FortiGate Firewall İlk Kurulum: Konsol ve İlk Giriş

FortiGate Firewall ilk kurulumu, kutudan çıkan cihazı ağa bağlamadan önce güvenli bir başlangıç noktasına getirmektir. Bu işin sırasını NSA’nın ağ altyapısı rehberi ve Fortinet’in sıkılaştırma önerileri birlikte tarif ediyor. Bu yazı FortiGate Firewall yapılandırma rehberimizin ilk adımı. Her işi lab’daki FortiGate’te ölçtüm.

Örnekteki sınır kapısında bu, açılış sabahı kulübeye ilk kez giren görevlinin işidir. Kapı fabrikadan herkesin bildiği bir anahtarla gelir. Görevli içeri girer girmez kilidi kendi anahtarına çevirir, kulübenin kapısına adını asar ve telefon hattını bağlar. Kulübenin bir de penceresi vardır: telefon hattı kesilse bile görevliyle pencereden yüz yüze konuşulur. Anahtar parolanın, kapıdaki ad cihaz adının, telefon hattı yönetim adresinin, pencere de konsolun karşılığıdır.

Bu yazı, Kurumsal Network Kurulumu hizmetimizde bir FortiGate’i kurarken ilk gün yaptığımız işi anlatır.

FortiGate İlk Kurulum Nasıl Olmalı?

Cihaz ağa bağlanmadan önce dört iş biter:

1. Fabrika parolası değişir.
2. Yazılım üreticinin önerdiği sürüme yükseltilir.
3. Cihaz bir ad alır.
4. Yönetim adresi yalnız yönetim ağına bakan porta verilir ve o portta yalnız şifreli yönetim yolları açık kalır.

Bu sırayı iki kaynak birlikte tarif ediyor:

1. NSA, Network Infrastructure Security Guidance rehberinde (Mart 2022 sürümü) fabrika parolasının cihaz ağa bağlanmadan değiştirilmesini istiyor (bölüm 5.2). Aynı rehber işletim sisteminin üreticinin en son kararlı sürümüne yükseltilmesini (bölüm 3.3) ve dosyanın hash’inin üreticinin yayımladığı hash’le karşılaştırılmasını (bölüm 3.1) istiyor. HTTP ve Telnet gibi şifresiz yönetim yolları kapatılır (bölüm 7.1); yönetime yalnız yönetici bilgisayarları ulaşır ve yönetim ayrı bir ağ bölümünde durur (bölüm 7.4).
2. Fortinet, FortiOS 7.0 sıkılaştırma önerilerinde cihazın fiziksel olarak güvenli bir yere kurulmasını istiyor. Aynı belgeye göre son yama sürümü en çok açığı kapatılmış sürümdür ve desteği bitmiş yazılım kullanılmaz. Fiziksel güvenlik sağlanamıyorsa USB bellekten otomatik kurulum kapatılır.

Lab cihazımın fabrika ayarlarını bu önerilerle yan yana koydum:

Son iki satır rehberin sonraki adımlarının işi. Bu yazı ilk üçünü anlatıyor.

FortiGate’e Hangi Yazılım Sürümü Kurulmalı?

Kurulacak sürümü Fortinet’in önerilen sürüm listesi söyler. Listeye giren sürüm olgun bir sürümdür, en az 40.000 cihazda kuruludur ve geçici çözümü olmayan yüksek önemde bir açık taşımaz. Liste üç ayda bir güncellenir; Haziran 2026 itibarıyla sanal makineler için önerilen sürüm 7.6.6.

Lab cihazımın sürümü bunun epey gerisinde: 7.0.10, değerlendirme için indirilebilen imaj. Fortinet’in güvenlik açığı policy’sine göre Ocak 2026 itibarıyla düzeltme alan desteklenen dallar 7.2, 7.4 ve 7.6; 7.0 bu listede yok. Yani lab’daki sürüm, güvenlik düzeltmesi artık gelmeyen bir dal. Menü ve mantık anlatmak için yeterli, ama sizin cihazınız bu sürümle ağa bağlanmamalıdır.

