Richtlinienrouting-Konfiguration in Fortigate

Ich habe ein Szenario, in dem eine Fortigate-Firewall verwendet wird, um interne Netzwerke vom Internet zu trennen (FortiOS Version 4.0 MR3 Patch 11). Derzeit ist eine einzige Internetverbindung an die Firewall angeschlossen, und eine statische Standardroute wird verwendet, um den gesamten Internetverkehr durch die Firewall zu leiten. Ich möchte eine zweite Internetverbindung an die Firewall anschließen und dann nur bestimmten Datenverkehr durch diese leiten, z. B. Webbrowser-Datenverkehr.

Für dieses Setup behalte ich die aktuelle statische Standardroute über die erste Verbindung bei und konfiguriere dann Richtlinienroutingoptionen, um den Verkehr mit den Zielports TCP / 80 und TCP / 443 über die zweite Internetverbindung weiterzuleiten. Wie erwartet wird das Richtlinienrouting vor der Routing-Tabelle ausgewertet und der gesamte für TCP / 80 und TCP / 443 bestimmte Datenverkehr wird an die zweite Verbindung gesendet, einschließlich des Datenverkehrs zwischen Subnetzen, die direkt mit dem Fortigate verbunden sind, wodurch die Kommunikation zwischen ihnen unterbrochen wird.

In einer Cisco-Umgebung würde ich die ACL anpassen, die verwendet wird, um den Datenverkehr für das Richtlinienrouting abzugleichen, den Datenverkehr zwischen internen Netzwerken am Anfang der ACL verweigern und am Ende eine Anweisung "any any" hinzufügen. Ich kann jedoch nicht den Weg finden, das Fortigate anzuweisen, auf ähnliche Weise zu arbeiten.

Wissen Sie, wie dieses Szenario mit Fortigate funktioniert?

Da Richtlinienrouten von oben nach unten ausgewertet werden, können Sie diese Grenze umgehen, indem Sie einen spezifischeren Eintrag platzieren, der dem Datenverkehr vom internen Subnetz A zum internen Subnetz B entspricht.

Dies sollte jedoch weniger komfortabel sein, wenn Sie viele verschiedene Netzwerke an Ihre interne Schnittstelle angeschlossen haben.

In diesem Fall würde ich Ihnen einen Trick empfehlen, den ich einmal verwendet habe: Da Fortigate-Geräte QoS-Markierungen ignorieren, sollten Sie Ihre "Internet" -Pakete am Firewall-Port Ihres Cisco-Switches mit einem bestimmten TOS signieren und diese Markierung dann in Ihrem verwenden Politik-Route.

Aus dem Network Labs- Blog:

"Im Falle einer Fortinet-Firewall ist die Richtlinienroute:
CLI-Version:

config router policy
    edit 1
        set input-device "port4"
        set src 172.18.0.0 255.255.0.0
        set dst 192.168.3.0 255.255.255.0
        set protocol 6
        set start-port 443
        set end-port 443
        set gateway 1.1.1.1
        set output-device "port3"
    next
end

Informationen zur GUI-Version finden Sie im obigen Blog. Ich kann keine Bilder posten, bis ich 10 Wiederholungspunkte bekomme. : - /