_INTERNET
User: Click to add… não estamos utilizando usuário específicos
Schedule: always
Service: HTTP, por ser restrito, deixemos somente HTTP port 80
Action: ACCEPT
Log Allowed Traffic: Deixe habilitado
Generate Logs when Session Starts

EM UTM Security Profiles, vamos habilitar “Web Filter” onde temos alguns sites bloqueados

Clique ok

Agora vemos nossas regras de autenticação criadas

Clique ok

Regras criadas

Vamos ao teste utilizando o usuário “vpmonteiro” que está no grupo acesso restrito

Bloqueamos estes sites para o grupo restrito

Vamos acessar uma maquina no domínio com o usuário “vpmonteiro”

Veja que o usuário está conectado em nosso firewall

Ao abrir o navegador, conseguimos acesso a internet normalmente

Vamos ver se o usuário está logado mesmo, acessando o FSSO AGENT no AD e clicando em Show Logon Users

Veja que o usuário “vpmonteiro” está conectado

Vamos ver se ele consegue acessar aqueles sites que bloqueamos acima

Veja que o ao acessar um site restrito o acesso foi bloqueado

Vamos tentar via HTTPS

Veja que não é acessado.

Logs do Fortinet

Agora vamos ver com o usuário “csantana” que não possui restrições

Veja que o usuário está logado

Veja que conseguimos acessar qualquer site normalmente

Veja que ao tentar acessar uma maquina fora do domínio ela não consegue acessar nenhum site

Agora vou deixar a politica de acesso a internet habilitada por LDAP e com já configuramos tudo no POST anterior veja

E se tentarmos autenticar com o usuário restrito “vpmonteiro”

O acesso a sites restritos continua normalmente

E veja os dois usuário logados um por LDAP e outro por FSSO

Seja Feliz!!!

Autenticação LDAP Fortinet

Vamos ver neste POST como configurar autenticação com Fortinet utilizando LDAP.

Este tipo de autenticação é feita diretamente no navegador, eu recomendo usar este tipo de autenticação para rede de visitantes GUEST (Exemplo: Wireless), neste forma conseguimos garantir que somente pessoas autorizadas irão ter acesso a internet.

Vamos as configurações:

Devemos criar um nosso AD (Active Directory) um grupo GLOBAL de SEGURANÇA, neste exemplo temos dois grupos
ACCESS_FULL_INTERNET
ACCESS_RESTRITIC_INTERNET

Dentro de cada grupos respectivamente adicione os usuários, neste exemplo temos duas usuários “csantana” e “vpmonteiro”, “csantana” está no grupo “ACCESS_FULL_INTERNET” e “vpmonteiro” está no grupo “ACCESS_RESTRICT_INTERNET”

Com os grupos devidamente criados, e com os usuários adicionados, vamos as configurações no firewall fortinet

Acesse “User & Device” depois “Creat New”

Name: Nome amigável, neste exemplo o próprio nome do servidor, neste exemplo “SRV-DC01”
Server Name/IP: vamos utilizar o IP do servidor, neste exemplo 10.174.1.3
Common Name Identifier: sAMAccountName
Distinguished Name: vamos preencher mais a frente
Bind Type: Regular
User DN: domínio\user, neste exemplo “glbx\administrator”
Password: Senha do usuário

Vamos se tudo está ok, clique em “TEST”

SE tudo correu bem, receberá está mensagem:

Agora vamos ao preenchimento do campo “Distinguished Name”, clique no “explorer”

Você terá está tela

Vamos selecionar nossa OU BRAZIL

Clique OK

Agora temos preenchido o campo “Distinguished Name”

Pronto, nesta etapa temos nosso servidor LDAP configurado

Agora vamos criar os grupos dentro de nosso firewall Fortinet

Em “User & Device” “Creat New”

Name: Access_FULL_INTERNET
Type: Firewall
Remote authentication server, clique em “Add”
Veja na lista que aparecerá o servidor que configuramos em LDAP SERVER o “SRV-DC01”
Group Name: Vamos especificar o grupo que terá o acesso, para isso abra o “ADSIEDIT” em seu AD e navegue até o grupo “ACESS_FULL_INTERNET” que criamos no inicio.
Botão direito em cima do grupo/propriedades

Navegue até “distinguishedName”, copie o valor

CN=ACCESS_FULL_INTERNET,OU=GROUPS,OU=SAO_PAULO,OU=BRAZIL,DC=glbx,DC=local

E cole em “Specify”, clique ok

Grupo criado

Agora vamos fazer a mesma coisa para o grupo “ACCESS_RESTRICT_INTERNET”

Pronto, agora temos dois grupos criado

Agora vamos criar as regras no firewall

No firewall clique em “POLICY” “Creat New”

Vamos a 1º etapa

Policy Type: Firewall
Policy Subtype: User identity
Incoming Interface: port1 (LAN)
Source Address neste exemplo utilizamos nossa rede internet, com objeto no firewall devidamente criado
Outgoing Interface: port3 (WAN1)
Enable NAT: Habilite

Agora vamos a segunda etapa

Em “configure Authentication Rules” “Creat New”

Destination Address: all (pois este grupos tem acesso FULL a internet
Group: vamos escolher o grupo “Access_FULL_INTERNET”
User: como o acesso não será por usuário, vamos deixa em “Click to add…”
Schedule” always
Service: all
Action: ACCEPT
Log Allower Traffic: Habilite
Generate Logs when Session Starts: Deixe habilitado
Clique em ok

