Fortigate

Wenn ein FortiGate IPsec VPN nicht hochkommt oder zwar „up“ ist, aber kein Verkehr läuft, hilft eine feste Reihenfolge bei der Fehlersuche. Am schnellsten arbeitest du von Phase 1 über Phase 2 bis zu Routing und Firewall-Policy. 1. Tunnelstatus prüfen Als ersten Überblick: Damit prüfst du die IKE-/Phase-1-Verbindung. Für die Phase-2-SAs: Gezielt für einen Tunnel: Achte besonders auf den Status der SAs sowie RX/TX-Pakete. Wenn nur eine Richtung zählt, liegt das Problem oft hinter der eigentlichen Tunnel-Aushandlung. 2. Phase 1 prüfen Kommt Phase 1 nicht zustande, kontrolliere zuerst: Pre-Shared Key bzw. Zertifikat IKE-Version Verschlüsselungs- und Authentifizierungsproposal Diffie-Hellman-Gruppe Remote Gateway NAT-T / UDP 500 und 4500 Für einen gefilterten IKE-Debug unter aktuellen FortiOS-Versionen: Bei älteren FortiOS-Versionen hieß der Filterbefehl teilweise diagnose …

weiterlesen ….

Die FortiGate hat einen eingebauten Packet Sniffer, der sich sehr gut für die Fehlersuche bei Routing-, Firewall-, VPN- oder Anwendungsproblemen eignet. Wer mit tcpdump arbeitet, findet sich bei diagnose sniffer packet schnell zurecht. Grundsyntax von diagnose sniffer packet Die wichtigsten Parameter: interface: z. B. port1, internal oder any filter: BPF-ähnlicher Filter, z. B. Host, Port oder Protokoll verbose: Ausgabestufe 1 bis 6 count: Anzahl Pakete; 0 läuft bis zum Abbruch timestamp: z. B. a für absoluten Zeitstempel oder l für lokalen Zeitstempel, abhängig von FortiOS-Version und Ausgabeformat Die Verbose-Level 1: Paket-Header 2: IP-Header plus Nutzdaten 3: Ethernet-Header plus Nutzdaten 4: Paket-Header mit Interface-Namen 5: IP-Header, Nutzdaten und Interface-Namen 6: Ethernet-Header, Nutzdaten und Interface-Namen Für die tägliche Fehlersuche ist Verbose 4 …

weiterlesen ….