Thiết kế triển khai không cần can thiệp thủ công đáng tin cậy cho tường lửa Fortinet: Tránh những cạm bẫy của cơ sở dữ liệu kiểm soát ứng dụng

Cấu hình tự động (Zero-Touch Provisioning - ZTP) đơn giản hóa việc triển khai tường lửa Fortinet quy mô lớn, nhưng các kỹ sư thường gặp phải một vấn đề phổ biến: việc cài đặt chính sách thất bại do ID danh mục cơ sở dữ liệu Kiểm soát ứng dụng đã lỗi thời. Hiểu rõ nguyên nhân và triển khai quy trình làm việc phù hợp sẽ đảm bảo việc triển khai tự động và đáng tin cậy.

Mục lục

• Phần 1: Vì sao quá trình cài đặt chính sách FortiManager thất bại trên các thiết bị FortiGate mới
• Phần 2: Hiểu về sự phụ thuộc của cơ sở dữ liệu điều khiển ứng dụng
• Phần 3: Phá vỡ thế bế tắc ZTP: Quy trình triển khai đáng tin cậy
• Phần 4: Các giải pháp thực tiễn cho việc triển khai Fortinet ZTP
• Phần 5: Các thực tiễn tốt nhất dành cho doanh nghiệp trong triển khai quy mô lớn
• Phần 6: Kết luận

Phần 1: Vì sao quá trình cài đặt chính sách FortiManager thất bại trên các thiết bị FortiGate mới

Nguyên nhân gốc rễ thường là do sự không tương thích phiên bản giữa chính sách của FortiManager và cơ sở dữ liệu bảo mật cục bộ của FortiGate. Các thiết bị FortiGate mới thường được xuất xưởng với chữ ký Kiểm soát Ứng dụng lỗi thời. Khi FortiManager cố gắng cài đặt một chính sách tham chiếu đến ID danh mục mới hơn, FortiGate sẽ từ chối, gây ra lỗi cài đặt.

• Quá trình cài đặt chính sách đã bị hủy bỏ.
• ID danh mục ứng dụng không xác định
• Tham chiếu chữ ký ứng dụng không hợp lệ
• Lỗi cài đặt FortiManager trong quá trình ZTP

Phần 2: Hiểu về sự phụ thuộc của cơ sở dữ liệu điều khiển ứng dụng

Cơ sở dữ liệu Kiểm soát Ứng dụng chứa các chữ ký cần thiết để NGFW nhận dạng các ứng dụng như Microsoft 365, YouTube và các nền tảng SaaS. Thông thường, FortiGate tự động cập nhật cơ sở dữ liệu từ FortiGuard. Trong các triển khai ZTP, một tình trạng bế tắc xảy ra: tường lửa không thể cài đặt chính sách cho đến khi cơ sở dữ liệu được cập nhật, nhưng nó không thể cập nhật cơ sở dữ liệu cho đến khi lưu lượng truy cập đi qua một chính sách đã được cài đặt.

Phần 3: Phá vỡ thế bế tắc ZTP: Quy trình triển khai đáng tin cậy

Để tránh lỗi, hãy cập nhật cơ sở dữ liệu FortiGuard trước khi cài đặt các chính sách phức tạp. Quy trình làm việc đáng tin cậy bao gồm:

1. Bật nguồn thiết bị FortiGate
2. Thiết lập kết nối mạng cơ bản
3. FortiGate kết nối với FortiGuard.
4. Cập nhật cơ sở dữ liệu bảo mật
5. FortiManager cài đặt toàn bộ gói chính sách.

Phần 4: Các giải pháp thực tiễn cho việc triển khai Fortinet ZTP

Phương pháp 1: Triển khai chính sách Bootstrap

Triển khai chính sách "khởi động" tối thiểu để cho phép lưu lượng truy cập cơ bản, buộc FortiGate phải cập nhật cơ sở dữ liệu trước khi cài đặt chính sách sản xuất đầy đủ.

Phương pháp 2: Sử dụng FortiManager làm máy chủ phân phối FortiGuard cục bộ

Đối với môi trường bảo mật hoặc không kết nối mạng, FortiManager có thể hoạt động như một nguồn cập nhật cục bộ:

• Tải xuống gói Application Control mới nhất từ ​​Cổng hỗ trợ Fortinet.
• Tải lên FortiManager
• Kích hoạt dịch vụ cập nhật cho các thiết bị được quản lý.
• Kích hoạt cập nhật trên FortiGate

Xác minh các bản cập nhật bằng CLI:

diagnose autoupdate versions

Phần 5: Các thực tiễn tốt nhất dành cho doanh nghiệp trong triển khai quy mô lớn

Chuẩn hóa các phiên bản phần mềm

Hãy đảm bảo các thiết bị đang chạy phiên bản FortiOS tương thích với FortiManager ADOM để tránh lỗi cú pháp hoặc các tính năng không được hỗ trợ.

Sử dụng bản thiết kế thiết bị trong FortiManager

Bản thiết kế thiết bị xác định các yêu cầu trước khi triển khai:

• Phiên bản phần sụn cần thiết
• Mẫu cấu hình ban đầu
• Cập nhật thủ tục

Tự động hóa các tác vụ CLI trước khi triển khai

Các tập lệnh chạy trước có thể cấu hình:

• Cài đặt DNS của FortiGuard
• Kết nối với FortiManager dưới dạng FDS cục bộ
• Thực thi lệnh cập nhật ngay

Phần 6: Kết luận

Cung cấp tự động (Zero-Touch Provisioning) đòi hỏi kế hoạch cẩn thận để tránh tình trạng tắc nghẽn cơ sở dữ liệu Kiểm soát Ứng dụng. Sử dụng các chính sách khởi động, FDS cục bộ hoặc Bản thiết kế thiết bị đảm bảo triển khai Fortinet tự động và đáng tin cậy trên nhiều địa điểm. Cách tiếp cận này đạt được sự triển khai nhất quán, không lỗi mà không cần sự can thiệp thủ công.

FAQ

Tại sao chính sách FortiManager lại không hoạt động trên thiết bị FortiGate mới?

Lỗi này thường xảy ra do cơ sở dữ liệu Kiểm soát Ứng dụng của FortiGate đã lỗi thời và không thể nhận dạng các ID danh mục mới hơn được tham chiếu bởi chính sách.

Làm thế nào để tôi đảm bảo cơ sở dữ liệu FortiGate được cập nhật trước khi cài đặt chính sách?

Sử dụng chính sách khởi tạo hoặc cấu hình FortiManager như một máy chủ phân phối FortiGuard cục bộ để buộc cập nhật cơ sở dữ liệu trước khi triển khai các chính sách phức tạp.

Các phương pháp tối ưu nhất cho việc triển khai ZTP đa địa điểm là gì?

Chuẩn hóa các phiên bản firmware, sử dụng Device Blueprints và tự động hóa các tác vụ CLI trước khi triển khai để đảm bảo quá trình triển khai không xảy ra lỗi.