Temos o acesso do grupo “ACCESS_FULL_INTERNET” criado

Agora vamos a terceira etapa

Vamos criar o acesso para o grupo “ACCESS_RESTRICT_INTERNET”
Creat New

Destination Address: Como este Grupo possui acesso restrito a internet, para este exemplo criei um grupo de objetos chamado “Portais” onde somente possui acesso aos seguintes sites “www.uol.com.br” “www.terra.com.br” “www.ig.com.br”
Group: ACCESS_RESTRICT_INTERNET
User: Click to add…
Schedule: always
Service: Como este grupo possui acesso restrito a internet liberaremos apenas os protocolos “HTTP” e “HTTPS”
Action: ACCEPT
Log Allowed traffic: Deixe habilitado
Generate Logs when Session Starts: Deixe habilitado
Traffic Shapping: Como é um grupo restrito vamos habilitar e escolher o perfil 100kbps
Clique ok

Agora temos os dois grupos com acesso

Vamos deixar habilitado a opção “Disclaimer”

Com está opção habilitada será exibida na tela do navegador

Onde diz resumidamente que a internet é uma zona livre e que este provedor de internet não é responsável pelo conteúdo.

Pronto nossa politica está criada

Agora vamos ver se está funcionando.
Vamos abrir o navegador e ver o que acontece

Veja a mensagem na tela

Se clicarmos em “No, I decline”

Teremos está mensagem

Agora vamos aceitar e clicar em “Yes, I agree

Agora vemos a tela de autenticação

Vamos acessar com o usuário “csantana”

Será exibida um tela de redirecionamento

Agora vemos o site normalmente

E temos acesso a qualquer site

E olhando em nosso firewall em User & Device, Monitor, Firewall vemos nosso usuário “csantana” conectado

Agora vamos testar com o usuário “vpmonteiro”

A tela de redirecionamento é exibida após a autenticação

Porém só temos acesso as seguintes sites “www.uol.com.br” “www.ig.com.br” “www.terra.com.br”

Ao tentar acessar www.folha.com.br

Nosso usuário “vpmonteiro” está autenticado

Vamos acessar um site permitido

Lembrando que neste site só é permitido o conteúdo dentro de “www.uol.com.br

Seja Feliz!!!

Limitando banda de internet Fortinet Traffic Shaper Bandwidth Fortinet

Vamos diminuir o limite de banda para acesso a internet

Neste exemplo vamos aplicar o limite de banda para todo o trafego de internet

No Fortinet vamos em “Firewall Objects”, “traffic shaper”, “Shared”

“Creat new”

Name: Limite de Banda 200kbps
Apply Shaper: Per Policy
Traffic Priority: Low
Maximum bandwidth: 200 (O Maximo que pode chegar)
Guaranteed Bandwidth: 100 (O Mínimo que possui)

O limite foi criado

Mais ainda não está funcionando pois não vinculamos a nenhuma regra de acesso a internet, veja que testamos fazendo download do WordPress que conseguimos um velocidade de 981 KB/Sec

Vamos ver agora o mesmo download com a regra aplicada.

Vamos vincular o limite de banda a regra de acesso a internet

Em “Policy”, Policy, vamos editar a regra de acesso a internet

Em “UTM Security Profiles”, habilite:

Traffic Shaping
Shared traffic Shaper e escolhe o perfil que criamos “Limite de banda 200kbps”

A regra de limite de banda está criada, vamos ver o resultado fazendo o mesmo download do WordPress.

Bloqueando arquivos executáveis para download e execução pelo navegador utilizando fortinet

Vamos bloquear o download de arquivos “.exe” pelo navegador

Acesso o Fortinet

Data Leak Prevention, File Filter

New File Filter Table

Name: Bloqueio .exe

Agora em “Creat New”

Filter Type: Escolha “File Type”
File Type: Escolha “Executable (exe)

APPLY

Filtro criado

Agora vamos em Sensor, em UTM Security Profiles, Sensor

Vamos criar um novo Perfil

Clique no sinal de “+”

Name: vamos dar um nome para o perfil, neste exemplo “Bloqueio .exe”

Agora em “Creat New”

Filter: Escolha “Files”
Filter Type included in “Bloqueio .exe” o que criamos em File Filter”
Examine the following Services: Vamos deixar somente “HTTP”
Action: Block
OK

APPLY

Teremos este:

O Perfil para bloquear arquivos .exe está criado, porém ainda não está funcionando pois não vinculamos ele a uma regra de acesso a internet em policy.

Ao acessar a URL “http://download.skype.com/bf94b0508d33d968c9200839f080e127/partner/59/SkypeSetupFull.exe”

Conseguimos fazer o download do Skype normalmente

Agora vamos aplicar o filtro de bloqueio .exe na regra de acesso a internet

Vamos em “Policy” – Policy

EM “UTM Security Profiles” vamos habilitar “DLP Sensor” e escolher o perfil que criamos “Bloqueio .exe”

OK, pronto agora qualquer download ou execução de arquivos .exe pelo navegador será bloqueada.

Podemos em Monitor

	Charles Aureliano Sa… em Bloqueando sites especí…
	Charles Aureliano Sa… em Fortinet criando regras de ace…
	Charles Aureliano Sa… em Bloqueando sites especí…
	Carlos em Bloqueando sites especí…
	JOSE FERNANDES em Executando .bat/.exe/.msi remo…

Charles Aureliano Santana

Infraestrutura TI | Cloud Azure | MVP