יצירת חוקים בסיסיים ב-FortiGate

תמלול ההרצאה: יצירת חוקים בסיסיים ב-FortiGate

הטקסט המלא של הדקות הראשונות בהרצאה «יצירת חוקים בסיסיים ב-FortiGate» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:03

   שלום לכולם, בסרט הזה אנחנו נגדיר FortiGate כך שיצא לי אינטרנט וכל היוזרים ברשת יצאו לי אינטרנט, נראה את הפקודות הבסיסיות גם בפוטי, גם בממשק ובי, נלמד להגדיר חוקים לרשת ואת כל הדברים הבסיסיים הנחוצים למנהל הרשת.

2. 00:26

   חשוב להדגיש שכרגע אני מדגים לכם את זה עם גרסה 4 של מערכת ההפעלה ויש גרסה 5. אנחנו בסרט הבא נשדרג לגרסה 5. ואז אתם תראו גם את הממשק הטיפה יותר ישן וגם את הממשק החדש.

3. 00:42

   השינויים הם לא כל כך גדולים, זה כמו ללמוד לנהוג. אתם עכשיו לומדים שיעור נהיגה לאוטו טיפה ישן, אחרי זה תעברו לאוטו יותר חדש. החוקים לא משתנים מזה.

4. 00:56

   מה שחשוב שבסרט הזה אני מניח שיש לכם את הבסיס של CCNA, שיש לכם את הבסיס של ניתוב סטטי, שאתם יודעים מה זה ניתובים ואתם יודעים את הבסיס מה זה כרטיסי רשת ומה זה lan ומה זה one זה לא מיועד לאנשים שלא יודעים שום דבר ויש הרצאות נפרדות למתחילים בנושא של נטוורקינג בסיסי אנחנו עכשיו לא מתעסקים בנטוורקינג בסיסי יש בשביל זה

5. 01:24

   הרצאות נפרדות וצריך לראות אותן ואת ההתחלה של ccna יפה מאוד אז אנחנו מתחילים בגרסה 4 הדבר הראשון שאנחנו נכנסים אנחנו נכנסים לip של default gateway כן הכנסנו כבל רשת ונכנסנו ל-IP של default gateway שזה הראוטר בעצם הדבר הראשון יוזר שהוא מבקש ממכם שם וסיסמה שלו זה אדמין ללא סיסמה ככה המוצר מגיע מהחנות ללא סיסמה אנחנו עושים לו change password ומכניסים סיסמה

6. 01:59

   ריקה וסיסמה חדשה אני כבר החלפתי סיסמה יפה מאוד אחרי שהחלפנו סיסמה אנחנו רוצים לחבר אותו לאינטרנט אבל אבל לפני כן צריך לתת כתובת IP ל-WAN וכתובת IP ל-LAN הפנימי שזה אמור להיות כבר אחרת לא היינו מתחברים אליו.

7. 02:21

   אז בואו נראה אם אנחנו נכנס פה ל-Networks אינטרפייסים זה הכרטיסי רשת על המכשיר עצמו שימו לב איך נראה המכשיר עצמו ככה במקרה שלי הוא נראה ככה הוא נראה כזאת קופסה של גרסה 80 פה למעלה אתם רואים שזה גרסה 80 ויש לי יציאה ל-WAN אחד ל-WAN שתיים זה שתי יציאות לאינטרנט DMZ שזה רשת נפרדת לשרתים שאמורים להיות נגישים מהאינטרנט

8. 02:58

   לתוך הארגון מעין רשת ביניים בין הרשת הפנימית לרשת החיצונית DMZ זאת רשת ביניים מפורזת דמיליטריאשן זון רשת מפורזת שאמורה להיות חצץ בין האינטרנט לרשת הפנימית כי מהאינטרנט לרשת הפנימית אף אחד לא אמור להיכנס אז DMZ זאת רשת שאני מנהל אותה שהיא נפרדת ואליה יש גישה מהאינטרנט לתוך שרת וב של

