Active Directory - Fortigate - Fortigate CA sertifikasının bilgisayarlara AD grup politikası ile dağıtılması

Merhaba,

Fortigate firewall üzerinde "ssl deep inspection" özelliğini firewall kuralı içerisinde kullanabilmek ve böylece bilgisayar/sunucuların ssl internet trafiklerini analiz edebilmek için Fortigate'in CA sertifikasını domain ortamındaki tüm bilgisayar ve sunuculara active directory grup politikası ile dağıtılması gerekir. 

Aşağıdaki adımları sırayla takip edelim:

1) Fortigate firewall üzerinde aşağıdaki konumda yer alan CA sertifikasını indirelim:

Bu sertifikayı "SSL/SSH Inspection" profil ayarlarımız içinden de indirebiliriz:

2) Bu sertifikayı AD sunucumuza kopyalayarak politika oluşturmaya başlayabiliriz. İlk önce ilgili OU üzerindeki "Create a GPO..." sekmesine tıklıyoruz:

3) Politika ayarlarına girerek, Computer Configuration --> Policies --> Windows Settings --> Security Settings --> Public Key Policies --> Trusted root certification authorities üzerine gelip "Import" seçiyoruz:

Sunucumuza kopyaladığımız sertifika dosyasını seçip aşağıdaki adımları sırayla tamamlıyoruz:

4) Son adım olarak, AD sunucumuzda aşağıdaki komutu çalıştırıyoruz ve politikanın hemen devreye girmesini sağlıyoruz:

5) KONTROL:

Politikanın uygulandığı bir bilgisayarda mmc konsolu üzerinden sertifikanın yüklendiğini görebiliriz 

Internet Explorer ve Google Chrome'un tüm sürümleri varsayılan olarak bu sertifika havuzundaki sertifikayı görerek https olan tüm sitelerde sertifika sorunu yaşanmaksızın bağlanacaktır (https://www.google.com.tr adresine girdiğimizde sertifika hatası vermeyecektir).

Mozilla Firefox'un 51 ve sonrası sürümlerinin bilgisayardaki windows sertifika havuzunu kullanabilmesi için aşağıdaki makalede yer alan işlemler yapılmalıdır:

Active Directory - Grup politikası ile "Mozilla Firefox'un Bilgisayarın Sertifika Deposunu kullanmasını sağlamak"

Daha eski Mozilla Firefox sürümlerinde ise sertifikanın elle tek tek yüklenmesi gerekecektir.

https://www.google.com.tr adresine girip sertifika ayarlarını incelediğimizde ssl deep inspection kuralımızın başarılı olduğunu göreceğiz:

Umarım faydalı olmuştur.

Murat TAŞ

Fortigate - DLP (Data Leak Prevention) Özelliğinin Ayarlanması

Bu makalemizde Fortigate firewall cihazındaki DLP özelliğini nasıl ayarlayabileceğimizi göreceğiz.

Bu örnekte; DLP fonksiyonunu kullanarak;

1) Çalıştırılabilir türdeki dosyaların indirilmesini engelleyeceğiz,

2) Kurum iç ağında internete doğru yüklenen (Upload) Microsoft ofis, pdf ve arşiv dokümanlarını log tutacağız.

Öncelikle; Kurum iç ağı ile internet arasındaki tüm trafiği "ssl deep inspection" (ssl decryption) yaparak gözlemlemeliyiz. Bu konu, başka bir makalenin konusu olduğunda burada değinilmeyecektir.

Ön gereklilik: 
Öncelikle Fortigate üzerinde "ssl deep inspection" profilimizin ayarlarına giriş yaparak 

Security Profiles bölümündeki "Data Leak Prevention" bölümüne giriyoruz ve "Reputable websites" ile ilgili kutucuğun işaretini kaldırıyoruz ki yahoo mail gibi "reputable" yani saygın olan web sitelerinde de ssl çözme işlemi yapabilelim.

Bu sayede; ssl çözme işlemi sonucunda yüklenen (upload edilen) dosyalardan haberdar olabileceğiz.

