티스토리

ETEVERSeBT_Fortinet
검색하기

블로그 홈

ETEVERSeBT_Fortinet

ebt-forti.tistory.com/m

[ETEVERSeBT] Fortinet 제품 기술자료 공유

구독자
20
방명록 방문하기
공지 (주)에티버스이비티 - 사명 변경 안⋯ 모두보기

주요 글 목록

  • SSLVPN Portal Mapping이 잘못되는 경우 SSL-VPN > Settings 에서 Authentication/Portal Mapping 에 설정한 portal이 잘못 매핑 되는 경우가 있다. 예를 들어 아래와 같이 jim, willy가 속한 User Group을 생성하고, 만든 User Group을 아래와 같이 Portal Mapping에 설정했다. 이런 경우 jim과 willy는 "full-access" portal을 적용 받을것으로 예상된다.하지만 아래와 같이 willy에 대해 별도의 방화벽 정책이 존재하는 경우 "willy" 사용자를 매핑하기 때문에 'All Other Users/Groups'에 매핑되어 'tunnel-access'을 적용 받게된다. 정상적으로 매핑하기위해서는 willy 사용자에 대한 별도의 Portal Mapping 설정이.. 공감수 0 댓글수 0 2024. 12. 24.
  • 2GB RAM 이하의 소형장비에 대한 SSLVPN 기능 지원 여부 펌웨어 버전에 따라 RAM이 2GB 이하인 FortiGate 모델에서 SSL VPN이 더 이상 지원되지 않는다. ■  v7.6 이상에서는 지원 안됨 : v7.0, v7.2, v7.4에서는 사용 가능FortiGate 40FFortiWiFi 40FFortiGate 40F-3G4GFortiWiFi 40F-3G4GFortiGate 60FFortiGate 61FFortiWiFi 60FFortiWiFi 61FFortiGate Rugged 60FFortiGate Rugged 60F-3G4G ■  v7.0.14, v7.0.15, v7.2.9 이하는 사용 가능 : 그 외 지원 안됨FortiGate 90GFortiGate 91G ■  모든 버전에서 SSLVPN 지원 안됨FortiGate 30GFortiWiFi 30GFor.. 공감수 0 댓글수 0 2024. 11. 22.
  • 'Credentials or SSLVPN configuration is wrong. (-7200)' 다양한 원인 해당 에러 다른 해결책            https://ebt-forti.tistory.com/525            https://ebt-forti.tistory.com/356            https://ebt-forti.tistory.com/536            https://ebt-forti.tistory.com/761            https://ebt-forti.tistory.com/757aaa FortiGate가 Conseve mode에 빠지거나, ssl.root 인터페이스가 down되는 경우 'Credentials or SSLVPN configuration is wrong. (-7200)' 에러가 발생 할 수 있다. Memory 사용량을 줄여 Conserve mode에.. 공감수 0 댓글수 0 2024. 11. 4.
  • 'Unable to establish VPN connection. The VPN server may be unreachable (-6005)' 에러 SSLVPN 연결시 'Unable to establish VPN connection. The VPN server may be unreachable (-6005)'  에러와 함께 40%에서 멈추는 경우가 있다.'dia debug application sslvpn -1' 명령어로 디버그를 하면 "wrong vdom (0:0) or time expired" 에러가 표시된다. 이는 SAML이나 2-factor 인증에서 코드 전달이 늦어서 발생하는 경우이다.아래와 같이 timeout 값을 환경에 맞게 늘리도록 설정 해야한다. 여전히 문제가 계속된다면..FortiGate와 Client 기계가 NTP를 이용하여 시간이 정확하게 맞도록 설정해야 한다.FortiClient가 낮은 버전이라면 v7.2.4 이상으로 업그레이.. 공감수 0 댓글수 0 2024. 10. 29.
