FortiGate Firewall Firmware Güncelleme: Yükseltme Yolu

FortiGate Firewall firmware güncelleme, cihazın işletim sistemi FortiOS’u yeni bir sürüme taşımaktır. Fortinet’in ve NIST’in tarif ettiği düzende yükseltmenin bir gerekçesi vardır (kapanan bir açık, desteği biten bir dal), sürüm notları okunur, Fortinet’in yayımladığı yükseltme yolu izlenir, öncesinde yedek alınır ve geri dönüş koşulları yazılır. Yükseltme bir bakım penceresinde, konsol erişimi hazırken yapılır.

Bu yazı FortiGate Firewall yapılandırma rehberimizin 19. adımıdır. Lab’daki FortiGate değerlendirme lisansıyla çalışıyor ve Fortinet’in sanal makine kılavuzuna göre bu lisansta firmware yükseltmeyi denemek arayüzü tam lisans yüklenene kadar kilitliyor. Bu yüzden yükseltmenin kendisini değil, öncesini ve çevresini ölçtüm: firmware ekranını, sürüm bilgisini, firmware bölümlerini, HA kümesinin yükseltme ayarını ve yapılandırma hata kaydını.

Lab’da dört sonuç öne çıktı:

1. Firmware ekranı 7.0.10 için The firmware is up to date dedi, yani firmware güncel. Oysa 7.0.10, Fortinet’in istismar edildiğini bildirdiği bir SSL VPN açığından etkilenen aralıkta ve düzeltilmiş sürüm 7.0.14.
2. Cihazın sürümünün dalı, 7.0, desteğin sonuna 30 Eylül 2025’te ulaştı.
3. Sanal makinedeki ikinci bölümde önceki firmware değil imza veritabanı duruyor. Bölüm değiştirerek geri dönüş burada mümkün değil.
4. HA kümesinde cihazları sırayla yükselten uninterruptible-upgrade ayarı fabrika ayarında açık.

Örnekteki sınır kapısında firmware, kapının işleyiş yönetmeliğidir. Merkez yönetmeliği zaman zaman yeniler: bazen yeni bir kural ekler, bazen kaçakçıların kullandığı bir boşluğu kapatır. Kapı yeni yönetmeliğe bir gecede atlamaz, merkezin yayımladığı ara sürümleri sırayla uygular ve eski yönetmeliğin bir kopyasını çekmecede tutar. Merkezle bağlantısı kopan kapı ise elindeki yönetmeliği en yenisi sanır.

Bu yazı, Kurumsal Network Kurulumu hizmetimizde yönettiğimiz FortiGate’lerin sürümünü takip ederken izlediğimiz sırayı anlatır.

FortiGate Firmware Neden Güncellenir?

Firewall internete bakan ilk cihazdır ve açıkları saldırganların ilk aradığı yerdir. Lab cihazımın sürümü bunun somut örneği:

gmfw01 # get system status
Version: FortiGate-VM64 v7.0.10,build0450,230221 (GA.M)
...
Branch point: 0450
Release Version Information: GA

Fortinet Şubat 2024’te FortiOS’un SSL VPN bileşeninde, kimlik doğrulaması olmadan uzaktan kod çalıştırmaya izin veren bir açık yayımladı ve bildirimde açığın saldırılarda kullanılıyor olabileceğini yazdı (FG-IR-24-015, CVE-2024-21762). 7.0 dalında etkilenen sürümler 7.0.0 ile 7.0.13 arası, düzeltme 7.0.14 ve sonrası. Lab cihazım 7.0.10’da, yani etkilenen aralıkta. Açık SSL VPN’de, lab cihazımda SSL VPN kullanılmıyor, ama sürüm güncellenmeden o bileşeni açan herkes açığı da açar.

İkinci gerekçe dalın ömrü. Fortinet’in yaşam döngüsü tablosunu derleyen endoflife.date’e göre FortiOS 7.0’ın mühendislik desteği 30 Mart 2024’te, desteği 30 Eylül 2025’te bitti. Destek bittikten sonra güvenlik düzeltmesi de çıkmıyor. Yani 7.0’da kalan bir cihaz, bundan sonra bulunan açıkları hiç kapatamayacak.

NIST’in yama yönetimi rehberi firmware’i yamanın konusu sayıyor ve desteği biten varlıkları “yamalanamaz varlıklar” arasına koyuyor. Bunlar için yamanın yerine geçen uzun vadeli korumalar (örneğin varlığı ağda ayırmak) planlanır ve bu seçenekler düzenli olarak yeniden değerlendirilir (NIST SP 800-40 Rev. 4, bölüm 3.5.4). Bir firewall için bunun pratik karşılığı, desteği süren bir dala geçmektir.

FortiGate Firmware Güncelleme Nasıl Olmalı?

Yükseltmenin yazılı bir gerekçesi vardır ve bu gerekçe “en yeni sürüm” değildir. Hedef sürüm, sürüm notları okunarak ve olgunluk etiketine bakılarak seçilir. Fortinet’in yükseltme yolu izlenir, öncesinde yedek alınır, iki sürümün firmware dosyası elde tutulur ve geri dönüş koşulları baştan yazılır. Yükseltmeden önce ve sonra aynı testler çalıştırılır.

Bu düzeni dört kaynak birlikte tarif ediyor:

1. Fortinet FortiOS 7.0 en iyi uygulamalar, Firmware change management:
   • Yükseltmenin geçerli bir gerekçesi olur. Fortinet’in saydığı gerekçeler uyum, ölçülebilir bir iyileşme, işi etkileyen bir hatanın düzeltilmesi ve üreticinin sürümün desteğini kesmesi.
   • Yeni sürüm önce bir lab’da denenir, sürüm notları ve bilinen sınırlamalar okunur.
   • Yedek alınır, kurulu ve yeni firmware’in dosyaları cihaz dışında tutulur.
   • Önce ve sonra çalıştırılacak aynı testler ve geri dönüşü başlatacak koşullar yazılır.
   • Yükseltmeden sonra en az bir iş döngüsü izlenir.
2. Fortinet Community, Best practices for firmware upgrades and downgrades: önerilen yükseltme yolu izlenir, cihazla birlikte çalışan ürünlerin (FortiAnalyzer, FortiManager, FortiAP) uyumu sürüm notlarından kontrol edilir, yükseltme sırasında konsol erişimi hazır tutulur. Eski sürüme dönüş önerilmez.
3. NIST SP 800-40 Rev. 4 (Nisan 2022), Guide to Enterprise Patch Management Planning: rutin yama ile acil yama ayrı planlanır. Saldırılarda kullanılan bir açık acil durumdur ve aynı süreç hızlandırılmış bir takvimle işletilir (bölüm 3.5).
4. Fortinet, Upgrade Path Tool: model, kurulu sürüm ve hedef sürüm için Fortinet’in test ettiği yolu verir.

Karar tablosu:

FortiGate’te Hangi Sürüm? Mature ve Feature

FortiOS 7.0.6’dan itibaren her firmware bir olgunluk etiketi taşıyor (Fortinet, Firmware maturity levels):

1. Feature: yeni özellikler içeren sürüm.
2. Mature: yeni büyük özellik içermeyen, hata ve açık düzeltmeleri taşıyan sürüm.

Lab cihazımın sürüm satırının sonundaki GA.M, ekrandaki (Mature) etiketinin karşılığı. Aynı belgeye göre Mature sürümden Feature sürüme yükseltirken arayüz uyarı gösteriyor. Kararlılığın önde olduğu bir kurumda hedef, desteği süren bir dalın Mature sürümüdür.

FortiGate Ne Zaman Yükseltilir? Rutin ve Acil

NIST’in rehberi iki takvim ayırıyor:

1. Rutin yükseltme: düzenli çıkan düzeltmeler için. Bakım penceresinde, testlerden sonra yapılır.
2. Acil yükseltme: saldırılarda kullanılan ya da ağır bir açık için. Süreç aynıdır, takvim kısalır.

FG-IR-24-015 gibi “istismar ediliyor olabilir” notu taşıyan bir bildirim ikinci gruba girer. O sürümü bekleyemeyen bir kurum, Fortinet’in bildirimdeki geçici önlemini uygular: o açık için SSL VPN’i kapatmak.

FortiGate Firmware Ekranı: Sürüm ve Yükseltme Seçenekleri

Arayüzde yol System → Firmware. Ekranın üstünde kurulu sürüm, altında dört sekme var:

1. Latest: FortiGuard’ın bu model için bildirdiği en yeni sürüm.
2. All Upgrades ve All Downgrades: üst ve alt sürümlerin listesi.
3. File Upload: destek portalından indirilmiş firmware dosyasını yüklemek.