Eğer internete doğru oluşturduğumuz kurallarda 443 dışında bir http portu açmış isek ve bağlanılan sayfa 443 portu dışında çalışan bir ssl sayfa ise; bu durumda o sayfa bağlantısı sırasında ssl çözme işleminin yapılabilmesi için "inspect all ports" seçeneği de aktif duruma getirilmelidir (ispect all ports dememiz durumunda webcache çalışmayacaktır.)




Şimdi DLP kurallarımızı oluşturmaya başlayabiliriz:

Açılan pencerede  Sağ üst taraftaki "+" işaretine tıklayarak yeni bir profil adı tanımlıyoruz.Örneğimizde "Kurum Client DLP Kuralı" adını verdik. Daha sonra, alt taraftaki "Create New" butonuna tıklayarak ilk kuralımızı belirliyoruz:

1) İlk kural, internetten executable (çalıştırılabilir) dosyanın indirilmesini engellemek için:

"File types: executable (exe)"  olarak seçtikten sonra garanti olsun diye çalıştırılabilir diğer uzantıları (*.msi, *.bat) da file name patterns bölümüne giriyor ve en alttaki action bölümünü "block" olarak ayarlıyoruz. İndirme işlemlerini engellemek istediğimizden "HTTP-GET" seçiyoruz. 

(Mail yoluyla gelen çalıştırılabilir ekleri engelleme işlemini Fortimail veya diğer mail koruma sistemi üzerinden yapabileceğimizden, burada SMTP, POP3,IMAP, MAPI gibi mail servislerini seçmiyoruz.)

2) İkinci kural ise http-post veya ftp yöntemiyle internete yüklenen (upload edilen) Microsoft Ofis, pdf ve arşiv dokümanlarının kaydını tutmak için:

Engelleme yapmayıp sadece log tutmak istediğimiz için Action bölümünde "Log only" seçeceğiz.

Tüm kuralları tanımladıktan sonra artık profil sayfasının altındaki "Apply" butonuna basıp ayarlarımızı kaydedebiliriz.

İzleme:

Log & Report altındaki "Data Leak Prevention" bölümüne tıklayarak oluşan engelleme (block) ve diğer kaydı tutulan olayları gözleyebiliriz. Aşağıdaki log kaydında çalıştırılabilir bir dosyanın engellenmiş olduğunu görebiliriz:

Aşağıdaki log kaydında ise pdf dokümanın yahoo mail ile upload edildiğine dair log görmekteyiz:

Umarım faydalı olmuştur.

Murat TAŞ

Fortigate - DDOS koruması konfigürasyonu (internetten iç sunuculara doğru)

Merhaba,

Bu makalede Fortigate Firewall içerisindedeki DDOS korumamızı internetten iç sunucularımıza doğru nasıl devreye alabileceğimizi göreceğiz.

Benzer şekilde iç networkümüzdeki kullanıcı networkümüz ile sunucu networkümüz arasında da DDOS'u devreye almak çok mantıklı olacaktır.

1) DDOS özelliğini aktive etmek

Öncelikle DOS policy özelliğini aktif etmeliyiz. Bunun için System altındaki Feature Select bölümüne giriyoruz ve Additional Features altındaki DoS policy bölümünü aktif moda alıyoruz:

2) Sunucudaki her bir servis için ayrı ayrı DDOS kuralı oluşturmak

  

Daha sonra her bir sunucumuzdaki çalışan servisler için ayrı ayrı DoS policy yapıyoruz. Mesela dış ip adresi 210.210.210.10 olan bir sunucumuz varsa ve bu sunucu üzerinde web ve dns servisleri çalışıyorsa bu sunucu için hem web hem de dns olmak üzere iki tane ddos kuralı yazmalıyız.