  • SSLVPN 연결시 40% 에서 멈추는 경우 SSLVPN 연결시 40% 에서 멈추는 경우는 일반적으로 "인증서 보안경고창 " 때문에 발생하는 경우가 대부분이다. 특수한 경우에 인증서 보안경고창이 표시되지 않으면서 40%에서 멈추는 경우가 있다.이런경우 SSLVPN 접속 port가 잘알려진 port일 경우 문제가 될 수 있다.문제를 해결 하려면 port를 변경 하여야 한다. 공감수 0 댓글수 0 2024. 9. 20.
  • 특정 client IP에 대해서만 sslvpnd 디버그 "debug-filter" 옵션을 이용하여 특정 client IP에 대해서만 sslvpnd debug가 가능하다.       diag vpn ssl debug-filter src-addr4       dia debug application sslvpn -1       dia debug en 공감수 0 댓글수 0 2024. 8. 8.
  • v7.0.1 : SSLVPN 인터페이스를 다른 인터페이스와 함께 Zone 설정 FortiOS v7.0.1 이상에서 SSLVPN 인터페이스를 다른 인터페이스와 함께 Zone으로 구성 가능하다. Mutiple Interface가 설정되어 있더라도, Source 인터페이스에 SSL 인터페이스와 다른 인터페이스가 함께 사용하면 아래와 같이 에러가 표시면서 설정이 불가능하다.SSLVPN policy가 SSL VPN 프로세스와 연결되어 있어 다른 인터페이스와 같은 방식으로 처리할 수 없기 때문이다. FortiOS v7.0.1이상에서는 zone으로 설정하여 다른 인터페이스와 함께 정책을 만들 수 있다. 해당 방화벽 정책에는 SSLVPN 때문에 사용자 인등이 포함되어 있다.따라서, SSLVPN이 아닌 다른 인터페이스에서의 통신도 동일한 사용자 인증을 받아야 한다. 공감수 0 댓글수 0 2024. 8. 7.
  • FortiClient SSLVPN 접속 인증후 연결 속도가 늦는 경우 FortiClient를 이용한 SSLVPN 접속 연결이 늦는 경우가 있다. MFA(Multi-Factor Authentication) 또는 SFA(Single-Factor Authentication)를 통해 인증을 완료한 후 , VPN 연결에 시간이 오래 걸리는 경우이다. 이 경우에는 FortiClient가 DTLS를 사용하도록 설정되어 있으면, 이를 해제하고 테스트 해 본다. 만약 해제가 클릭되지 않으면 오른쪽 위에 자물쇠 아이콘을 클릭하고 해제한다. 공감수 0 댓글수 0 2024. 5. 22.
  • SSLVPN 속도가 느린 경우 : DTLS 사용 SSLVPN은 기본 설정으로는 TCP를 사용하여 encapsulation 해서 통신한다. TCP 안에 TCP packet을 캡슐화 하면서 timeout이나 기타 간섭등의 이유로 속도가 늦어질수 있다. 이런 경우 UDP를 이용하여 encapsulation하는 DTLS 통신을 설정 할 수 있다. FortiGate의 SSLVPN setting에서 "dtls-tunnel' 을 enable 한다. FortiClient 설정에서 "DTLS 터널 우선" 을 선택한다. 위와 같이 설정하고 SSLVPN을 연결할 경우 UDP를 통해 SSLVPN이 통신하는 것을 확인 할 수 있다. UDP를 사용하는 경우 packet 손실에 대한 문제가 있어 DTLS를 사용한다고 100% 속도가 빨라지는 것은 아니다. 환경에 맞게 설정하고 .. 공감수 0 댓글수 0 2024. 3. 13.
