🛡️ FortiGate Enterprise – Security & SD-WAN Deep Dive

NP7 : Le moteur de commutation Terabit

L'ASIC **NP7** (Network Processor 7) est conçu pour le déchargement matériel complet des flux de couches 3 et 4. Contrairement à un traitement CPU classique, le NP7 traite les paquets via des pipelines matériels en parallèle, garantissant une latence ultra-faible (< 2μs).

Fonctions Hardware Offloadées :

• IPv4/IPv6 Unicast/Multicast : Routage et NAT 1:1, PAT sans impact CPU.
• DoS Protection : Filtrage hardware des floods TCP/UDP/ICMP au niveau du silicium avant l'entrée dans le kernel.
• VXLAN/GRE/GTP : Encapsulation hardware pour les réseaux SD-WAN et 5G Core.
• Capwap Offload : Accélération du trafic Wi-Fi provenant des FortiAP.

Architecture Interne NP7

                            # Mapper les interfaces physiques sur les ASIC NP
                            diagnose npu np7 port-list

                            # Monitorer l'utilisation des pipelines (Host vs Offload)
                            diagnose npu np7 session-stats
                            # Si "v4 offload" est > 90% = Configuration Optimale

Structure du Système d'Exploitation

FortiOS est un système d'exploitation durci basé sur un noyau Linux modifié, optimisé pour le traitement réseau à haute performance. Son architecture repose sur la séparation stricte des plans de contrôle et de données.

• Control Plane (CP) : Géré par le CPU principal. Responsable du management (GUI/CLI), des protocoles de routage (BGP/OSPF) et de la mise à jour des signatures FortiGuard.
• Data Plane (DP) : Géré par les processeurs de sécurité (SPU/ASIC). Responsable du transit des paquets, du chiffrement et de l'inspection IPS/AV.
• Management Plane : Isolé pour garantir l'accès à l'unité même lors de saturations du plan de données.

Schéma d'Architecture FortiOS

NAT/Route Mode : Le standard Gateway

Dans ce mode, le FortiGate agit comme un routeur de couche 3 (Hop-by-hop). Chaque interface possède sa propre adresse IP et son propre domaine de broadcast.

Caractéristiques Techniques :

• L3 Gateway : Passerelle par défaut pour les clients internes.
• Routing Table : Support complet de BGP, OSPF, ISIS et routage statique.
• NAT/PAT : Translation d'adresses source (SNAT) et destination (VIP/DNAT).
• Acceleration : Optimisation maximale via les processeurs NP7/NP6 (FastPath).

Déploiement Type (Edge)

                            # Vérifier le mode actuel (Défaut: NAT)
                            get system status | grep "Operation Mode"

                            # Configuration IP en mode NAT
                            config system interface
                            edit "wan1"
                            set mode static
                            set ip 1.2.3.4 255.255.255.252
                            next
                            end

Types d'Objets d'Adressage

FortiOS propose plusieurs méthodes pour définir une cible réseau. Le choix du type d'objet impacte la manière dont le kernel traite le paquet.

Cycle de résolution FQDN

                            # Configurer un objet FQDN avec cache local
                            config firewall address
                            edit "Microsoft_Update"
                            set type fqdn
                            set fqdn "update.microsoft.com"
                            set cache-ttl 3600
                            next
                            end

L'algorithme de Matching FortiOS

FortiOS traite les politiques de manière séquentielle (Top-to-Bottom). La première règle qui correspond au tuple (Interface In/Out, Source/Dest, Service) est appliquée.

Règles Implicites :

• Policy 0 (Deny All) : Située à la fin de chaque VDOM. Tout ce qui n'est pas autorisé est droppé et logué (si activé).
• Intra-Zone Traffic : Par défaut, le trafic au sein d'une même zone est bloqué sauf si "Internal Segmentation" est configurée.

Hit Count : Utilisez le compteur de correspondance pour identifier les règles obsolètes et optimiser la RAM.

Séquence de Matching

                            # Voir l'ordre réel des politiques en CLI
                            show firewall policy

                            # Déplacer une règle pour changer la priorité
                            move firewall policy 10 before 5

Flow-based : Vitesse filaire & IPS

L'inspection Flow-based analyse les paquets à la volée sans reconstruire l'intégralité du fichier ou de la session. C'est le mode par défaut depuis FortiOS 6.2.

Mécanisme Interne :

• Single Pass Direct Filter (SPDF) : Les paquets sont scannés par le moteur IPS en une seule passe contre toutes les signatures actives.
• Buffering Minimal : Pas de stockage en RAM, les paquets sont transmis dès qu'ils sont validés.
• Limitations : Moins de fonctionnalités sur certains protocoles (ex: pas de remplacement de page de garde en cas de virus).

Pipeline Flow-based

                            # Vérifier le mode d'inspection de la politique
                            show firewall policy 1 | grep "inspection-mode"
                            # Par défaut: set inspection-mode flow

DPI vs Certificate Inspection

FortiOS propose deux niveaux d'analyse des flux chiffrés. Le choix impacte directement la visibilité des moteurs UTM (AV, IPS, DLP).

Logique Man-In-The-Middle

Le Danger : Sans DPI, un malware téléchargé via HTTPS (ex: Dropbox) est invisible pour l'Antivirus du FortiGate.

Négociation IKE (Phase 1 & 2)

Le tunnel IPsec repose sur un échange en deux étapes. Une erreur de "Proposal" est la cause n°1 d'échec de tunnel.

• Phase 1 (ISAKMP) : Authentification des pairs (PSK/Cert) et établissement du canal de contrôle. IKEv2 est fortement recommandé pour sa gestion native de l'EAP et de MOBIKE.
• Phase 2 (IPsec SA) : Négociation des paramètres de chiffrement pour le plan de données.
• Perfect Forward Secrecy (PFS) : Force une nouvelle génération de clé Diffie-Hellman pour chaque Phase 2.

Diagramme IKEv2 Handshake

                            # Vérifier les proposals supportés côté FortiGate
                            config vpn ipsec phase1-interface
                            edit "Tunnel_to_HQ"
                            set proposal aes256-gcm prfsha384
                            set dhgrp 21 14
                            next
                            end

FGCP : Le Plan de Contrôle Unifié

Le protocole **FGCP** (FortiGate Clustering Protocol) permet de faire apparaître plusieurs unités physiques comme une seule entité logique. Il gère l'adresse MAC virtuelle (vMAC) partagée.

Virtual MAC (vMAC) :

En cas de failover, l'unité Passive reprend l'adresse MAC virtuelle du Master. Le switch ne voit qu'un changement de port (Gratuitous ARP), ce qui rend la coupure quasi-invisible (< 1s).

Architecture Cluster FGCP

                            # Configuration de base d'un cluster A-P
                            config system ha
                            set group-id 10
                            set group-name "HA_PROD_CORE"
                            set mode a-p
                            set hbdev "port3" 50 "port4" 50
                            set session-pickup enable
                            end

Routage Dynamique d'Entreprise

FortiOS supporte des piles de routage de classe opérateur, capables de gérer des tables Full-BGP et des topologies OSPF multi-aires.

OSPF (Open Shortest Path First) :

• Area Design : Support des aires Backbone (0), Stub et NSSA.
• BFD (Bidirectional Forwarding Detection) : Accélère la convergence à moins de 50ms en cas de coupure.

BGP (Border Gateway Protocol) :

• Multi-Homing : Indispensable pour le peering avec plusieurs FAI.
• Route Maps : Filtrage granulaire des préfixes entrants/sortants.
• Community Tags : Marquage des routes pour le pilotage SD-WAN.

Architecture BGP Dual-Homing

                            # Config OSPF simplifiée
                            config router ospf
                            set router-id 1.1.1.1
                            config area
                            edit 0.0.0.0
                            next
                            end
                            config network
                            edit 1
                            set prefix 10.0.0.0 255.255.255.0
                            set area 0.0.0.0
                            next
                            end
                            end

Virtualisation du Plan de Données

Le VDOM (Virtual Domain) divise un FortiGate en plusieurs unités logiques. Chaque VDOM possède son propre **Routing Table**, ses **Policies**, ses **Objets** et ses **Utilisateurs**.

Niveaux d'Isolation :

• Isolation Logique : Un administrateur du VDOM-A ne peut voir ni modifier le trafic du VDOM-B.
• Isolation de Routage : Pas de fuite de routes entre domaines sans configuration explicite (Inter-VDOM Link).
• Isolation de Management : Chaque client peut avoir son propre accès HTTPS/SSH sur une IP dédiée.

Architecture Multi-VDOM

                            # Activer le mode VDOM (Nécessite reboot sur certains modèles)
                            config system global
                            set vdom-mode multi-vdom
                            end

Structure des Logs FortiOS

Chaque évènement généré par le firewall suit un format structuré facilitant le parsing par les outils tiers.