Web için olanı burada örnek olarak oluşturalım:

Fortigate üzerine "Policy Objects" altındaki "IPv4 Dos Policy" bölümüne giriyoruz ve aşağıdaki şekilde ayarlama yapıyoruz:

Source interface : İnternet interface'imiz, 

Destination ip: Sunucumuzun dış ip adresini seçiyoruz.(yoksa "addresses" altından oluşturmalıyız)

Services : HTTP ve HTTPS seçiyoruz.

ip_dst_session : 250 (gözlemleyip gerekirse artıralım veya azaltalım)

tcp_dst_session: 250 (gözlemleyip gerekirse artıralım veya azaltalım) (Eğer Dns yani udp bazlı bir servisi DDOS koruması yapacaksak bu durumda udp_dst_session değerini belirlemeliyiz)

Diğer default değerleri biraz düşürüyoruz. "Status" ve "logging" değerlerini aktive edip, tüm değerleri "Pass" olarak işaretliyoruz. Çünkü şimdilik sadece "monitor" edeceğiz. Bloklamayı daha sonra yapacağız.

Kuralımız (Policy) hazır. Kuralımızın ID yani numarasını not edelim (Bu örnekte : 8)

3) Kuralı monitör etmek

Değerleri yavaş yavaş düşürerek herhangi bir hit olup olmadığına loglardan bakacağız. Bunun için "Log& Report" bölümündeki "Anomaly" bölümüne giriyoruz:

Burada "Add Filter" bölümüne girip "Policy ID: 8" olarak seçtiğimizde kuralımıza hit eden DDos loglarını göreceğiz:

Bu örneğimizde kural içerisinde "tcp_port_scan: 5" olarak ayarladığımız için 6 kez port scan yapan ip adresini görebiliyoruz. Kural içerisinde "pass" olarak belirlediğimiz için loglarda "Action" değerimiz "detected" olarak görünecek:

Bu şekilde diğer sunuculardaki tüm servisler için ayrı ayrı kural yazıp loglarımızı en az 1 hafta boyunca gözlemlemeliyiz. Değerleri azar azar düşürerek uygun değerleri bulmaya çalışacağız. Eğer çok fazla sayıda ip adresi hit etmiyorsa artık "block" moda geçmeye hazırız demektir. 

Kural içerisinde "Block" seçerek ddos saldırılarını engellemeye başlayabiliriz. Burada dikkat edilmesi gereken bir NAT ip adresi arkasından internete çıkan ve dolayısıyla bizim web sayfamıza gelen Kurumsal ip adreslerini bloklamamak önemli. Bunun için en fazla beraber çalıştığımız kurumların ip adres bloklarını öğrenerek onlara özel kural yazmak sağlıklı olacaktır.

Logsign-DDOS alarm oluşturma adlı makalemizde, Fortigate üzerinde oluşan DDOS loglarını Logsign üzerinden güvenlik yöneticilerine alert (uyarı) olarak nasıl gönderebileceğimizi göreceğiz. 

Umarım faydalı olmuştur.

Murat TAŞ

Fortigate - Wildcard SSL Sertifika Yükleme

Bu makalede, Fortigate Firewall'un gerek web arayüzü gerekse ssl vpn erişiminin güvenli bir ssl erişimi üzerinden sağlamak için firmamıza ait olan wildcard ssl sertifikamızı nasıl yükleyebileceğimizi göreceğiz.

1) SERTİFİKA YÜKLEME 

Öncelikle "System" bölümündeki "Certificates" ayarlarına giriş yapıyoruz. Üst menüden "Import" seçip "Local Certificate" seçtikten sonra firmamıza ait olan wildcard sertifikamızı gösteriyoruz (.crt uzantılı ) ."OK" deyip pencerimizi kapatıyoruz. 

Listemizde aşağıdaki şekilde gözükmeli:

2) ADMIN ARAYÜZÜNDE SERTİFİKAYI KULLANMA

Bu sertifikayı  şimdi admin web ve ssh arayüzlerinde kullanabiliriz:

"System" bölümündeki "Settings" bölümüne giriyoruz. Firewall'umuzu merkezi bir "Fortimanager" üzerinden yönetiyor isek onu seçiyoruz. Forticloud üzerinden yönetecek ise "Forticloud" seçiyoruz. 

    HTTP Port: 80

    Redirect to HTTPS: İşaretli

    HTTPS Ports: 443

    HTTPS server certificate: 1. adımda yüklemiş olduğumuz wildcard ssl sertifika dosyasını burada      seçiyoruz. (Bu örnekte: star_tapdk)

    SSH port, TELNET Port: SSH ve TELNET üzerinden yönetecek isek portlarını belirliyoruz. 

    IDLE TIMOUT: 50 dakika olarak verdik.İstersek bu süreyi düşürebiliriz.

Firewall'un web üzerinden yönetimini yapacak olan Admin bilgisayarları hangi networkte ise o networkun vlan interface ayarlarında HTTPS erişimine izin vermeliyiz. Bunun için "Network"  bölümündeki "Interfaces" kısmına giriyoruz.

Bu örnekte, HTTPS ve SSH üzerinden erişim izni sağladık:

Not: SSL-VPN  erişiminde bu sertifikayı nasıl kullanabileceğimizi görmek için bu makaleye bakınız.

Umarım Faydalı Olmuştur.

Murat TAŞ

Fortigate - Active Directory LDAP Entegrasyonu

Şirketimizde Active Directory  Domain (AD) yapımızın olduğunu ve AD üzerindeki kullanıcılarımızla Fortigate firewall'umuza login olmak istediğimizi veya SSL VPN erişimlerini yapmak istediğimizi varsayalım.

Bu durumda Active Directory sunucumuzu Fortigate Firewall'umuza tanıtmamız gerekir.

1) "User&Device" bölümündeki "LDAP Servers" sekmesine girilir.

"Create New" tıklanarak açılan pencerede aşağıdaki bölümler doldurulur:

AD sunucumuzun IP adresi girilir, yetkili bir hesap tanımlanır. "Fetch DN" tıklanarak DN adresi tanımlanmış olur.

2) Şimdi kullanıcı tanımlamaya hazırız.

"User&Device" bölümüne gelerek "Create New" tıklayalım ve aşağıdaki şekilde kullanıcımızı oluşturalım:

Remote LDAP User seçiyoruz:

 1. adımdaki ldap sunucumuzu seçiyoruz:

Biraz bekledikten sonra kullanıcılarımız listelenecek. Kullanıcımızı sağ tuş ile seçip "Add selected" işaretliyoruz:

Kullanıcımız listede görünecek.Artık bu kullanıcıyı Firewall login işleminde admin olarak yetkilendirebilir, ssl-vpn kullanısı olarak tanımlayabiliriz.

Umarım faydalı olmuştur.

Murat TAŞ

Fortigate - SSL VPN ayarları

Bu makalede Fortigate Firewall üzerinde SSL- VPN erişimi ayarlarının nasıl yapılacağı inceleyeceğiz.

Yaklaşık 50 adet kullanıcımız olduğunu ve bu kullanıcılar için hem tünel hem de web modunda ssl erişimi sağlayacağımızı varsayalım.

1) KULLANICI ve GRUP OLUŞTURMA 

Öncelikle vpn kullanıcılarını ve gruplarını oluşturmalıyız:

"User&Device" bölümündeki "User Groups" bölümüne tıklıyoruz ve aşağıdaki grupları oluşturuyoruz:

sslvpn-admins : Sadece admin kullanıcılarını bu gruba ekleyeceğiz.

ssl-vpn-users-all : Tüm ssl kullanıcılarını bu gruba ekleyeceğiz.

Daha önce oluşturulmuş olan ldap kullanıcılarımızı bu gruba ekliyoruz (Firewall üzerinde lokal oluşturulmuş olan kullanıcılarımızı da ekleyebiliriz ama şifrelerin düzenli olarak Active Directory üzerinde değiştirilmesi için ssl kullanıcılarının Active Directory üzerinde açılması daha uygundur)

Not: Fortigate - Active Directory LDAP eşleştirmesi için bu makalemize bakabilirsiniz.

2) SSL VPN IP HAVUZUNU BELİRLEME

Daha sonra, kullanıcıların SSL-VPN yaptıklarında kullanacakları IP adresi havuzunu belirlemeliyiz.