Cihaz kutudan eski bir sürümle çıktıysa önerilen sürüme tek adımda atlanmaz. Fortinet her model için bir yükseltme yolu (upgrade path) tanımlar: cihazın çalıştırdığı sürümden hedef sürüme giden, desteklenen ara sürümlerden oluşan bir sıra. Fortinet’in yükseltme yolu notuna göre bu yol fabrika ayarındaki, yapılandırması boş bir cihazda da izlenir. Yol atlanırsa not şu sonuçları sayıyor:

1. Yapılandırma kaybı: ayarların bir kısmı yeni sürüme taşınmaz.
2. Ağ kesintisi ve yönetim erişiminin kaybı: cihaz trafiği geçirmeyebilir, arayüze ve SSH’a uzaktan ulaşılamayabilir.
3. Açılmama: cihaz yeni sürümle açılmayabilir.

Yol, Fortinet’in Upgrade Path Tool sayfasında model, mevcut sürüm ve hedef sürüm seçilerek bulunur. Notun kendi örneğinde 7.0.14’ten 7.4.5’e giden yol 7.2.10’dan geçiyor. Her ara adım ayrı bir yükseltmedir ve cihaz her birinde yeniden başlar; adımdan önce yapılandırma yedeği alınır. Geri dönüşün desteklenen bir yolu yoktur, sürüm düşürmek de aynı riskleri taşır. Yükseltmenin adımları ve geri dönüş planı ayrı bir yazının konusu.

Sahada yükseltmeyi bu yüzden erteleyen çok kurum görüyoruz. Ertelemenin ikinci sebebi, SSL-VPN’in yerine önerilen IPsec VPN’in bazı ağlardan bağlanırken kararsız çalışmasıdır. Sorun IPsec’in kendisinde değil, kullanıcı ile firewall arasındaki ağlarda:

1. UDP engeli: IPsec anahtar değişimini UDP 500 ve 4500 portlarından yapar. Otel, kafe ve misafir ağlarındaki bazı ara cihazlar UDP trafiğinin tamamını engeller ve yalnız web trafiğine benzeyen TCP bağlantılarını geçirir (RFC 8229). SSL-VPN TCP üzerinden çalıştığı için aynı ağdan bağlanır, IPsec bağlanamaz.
2. Parçalanan giriş mesajları: Sertifikayla kimlik doğrulayan bir IPsec bağlantısının giriş mesajları birkaç kilobayta çıkar ve yolda parçalanır. Bazı NAT cihazları ve servis sağlayıcıların taşıyıcı sınıfı NAT (CGNAT) donanımları bu parçaları düşürür (RFC 7383). Tünel evdeki hattan kurulur, mobil hattan kurulmaz.

Fortinet de aynı sebeple FortiOS 7.4.2’de IPsec trafiğini TCP içinde taşıyan kendi çözümünü ekledi; bu yol yalnız IKEv2 ile çalışıyor (yönetim kılavuzu). Uzaktan erişimi SSL-VPN’den IPsec’e taşımanın adımları da ayrı bir yazının konusu.

Yükseltmeden önce indirdiğiniz imajın bozulmadığını ve değiştirilmediğini doğrularsınız. Fortinet’in kendi tarifine göre Windows’ta özet şu komutla hesaplanır:

certutil -hashfile FGT_VM64-v7.0.10.M-build0450-FORTINET.out.ovf.zip sha512

Lab imajında aldığım çıktı:

SHA512 hash of C:\Users\ilker\Downloads\FGT_VM64-v7.0.10.M-build0450-FORTINET.out.ovf.zip:
57a1d02fef58ce9de497e348c44863664ee21211065af00486c8cc24a36d2655ea559b4e86e1db1a22ef9e8a019d52b78ddfa5dcae70be0cd938ee659c736cca
CertUtil: -hashfile command completed successfully.

Bu değer Fortinet destek portalındaki Firmware Image Checksums sayfasında yazan değerle karşılaştırılır; iki değer harfi harfine aynı olmalıdır. Portal kayıtlı bir hesap istiyor. Lab cihazım kayıtsız bir değerlendirme kurulumu olduğu için bu karşılaştırmayı yapamadım. Kendi cihazınızda önce cihazı Fortinet’e kaydedersiniz, karşılaştırmayı ondan sonra yaparsınız.

FortiGate’e İlk Bağlantı: Konsol mu, Tarayıcı mı?

Yeni bir FortiGate’e iki yoldan ilk kez ulaşılır: konsol kablosuyla ya da bir porta bağlanan bilgisayarın tarayıcısıyla. İlk oturumu konsoldan açmayı öneriyoruz, çünkü iki yol birbirine benzemez.

Konsol, cihaza ağdan değil doğrudan bir kabloyla bağlanmaktır. Kablonun ucundaki bilgisayar cihazın kendi ekranı ve klavyesi gibi çalışır. Bunun için cihazın bir IP adresi olması gerekmez; ağ ayarları bozulsa da konsol çalışır. Örnekteki kulübenin penceresi budur.

Ağ üzerinden yönetim ise tarayıcıyla ya da SSH ile, ağdaki bir bilgisayardan yapılır. Bunun için cihazın bir yönetim adresi, o adreste açık bir yönetim yolu ve bağlanan bilgisayara verilmiş bir izin gerekir. Ağ ayarlarından biri bozulursa bu yol kopar. Örnekteki telefon hattı budur.

İlk oturumu konsoldan açmanın asıl kazancı şu: yanlış bir ayar ağ erişimini kestiğinde geri dönülecek kapının çalıştığı ilk gün öğrenilir. NSA da şifreli yönetimi desteklemeyen cihazlar için konsolu ya da ayrı bir yönetim ağını öneriyor (bölüm 7.1).

Konsol kablosunun takılışını ve terminal programının ayarlarını konsol kablosu yazımızda adım adım gösterdik. Hız ayarı için lab cihazımın kendi yapılandırmasına baktım:

config system console
    set mode line
    set baudrate 9600
    set output standard
    set login enable
end

Konsol hızı 9600. Fortinet’in bilgi bankasına göre bu değer FortiOS 7.0’da buradan değiştirilebiliyor; 7.2.8 ve sonrasında ise cihaz açılırken gelen menüden değiştiriliyor. Başkasının kurduğu bir cihazda ekrana anlamsız karakterler dökülüyorsa hızı değiştirilmiş olabilir. Satırdaki set output standard benim eklediğim bir ayar: uzun çıktılar sayfa sayfa durmadan akıyor.

Lab cihazım bir sanal makine. Konsol kablosu yerine sanal makineye bir seri port ekleyip terminali ona bağladım; gerçek bir cihazda aynı ekran kablonun ucunda açılır.

Tarayıcıyla ilk giriş de mümkündür. Hangi porta bağlanılacağı ve cihazın fabrika ayarında hangi adresle geldiği modele göre değişir; modelin hızlı başlangıç kılavuzunda yazar.

FortiGate Varsayılan Kullanıcı Adı ve Şifresi: İlk Giriş

Fabrika hesabının kullanıcı adı admin, parolası boştur. Boş parolalı bir hesap, cihazın herkese açık geldiği izlenimini verir. Lab cihazıma konsoldan ilk girişte parola satırını Enter’la geçtim ve şu ekran geldi:

FortiGate-VM64 login: admin
Password:
You are forced to change your password. Please input a new password.
New Password:
Confirm Password:
Welcome!

FortiOS boş parolayla oturum açtırmadı: yeni parola iki kez girilmeden Welcome! satırına geçilmedi. NSA’nın istediği şey, fabrika parolasının cihaz ağa bağlanmadan değişmesi (bölüm 5.2), bu cihazda kullanıcıya bırakılmıyor; kilidi cihazın kendisi kuruyor.

Yeni parola en az 15 karakter olur, parola yöneticisinin ürettiği rastgele bir dizi seçilir ve bir parola kasasında saklanır. Uzunluğun nereden geldiğini ve fabrika hesabının sonradan ne olacağını admin hesabı yazımızda anlattık. Parolayı kaybetmenin bedeli FortiOS sürümüne göre değişir ve yeni sürümlerde yapılandırmanın kaybına kadar gider; nedenini rehberin parola kurtarma adımında Fortinet’in kendi belgesiyle anlattık.