Types de Logs :

• Traffic Logs : Flux acceptés/refusés, NAT, octets transférés.
• Security Logs : Évènements UTM (IPS, AV, App-Control, Web-Filter).
• Event Logs : Système, VPN, HA, Administrateurs, Routing.

Niveaux de Sévérité :

Emergency (0) ➔ Alert (1) ➔ Critical (2) ➔ Error (3) ➔ Warning (4) ➔ Notice (5) ➔ Information (6) ➔ Debug (7).

Anatomie d'un Log Entry

                            date=2025-05-12 time=14:30:05 devname="FGT-HQ" 
                            devid="FG100FTK210001" eventtime=1620822605 
                            tz="+0200" logid="0000000013" type="traffic" 
                            subtype="forward" level="notice" vd="root" 
                            srcip=192.168.1.50 srcport=54321 srcintf="LAN" 
                            dstip=8.8.8.8 dstport=53 dstintf="WAN1" 
                            action="accept" policyid=5 service="DNS"

Architecture de Management Centralisé

Le FortiManager permet de gérer des milliers d'unités FortiGate, FortiSwitch et FortiAP depuis une console unique. Son architecture repose sur le concept d'**ADOM** (Administrative Domains).

Concepts de Segmentation :

• ADOMs : Isolation logique des équipements par version d'OS, par client (MSSP) ou par région. Chaque ADOM possède sa propre base de données d'objets.
• Global ADOM : Permet de créer des objets et politiques "maîtres" partagés entre tous les ADOMs subordonnés.
• FGFM Protocol : Protocole de communication sécurisé (port TCP/541) entre FMG et FortiGate.

Schéma Multi-ADOM MSSP

Automation Stitches : Le SIEM interne

Les **Automation Stitches** permettent de déclencher des actions automatiques basées sur des évènements système ou des logs de sécurité.

Composants du Stitch :

• Trigger (Déclencheur) : Log d'intrusion IPS, failover HA, CPU > 90%, ou planification horaire.
• Action : Envoyer un email, exécuter un script CLI, envoyer un Webhook (Teams/Slack), ou bannir l'IP source (Quarantaine).

Logique Trigger-Action

                            # Stitch pour bannir une IP après attaque IPS
                            config system automation-stitch
                            edit "Auto_Ban_IPS"
                            set trigger "IPS_Intrusion_Log"
                            config actions
                            edit 1
                            set action "Quarantine_IP"
                            next
                            end
                            next
                            end

Stratégie de Versionnement FortiOS

Ne jamais sauter de versions majeures sans consulter l'**Upgrade Path Tool**. Chaque firmware effectue des migrations de base de données d'objets spécifiques.

Maturité des Releases :

• Feature Stream (ex: 7.6.0) : Nouvelles fonctionnalités, potentiellement instable. À réserver aux labs.
• Mature Stream (ex: 7.4.x / 7.2.x) : Patchs de sécurité et stabilité. Recommandé pour la production.

Note : Un saut de version direct (ex: 6.4 vers 7.2) sans passer par les étapes intermédiaires corrompt systématiquement le fichier de configuration.

Logique de l'Upgrade Path

Debug Flow : Le Saint Graal

Permet de suivre le cheminement d'un paquet à travers le noyau FortiOS pour comprendre s'il est droppé par une politique, un problème de routage ou un profil UTM.

Interprétation des messages :

• "Allowed by Policy-ID: 5" : Le flux est autorisé par la règle 5.
• "denied by forward policy-0" : Droppé par la règle implicite.
• "Reverse path check fail" : Problème d'Anti-spoofing (RPF check).

Sécurisation du Plan de Contrôle

Le plan de contrôle est la cible n°1 des attaquants. Un accès compromis signifie une perte totale du réseau.

Règles de Fer :

• Ports Non-Standards : Changer les ports HTTPS (ex: 10443) et SSH (ex: 10022).
• HTTPS Only : Désactiver HTTP et Telnet (flux en clair).
• TLS Hardening : Forcer TLS 1.2 minimum et désactiver les ciphers obsolètes (CBC, DES, RC4).
• Idle Timeout : Déconnexion automatique après 5-10 min d'inactivité.

Interface Management Isolation

                            # Durcissement des accès globaux
                            config system global
                            set admin-sport 10443
                            set admin-ssh-port 10022
                            set admintimeout 10
                            set admin-https-ssl-versions tls1-2 tls1-3
                            end

Décrypter les chiffres constructeur

Les débits annoncés sur les plaquettes Fortinet sont mesurés dans des conditions idéales (paquets UDP 1518 octets, sans inspection).

Impact de la taille des paquets

Le débit chute drastiquement avec des petits paquets (64 bytes) car le nombre d'interruptions CPU par seconde explose.

Architecture des Zones SD-WAN

Le SD-WAN Fortinet repose sur l'abstraction des interfaces physiques en **SD-WAN Zones**. Cette couche permet d'appliquer des politiques de sécurité sur une interface logique unique (ex: Virtual-WAN-Link).

• Zones Virtuelles : Regroupement par type de lien (Underlay: Fibre/4G, Overlay: IPsec).
• Gateway Detection : Configuration des passerelles par défaut pour chaque membre.
• Interface Priority : Définition du coût de base du lien avant évaluation dynamique.

CLI : Initialisation du SD-WAN

                            # Configuration des membres et des zones
                            config system sdwan
                            set status enable
                            config zone
                            edit "Internet_Zone"
                            next
                            end
                            config member
                            edit 1
                            set interface "wan1"
                            set zone "Internet_Zone"
                            set gateway 1.1.1.1
                            next
                            end
                            end

L'Inspection Hybride de FortiOS

FortiOS permet de choisir le mode d'inspection au niveau de la politique ou du système (NGFW Mode). Ce choix détermine si le trafic est traité par le moteur IPS (Flow) ou le démon WAD (Proxy).

Note : En mode Flow, le firewall scanne les paquets à la volée sans les bufferiser entièrement, ce qui permet l'accélération matérielle.

Cycle de traitement Flow vs Proxy

                            # Changer le mode d'inspection global
                            config system settings
                            set inspection-mode [flow | proxy]
                            end

L'algorithme de Matching FortiOS

Le FortiGate utilise un moteur de recherche séquentiel (Top-to-Bottom). Dès qu'une correspondance est trouvée, le traitement s'arrête.

• Champs de Matching : Interface Source/Dest, Adresse Source/Dest, Service, Schedule.
• Implicit Deny : La règle 0 (invisible) bloque tout ce qui n'est pas explicitement autorisé.
• NGFW Policy Mode : Choix entre *Profile-based* (classique) ou *Policy-based* (plus proche de Palo Alto).

Traitement Hardware (ASIC) :

Si la politique n'inclut pas de profils Proxy, elle est éligible au déchargement **NP7 FastPath**.

Diagramme de flux NGFW

                            # Vérifier l'ordre et le hit-count des règles
                            diagnose firewall policy list
                            # Identifier la règle utilisée par une session
                            diagnose sys session filter daddr 8.8.8.8
                            diagnose sys session list

Standardisation IPsec IKEv2

L'implémentation Fortinet privilégie le Route-Based VPN (VTI) pour permettre le pilotage par le moteur SD-WAN et le support des protocoles de routage dynamique.

Pourquoi IKEv2 ?

• MOBIKE : Persistance du tunnel lors du changement d'IP client (Fibre vers 4G).
• NAT-T : Détection et encapsulation UDP 4500 native.
• EAP Auth : Support des certificats et de l'authentification forte.

Configuration Phase 2 (Performance)

                            # Phase 2 : Optimisation SPU
                            config vpn ipsec phase2-interface
                            edit "P2_Data_Tunnel"
                            set phase1name "To_HQ"
                            set proposal aes256gcm
                            set dhgrp 21
                            set auto-negotiate enable
                            set keepalive enable
                            next
                            end

FGCP : Le standard de redondance

Le **FortiGate Clustering Protocol (FGCP)** est le protocole propriétaire utilisé pour former des clusters de 2 à 4 unités. Il assure la synchronisation temps réel de la configuration et des sessions.

Élection du Master (Logique AP):

• 1. Monitor Interface : Plus d'interfaces "UP" l'emportent.
• 2. HA Priority : Valeur définie manuellement (Défaut 128).
• 3. Up-time : Le plus ancien reste Master (Si diff > 5min).
• 4. Serial Number : Le plus élevé (Dernier recours).

CLI : Initialisation Cluster AP

                            # Configuration du mode HA
                            config system ha
                            set group-id 1
                            set group-name "CORE_CLUSTER"
                            set mode a-p
                            set hbdev "port3" 50 "port4" 50
                            set session-pickup enable
                            set override disable
                            set priority 200 # Unité Master
                            end