"Policy&Objects" bölümündeki "Addresses" bölümüne giriyoruz ve varsayılan olarak ssl vpn ip havuzu olarak belirlenmiş olan "SSLVPN_TUNNEL_ADDR1" ip adresi havuzunun ip aralığını örneğin aşağıdaki şekilde belirliyoruz:

10.212.134.200-10.212.134.250 (Şirketimizde 50 adet kullanıcının aynı anda bağlandığını varsayalım)

3) SSL VPN PORTALİNİ AYARLAMA

"VPN" sekmesindeki "SSL-VPN PORTALS" bölümüne giriyoruz.

full access: Hem web arayüzünü hem de tunnel modu ayarları buradan yapılır.

tunnel-access: Sadece tunnel mod portali ayarları buradan yapılır. SSL vpn client bilgisayarlar bu sayede ip havuzundan ip alarak ev tünel yaparak, sanki iç networkteki bir bilgisayar gibi erişim sağlarlar.

web-access: web erişim portali ayarları buradan yapılır. Bağlanan client bilgisayarlar tünel oluşturamazlar ve sadece web arayüzüne erişebilir.

Full-access modunu çalıştıracağımızı düşünelim. Bu ayarları aşağıdaki şekilde yapıyoruz:

Split tunneling ayarını aktif ediyoruz ve erişeceğimiz networkleri (Bu örnekte DMZ, Sunucu, VLAN 500 client networküne ve Santral sunucusuna erişim sağlıyoruz)

Ayrıca "Enable Web mode" aktif ediyoruz.

Web modunda gösterimi yapılacak olan portal ismini veriyoruz. "User bookmarks" bölümünü Firewall konfigürasyon yedeği içerisinde bulundurmak zor olduğundan kullanılması önerilmez. 

"Predefined Bookmarks" bölümünde web portaline bağlanan kullanıcılara gösterilecek adresleri giriyoruz.

4) TÜNEL AYARLAMALARI

"VPN" bölümündeki "SSL-VPN Settings" bölümüne giriyoruz.

Ayarlar şu şekilde olsun istiyoruz:

• Firewall'umuzun internet bacağı (bu örnekte port 9)  SSL VPN bağlantılarını dinliyor olacak (Dinlediğimiz ip adresine ait olan bir dns kaydı oluşturmalıyız. Örneğin vpn.domainadiniz.com)
• Port 443 olacak.
• 300 sn (5 dk) boyunca idle olması durumunda vpn bağlantısını sonlandıracağız. 
• Kurumsal wildcard sertifikamızı (server certificate) seçiyoruz. 
• DNS sunucularımızın adreslerini giriyoruz (DNS sunuculara erişebilmek için bir önceki adımdaki "routing address" bölümündeki networklerin içerisinde olmalılar ve uygun firewall erişim kuralı yazılmalı. Bkz. Madde 5)

Her kullanıcı veya gruba farklı portal göstereceksek, "Authentication/Portal Mapping" bölümüne girmeliyiz ama bu örneğimizde böyle birşey yapmadığımızı varsayalım.

5) SSL VPN FİREWALL KURALLARINI TANIMLAMA

Örnek bir firewall kuralı aşağıdaki şekildedir. Bu kural sayesinde admin kullanıcıların DMZ networkundeki sunuculara RDP ve diğer erişimleri sağlanabilecektir:

"Source" bölümünde adres havuzu ile kullanıcı grubunun ikisi birden eklendiğine dikkat edelim:

DNS sunuculara erişim içinse aşağıdaki kuralı tanımlamalıyız:

(ssl-vpn-users-all grubunu ekledik; çünkü tüm kullanıcılar DNS sunuculara erişecekler)

6) SSL VPN ERİŞİM İZLEME

Anlık vpn erişimleri;  "Fortiview"  bölümündeki "VPN" sekmesinden takip edilebilir.

Ayrıca, "Log&Report" bölümündeki "VPN Events" sekmesinden de vpn erişim loglarına bakılabilir.


Online video : https://www.youtube.com/watch?v=IFqsfz6Bto0

Umarım faydalı olmuştur.

Murat TAŞ

Fortigate - İnternet Trafik Bant Genişliği Yönetimi (traffic shapers)

Merhaba,

Bu makalemizde kurumsal internet bant genişliğimizi daha verimli kullanabilmek adına Fortigate Firewall üzerinde hangi ayarlamaları yapabileceğimizi göreceğiz.