  • MAC address Check는 Linux, iOS, Android 지원 안됨 SSLVPN Host check에서 MAC address Check는 Linux, iOS,  Android의 경우 FortiClient가 MAC Address를 확인하지 못하기 때문에 지원하지 않는다. SSLVPN에서 MAC address Check를 설정한 경우, 지원하지 않는 Linux, iOS,  Android OS에 대해서는 허용되지 않은 MAC address라도 체크를 우회하여 연결이 허용된다. (default 설정)SSLVPN portal 설정에서 "skip-check-for-unsupported-os enable" 되어 있기 때문이다.이 설정을 disable 하게 되면 지원하지 않는 OS에 대해 SLSVPN 연결할 수 없게 된다. 공감수 1 댓글수 0 2024. 1. 24.
  • 2. failed [sslvpn_login_cert_checked_error] 처리 SSLVPN 설정에서 "Require Client Certificate" 가 disable 상태인데도, debug에서 " failed [sslvpn_login_cert_checked_error]"가 표시되는 경우가 있다. SSLVPN Setting에서 " ztna-trusted-client enable" 되어 있으면, ZTNA 클라이언트에 EMS가 발급한 인증서에 대한 검증을 하기 때문이다. 아래와 같이 해당 기능을 unset 하면 해결 할 수 있다. 공감수 0 댓글수 0 2023. 12. 28.
  • 1. failed [sslvpn_login_cert_checked_error] 처리 해당 에러 다른 해결책            https://ebt-forti.tistory.com/356            https://ebt-forti.tistory.com/525            https://ebt-forti.tistory.com/536            https://ebt-forti.tistory.com/757            https://ebt-forti.tistory.com/909 SSLVPN이 48%에서 멈추고, 'Credential or SSLVPN configuration is wrong (-7200)' 에러창을 표시하는 경우가 있다. 이때 아래의 명령어로 Debug를 해보면, " failed [sslvpn_login_cert_checked_error]"가 .. 공감수 0 댓글수 0 2023. 12. 28.
  • "iprope_in_check() check failed" 에러와 함께, "Syn"만 받고 응답을 안보내는 경우 SSLVPN 연결시 Syn을 받지만 FortiGate가 응답을 보내지 않고, 디버그에서 "iprope_in_check() check failed" 에러를 발생하면서 연결이 되지 않는 경우가 있다. 이런 경우 SSL setting에서 'source-address all' 상태에서 'source-address-negate enable' 설정 때문에 발생할 수 있다. 'source-address-negate disable' 하면 해결된다. 공감수 0 댓글수 0 2023. 12. 21.
  • 2-Factor 인증에서 'Credential or SSL VPN configuration is wrong (-7200)' 에러 해당 에러 다른 해결책            https://ebt-forti.tistory.com/525            https://ebt-forti.tistory.com/356            https://ebt-forti.tistory.com/536            https://ebt-forti.tistory.com/761            https://ebt-forti.tistory.com/909 FortiToken을 이용한 2-factor 인증에서 'Credential or SSL VPN configuration is wrong (-7200)' 에러가 발생하는 경우가 있다.FortiToken을 제외하고, ID/Password로만 로그인하면 정상 로그인이 가능한 경우라면 2-Fa.. 공감수 0 댓글수 0 2023. 12. 20.
  • SSLVPN IP를 169.254.x.x 로 할당 받는 경우 Windows 11에서 SSLVPN IP를 FortiClient 프로그램에서는 정상적으로 받아 왔지만, CMD창에서는 169.254.x.x 로 할당 받는 경우가 있다. WIndows 11에서 " KB2693643" 업데이트를 삭제하면 해결된다. 공감수 0 댓글수 0 2023. 12. 18.
  • NGFW policy-based 모드에서 SSLVPN 설정 주의 사항 NGFW policy-based 모드에서는 SSL inspection과 사용자 인증에 대해 별도의 policy를 설정해야 한다. (NAT에 대해서도 Central NAT 설정 해야 한다.) SSLVPN 설정에서도 사용자 인증이 필요하기 때문에, Policy&Objects -> SSL Inspection&Authentication 메뉴에서 사용자 인증 policy를 추가해야한다. 만약 위 설정이 없이 SSLVPN 설정만 한다면, SSLVPN 연결이 실패하고, packet sniffer 해보면 Syn을 받고 FortiGate가 응답을 하지않는다. 공감수 0 댓글수 0 2023. 12. 6.