Parola kapıyı kilitler, ama hesabı her adrese açık bırakır. Lab cihazımda fabrikadan gelen admin hesabı her adresten girişe açıktı; bu hesabın hangi adreslerden girebileceği yönetim erişimi yazımızda sınırlanıyor.

FortiGate’e Ad Vermek: Hostname

Parola değiştikten sonra cihaza bir ad verilir. Arayüzde bu alan System → Settings ekranının en üstünde, Host name adıyla durur. İlk oturum konsolda açıldığı için ben adı komut satırından verdim:

config system global
    set hostname gmfw01
end

Ad yazıldığı anda komut istemi değişti: FortiGate-VM64 # satırının yerine gmfw01 # geldi. Arayüzde de tarayıcı sekmesinin başlığı “FortiGate - gmfw01” oldu. Birden çok FortiGate yöneten biri için hangi cihazda olduğunu gösteren tek işaret budur.

Adı lokasyon kodu, rol ve sıra numarasından kuruyoruz: Genel Merkez’deki ilk firewall gmfw01, ikinci cihaz gmfw02 olur. Ad ilk gün verilir, çünkü log sunucuları kayıtları cihaz adına göre ayırır; adın sonradan değişmesinin log geçmişini nasıl böldüğünü yönetilebilir switch ayarları yazımızda lab switch’inde ölçtük.

FortiGate Yönetim Adresi: port1’e IP ve Yönetim Erişimi

Cihazın artık bir parolası ve adı var, ama ağdan ulaşılamıyor. Son iş, yönetim ağına bakan porta bir adres vermektir. Yönetim ağı kullanıcıların ağından ayrı durur (NSA bölüm 7.4); lab’da bu ağ VLAN 10, 192.168.10.0/24, ve switch serimizdeki yönetim VLAN’ıyla aynı blok. FortiGate bu ağın .1 adresini alıyor.

Arayüzde yol Network → Interfaces, sonra ilgili portun düzenleme ekranıdır:

1. Addressing mode: Manual. IP/Netmask alanına yönetim adresi yazılır; lab’da 192.168.10.1/255.255.255.0.
2. Administrative Access: yalnız gereken yönetim yolları işaretlenir. Gerçek bir cihazda bunlar HTTPS ve SSH, teşhis için PING.
3. Alias: portun görevi; lab’da yonetim. Arayüz listesinde port bu adla görünür.

İlk oturum konsolda olduğu için aynı ayarı komut satırından verdim:

config system interface
    edit port1
        set mode static
        set ip 192.168.10.1 255.255.255.0
        set allowaccess ping http ssh
        set alias yonetim
    next
end

Lab cihazım değerlendirme lisansıyla çalışıyor ve Fortinet’in sanal makine kılavuzuna göre bu lisansta yönetim arayüzü HTTP üzerinden geliyor; bu yüzden listede HTTPS değil HTTP var. Gerçek bir cihazda HTTP açılmaz, çünkü parolayı ağda düz metin taşır; NSA da HTTP ve Telnet’i kapatılacak yollar arasında sayıyor (bölüm 7.1). Aynı formda portu yalnız yönetime ayıran Dedicated Management Port seçeneği de duruyor.

Doğrulama: FortiGate’e Ağdan Ulaşılıyor mu?

Üç işin sonucu ağdan sınanır. Yönetim ağındaki bir bilgisayardan cihaza ping atılır:

Reply from 192.168.10.1: bytes=32 time<1ms TTL=255
Reply from 192.168.10.1: bytes=32 time<1ms TTL=255
Reply from 192.168.10.1: bytes=32 time<1ms TTL=255
    Packets: Sent = 3, Received = 3, Lost = 0 (0% loss),

Üç paketin üçü de döndü. Aynı bilgisayarın tarayıcısında cihazın adresi açılınca FortiGate’in kullanıcı adı ve parola soran giriş sayfası geldi.

Cihaza sonradan açtığım yeni bir yerel yönetici hesabıyla arayüze ilk kez girdiğimde FortiGate bir kurulum sihirbazı açtı ve konsoldan yaptığım işleri tanıdı:

Ad ve parola konsolda verildiği için işaretli geldi; açıkta yalnız panonun düzeni kaldı ve Later ile atlanabiliyor. Upgrade Firmware satırının işareti ise yanıltıcı: cihaz 7.0.10 çalıştırırken de tamam görünüyordu. Lab cihazımda System → Firmware sayfası da boş açıldı, çünkü değerlendirme lisansı yükseltme ekranını kilitliyor. Kurulacak sürümü sihirbazın işareti değil, yukarıdaki önerilen sürüm listesi söyler.