Gün sonunda aşağıdaki şekilde bant genişliği tahsisi gerçekleştirmek istediğimizi varsayalım:

Kurum internetimiz 30 Mbps olsun.

-Kurum bilgisayarlarımızın her birine 2 Mb/sn bant tahsis edeceğiz böylece tek bir bilgisayarın tüm bandı tüketmesini engelleyeceğiz.

-Bilgisayarlarımızın tamamı internete bağlı olsa dahi, hepsine bir üst limit (25 Mbps) tanımlayacağız, böylece sunucularımız da sorunsuz olarak internet erişimi sağlayabilecek.

-Sunucu başına bir trafik limitasyonu tanımlamıyoruz. Tüm sunucuların toplam kullandığı bandı 10 Mbps ile sınırlayacağız.

-Kablosuz internet ağımız için de 5 Mbps değerinde bir toplam üst limit  tanımlayacağız.

Şimdi bu senaryoyu nasıl gerçekleştireceğimize bakalım:

1) TRAFİK ŞEKİLLENDİRİCİ (TRAFFIC SHAPER) OLUŞTURMA:

Öncelikle aşağıdaki Trafik şekillendirici (shaper) tanımlamalarını yapmalıyız.

Terminolojide her bir bilgisayara ayrı ayrı bant tahsis edebilmek için "per-ip" tipinde,

Bilgisayar veya sunucuların toplam kullandıkları bandın üst limitini belirlemek için de "shared" tipinde

şekillendirici (shaper) tanımlayacağız.

"Policy&Objects" sekmesi altındaki "Traffic Shapers" bölümüne tıklıyoruz.

İlk olarak her bir bilgisayar için 2 Mbps "Per-ip shaper" tanımlayacağız. "Max bandwidth" bölümüne 2 Mbps'a karşılık gelen 2000 Kbps bantgenişliği değerini girdik ve "Type" olarak "Per-ip" seçtik. İsim olarak "perip-diger" seçiyoruz :

Dilersek yönetici bilgisayarları veya internete "hızlı" bağlanmasını istediğimiz başka bilgisayarlar için farklı per-ip shaper'lar tanımlayabiliriz.

Şimdi bilgisayarların tamamı için bir üst limit tanımlayacağız. Bunun için yine "Create New" tıkladıktan sonra shaper tipi olarak "Shared" yani paylaşılan tipte bir shaper oluşturacak ve "Max bandwidth" olarak 25000 Kbps (25 Mbps) değerini gireceğiz. "Traffic Priority" yani trafik önceliklendirmesi değerimiz "Medium" olacak:

Sıra geldi sunucularımız için "shared" shaper tanımlamaya. Sunucularımız için de 10 Mbps'lik üst limit belirliyoruz ve "Traffic Priority" değerini "High" yani yüksek öncelikli olarak belirliyoruz.

Kablosuz ağımız için de "shared" shaper tanımlıyoruz ve "Traffic Priority" değerini "Low" yani düşük öncelikli olarak belirliyoruz:

En son olarak da bant tüketen uygulamalar için shaper oluşturacağız ve buna sembolik bir bant genişliği (1 Mbps) vereceğiz:

Benzer şekilde bilişim bilgisayarları için 5 Mbps per-ip shaper tanımlıyoruz; çünkü dosya indirme işlemleri için hıza ihtiyacımız var.

Ayrıca bant tüketen uygulamaların tamamını "gerektiği durumda" kurumun tamamında kısıtlamak için de ayrı bir shared shaper tanımladık (1 mbps).

Trafik şekillendirici listemiz aşağıdaki şekilde oluştu:

Not: Shared shaper değerlerimizi topladığımızda 25+10+5 = 40 Mbps değerini elde ediyoruz ve farkındaysanız bu değer, toplam bant genişliği değerimiz olan 30 Mbps değerinden fazla. Toplam tükettiğimiz trafik bandımız 30 Mbps değerine yaklaştığında (sature olmaya yaklaştığında) tüm bilgisayar ve sunucularımızın hızı ayrıca firewall tarafından  düşürüleceğinden 

(30 mbps'lik üst limitimize göre ayarlanacağından) zaten 40 Mbps değerini göremeyeceğiz. Dolayısıyla bu değerlerde herhangi bir tutarsızlık yok.