  • MacOS/iPhone 에서 SSLVPN 연결이 안되는 경우 MacOS/iPhone 에서 정확하게 로그인정보를 입력했지만 SSLVPN 연결이 안되는 경우가 있다. 위 디버그 명령어로 확인해보면, 아래의 메세지를 볼수 있다. sslvpn_dtls_timeout_check:312 waiting for client hello timeout 이는 MacOS/iPhone의 FortiClient 무료버전에서 DTLS를 지원하지 않아 발생 하게 된다. FortiGate에서 DTLS를 비활성화 하면 해결가능하다. 공감수 1 댓글수 0 2023. 11. 27.
  • SSLVPN Web-mode에서 IP Pool 사용 FortiOS v6 펌웨어에서는 SSLVPN Web-mode 정책에서, 일반적인 방화벽 정책과 동일한 방법으로 IP Pool을 사용할 수 있었다. FortiOS v7.0.6 이상 또는 7.2 에서는 아래의 명령어를 설정 해야만 Web mode에서 snat 설정이 가능하다. 참고) 펌웨어 v7.4.1 부터는 위 명령어가 사라지고, v6 과 동일하게 사용가능하다. 공감수 0 댓글수 0 2023. 10. 24.
  • 클라이언트의 IP가 변경 되더라도 SSLVPN 연결 유지하는 방법 SSID가 변경 되는등의 이유로 SSLVPN 접속한 클라이언트의 IP가 변경되면 기본적으로 접속이 끊어지고 재연결(인증 필요)을 해야 한다. 이렇게 IP가 변경되는 경우 새로 인증을 받지 않고 연결을 유지하는 설정이다. FortiClient에서는 auto-connect 와 keep-alive를 enable해야 한다. 공감수 0 댓글수 0 2023. 10. 4.
  • SSLVPN 정상 로그인은 되었으나, 내부 서버로 접근이 안되는 경우 Windows 11 사용자가 SSLPVN Tunnel 모드로 정상 로그인은 되었지만, 설정된 내부 서버로 접근이 안되는 경우가 있다. 터널 모드의 경우 로그인하게되면 FortiGate로 부터 DHCP로 IP를 할당 받게 되는데, 정상적으로 IP를 할당 받지 못해서 발생하는지 확인해야 한다. SSLVPN의 가상 이더넷 어댑터가, FortiGate에서 설정된 IP 대역이 아닌 169.254.x.x IP가 할당 되었다면 내부 서버와 통신을 할 수 없다. WIndows 11에서 원격 서버 관리 도구(KB2693643)를 설치했을 경우 위와 같은 현상이 발생한다. 아래의 명령어로 해당 업데이트를 삭제하고 다시 접속 하면 해결 할 수 있다. wusa /uninstall /kb:2693643 공감수 0 댓글수 0 2023. 9. 12.
  • v7.4.1 : SSLVPN 메뉴 기본적으로 disable FortiOS v7.4.1부터 SSLVPN 메뉴가 default로 GUI에서 보이지 않는다. System > Feature Visibility 메뉴에서 'SSLVPN'을 enable 해야 GUI 메뉴에서 표시된다. 이렇게 하면 GUI에서 SSLVPN 메뉴는 살아나지만, Tunnel mode만 enable 되고 web-mode는 default로 disable되어 있다. SSLVPN portal을 새로 생성하더라도 아래와 같이 web-mode 선택 메뉴가 없다. 주의) Web-mode가 disable 상태라도 SSLVPN을 브라우저로 접속할 경우 로그인창은 표시됨 System global 설정에서 CLI 명령어로 web-mode를 enable 하면 web-mode가 표시된다. 하위버전에서 펌웨어가 업그레이드.. 공감수 0 댓글수 0 2023. 9. 7.