Yükseltme düğmesinin adı Confirm and Backup Config. Fortinet’e göre arayüzden başlatılan yükseltme yapılandırmanın bir yedeğini bilgisayara indiriyor. Bu yedek yine de cihaz dışındaki düzenli yedeğin yerine geçmez. Yedek düzenini yedek alma yazımızda anlattık.

“The firmware is up to date” Güncel Olduğu Anlamına Gelmiyor

Latest sekmesi The firmware is up to date dedi, All Upgrades sekmesi No upgrades available, yani yükseltme yok. İkisi de yanlış. Sebebi FortiGuard bağlantısı:

gmfw01 # get system auto-update status
FDN availability:  unknown at Thu Jan  1 03:00:00 1970

FDN availability: unknown, cihazın Fortinet’in dağıtım ağına (FortiGuard Distribution Network) hiç ulaşamadığını söylüyor. Lab cihazımda sebep değerlendirme lisansı. Gerçek bir cihazda aynı durum, internete çıkışı kısıtlanmış bir yönetim ağından ya da süresi geçmiş bir destek sözleşmesinden doğabilir. Ekran o durumda da elindeki listeye göre konuşur.

Bu mesajı görünce sürüm elle kontrol edilir:

1. Kurulu sürüm: get system status çıktısındaki Version satırı.
2. Dalın son sürümü: Fortinet’in belge kütüphanesindeki sürüm notları.
3. Açıklar: FortiGuard PSIRT sayfasında kurulu sürümün etkilendiği bildirimler.

FortiGate Yükseltme Yolu ve Hazırlık

Fortinet her sürümden hangi sürüme geçilebileceğini bir yol olarak yayımlıyor. Upgrade Path Tool sayfasında model, kurulu sürüm ve hedef sürüm seçilince araya girmesi gereken ara sürümler sürüm notlarıyla birlikte listeleniyor. Yolun her adımı ayrı bir yükseltmedir: cihaz her adımda yeniden başlar.

Yükseltme gününden önce hazır olması gerekenler:

1. Cihaz dışında güncel bir yedek. Arayüzün kendi yedeği buna ek.
2. İki firmware dosyası: hedef sürüm ve kurulu sürüm. Fortinet kurulu sürümün dosyasını da indirmeyi istiyor, geri dönüş gerekirse aranmasın diye.
3. Uyum kontrolü: cihazla birlikte çalışan FortiAnalyzer, FortiManager ve FortiAP’lerin hedef sürümü desteklediği, sürüm notlarının Product Integration and Support bölümünden.
4. Konsol erişimi: cihaz yükseltmeden sonra açılmazsa durumu ancak konsol gösterir.
5. Test listesi: yükseltmeden önce ve sonra çalıştırılacak aynı testler (internet çıkışı, VPN tünelleri, yönetici girişi) ve hangi sonucun geri dönüşü başlatacağı.

Yükseltmeden Sonra: Yapılandırma Hata Kaydı

Yeni sürüm eski yapılandırmanın bazı satırlarını tanımayabilir. Fortinet’in notuna göre FortiGate yükseltme ve açılış sırasında eksik kalan ya da uygulanamayan yapılandırmayı bir hata kaydına yazıyor (Fortinet Community, config error log):

diagnose debug config-error-log read

Lab cihazımda komut boş döndü, yani açılışta reddedilen satır yok. Yükseltmeden sonra burada satır görürseniz o ayarlar yeni sürümde uygulanmamış demektir. Aynı nota göre kayıt kendiliğinden silinmiyor: sorun giderilince diagnose debug config-error-log clear ile temizlenir, yoksa eski satırlar bir sonraki yükseltmede yeni bir sorun sanılır. Sonra imzalar execute update-now ile güncellenir ve test listesi yeniden çalıştırılır.

FortiGate Firmware Geri Dönüş: İkinci Bölüm

Fortinet’e göre iki firmware görüntüsü tutabilen modellerde yükseltmeden sonra eski sürüm ikinci bölümde kalır ve cihaz execute set-next-reboot komutuyla bir sonraki açılışta o bölümden başlatılabilir (Fortinet CLI başvurusu, set-next-reboot). Fortinet Community’deki notta iki sınır var: dönüş yalnız tek adım geri gider ve eski sürüme dönüş önerilmez, yalnız kritik bir servis bozulduğunda başvurulur.