2) TRAFİK ŞEKİLLENDİRME POLİTİKASI (TRAFFIC SHAPING POLICY ) OLUŞTURMA:

1. adımda tanımladığımız şekillendirici (shaper) tanımlamalarını kullanmak üzere Trafik Sınırlandırma Politikaları (traffic shaping policy) tanımlıyoruz:

Bilgisayarlar için tanımladığımız politikamızı belirliyoruz. "Source" bölümüne tüm bilgisayar networkümüz için belirlediğimiz ip grubunu seçiyoruz. Tüm servisler için trafik politikası belirlediğimiz için Service bölümünü "ALL" seçiyoruz. İnternet çıkış portumuzu seçiyoruz (bu örnekte port 9). En altta ise, 1. adımda oluşturmuş olduğumuz shared ve per-ip shaper değerlerini giriyoruz. "Reverse shaper" internetten iç networke doğru olan (download) trafik, diğeri ise ters yöndeki (upload) trafik için belirlenmiştir.

Bant tüketen uygulamaları belirleyerek aşağıdaki şekilde bir kural oluşturduk ve "şimdilik" pasif bıraktık:

Sunucu, Bilişim, kablosuz, ve bant tüketen uygulamalar için de diğer politikalarımızı benzer şekilde oluşturduğumuzda aşağıdaki listeyi elde edeceğiz. Bant tüketen uygulamaların kullandığı trafik şekillendiricisini gerektiği durumlarda kullanacağımız için şimdilik onu pasif durumda bıraktık (gerektiği durumda onu aktif edip en üst kural olarak belirleyeceğiz) Burada politikalar, firewall mantığına uygun şekilde, en üstten alta doğru uygulanacak; o yüzden en spesifik olanları (belirli grup bilgisayarlara uygulananları) üste, genel kuralları ise alta yazmalıyız:

3) PORT KONFİGÜRASYONU

Tüm bu kurallarımızın düzgün çalışabilmesi için Firewall cihazımıza "Bizim internet bant genişliğimiz 30 Mbps haberin olsun" dememiz gerekiyor. 

Onun içinde Network --Interfaces bölümüne girip Firewall'umuzun internet bacağında (bu örnekte port 9) aşağıdaki şekilde download ve upload yönlerinde "estimated bandwidth" değerleri tanımlamalıyız:

İZLEME:

Tanımladığımız bu trafik şekillendiricilerin kullanımını anlık olarak görmek istediğimizde "Traffic shapers" bölümüne bakabiliriz:

Bu örneğimizde bilişim, kablosuz ve sunucular dışındaki client bilgisayarlar için tanımladığımız "diğer-shared" adındaki trafik şekillendiricimiz 2,05 Mbps kullanıma sahip. Sunucularımız ise 

776 bps anlık trafiğe sahipler:

Ayrica; Fortiview--Sources bölümünde de her bir source (kaynak) bilgisayarın anlık olarak tükettiği bandı görebilmekteyiz:

"Bandwidth" sütununa göre sıralama yaptığımızda, aşağıdaki gibi bir liste elde ediyoruz. Bu listede, iç networkler arasındaki trafik de mevcut bu yüzden 25 Mbps yerine 56 Mbps gibi büyük bir değer görüyoruz. Hatırlarsanız, trafik şekillendirmeyi biz client-internet arası trafiğimiz için belirlemiştik.

Detaylara baktığımızda ise port 9 yani internet bacağımızdaki trafik beklediğimiz gibi 2 Mbps düzeyinde:

Alternatif metot:
"Sources" bölümüne girdikten sonra "Destination interface" olarak internet bacağımızı (bu örnekte: port 9) seçersek aşağıdaki şekilde internete doğru trafik şekillendirmemizin çalışıp çalışmadığını görebiliriz:

Umarım faydalı olmuştur.

Murat TAŞ