Interfejsy stanowią jeden z podstawowych elementów konfiguracji FortiGate. Urządzenie odbiera i wysyła za ich pośrednictwem ruch sieciowy. Następnie, na podstawie skonfigurowanych tras i polityk bezpieczeństwa, decyduje, jak obsłużyć dany ruch.
Jakie interfejsy może mieć FortiGate?
W FortiGate interfejs nie musi jednak oznaczać wyłącznie fizycznego portu znajdującego się na obudowie urządzenia. FortiOS pozwala również tworzyć interfejsy logiczne, które umożliwiają obsługę VLAN-ów, agregację kilku połączeń, zapewnienie redundancji oraz przypisanie adresu IP niezależnego od konkretnego portu fizycznego. Dobór konkretnego rodzaju interfejsu zależy od scenariusza, w którym wykorzystujemy nasze urządzenie.
Interfejsy fizyczne
Jest to najbardziej podstawowy rodzaj interfejsu dostępnego na FortiGate i odpowiada konkretnemu portowi w obudowie. W przypadku maszyn wirtualnych – odpowiada wirtualnej karcie sieciowej. Porty fizyczne to przede wszystkim podstawa do konfiguracji bardziej złożonych interfejsów. Do nich można dopiąć VLANy, czy tunele IPsec. Można je grupować w ramach interfejsów zagregowanych LACP, czy też Switchy.
W zależności od platformy sprzętowej spotykamy się z różnymi rodzajami portów fizycznych. Począwszy od najzwyklejszych portów RJ45 o prędkości 1GBit/s, przez porty SFP 1Gbit/s, SFP+ 10Gbit/s, kończąc na portach QSFP, czy QSFP+, które gwarantują prędkości rzędu 40 i 100Gbit/s. Oczywiście w przypadku firewalli i doboru właściwego rozmiaru urządzenia należy zwrócić uwagę na to ile faktycznie ruchu jest w stanie przerobić urządzenie. Ma to szczególnie znaczenie w przypadku używania profili security – przecież to o nie chodzi w przypadku nowoczesnych zapór sieciowych.
Interfejs VLAN
Dzisiejsza sieć nie może obyć sie bez VLANów, czyli logicznych segmentów sieci. Każdy z nich powinien posiadać również swoją odrębną adresację. FortiGate pozwala utworzyć na interfejsie fizycznym (ale nie tylko – w grę wchodzi również interfejs agregowany LACP, czy też Hardware, VLAN i Software Switch) kilka interfejsów VLAN. Każdy z nich identyfikujemy przez swój TAG – identyfikator VLANu. Interfejs nadrzędny (czyli ten, do którego „podpinamy” VLANy) pełni rolę VLANu nietagowanego.
Redundant Interface
Redundant Interface w FortiGate to mechanizm, który zapewnia wysoką dostępność. Dzieje się to przez połączenie dwóch lub większej liczby fizycznych interfejsów w jeden logiczny interfejs. W przypadku awarii jednego z portów, Fortigate przełącza ruch automatycznie na sprawny interfejs. Dzięki temu ogranicza się ryzyko utraty łączności i zwiększa niezawodność infrastruktury.
Loopback
Kolejnym rodzajem interfejsu jest loopback. W przeciwieństwie do interfejsu fizycznego nie przypisujemy go do konkretnego portu urządzenia. Jego najważniejszą cechą jest to, że pozostaje logicznie dostępny niezależnie od stanu pojedynczego interfejsu fizycznego. Dzięki temu możemy go wykorzystać jako stabilny punkt komunikacji z FortiGate.
Gdzie możemy używać interfejsu Loopback? Z uwagi na to, że jest zawsze dostępny jest dobrym pomysłem do wykorzystania jako interfejs służący do zarządzania urządzeniem. Kolejny pomysł to oparcie routingu na Loopbacku – protokoły takie jak OSPF, czy BGP potrzebują interfejsu na którym będą zaterminowane.
Hardware, Software i VLAN Switch
W urządzeniach FortiGate dostępne są różne typy interfejsów przełączających, które pozwalają łączyć porty fizyczne i organizować komunikację w sieci lokalnej. Podstawowe różnice między nimi dotyczą sposobu realizacji przełączania ruchu oraz możliwości segmentacji sieci.
- Software Switch – przełącznik realizowany programowo przez system FortiOS. Umożliwia połączenie kilku interfejsów fizycznych w jeden logiczny interfejs. Przekazywanie ruchu pomiędzy portami odbywa się z wykorzystaniem zasobów procesora urządzenia.
- Hardware Switch – przełącznik realizowany sprzętowo za pomocą dedykowanego układu przełączającego. Pozwala połączyć kilka portów fizycznych w jeden logiczny interfejs, a przekazywanie ruchu może odbywać się bezpośrednio przez układ sprzętowy, odciążając procesor FortiGate.
- VLAN Switch – typ przełącznika umożliwiający organizację i segmentację sieci z wykorzystaniem sieci VLAN. Pozwala logicznie rozdzielać ruch na niezależne segmenty, np. sieć pracowników, gości czy serwerów.
Warto zaznaczyć, że obsługa VLAN nie jest funkcjonalnością zarezerwowaną wyłącznie dla VLAN Switch. Interfejsy VLAN można również tworzyć na Software Switch oraz Hardware Switch. Oznacza to, że segmentacja sieci za pomocą VLAN może być realizowana niezależnie od wybranego mechanizmu przełączania.
NPU Link
NPU VDOM Link w FortiGate to wirtualne połączenie między domenami VDOM, które pozwala przesyłać ruch pomiędzy nimi z wykorzystaniem sprzętowej akceleracji NPU. Dzięki temu komunikacja między VDOM-ami może być wydajniejsza niż przy użyciu standardowego VDOM Link, który nie korzysta z takiego offloadingu.
Kiedy warto go używać?
- Gdy FortiGate ma kilka VDOM-ów i przesyłają one między sobą dużo ruchu.
- Gdy zależy Ci na ograniczeniu obciążenia CPU.
- Gdy chcesz zachować logiczną separację sieci (oczywiście pod warunkiem, że VDOMy mają swoje uzasadnienie – np. wiele podmiotów współdzielących jeden firewall), a jednocześnie uzyskać wydajne połączenie między VDOM-ami.
Interfejsy VPN
Interfejs IPsec reprezentuje logiczny tunel pomiędzy FortiGate a drugim urządzeniem lub siecią. W konfiguracji FortiGate tunel IPsec pojawia się na liście interfejsów i może być wykorzystywany podobnie jak interfejs fizyczny. Przykładowo możemy posiadać interfejs IPsec-HQ łączący centralę z oddziałem. Do tego interfejsu możemy skierować trasę do sieci znajdującej się po drugiej stronie tunelu, a następnie utworzyć odpowiednią politykę firewall. Dzięki takiemu podejściu routing i kontrola ruchu przez VPN są przejrzyste i łatwe do zarządzania. Co istotne, interfejs IPsec sam w sobie nie jest fizycznym portem. Jest logiczną reprezentacją zestawionego tunelu, przez który przesyłamy ruch.
SSL VPN również może pełnić funkcję logicznego interfejsu, jednak jego zastosowanie różni się od typowego interfejsu IPsec. FortiGate wykorzystuje SSL VPN przede wszystkim do zapewnienia zdalnego dostępu użytkownikom do zasobów sieciowych. W zależności od konfiguracji FortiOS kieruje ruch użytkowników VPN do odpowiednich interfejsów i sprawdza go zgodnie z regułami firewall. Administrator może w ten sposób precyzyjnie określić, do których sieci i usług użytkownicy zdalni uzyskają dostęp.
SSL VPN w swojej najszerzej stosowanej formie, czyli w formie tunelu powoli opuszcza platformy FortiGate. W zależności od modelu – przestaje być wspierany w FortiOS 7.4 i 7.6.
Co można skonfigurować w ramach interfejsu?
Jeżeli chodzi o konfigurację nowego interfejsu, przede wszystkim określamy jego typ, wybierając jeden z rodzajów omówionych wcześniej w artykule. Następnie nadajemy mu nazwę, najlepiej zgodną z przyjętą konwencją nazewniczą. Przykładowo dla VLAN-ów mogą to być v10_PC, v15_PRINTER, dla interfejsu Loopback – Lo1, a dla interfejsu agregowanego – To_LAN. Warto stosować spójne nazewnictwo, szczególnie w środowiskach wykorzystujących wiele interfejsów i VDOM-ów.
Kolejnym krokiem jest powiązanie nowego interfejsu z istniejącymi interfejsami fizycznymi lub logicznymi. W przypadku interfejsów VLAN należy wskazać odpowiedni interfejs nadrzędny. Dla interfejsów typu Switch wybieramy porty fizyczne, które będą wchodziły w skład przełącznika. Natomiast w przypadku agregacji łączy (LACP) wskazujemy interfejsy fizyczne, które zostaną połączone w jeden interfejs logiczny. Pozwala to uzyskać większą przepustowość oraz, zależnie od konfiguracji, redundancję połączenia.
Definiujemy rolę
Na etapie konfiguracji możemy również określić rolę interfejsu (Role), wybierając np. LAN, WAN, DMZ lub Undefined. Rola wpływa przede wszystkim na dostępność i prezentację poszczególnych opcji konfiguracyjnych. Przykładowo dla interfejsu WAN standardowo nie udostępnia się opcji konfiguracji serwera DHCP, podczas gdy dla LAN jest ona dostępna i często wykorzystywana, szczególnie w mniejszych instalacjach. Warto jednak pamiętać, że przypisanie roli LAN, WAN czy DMZ nie tworzy automatycznie odpowiednich reguł bezpieczeństwa, nie konfiguruje routingu ani nie zapewnia izolacji sieci. Za te elementy odpowiadają osobne mechanizmy FortiGate.
Jednym z podstawowych parametrów interfejsu jest oczywiście adresacja IP. W zależności od potrzeb możemy skonfigurować adres statycznie lub pobierać go dynamicznie z serwera DHCP. Dostępna jest również konfiguracja połączenia PPPoE, często wykorzystywanego w przypadku łączy internetowych. Tutaj wpisujemy właściwy login i hasło w celu połączenia się z siecią WAN. W niektórych środowiskach możliwa jest także integracja z systemem IPAM (IP Address Management), który ułatwia centralne zarządzanie adresacją. Dodatkowo FortiGate pozwala przypisać do jednego interfejsu kilka adresów IP, co może być przydatne np. podczas migracji adresacji lub obsługi wielu podsieci. Warto pamiętać również o możliwości konfiguracji adresacji IPv6.
Kluczowa sprawa – dostępy administracyjne
Kolejnym istotnym elementem jest Administrative Access, czyli określenie, jakie usługi administracyjne będą dostępne na danym interfejsie. Możemy tutaj zezwolić na dostęp do panelu HTTPS, SSH, PING, SNMP, FortiTelemetry czy innych obsługiwanych usług. Jest to bardzo ważny element z punktu widzenia bezpieczeństwa – przykładowo dostęp do panelu administracyjnego HTTPS i SSH powinien być ograniczony wyłącznie do interfejsów i sieci, z których faktycznie zarządzamy urządzeniem. Samo włączenie danej usługi na interfejsie nie oznacza jeszcze, że dostęp będzie możliwy z dowolnego adresu. Znaczenie mają również ustawienia dostępu administratorów, trusted hosts oraz pozostałe mechanizmy kontroli dostępu.
Wśród dodatkowych opcji konfiguracyjnych znajdziemy również Device Detection. Jest to mechanizm pozwalający FortiGate identyfikować urządzenia znajdujące się w danej sieci na podstawie obserwowanego ruchu i dostępnych informacji, np. adresów MAC, danych DHCP czy charakterystycznych cech komunikacji. Dzięki temu urządzenie może gromadzić informacje o hostach, takie jak adres IP, MAC, nazwa hosta, system operacyjny czy typ urządzenia. Zakres rozpoznawanych informacji zależy od dostępnych danych i zastosowanych mechanizmów identyfikacji. Funkcja ta jest szczególnie przydatna w sieciach LAN, gdzie pozwala uzyskać lepszy obraz podłączonych urządzeń i ułatwia ich inwentaryzację.
Kolejną opcją jest Security Mode, który umożliwia zastosowanie mechanizmu Captive Portal na interfejsie. W praktyce oznacza to możliwość wymagania od użytkownika uwierzytelnienia przed uzyskaniem dostępu do sieci lub określonych zasobów. Użytkownik może zostać przekierowany na stronę logowania, gdzie podaje swoje dane uwierzytelniające. Mechanizm ten znajduje zastosowanie przede wszystkim w sieciach gościnnych, hotelach czy innych środowiskach, w których chcemy kontrolować dostęp użytkowników do sieci. Uwierzytelnianie może być realizowane z wykorzystaniem lokalnych kont FortiGate lub zewnętrznych serwerów, np. RADIUS, zależnie od konfiguracji.
Co oprócz tego?
Na wybranych interfejsach możemy uruchomić serwer DHCP – może on rozdawać adresy ze skonfigurowanej puli, przydzielać konfigurację DNS, oraz wysyłać wybranę opcję DHCP.
Oprócz możliwości uruchomienia lokalnego serwera DHCP, FortiGate oferuje również funkcję DHCP Relay. Jest ona przydatna w sytuacjach, w których chcemy korzystać z jednego centralnego serwera DHCP obsługującego wiele podsieci, zamiast uruchamiać osobną usługę DHCP na każdym interfejsie lub w każdej podsieci. W DHCP Relay wpisuje się adres IP na który ma być przekierowane zapytanie DHCP (z adresem bramy sieci, z której przyszło zapytanie jako źródłowy adres IP). Inny przypadek użycia to pomoc systemowi NAC (czyli systemowi kontroli dostępu do sieci). Często jest tak, że NAC potrzebuje wiedzy na temat zapytań DHCP i późniejszych przydzieleń adresów IP, dlatego stosuje się Relay nie tylko na centralny serwer DHCP, ale również na serwery systemu NAC.
Na koniec warto zwrócić uwagę na pozostałe parametry interfejsu, takie jak MTU, prędkość i tryb pracy portu (Speed/Duplex), przypisanie do VDOM-u czy ustawienia dotyczące routingu i monitorowania dostępności łącza. Nie wszystkie z tych opcji będą dostępne dla każdego typu interfejsu, ale mogą mieć istotne znaczenie dla prawidłowego działania i wydajności całej sieci.
Po skonfigurowaniu interfejsu należy pamiętać, że samo utworzenie i przypisanie mu adresu IP nie oznacza jeszcze, że ruch będzie przez niego prawidłowo przepływał. W zależności od scenariusza konieczne może być dodanie odpowiednich tras routingu, polityk firewall, konfiguracji NAT oraz – w przypadku interfejsów VLAN – zapewnienie prawidłowej konfiguracji VLAN po drugiej stronie połączenia.
Local-In Policy – kontrola dostępu do usług FortiGate
Wspominając o dostępach administracyjnych, warto również zwrócić uwagę na mechanizm Local-In Policy. O ile opcja Administrative Access określa, które usługi (np. HTTPS, SSH, PING czy SNMP) mogą być dostępne na danym interfejsie, o tyle Local-In Policy pozwala precyzyjniej kontrolować, kto i z jakich adresów może z nich korzystać.
Jest to istotne rozróżnienie, ponieważ ruch kierowany do samego urządzenia FortiGate (np. próba zalogowania się do panelu administracyjnego) nie jest traktowany tak samo jak ruch przechodzący przez firewall. Local-In Policy umożliwia tworzenie reguł określających m.in. źródłowy adres IP, interfejs wejściowy, usługę oraz decyzję o zezwoleniu lub zablokowaniu połączenia.
Przykładowo możemy zezwolić na dostęp SSH i HTTPS do FortiGate wyłącznie z podsieci administratorów, jednocześnie blokując takie próby z pozostałych sieci. Dzięki temu nawet jeśli dana usługa jest włączona w Administrative Access, możemy dodatkowo ograniczyć możliwość jej wykorzystania.
Podsumowując, interfejsy FortiGate oferują szerokie możliwości zarządzania ruchem sieciowym, konfiguracji zabezpieczeń oraz monitorowania infrastruktury. Ich znajomość pozwala nie tylko efektywnie wykorzystywać funkcje urządzeń, ale także szybciej diagnozować problemy i zwiększać poziom bezpieczeństwa sieci. Umiejętne korzystanie z dostępnych narzędzi administracyjnych stanowi więc istotny element skutecznego zarządzania środowiskiem IT.