פתיחת פורט ב-FortiGate

תמלול ההרצאה: פתיחת פורט ב-FortiGate

הטקסט המלא של הדקות הראשונות בהרצאה «פתיחת פורט ב-FortiGate» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם, בסרט הזה אנחנו נלמד איך לפתוח פורט בראוטר של FortiGate מבחוץ פנימה. למעשה אנחנו נפתח פורט של 443 של HTTPS ו-HTTP ונראה איך זה עובד.

2. 00:20

   זאת תהיה הרצאה יחסית פשוטה. בואו ניכנס לראוטר שלנו. אני רק רוצה להראות לכם שבאינטרפייסים פה, באינטרפייס החיצוני שלי ב-One החיצוני, נתתי לעצמי, חוץ מהכתובת הרגילה החיצונית, אני נתתי לעצמי עוד Secondary IP בשביל לאפשר לעצמי לנהל מבחוץ.

3. 00:50

   כרגע אנחנו יושבים מבחוץ ומנהלים דרך הכתובת החיצונית. אתם רואים, דרך הכתובת של 253 יש לנו HTTPS פנימה לתוך הראוטר. עשיתי לעצמי Secondary IP כדי לנהל מבחוץ, כדי להראות לכם בסרט, כי רציתי לצלם אותו מבחוץ.

4. 01:09

   יפה מאוד. אז אנחנו רוצים בעצם לעשות חוק שדרך פורט, דרך ה-IP החיצוני שלי, שזה ה-IP החיצוני שלי, אני אעשה HTTP ואתחבר לשרת אינטרנט בתור התחלה, אוקיי?

5. 01:28

   זאת המטרה שלי, לעשות חוק כזה. הוא לקח את זה מתוך קאש, כי עשיתי בדיקה לפני שהתחלנו, אז עכשיו זה לא מתחבר. אז איך לעשות ככה שיהיה לי nut מבחוץ, שזה יתחבר לי מבחוץ?

6. 01:46

   למעשה לפתוח פורט. אומרים כרגע זה לא זמין, אז בואו נראה איך פותחים פורט. אנחנו צריכים קודם כל ללכת לעשות אובייקט virtual IP בfirewall objects לעשות virtual IP. virtual IP זה למעשה כמו לפתוח פורט למפות, לעשות מפה מבחוץ פנימה בפורטים ובכתובות IP. אז בואו נתחיל מ-Web מיי וב מיי וב סרבר מיי וב סרבר HTTP. נתחיל בפורט

7. 02:26

   אנחנו יכולים לקבוע האם החוק הזה יעבוד, המיפוי הזה יעבוד רק מ-one החיצוני פנימה או שאנחנו יכולים לעשות any interface אם אנחנו עושים פה any interface חייבים לכתוב IP חיצוני שלי שאליו שאני ממפה ממנו לדוגמה 10.0.254 זאת אומרת אם אני כותב IP בצורה מפורשת כמו שאני עושה כרגע זה דרך אגב ה-IP הפנימי 110 ועוד מעט נגיע לפורט לכל הסקרנים זה פורט מבחוץ פנימה.

8. 03:09

   הנקודה היא כזאת שאם אני שם פה any interface אני חייב לרשום פה איזושהי כתובת IP למפות לעומת זאת אני יכול לא להגיד לו איזושהי IP ספציפי להשאיר את זה 0 0 0 ואז אני צריך להגיד לו כל מי שיגיע מ-one החיצוני.

9. 03:27

   זאת אומרת כל מי שמגיע מכרטיס רשת החיצוני שלי לא משנה לאיזה IP הוא פנה כמובן שבכרטיס רשת חיצוני יכולים להיות הרבה כתובות IP כמו שהראתי לכם כרגע שיש לנו שניים זה קורה לדוגמא כשאני מקבל טווח של כתובות מהספק אני יכול לפנות לספק להגיד לו תביא לי 10 כתובות IP או 8 כתובות IP כן זה בשמיניות הולך אז הוא נותן לי כמה כתובות IP אז אני יכול להגיד

10. 03:55

    לא משנה באיזה כתובת הIP מגיעים מבחוץ אז תמפה את זה ל-110 של פורט 80 ל-80 אני מניח פה שאתם יודעים מה זה לפתוח פורט בראוטר הרגיל בבית אז אם אני רוצה למפות את לא משנה איזה IP זה דרך אגב גם חשוב כשיש לכם IP דינמי לדוגמה נניח יש לכם נניח הפורטיגייט מחובר למשהו שיש לו IP דינמי אז גם פה חשוב

11. 04:24

    להשאיר את זה 0.0.0 ולהגיד שזה פורט 1.1 ואפשר להגיד שזה Any ולהגיד פה IP ספציפי חיצוני אני במקרה שלי יש לי שני כתובות IP בחוץ 253 שדרכה אני מנהל את זה תראו למעלה אני מנהל דרך 253 אז אני רוצה רק את ה-254, רק את ה-254 למפות ל-110, כן?

12. 04:55

    רק להשתמש בכתובת הזאת. אני יכול גם להגיד כל מי שמגיע מ-1-1 לעשות גם וגם. יפה, אני יכול גם להגביל פה מאיזה IP מותר להגיע אליי מבחוץ.

13. 05:06

    לדוגמה, להגיד רק מסניף מסוים שלי בחברה, אוקיי? יופי, אז אנחנו אומרים איזה IP בחוץ, ממופה לאיזה IP פנימי, ואומרים איזה פורט בחוץ, ממופה לאיזה פורט פנימי.

14. 05:19

    כמובן שאפשר לעשות טווחים ולבחור איזה פרוטוקול. עושים אוקיי ועשינו עכשיו virtual IP, צריך להכניס אותו לאיזשהו חוק, לשייך אותו לאיזשהו חוק.

15. 05:33

    אז בואו נלך לחוקים שלנו בפוליסי ונעשה חוק חדש. כרגע אין לנו אף חוק מבחוץ פנימה, כל החוקים שלנו, שזה כולה אחד, מבפנים החוצה, אנחנו צריכים הפוך, מבחוץ פנימה.

16. 05:48

    אנחנו עושים חוק שאומר שמי שמגיע מ-one החיצוני, מ-one החיצוני, כל כתובת בוואן החיצוני ללאן הפנימי אבל היעד שלו זה בעצם המיפוי שלנו שימו לב המיפוי נכנס בדיסטניישן לא בסורס בדיסטניישן כי סורס זה מי מגיע אליי באיזה פורט אם אני רוצה לאפשר את זה אני יכול לכתוב פה http ולאפשר נניח

17. 06:23

    רק פורט http זאת אומרת גם המיפוי עובד וגם פילטר לפי פורט עובד זה גם וגם אל תתבלבלו אז פורט 80 במיפוי וגם פורט 80 בחוקים זה חייב להיות תואם אם אתם תעשו חוק מיפוי מפורט לפורט אבל זה לא תואם לסרוויס פה זה לא יעבוד לכם הוא פשוט ייפול באחד משלבי הבדיקות מה שקורה שהוא קודם

18. 06:51

    כל עושה יש לו שלבי בדיקות שהוא בודק את הפאקט אז אם זה לא יהיה תואם לזה זה פשוט לא יעבוד לכם וזאת טעות מאוד מאוד נפוצה אתם פותחים פה פורטים שוכחים להוסיף את זה בסרוויס וזה לא עובד לכם יפה מאוד הנה בלנאט למה אנחנו אנחנו רוצים נאט כי כשרשת החיצונית מקבלת פאקט בחזרה, שימו לב זה חשוב בשביל להחזיר את הפאקט,

19. 07:19

    אנחנו חייבים את הנאט. כי הרשת בחוץ לא מכירה את האייפים של הרשת בפנים, זאת בעיקר הבעיה. הרשת בחוץ יש לה default gateway אחר לגמרי, אז אני חייב נאט כדי שהכל יצא כאילו זה מ-IP של הרגל החיצונית של הראוטר.

20. 07:41

    לא משנה מה יהיה בפנים, שהכל יעבור נאט. ונע דרך ה-IP של האינטרפס החיצוני, אני יכול להוסיף פה טווח של זה, אוקיי, כרגע אנחנו לא מתעסקים בפילטרים כדי לא לבלבל את עצמנו, בואו נראה שזה עובד.

21. 07:59

    אז עשינו חוק שכל מי שמגיע מבחוץ ל-Distination ל-IP הפנימי עובר מפול ל-110 ויש גם פילטר של HTTPS. בואו נבדוק שזה עובד, נעשה רפרש, ואתר הבדיקות שלנו עובד, יפה מאוד.

22. 08:17

    עכשיו אנחנו רוצים לאפשר גם HTTPS, אוקיי? רוצים לאפשר HTTPS. אז נלך פה ל-Virtual IP, Firewall Objects, באובייקטים Virtual IP, נוסיף עוד אחד, My Web, אני אוהב לכתוב My שאני אדע להבדיל מזה של המערכת My Web Server, מקף HTTPS, פורט HTTPS,

23. 08:43

    הפעם אני אגיד,