Cihaz tarafında iki komut sonucu doğrular. İlki get system status; çıktıdan okunacak satırlar şunlar:

License Status: Valid
Hostname: gmfw01
Operation Mode: NAT
Current HA mode: standalone
System time: Thu Oct  1 09:03:03 2026

Hostname verdiğiniz adı, Operation Mode cihazın yönlendirici gibi çalıştığı NAT kipini gösterir. System time satırı henüz doğru olmayabilir: saat, rehberin 4. adımında kurulur. İkinci komut show system interface port1:

config system interface
    edit "port1"
        set vdom "root"
        set ip 192.168.10.1 255.255.255.0
        set allowaccess ping ssh http
        set type physical
        set alias "yonetim"
        set snmp-index 1
    next
end

allowaccess satırı o porttan hangi yönetim yollarının açık olduğunu tek satırda söyler.

FortiGate Ping’e Cevap Vermiyorsa Cihaz Kapalı mı?

Değil. Ping’e cevap vermeyen bir FortiGate çoğu zaman yalnız ping’e kapalıdır. Bunu ölçmek için port1’in yönetim yollarından PING’i çıkardım (set allowaccess ssh http) ve aynı bilgisayardan ping attım:

Request timed out.
Request timed out.
Request timed out.
    Packets: Sent = 3, Received = 0, Lost = 3 (100% loss),

Üç paketin üçü de kayboldu. Aynı anda aynı bilgisayardan SSH ile bağlandım ve get system status çıktısı geldi; cihaz ayaktaydı ve yönetim adresi çalışıyordu. Ping başarısız olduğunda sıra şudur:

1. Önce allowaccess satırına bakılır. Satırda ping yoksa cihaz cevap vermez, ama başka yollar açık olabilir.
2. Sonra bilgisayarın aynı yönetim ağında olduğu doğrulanır. Bilgisayarın adresi ile cihazın adresi aynı blokta olmalıdır.
3. En son kabloya ve porta bakılır. Bu adımda konsol, ağdan bağımsız olduğu için en güvenilir göstergedir.

PING’i geri ekledim; cevaplar iki saniye içinde geri geldi.

FortiGate İlk Kurulumdan Sonra: Sıradaki Adımlar

Cihaz artık ağda, bir adı ve kendi parolası var. Ama admin hesabı hâlâ her adresten girişe açık, saati eşitlenmiyor ve loglarını bir hafta tutuyor. Bunlar rehberin yönetim erişimi adımıyla başlayan sıranın konusu.

Sonuç: İlk Oturum, Fabrikadan Gelen Kapıyı Kapatır

FortiGate’in ilk kurulumu kısa sürer, ama cihazın kaderini belirleyen işler o oturumda yapılır. Boş parola ağa bağlanmadan kapanır, yazılım önerilen sürüme yükseltilir, cihaz tanınacağı adı alır ve yalnız yönetim ağından, yalnız şifreli yollarla ulaşılır hâle gelir. Lab’da iki şey beklenenden farklı çıktı:

1. Ping’e cevap vermeyen cihaz ayaktaydı. Yalnız PING kapalıydı; SSH aynı anda çalıştı.
2. Kurulum sihirbazı yazılımı güncel saydı. Cihaz Fortinet’in önerdiği sürümün epey gerisindeyken bile Upgrade Firmware satırı tamam görünüyordu.

Örnekteki sınır kapısında da görevli ilk sabah fabrika anahtarını emekli eder, kapıya adını asar ve telefon hattını bağlar. Pencerenin açıldığını da o sabah dener, çünkü hat bir gün kesilecek. Kapı ancak bundan sonra açılış listesinin geri kalanına hazırdır.

Bu adımın, kurulumun bütününde nereye oturduğunu 20 adımlık kontrol listesinde görebilirsiniz.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn