Entwicklung zuverlässiger Zero-Touch-Bereitstellungen für Fortinet-Firewalls: Vermeidung von Fallstricken in der Anwendungskontrolldatenbank

Zero-Touch Provisioning (ZTP) vereinfacht die Bereitstellung von Fortinet-Firewalls in großem Umfang. Techniker stoßen jedoch häufig auf ein bekanntes Problem: Die Richtlinieninstallation schlägt aufgrund veralteter Kategorie-IDs in der Application Control-Datenbank fehl. Die Ursachenanalyse und die Implementierung eines geeigneten Workflows gewährleisten zuverlässige, automatisierte Rollouts.

Inhaltsverzeichnis

• Teil 1: Warum die FortiManager-Richtlinieninstallation auf neuen FortiGate-Geräten fehlschlägt
• Teil 2: Die Abhängigkeit der Anwendungskontrolle von der Datenbank verstehen
• Teil 3: Überwindung der ZTP-Blockade: Ein zuverlässiger Bereitstellungsworkflow
• Teil 4: Praktische Lösungen für Fortinet ZTP-Implementierungen
• Teil 5: Bewährte Verfahren für großflächige Implementierungen in Unternehmen
• Teil 6: Fazit

Teil 1: Warum die FortiManager-Richtlinieninstallation auf neuen FortiGate-Geräten fehlschlägt

Die Ursache liegt meist in einer Versionsinkompatibilität zwischen der FortiManager-Richtlinie und den lokalen Sicherheitsdatenbanken des FortiGate. Neue FortiGate-Geräte werden oft mit veralteten Signaturen der Anwendungskontrolle ausgeliefert. Versucht FortiManager, eine Richtlinie mit neueren Kategorie-IDs zu installieren, lehnt das FortiGate diese ab, was zu Installationsfehlern führt.

• Richtlinieninstallation abgebrochen
• Unbekannte Anwendungskategorie-ID
• Ungültiger Anwendungssignaturverweis
• FortiManager-Installationsfehler während ZTP

Teil 2: Die Abhängigkeit der Anwendungskontrolle von der Datenbank verstehen

Die Datenbank für Anwendungskontrolle enthält Signaturen, die die NGFW benötigt, um Anwendungen wie Microsoft 365, YouTube und SaaS-Plattformen zu identifizieren. Normalerweise aktualisiert FortiGate seine Datenbank automatisch über FortiGuard. Bei ZTP-Bereitstellungen entsteht jedoch ein Deadlock: Die Firewall kann keine Richtlinien installieren, solange die Datenbank nicht aktualisiert ist, aber sie kann die Datenbank erst aktualisieren, wenn Datenverkehr über eine installierte Richtlinie fließt.

Teil 3: Überwindung der ZTP-Blockade: Ein zuverlässiger Bereitstellungsworkflow

Um Fehler zu vermeiden, aktualisieren Sie die FortiGuard-Datenbanken vor der Installation komplexer Richtlinien. Ein zuverlässiger Workflow umfasst Folgendes:

1. Stromversorgung des FortiGate
2. Grundlegende Netzwerkverbindungen herstellen
3. FortiGate verbindet sich mit FortiGuard
4. Aktualisierung der Sicherheitsdatenbanken
5. FortiManager installiert das vollständige Richtlinienpaket

Teil 4: Praktische Lösungen für Fortinet ZTP-Implementierungen

Methode 1: Bootstrap-Richtlinienbereitstellung

Stellen Sie eine minimale "Bootstrap"-Richtlinie bereit, um grundlegenden Datenverkehr zu ermöglichen und FortiGate zu zwingen, seine Datenbanken vor der vollständigen Installation der Produktionsrichtlinie zu aktualisieren.

Methode 2: FortiManager als lokalen FortiGuard-Verteilungsserver verwenden

In sicheren oder vom Netzwerk abgeschotteten Umgebungen kann FortiManager als lokale Updatequelle fungieren:

• Laden Sie das neueste Application Control-Paket vom Fortinet-Supportportal herunter.
• Hochladen auf FortiManager
• Aktivieren Sie die Updatedienste für verwaltete Geräte.
• Trigger-Updates auf FortiGate

Überprüfen Sie die Aktualisierungen mit der Befehlszeile:

diagnose autoupdate versions

Teil 5: Bewährte Verfahren für großflächige Implementierungen in Unternehmen

Standardisierung der Firmware-Versionen

Um Syntaxfehler oder nicht unterstützte Funktionen zu vermeiden, stellen Sie sicher, dass auf den Geräten eine FortiOS-Version ausgeführt wird, die mit FortiManager ADOM kompatibel ist.

Geräte-Blueprints in FortiManager verwenden

Geräte-Blueprints definieren die Anforderungen vor der Bereitstellung:

• Erforderliche Firmware-Versionen
• Vorlagen für die Erstkonfiguration
• Aktualisierungsverfahren

Automatisierung von CLI-Aufgaben vor der Bereitstellung

Vorab-Skripte können Folgendes konfigurieren:

• FortiGuard DNS-Einstellungen
• Verbindung zu FortiManager als lokaler FDS
• Führe den Befehl update-now aus

Teil 6: Fazit

Zero-Touch Provisioning erfordert sorgfältige Planung, um Datenbank-Deadlocks der Anwendungskontrolle zu vermeiden. Der Einsatz von Bootstrap-Richtlinien, lokalem FDS oder Geräte-Blueprints gewährleistet zuverlässige und automatisierte Fortinet-Bereitstellungen an mehreren Standorten. Dieser Ansatz ermöglicht konsistente und fehlerfreie Rollouts ohne manuelle Eingriffe.

FAQ

Warum schlägt die FortiManager-Richtlinie auf einem neuen FortiGate fehl?

Dies tritt üblicherweise auf, weil die Application Control-Datenbank von FortiGate veraltet ist und neuere Kategorie-IDs, auf die in der Richtlinie verwiesen wird, nicht erkennen kann.

Wie kann ich sicherstellen, dass die FortiGate-Datenbank vor der Richtlinieninstallation auf dem neuesten Stand ist?

Verwenden Sie eine Bootstrap-Richtlinie oder konfigurieren Sie FortiManager als lokalen FortiGuard-Verteilungsserver, um Datenbankaktualisierungen zu erzwingen, bevor komplexe Richtlinien übertragen werden.

Was sind die Best Practices für die Implementierung von ZTP an mehreren Standorten?

Standardisieren Sie Firmware-Versionen, verwenden Sie Geräte-Blueprints und automatisieren Sie CLI-Aufgaben vor der Bereitstellung, um fehlerfreie Rollouts zu gewährleisten.