  • NGFW Policy-based mode에서 SSLVPN 설정 방법 NGFW Policy-based mode에서 SSLVPN을 설정하고, 방화벽 정책(Security Policy)에서 아래와 같이 정책을 설정 했지만, 사용자 로그인을 하면 "오류: 권한이 거부되었습니다." (Error: Permission denied) 에러가 표시된다. NGFW Policy-based mode에서는 사용자 인증과 SSL Inspection에 관련된 정책이 별도로 관리된다. 따라서 SSLVPN 사용자 인증을 위해 Policy & Objects > SSL Inspection & Authentication 메뉴에 사용자 인증 정책을 추가해야 한다. 공감수 0 댓글수 0 2023. 4. 14.
  • FortiView VPN에서 허용되지 않은 사용자 표시 SSLVPN에 허용되지 않은 사용자의 ID가 FortiView VPN에서 보여지는 경우가 있다. Web-mode 설정 없이 Tunnel-mode로만 운영중이지만, Web-mode 접속 도 표시 될수 있다. 이렇게 권한이 없는 사용자 접속은 모두 0 Byte로 표시된다. 로그에서 확인해보면 이는 모두 "ssl-login-fail' 로 로그인에 실패한 로그 때문에 FortiView 에서 표시되는 것이다. 만약 이러한 로그를 줄이고 싶다면, Local in Policy를 이용하여, 허용된 IP에서만 SSLVPN 접속하도록 하거나, 접속 시도하는 IP 를 차단할 수 있다. 공감수 0 댓글수 0 2023. 3. 21.
  • Google OTP를 사용하여 SSLVPN 인증 Google G Suite 사용자 들에 대해 Google OTP를 사용하여 2FA 인증을 설정하고, FortiGate는 SAML인증 방식을 이용하여 SSLVPN 사용자 인증을 하는 방식으로 가능하다. 참조 Link : https://community.fortinet.com/t5/FortiGate/Technical-Tip-Fortinet-SSL-VPN-with-G-Suite-MFA-using-SAML-SSO/ta-p/217581 공감수 1 댓글수 0 2023. 3. 6.
  • SSLVPN Web-mode를 통해 서버 접근시 HTTP 401 Error SSLVPN Web-mode를 통해 서버 접근시 HTTP 401 Error가 뜨는 경우가 있다. HTTP 401 Error는 클라이언트 인증 관련 에러이다. SSLVPN Web-Mode는 Proxy 방식으로 동작하여, FortiGate가 Proxy 역할을 하고 Source IP는 FortiGate의 Outgoing 인터페이스 IP로 변경되어 서버로 연결된다. SSLVPN은 HTTP/HTTPS 연결의 경우, 웹 서버에 FortiGate의 Outgoing 인터페이스 IP가 아니라 클라이언트의 실제 IP를 알려주기 위해 default로 X-forwarded-for를 사용한다. 웹 서버에서 IP Header의 IP(FortiGate의 Outgoing 인터페이스 IP)와 HTTP header에 포함된 X-forw.. 공감수 0 댓글수 0 2023. 2. 27.
  • SSL-VPN 로그인 시도 실패 시 차단 및 시간제한 fortigate SSL-VPN 사용자에 대해 로그인 시도 제한 및 로그인 차단 시간을 설정 하는 방법- 기본적인 SSL-VPN은 설정되어 있는 상태 해당 설정은 GUI에서 설정이 불가능하고 CLI에서만 가능합니다. fortigate CLI > config vpn ssl settings 진입 set login-attempt-limit : 사용자의 로그인 시도 횟수 / default 설정 2set login-block-time : 위 로그인 시도 횟수 설정에 따라 실패 시 차단할 시간(초) / default 설정 60 로그인 시도 횟수 1, 차단 시간 10초로 설정하여 테스트 잘못된 비밀번호 입력 / 차단 후 설정된 시간(10초) 내 비밀번호를 입력하여도 위와 같은 메시지 표시"dia debug sslvp.. 공감수 0 댓글수 0 2023. 2. 10.
  • Android에서 SSLVPN 2-factor 인증이 안되는 경우 안드로이드에서 FortiToken등을 이용하여 2-factor 인증을 할때 접속이 실패하는 경우가 있다. 여러가지 이유가 있겠지만 SSLVPN의 하드웨어 가속으로 인하여 문제가 발생할 수도 있다. 이런경우 아래의 명령어를 이용하여 SSLVPN 가속을 비활성화 하여 해결 가능하다. config system global set sslvpn-kxp-hardware-acceleration disable set sslvpn-cipher-hardware-acceleration disable end FortiOS v7.2이상에서는 하드웨어 가속이 제거되어 하드웨어 가속으로 인한 문제는 발생하지 않을 것이다. 공감수 0 댓글수 0 2023. 1. 12.
  • SSLVPN Web Mode에서 내부 DNS가 동작하지 않는 경우 SSLVPN은 내부 DNS를 설정하여 SSLVPN 접속시 내부 DNS로 query 할 수 있다. 하지만 Web mode에서는 제대로 동작하지 않는다. 아래의 설정 처럼 SSLVPN 내부 DNS 설정은 Tunnel Mode 접속에 대한 설정이기 때문에 Web Mode에서는 동작하지 않는다. SSLVPN Web mode는 Proxy로 동작하는 방식으로 client ↔ SSVPN 장비, SSVPN 장비 ↔ 접속 server 으로 2개의 세션이 생성된다. 실제 접속 서버로의 접근이 SSLVPN 장비(FortiGate)에서 시작하므로 DNS query를 FortiGate에 설정된 DNS 서버를 사용하게되어 아래와 값이 DNS resolve faild 가 발생한다. 이를 해결하기 위해서는 FortiGate의 DNS.. 공감수 0 댓글수 0 2022. 12. 20.
  • CVE-2022-42475 : heap 기반 buffer overflow 취약점 대응 최근 알려진 sslvpnd에서 heap 기반 buffer overflow 취약점(CVE-2022-42475)대한 대응 방법이다. 이는 원격의 공격자가 취약점을 이용하여 임의의 코드 또는 명령을 실행할 수 있다. SSLVPN을 사용하지 않을 경우 상관없지만, SSLVPN을 사용한다면 아래의 해결방안의 펌웨어로 즉시 업그레이드 해야 한다. 공격의 경우 다음과 같은 로그가 있거나, Logdesc="Application crashed" and msg="[...] application:sslvpnd,[...], Signal 11 received, Backtrace: [...]“ FortiGate로 부터 아래의 의심되는 IP로의 연결이 발생한다. 또는 "diagnose debug crashlog read" 명령어도.. 공감수 0 댓글수 0 2022. 12. 13.
  • SSLVPN 사용자에게 고정 IP 할당하는 방법 SSLVPN 터널모드로 접속시 IP를 할당 받게 되는데, 이 때 특정 사용자에게 고정된 IP를 할당 하는 방식이다. 현재 FortiGate 자체적으로는 불가능하며, RADIUS 서버를 이용하여 사용자 인증을 하는 경우 RADIUS Attribute를 이용하여 고정 IP 할당이 가능하다. 고정 IP를 할당하기 위해서는 먼저 FortiGate에서 사용자에게 적용할 Portal의 ip-mode 설정을 아래와 같이 변경해야 한다. ip-pools 의 설정된 ip 영역에서 고정된 IP를 할당 해야 한다. 각 사용자별로 RADIUS Attribute중 "Framed-IP-Address" 값을 할당하려는 고정 IP로 설정 하면 된다. 아래의 예는 FortiAuthentocator의 사용자별 RADIUS Attribu.. 공감수 0 댓글수 0 2022. 12. 5.
    문의안내
    • 티스토리
    • 로그인
    • 고객센터

    티스토리는 카카오에서 사랑을 담아 만듭니다.

    © Kakao Corp.