9. 03:26

   הארגון, לתוך שרת מיילים של הארגון. כאילו היא לא הייתה אז לא היה לי איפה לשים שרת אינטרנט ושרת וב ואני לא רוצה לשים אותם ברשת הפנימית כי אני לא רוצה שום אפשרות לגשת מבחוץ פנימה חוץ מאולי VPN. יפה מאוד אז יש לי one אחד one שתיים dmz שזה כמו סוויץ' נפרד ורשת פנימית שיש פה סוויץ׳ שנתנו לנו במתנה

10. 03:54

    סוויץ׳ של שישה פורטים. יפה מאוד אז אני הלפטופ שלי תקוע בפורט מספר 1 ובוואן 1 אנחנו צריכים להגדיר IP חיצוני אנחנו הולכים לאינטרפייס לוואן 1 עומדים עליו עושים אדיט אוקיי עכשיו יש לנו אפשרות לקבל מבחוץ מהאינטרנט שלנו שאני אספר לכם סוד שהאינטרנט זה הרשת הביתית

11. 04:23

    שלי אבל לצורך העניין זה אינטרנט אנחנו יכולים לכתוב פה נניח ספק ISP הראשון שלי וזה תיאור זה תיאור שאני אראה אחרי זה DHCP זה אומר שמבחוץ אני מקבל DHCP PPPoE זה חייגן, כמו חייגן של בזק, של ספק האינטרנט ומנואל זה כתובת IP ידנית.

12. 04:51

    במקרה הזה נתתי לו כתובת 10.0.0.158 בסאבנט מס קלאסי. זה IP שבחרתי לתקשורת החוצה שלי. יפה מאוד. יש פה עוד כל מיני אפשרויות שאנחנו נדבר עליהן בהמשך.

13. 05:12

    שחשוב זה אדמיניסטרייטיב אקסס אדמיניסטרייטיב אקסס איך אפשר לגשת מבחוץ כי אנחנו בכרטיס רשת החיצוני אנחנו באינטרפייס החיצוני איך אפשר לגשת מבחוץ למכשיר עצמו האם מותר להתחבר למכשיר עצמו כדי לנהל אותו ב-HTTPS ב-SSH אני לא מאפשר לאף אחד להתחבר לניהול שלו מבחוץ שלא יפרצו לי אותו אני אנהל אותו רק מבפנים

14. 05:42

    ואני מאפשר מבחוץ רק פינגים יש כאלו שיגידו גם פינגים אסור מבחוץ אוקיי יפה מאוד אז אני מאפשר פינגים מבחוץ למכשיר זה נקרא administrative access גישה מנהלתית למכשיר עצמו יש לנו פה עוד אפשרויות לתת secondary IP IP נוסף אני יכול להגיד לו שיהיה לי שני כתובות IP על אותו כרטיס רשת ובסוף אני יכול לתת איזשהו description כמה מילים משלי

15. 06:12

    ו-up ו-down up ו-down זה אומר לכבות או להדליק אותו בלי להוציא כבל פיזית מבחינה מנהלתית, האם מנהל רשת מאפשר לכרטיס הזה להיות דלוק?

16. 06:25

    יפה מאוד. אז זה הגדרות שיש לנו בכרטיס רשת, ככה הגדרות בסיסיות. הגדרנו אותן.

17. 06:35

    זה one אחד הגדרנו. בואו נראה את ההגדרות שלי באינטרפייס הפנימי. שימו לב, כרגע אין לי שום דבר ב-DMZ. אני לא משתמש באופציה הזאת של רשת ביניים.

18. 06:50

    ואין לי שום דבר ב-one 2. ואין לי ספק אינטרנט נוסף כרגע. אז בואו ניכנס ל-internal ונראה מה יש לי ב-internal. יש לי כתובת ידנית 11 יש לי פה dns שימו לב המכשיר הזה המכשיר עצמו של 40-gate עובד כרגע כ-dns יפה והוא מבחינה אדמיניסטרטיבית מאפשר גישה ב-https בפינגים אפשר לעשות עליו פינגים

19. 07:22

    גם גישת ה-http כמו שאני עכשיו מחובר ssh אני יכול לעשות עליו ממש לפתוח פוטי ולעשות ssh בואו נפתח פוטי בואו נפתח פוטי האמת שיש לי פה פתוח אבל זה פוטי שהוא פתוח בכבל סריאלי אתם מבינים שלמכשיר הזה אם אין לו כתובת IP ואין לו שום דרך להתחבר אליו ומשהו השתבש בו אני ממש יכול לחבר מקלדת ומסך למכשיר על ידי כבל

20. 07:55

    סריאלי בואו אני אראה לכם אני בוחר כבל סריאלי מחבר אותו למכשיר בלפטופ שלי מחובר לי USB to COM כזה USB to COM אני אראה לכם יש לי כזה מכשיר USB to COM הנה כזה יש לי בדיוק כזה יש לי כמו רואים נכנס ל-USB ללפטופ, יוצא קום אחד, וקום הזה מתחבר לקונסול של 40-gate.

21. 08:28

    קונסול זה משהו לניהול שלו, פורט כניסה לניהול, ממש כמו מקלדת ומסך. אני אפילו רואה אותו בזמן ההדלקה. שימו לב, אם אני שם פה סיריאלי, במקרה שלי זה סיריאלי, אני לא זוכר איזה פורט, בואו ניכנס, אני אראה לכם מה זה פורט סיריאלי, כי זה מאוד מאוד חשוב שתדעו כל צרה שיש לכם.

22. 08:51

    עורך סריאלי זה כאילו אתם מסתכלים עליו פיזית עליו בלי IP בלי כלום זה עובד אתם רואים אצלי סריאלי USB to COM עובד על COM 10 אז אני כותב פה COM 10 הולך לסריאלי אומר COM 10 בלי flow control בלי parity 819600 כל ההגדרות פה תקינות עושה ב-session COM 10

23. 09:20

    סריאלי אופן עכשיו אני אסתכל על המכשיר כאילו מבחינה פיזית שלו אתם רואים, אתם יכולים לעשות לו אדמין ופאסוורד. אתם זוכרים ברירת מחדל שאין שום סיסמה.

24. 09:34

    ממש להריץ לו פקודות, כן? ממש להריץ לו פקודות, אנחנו נראה בהמשך הדרך פקודות. עכשיו, נניח שנדפק לי המכשיר, משהו השתבש לי לגמרי, אני יכול לכבות אותו ולהדליק אותו תוך כדי הקום הדלוק, ותסתכלו, אני עכשיו מכבה אותו, אני ממש מכבה אותו,

25. 09:55

    ומדליק אותו, ואתם רואים ממש איך שהוא מתחיל לעלות, ממש את התהליך הברוט שלו. ושימו לב, יש פה כפתור שאני יכול ללחוץ, ולחצתי על כפתור G מהר, לחצתי על כפתור מהר, ואתם יכולים לראות שהוא נתן לי תפריט לפני שהבוט עולה.

26. 10:16

    עכשיו אני יכול לבחור להעלות אימג' חדש, מערכת ההפעלה חדשה דרך שרת FTP, לפרמט את ההתקן עצמו. אני יכול לעשות בוט לתוך בקאפ של אימג' יש לו, כל המערכת ההפעלה שלו זה פימואר אימג'.

27. 10:35

    אז אני יכול לעשות בוט לפימור הישן ואני יכול להעלות את הרגיל. והנה הוא מעלה לי את המערכת ההפעלה הרגילה. זה כמו סייפבוט בווינדוס. אז כביכול אתם צריכים להכיר את זה כי זה מאוד מאוד חשוב. אם משהו משתבש לכם אתם מתקנים דרך זה את הבעיות.

28. 11:04

    לדוגמה לא עבד לי שדרוג וכל המכשיר לא עושה ריסטארט. אז נכנסתי לפה ועשיתי לו בוט ממערכת הפעלה הבייקאפית של הבייקאפ. כן, זאת אומרת יש לו כמו אימג' ישן בצד.

29. 11:24

    אז זה מאוד מאוד חשוב שתדעו לעשות את זה. והנה הוא עלה לנו המכשיר ואנחנו יכולים להיכנס ולרשום פקודות, אבל אנחנו, נכון שאנחנו לא אוהבים לרשום פקודות, אנחנו אוהבים יוזר אינטרפייס יפה.

30. 11:36

    אז רק לסגור את הנקודה הזאת, אני יכול להתחבר למכשיר הזה דרך HTTPS או HTTPS, כל מיני צורות כאלו, כמו שראינו פה, דרך ssh בפוטי ודרך כבל סריאלי בפוטי היתרון של ssh בואו נראה 192 168 שימו לב אני מתחבר דרך IP היתרון של ssh חיבור ssh שאפשר לעשות אותו מרחוק נניח יש לי חברה ויש לה 40 גייט באיזשהו מחסן אין לי כוח ללכת למחסן הזה

31. 12:07

    אני יכול להתחבר בדרך IP ב ssh והנה הוא אומר לי האם אתה בטוח שאתה רוצה להתחבר כן והנה אני בתוך המכשיר ויכול להריץ עליו פקודות ועכשיו אני יכול להריץ עליו פקודות ויש כל מיני פקודות שאין לדוגמה בממשק גרפי יש דברים שאין בממשק גרפי ואנחנו נראה בגרסה 5 כמה פקודות קריטיות שהם הורידו

32. 12:33

    בממשק גרפי וחייבים לעשות בפקודות. אז סיכום קטן פוטי מאפשר לנו להתחבר דרך SSH למכשיר מרחוק או דרך כבל סריאלי כשאני נמצא ממש פיזית לידו ואני צריך כבל קום אחד כזה היתרון של SSH שאפשר מרחוק היתרון של סריאלי שגם בזמן הבוט אני יכול להתערב לו באמצע ולתקן אותו.

33. 13:05

    יפה מאוד. נמשיך את הדרך הארוכה להגדיר רשת שתצא לאינטרנט. אז זה נקרא administrative access, פגישה אדמיניסטרטיבית למכשיר, וזה מאוד חשוב לעשות את זה מ-IP הפנימי.

34. 13:21

    אחרי שהגדרנו אינטרפייסים, בואו עכשיו, מה אנחנו נגדיר עכשיו? חוקים להיצע לאינטרנט. זה הדבר החשוב, לצאת לאינטרנט.

35. 13:39

    רק אני אבדוק, פנימי מוגדר, חיצוני מוגדר, אפשר להגדיר חוקים. אה, default gateway, default gateway, default gateway.

36. 13:51

    שמתם לב שעד עכשיו לא היה default gateway? יפה מאוד, default gateway, שכחתי default gateway. והוא נמצא בכלל בסטטי קראוט. זה ניתוב סטטי כמו בסיסקו.

37. 14:01

    עושים ניתוב ל-0000000000 ב-default gateway, שימו לב, זה default gateway של כרטיס וואן. אני אומר לו, כשאתה יוצא לאינטרנט, הראוטר הבא אחריך או של ספק האינטרנט או הראוטר שלי בבית מישהו הבא אחריו להעביר עליו את הפקטה אז אתם יכולים לעשות פה אדיט אצלי זה אדיט אצלכם זה להוסיף

38. 14:27

    חדש לכתוב פה 0.0.0 דרך ממשק דרך כרטיס רשת 1.1 שזה ה-XP הראשון אצלי IP הבא אחריי זה 10.0.0.138 וזהו קריאיט ניו כן אתם עושים קריאיט ניו ומכניסים לפה את בעצם את אני כבר עשיתי את זה האמת יפה מאוד יש עוד דברים ששכחתי לספר לכם עליהם פתאום נזכרתי על dhcp בגרסה 4 dhcp נמצא פה בנפרד בגרסה 5 של הממשק הגרפי הם

39. 15:04

    הכניסו אותו לתוך האינטרפייס עצמו זאת אומרת בגרסה 5 אתם תראו שהdhcp הוא בתוך אינטרפייס של הלאן הפנימי בגרסה 4