Megbízható, beavatkozásmentes Fortinet tűzfalak telepítésének tervezése: Az alkalmazásvezérlési adatbázis buktatóinak elkerülése

A nulla érintésű kiépítés (ZTP) leegyszerűsíti a nagyméretű Fortinet tűzfalak telepítését, de a mérnökök gyakran szembesülnek egy gyakori problémával: a szabályzat telepítése az elavult alkalmazásvezérlő adatbázis kategória-azonosítói miatt meghiúsul. Az ok megértése és a megfelelő munkafolyamat megvalósítása megbízható, automatizált telepítést biztosít.

Tartalomjegyzék

• 1. rész: Miért nem sikerül a FortiManager házirend telepítése új FortiGate eszközökön
• 2. rész: Az alkalmazásvezérlő adatbázis függőségének megértése
• 3. rész: A ZTP patthelyzetének megtörése: Megbízható telepítési munkafolyamat
• 4. rész: Gyakorlati megoldások Fortinet ZTP telepítésekhez
• 5. rész: Vállalati ajánlott gyakorlatok nagyméretű telepítésekhez
• 6. rész: Következtetés

1. rész: Miért nem sikerül a FortiManager házirend telepítése új FortiGate eszközökön

A kiváltó ok általában a FortiManager szabályzat és a FortiGate helyi biztonsági adatbázisai közötti verzióeltérésben rejlik. Az új FortiGate eszközök gyakran elavult alkalmazásvezérlési aláírásokkal érkeznek. Amikor a FortiManager megpróbál telepíteni egy újabb kategóriaazonosítókra hivatkozó szabályzatot, a FortiGate elutasítja azt, ami telepítési hibákat okoz.

• Szabályzat telepítése megszakítva
• Ismeretlen alkalmazáskategória-azonosító
• Érvénytelen alkalmazás aláírás hivatkozás
• FortiManager telepítési hibák ZTP közben

2. rész: Az alkalmazásvezérlő adatbázis függőségének megértése

Az Alkalmazásfelügyeleti adatbázis tartalmazza azokat az aláírásokat, amelyekre az NGFW szüksége van az olyan alkalmazások azonosításához, mint a Microsoft 365, a YouTube és a SaaS platformok. A FortiGate általában automatikusan frissíti az adatbázisát a FortiGuardból. ZTP telepítések esetén holtpont alakul ki: a tűzfal nem tud szabályzatokat telepíteni, amíg az adatbázis frissül, de nem tudja frissíteni az adatbázist, amíg a forgalom át nem halad egy telepített szabályzaton.

3. rész: A ZTP patthelyzetének megtörése: Megbízható telepítési munkafolyamat

A hibák elkerülése érdekében frissítse a FortiGuard adatbázisokat az összetett szabályzatok telepítése előtt. Egy megbízható munkafolyamat a következőket tartalmazza:

1. Kapcsolja be a FortiGate-et
2. Alapvető hálózati kapcsolat létrehozása
3. A FortiGate csatlakozik a FortiGuardhoz
4. Biztonsági adatbázisok frissítése
5. A FortiManager telepíti a teljes szabályzatcsomagot

4. rész: Gyakorlati megoldások Fortinet ZTP telepítésekhez

1. módszer: Bootstrap szabályzat telepítése

Telepítsen egy minimális „bootstrap” szabályzatot az alapvető forgalom engedélyezéséhez, kényszerítve a FortiGate-et az adatbázisok frissítésére a teljes éles szabályzat telepítése előtt.

2. módszer: A FortiManager használata helyi FortiGuard elosztókiszolgálóként

Biztonságos vagy légréses környezetekben a FortiManager helyi frissítési forrásként működhet:

• Töltse le a legújabb alkalmazásvezérlő csomagot a Fortinet támogatási portálról
• Feltöltés a FortiManagerbe
• Frissítési szolgáltatások engedélyezése a felügyelt eszközökhöz
• Frissítések indítása a FortiGate-en

Frissítések ellenőrzése CLI-vel:

diagnose autoupdate versions

5. rész: Vállalati ajánlott gyakorlatok nagyméretű telepítésekhez

Firmware verziók szabványosítása

Győződjön meg arról, hogy az eszközök FortiOS-verziót futtatnak, amely kompatibilis a FortiManager ADOM-mal, hogy elkerülje a szintaktikai hibákat vagy a nem támogatott funkciókat.

Eszköztervek használata a FortiManagerben

Az eszköz tervrajzai meghatározzák a telepítés előtti követelményeket:

• Szükséges firmware-verziók
• Kezdeti konfigurációs sablonok
• Frissítési eljárások

Telepítés előtti parancssori felület (CLI) feladatok automatizálása

Az előre futtatott szkriptek a következőket konfigurálhatják:

• FortiGuard DNS-beállítások
• Csatlakozás a FortiManagerhez helyi FDS-ként
• Hajtsa végre az update-now parancsot

6. rész: Következtetés

A nulla érintésű kiépítés gondos tervezést igényel az alkalmazásfelügyeleti adatbázis-holtpontok elkerülése érdekében. A bootstrap szabályzatok, a helyi FDS vagy az eszköztervrajzok használata megbízható és automatizált Fortinet telepítéseket biztosít több telephelyen. Ez a megközelítés következetes, hibamentes bevezetést biztosít manuális beavatkozás nélkül.

FAQ

Miért hibásodik meg a FortiManager szabályzat egy új FortiGate-en?

Ez általában azért fordul elő, mert a FortiGate alkalmazásvezérlő adatbázisa elavult, és nem ismeri fel a szabályzat által hivatkozott újabb kategória-azonosítókat.

Hogyan biztosíthatom, hogy a FortiGate adatbázis naprakész legyen a szabályzat telepítése előtt?

Használjon bootstrap szabályzatot, vagy konfigurálja a FortiManager-t helyi FortiGuard elosztókiszolgálóként, hogy az adatbázis-frissítéseket az összetett szabályzatok bevezetése előtt kikényszerítse.

Melyek a több telephelyes ZTP telepítések legjobb gyakorlatai?

Szabványosítsa a firmware-verziókat, használjon eszköz-tervrajzokat, és automatizálja a telepítés előtti parancssori felület (CLI) feladatokat a hibamentes telepítések biztosítása érdekében.