Bölümleri diagnose sys flash list gösteriyor. Lab cihazımda:

gmfw01 # diagnose sys flash list
Partition  Image                                     TotalSize(KB)  Used(KB)  Use%  Active
1          FGVM64-7.00-FW-build0450-230221                  253920    103876   41%  Yes
2          EXDB-1.00000                                    1805152     55708    3%  No
Image build at Feb 21 2023 22:05:22 for b0450

Satırlar iki şey söylüyor:

1. Bölüm 1: çalışan firmware, 7.0 build 0450. Active sütununda Yes.
2. Bölüm 2: firmware değil, genişletilmiş imza veritabanı (EXDB).

Bu sanal makinede önceki bir firmware’in duracağı ikinci bir bölüm yok. Geri dönüş yolu eski sürümle yeniden kurulum ve o sürümden alınmış yedeği geri yüklemektir. Kendi cihazınızda bu çıktıya yükseltmeden önce bakın, geri dönüş planı ona göre yazılır.

Örnekteki sınır kapısında ikinci bölüm, çekmecede tutulan eski yönetmeliktir. Yeni yönetmelik işe yaramazsa kapı ertesi sabah eskisiyle açılır. Çekmecesi olmayan kapıda ise eski yönetmelik merkezin arşivinden yeniden istenir.

HA Kümesinde FortiGate Firmware Yükseltme

Kümede yükseltme tek cihazdakiyle aynı ekrandan başlatılır. Davranışı uninterruptible-upgrade ayarı belirler ve lab kümesinde fabrika ayarında açık:

gmfw01 # show full-configuration system ha | grep -i upgrade
    set uninterruptible-upgrade enable

Fortinet’in belgesine göre ayar açıkken küme önce yedek cihazları yükseltir, yükseltilmiş bir cihazı birincil yapar, sonra eski birinciliği yükseltir (Upgrading FortiGates in an HA cluster). Trafik bu sırada birincil değişimiyle bir cihazdan öbürüne geçer, yani küme kısa devir anlarıyla yükseltilir. Fortinet Community’deki not yine de bakım penceresi, iki cihazın da eşitlenmiş olmasını ve kaynak kullanımının normal olmasını istiyor. Devir anında ne olduğunu FortiGate HA yazımızda ölçtük.

Doğrulama: FortiGate Firmware Yükseltmesine Hazır mısınız?

Yükseltmeden önce şu maddeleri kontrol edin:

1. Kurulu sürüm biliniyor ve elle karşılaştırıldı. Firmware ekranının up to date demesi yetmiyor.
2. Dalın destek durumu biliniyor. Desteği biten dalda kalan cihaz yeni açıkları kapatamaz.
3. PSIRT bildirimleri tarandı. İstismar edilen bir açık rutin değil acil yükseltmedir.
4. Hedef sürüm Mature ve yolu Upgrade Path Tool’dan.
5. Yedek cihaz dışında, iki firmware dosyası elde, konsol hazır.
6. Geri dönüş yolu biliniyor. diagnose sys flash list ikinci bölümde ne olduğunu gösteriyor.
7. Yükseltmeden sonra hata kaydı okundu. diagnose debug config-error-log read boş dönmeli ya da her satırı açıklanmalı.
8. HA kümesinde iki cihaz in-sync. uninterruptible-upgrade kararı bilerek verildi.

Sonuç: FortiGate’te Firmware Güncel Değilse Cihaz Bunu Söylemeyebilir

FortiGate’te firmware yükseltmek ekranda birkaç tıktır. İşin ağırlığı öncesinde: hangi sürüme, hangi yoldan, hangi yedekle ve geri dönüşü hangi koşulda başlatarak yükseltileceği. Lab’da dört şey beklenenden farklı çıktı:

1. Ekran desteği biten ve açığı bilinen bir sürümü güncel gösterdi. Cihaz FortiGuard’a ulaşamadığında elindeki listeye güveniyor.
2. Sürümün dalının desteği bitmişti. Bundan sonra bulunan açıklar o dalda kapanmayacak.
3. Sanal makinede ikinci bölüm firmware’e ayrılmamıştı. Geri dönüş bölüm değiştirerek değil yeniden kurulumla.
4. HA kümesi sıralı yükseltmeye fabrika ayarında hazırdı.

Örnekteki sınır kapısı merkezle bağlantısını kaybedince elindeki yönetmeliği en yenisi sanır ve bunu soran herkese de öyle söyler. Yönetmeliğin güncel olup olmadığını kapıya değil merkeze sormak gerekir: FortiGate’te merkez, Fortinet’in sürüm notları ve PSIRT sayfasıdır. Rehberin bir sonraki adımı parola kurtarma ve fabrika ayarları.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn