FortiGate Firewall Yapılandırma Rehberi: Kontrol Listesi

FortiGate Firewall yapılandırması, kutudan çıkan bir FortiGate’i belli bir sırayla ayarlayıp canlıya almaktır. Bu rehber o sırayı 20 adımlık bir kontrol listesi olarak veriyor ve her adımın yanına hangi kurumda gerektiğini, ayrıntısının nerede anlatıldığını yazıyor.

Yeni bir sınır kapısı ilk aracı karşılamadan önce elden ele bir açılış listesi dolaşır. Kulübenin anahtarı kimde, kapının saati doğru mu, memurların yetkisi yazıldı mı, talimat listesi asıldı mı? Maddeler birbirine yaslanır; saat kurulmadan geçen ilk aracın tutanağı yanlış saati taşır. FortiGate yapılandırması da böyle bir listedir.

Bu rehber, Kurumsal Network Kurulumu hizmetimizin firewall tarafını baştan sona sıraya koyar. Aynı işi müşterilerimizin ağında nasıl yürüttüğümüzü firewall kurulumu ve yönetimi sayfamızda anlattık.

Cihaz zaten çalışıyor ve siz onu devraldıysanız aradığınız yazı büyük olasılıkla FortiGate Firewall’un günlük kullanımını anlattığımız rehberdir; log okumak, kural eklemek ve site engellemek orada. Firewall’un bir paketi nasıl değerlendirdiğini ise firewall nedir yazımızda anlattık.

Listeyi baştan sona uygulamanız gerekmez; kurumunuzda karşılığı olmayan adımı atlayın. Burada her adımın ne işe yaradığını, neden o sırada durduğunu ve çalıştığını nasıl anlayacağınızı anlatıyoruz. Her adımın fabrika ayarını lab’daki FortiGate’te okudum.

FortiGate Firewall Yapılandırma Sırası: Adım Adım Kontrol Listesi

Liste, adımların birbirine bağımlılığına göre sıralandı. FortiGate’e özgü adım yazısı olan satır önce o yazıya, sonra kavramını anlatan yazıya bağlanıyor. “Bu rehberde” yazan adımlar aşağıda, kendi bölümünde anlatılıyor.

Yedek listede 16. sırada duruyor, ama yalnız orada alınmaz. FortiGate her değişikliği anında kaydettiği için yanlış bir ayarın da geri dönüşü yoktur; her aşamanın sonunda şifreli bir yedek alın.

FortiGate Firewall Yapılandırmasında Sıra Neden Önemli?

Adımları başka bir sırayla da uygulayabilirsiniz ve FortiGate yine çalışır. Ama bazı adımlar bir öncekinin sonucuna yaslanır; sıra bozulunca cihaz hata vermez, sessizce eksik kalır. İlk ikisini lab’daki FortiGate’te ölçtüm, diğer ikisi arayüzün kendi kuralıdır:

• Saat, log’dan önce gelir. Lab cihazımda NTP eşitlemesi fabrikadan kapalı geldi (ntpsync disable). Cihaz, sanal makinenin donanım saatini UTC sanıp gerçek saatten 3 saat ileride çalıştı ve o saatle yazılan her log yanlış zamanı taşıdı. Değerlendirme lisansının başlangıç anı da bu ileri saatle damgalandı; saati sonradan geri aldığımda lisans, gerçek saat o ana yetişene kadar geçersiz göründü.
• Kimlik, yönetim adresinden önce gelir. Fabrika hesabı admin, parolası boş. FortiOS ilk girişte parolayı değiştirtiyor, ama aynı hesap fabrikadan her adresten girişe açık geliyor (trusthost1 0.0.0.0 0.0.0.0) ve iki aşamalı doğrulaması kapalı. Yönetim adresi verildiği an ağdaki herkes aynı kapıyı deneyebilir.
• Arayüz ve rota, kuraldan önce gelir. Kural formu gelen ve giden arayüzü ister; tanımlanmamış bir ağ için kural yazılamaz. Rota yoksa kural izin verse bile paket çıkacağı yolu bulamaz.
• Nesneler, kuraldan önce gelir. FortiGate’in kural formunda kaynak ve hedef alanlarına IP adresi yazılmaz, bir adres nesnesi seçilir. Nesne yoksa kural yazılamaz; nesnenin adı ise iki yıl sonra kuralı okuyan kişiye o adresin ne olduğunu söyler.

Örnekteki sınır kapısında da durum aynıdır. Saati kurulmadan açılan kapının ilk günkü geçiş tutanakları yanlış saati taşır ve bu hata ancak bir olayın ardından tutanaklar yan yana konduğunda fark edilir.

1. Aşama: FortiGate’e İlk Erişim ve Kimlik

İlk aşama FortiGate’e ulaşmanın yolunu açar ve kapıyı fabrika hesabına kapatır. Bu üç adım bitmeden cihaz ağa yönetim için açılmaz.

1. Konsol ve İlk Giriş

Konsol, FortiGate’e ağdan bağımsız, doğrudan kabloyla bağlanmanın yoludur. İlk oturumu konsoldan açmanın iki faydası var: cihazın henüz bilinmeyen adresine ihtiyaç kalmaz ve yanlış bir ayar ağ erişimini kestiğinde geri dönülecek kapı baştan bilinir. Konsol kablosunun takılışını ve terminal programını konsol kablosu yazımızda gösterdik; FortiGate’inizin konsol hız ayarını modelinin kılavuzundan doğrulayın.

Lab cihazıma konsoldan ilk girişte kullanıcı adı admin, parola boştu. FortiOS yeni bir parola belirlemeden içeri almadı:

FortiGate-VM64 login: admin
Password:
You are forced to change your password. Please input a new password.
New Password:
Confirm Password:
Welcome!

İlk oturumda iki iş daha yapılır: cihaza bir ad ve yönetim adresi verilir. Lab cihazımın adı gmfw01: lokasyon kodu (gm, Genel Merkez), rol (fw) ve sıra numarası. Log sunucusu kayıtları cihaz adına göre ayırdığı için ad ilk gün verilir.

Yönetim adresi ise yalnız yönetim ağına bakan porta yazılır; o portun hangi yönetim yollarını kabul edeceği bir sonraki adımın işidir. İlk girişi, cihaz adını ve yönetim adresini ekranları ve doğrulama çıktılarıyla FortiGate Firewall ilk kurulum yazımızda gösterdik.

2. Yönetim Erişimi: HTTPS, SSH ve Güvenilen Adresler

FortiGate’te yönetim erişimi iki katmanda sınırlanır. İlki arayüzdür: Network → Interfaces ekranında her arayüzün Administrative Access bölümü, o arayüzden hangi yönetim yollarının kabul edileceğini seçer (HTTPS, SSH, PING, SNMP ve diğerleri). İkincisi hesaptır: System → Administrators ekranında her hesabın Restrict login to trusted hosts seçeneği, girişin hangi adreslerden yapılabileceğini belirler.

Yönetim yalnız yönetim ağına bakan arayüzde açılır; internete bakan arayüzde HTTPS ve SSH kapalı kalır. Güvenilen adres listesi ikinci kilittir: arayüzde bir yol yanlışlıkla açık kalsa bile listede olmayan adresten giriş kabul edilmez. Lab cihazımda fabrikadan gelen admin hesabının güvenilen adresi 0.0.0.0/0, yani her adresti. Üç hatalı girişten sonra cihaz girişi 60 saniye kilitliyordu (admin-lockout-threshold 3, admin-lockout-duration 60).

Uzaktan yönetimin şifreli yollarını SSH yazımızda anlattık. FortiGate’te düz metin giden HTTP ve Telnet yerine HTTPS ve SSH kullanılır. Güvenilen adresin doğru parolayı nasıl reddettiğini ve kilidin her denemeyle nasıl uzadığını FortiGate Firewall yönetim erişimi yazımızda ölçtüm.

3. Admin Hesabı ve Yetki Profilleri

Her yöneticiye kendi hesabı açılır ve ortak bir admin parolası paylaşılmaz; “Bu kuralı kim değiştirdi?” sorusunun cevabı ancak böyle loga düşer. System → Administrators hesapları, System → Admin Profiles yetkileri tutar. Yöneticiler Active Directory’deki ayrı yönetici hesaplarıyla LDAPS ya da RADIUS üzerinden girer; cihazın kendi listesinde yalnız merkezi sunucuya ulaşılamadığı gün kullanılan bir acil durum hesabı kalır.

Merkezi giriş saate (4. adım), DNS’e (5. adım) ve domain controller’a giden yola dayandığı için bu adımda yalnız acil durum hesabı ve yetki profilleri kurulur; kurulum o hesapla sürer, AD grubuyla giriş bu adımlar bitince açılır.

Fabrika ayarında iki profil hazır geliyor: super_admin ve prof_admin. Adına rağmen prof_admin de neredeyse tam yetkilidir; lab cihazımda başka yöneticiler açabildi, yalnız super_admin hesaplarına dokunamadı. Yalnız log okuyacak biri için salt okunur bir profil açılır ve o profilde teşhis komutları kapatılır; bu iki ölçümü FortiGate Firewall admin hesabı yazımızda gösterdim.

Hesap formunda Two-factor Authentication seçeneği de durur ve lab cihazımda fabrikadan kapalıydı. Parolası çalınan bir yönetici hesabının firewall’da ne demek olduğunu düşünürsek bu seçenek her yönetici için açılır; iki aşamalı doğrulamanın nasıl çalıştığını ayrı yazıda anlattık.

2. Aşama: FortiGate Yönetim Düzlemi: Saat, DNS, Log ve İzleme

FortiGate’e artık yalnız sizin hesabınızla ve yalnız yönetim ağından ulaşılıyor. İkinci aşama cihazın kendi düzenini kurar. Saat, ad çözümlemesi, log ve izleme bu aşamada hazırlanır. Bu adımlar trafiğe dokunmaz, bu yüzden mesai içinde de yapılabilir.

4. Saat Dilimi ve NTP

Saat, System → Settings ekranındaki System Time bölümünde kurulur: önce Time zone, sonra Set Time altında NTP. Ekranda NTP’nin yanında PTP ve Manual settings seçenekleri de duruyor; kurumda doğru seçim NTP’dir, çünkü elle kurulan saat zamanla kayar.

Fabrika ayarı sessizdir. Lab cihazımda NTP türü FortiGuard sunucularına ayarlıydı ama eşitleme kapalıydı (ntpsync disable) ve cihaz bu yüzden gerçek saatten 3 saat ileride çalışıyordu. İnternete çıkamayan bir cihaz FortiGuard’a zaten ulaşamaz; sunucu olarak kurumun kendi NTP sunucusunu yazmak daha sağlamdır. Linux’ta bir NTP sunucusunun nasıl kurulduğunu NTP sunucusu kurulum rehberimizde gösterdik.

Kurumun sunucusu arayüzde Custom seçeneğiyle yazılır, ama bu seçenek CLI’da bir sunucu tanımlanana kadar kapalı gelir. İlk sunucuyu CLI’dan yazmayı, senkronu doğrulamayı ve susan sunucunun nerede göründüğünü FortiGate Firewall NTP ayarı yazımızda ölçtük.

Saat yalnız log için önemli değildir. Sertifikaların geçerlilik kontrolü ve zamanlanmış kurallar da cihazın saatine göre çalışır; saat yanlışsa hepsi aynı yanlış saate göre karar verir.

5. DNS Sunucuları

Network → DNS ekranı, FortiGate’in kendi ad çözümlemesi için kullanacağı sunucuları seçer. Fabrika ayarında Use FortiGuard Servers seçili geliyor (96.45.45.45 ve 96.45.46.46).

Active Directory kullanan bir kurumda FortiGate’e iç DNS sunucusu yazılır, çünkü ad üzerinden tanımlanan adres nesneleri ve kimliği Active Directory’den okuyan adımlar iç adları çözmeyi gerektirir. İç DNS’in nasıl kurulduğunu Active Directory DNS yapılandırması yazımızda anlattık.

İkincil DNS alanına da iç adları bilen bir sunucu yazılır, örneğin ikinci domain controller. FortiGate fabrika ayarında iki sunucu arasında o an en hızlısını seçiyor (least-rtt); lab’da ikincil alanda bir Public DNS (internetteki herkese açık DNS sunucusu) varken iç DNS 100 milisaniye yavaşlayınca aynı iç adın 20 çözümünden 19’u yanlış adrese gitti.

Tek iç sunucusu olan kurumda seçim yöntemi failover yapılır. Ölçümü ve düzeltmesini FortiGate Firewall DNS ayarı yazımızda anlattık.

6. Log: Yerel Disk ve Syslog

Log & Report → Log Settings ekranı, logun nereye yazılacağını seçer. Lab cihazımda yerel disk loglaması açıktı ve ekranın kendisi saklama süresini yazıyordu: Logs older than 7 day(s) are deleted from the disk, yani 7 günden eski loglar diskten silinir. Aynı ekranda Send logs to syslog seçeneği fabrikadan kapalıydı.

Yani fabrika ayarında FortiGate logu bir hafta tutar. Bir olayı üç hafta sonra fark eden kurumun elinde o geceye ait kayıt kalmaz. Logu uzun süre saklamak için bir syslog sunucusuna gönderirsiniz; internet erişimi sağlayan kurumların yasal saklama yükümlülüğünü 5651 log yönetimi sayfamızda anlattık.

Syslog açılınca disk logu kapatılmaz: lab’da log sunucusuna giden yol kesikken oluşan satırlar sunucuya hiç gelmedi, yalnız diskte kaldı. 5651 arşivi de kaydı log sunucusundan almaz. FortiGate aynı kaydı ikinci bir syslog akışıyla doğrudan 5651 log sunucusuna gönderir ve bu ikinci sunucu yalnız komut satırından (syslogd2) tanımlanır.

Bu adımın 4. adımdan sonra gelmesinin sebebi de burada görünür. Saat kurulmadan syslog’a gönderilen her satır, uzaktaki sunucuya da yanlış zamanla yazılır.

Fabrika ayarında kapalı gelen ret loglarını, syslog biçiminin log sunucusunu nasıl şaşırttığını ve 5651 için hangi logun şart olduğunu FortiGate Firewall log ayarları yazımızda ölçtük.

7. İzleme (SNMP)

System → SNMP ekranında SNMP ajanı açılır ve izleme sunucusu tanımlanır. Ekran FortiGate’in MIB dosyalarını indirme bağlantısını da veriyor (Download FortiGate MIB File); izleme sistemi cihazın arayüz, oturum ve işlemci değerlerini bu dosyanın tanımlarıyla okur. SNMP sürümlerinin güvenlik farkını SNMP yazımızda, lab’daki izleme sunucusunu Cacti kurulum rehberinde anlattık.

NSA’nın ağ cihazı rehberine göre SNMPv3 kimlik doğrulama ve şifrelemeyle kullanılır. İzleme sunucusunun sorusu üç kapıdan geçer ve biri kapalıysa FortiGate hata vermeden susar:

1. Arayüz: izleme sunucusunun geldiği arayüzün Administrative Access listesinde SNMP işaretli olmalı.
2. Güvenilen adresler: yönetici hesaplarının güvenilen adresleri SNMP’yi de süzer. İzleme sunucusu yönetim ağındaysa yöneticilerin adres aralığı onu kapsar. Başka bir ağdaysa ya da sürüm 7.2.5 ve sonrasıysa adresi bir yöneticinin listesine /32 olarak yazılır.
3. SNMPv3 kullanıcısı: kullanıcının Hosts listesinde izleme sunucusu olmalı, parolalar iki tarafta aynı olmalı.

Üç kapıyı tek tek kapatıp ölçtüğümüz sonucu, v2c community’sinin ağda açık metin gittiğini ve trap’leri FortiGate Firewall SNMP ayarı yazımızda anlattık.

3. Aşama: FortiGate Arayüzleri, İnternet Bağlantısı ve Bölgeler

Cihaz kendi düzenini kurdu. Üçüncü aşamada FortiGate ağlara bağlanır. İnternete açılan kapı, iç ağın bölümleri, adres dağıtımı, bölgeler ve yollar bu aşamada kurulur. Bu adımlar trafiği değiştirir, bu yüzden bakım penceresinde yapılır.

8. İnternet Bağlantısı (WAN)

İnternete bakan arayüz Network → Interfaces ekranında açılır, Role olarak WAN seçilir ve adres servis sağlayıcının verdiği biçimde girilir. Lab cihazımın arayüz formunda adresleme kipi olarak Manual ve DHCP çıkıyor; statik IP’li kurumsal bir hatta Manual seçilir, PPPoE kipi bu cihazda CLI’dan verildi. WAN kapısında üç şey kontrol edilir:

1. Yönetim erişimi kapalı: Administrative Access listesinde HTTPS, HTTP, SSH ve SNMP işaretsiz kalır. CISA’nın BOD 23-02 yönergesi firewall’un yönetim arayüzünü internetten erişilebilir bırakmamayı istiyor.
2. Hattın DNS’i iç DNS’in yerine geçmiyor: DHCP ve PPPoE’de fabrika ayarında açık gelen Override internal DNS kapatılır.
3. Sahte kaynak kapıda düşüyor: WAN’da varsayılan rota varken FortiGate’in fabrika ayarındaki kaynak doğrulaması, iç ağ adresini taşıyan sahte paketi geçirdi. Strict RPF (sıkı kip, strict-src-check) ile WAN’dan gelen özel kaynaklı trafiği reddeden bir kural (match-vip enable) birlikte açılır.

Üç kipi ve bu ölçümleri FortiGate Firewall WAN ayarı yazımızda anlattık.

Servis sağlayıcının modemi de adres çevirisi yapıyorsa iki cihaz arka arkaya NAT yapar ve dışarıdan içeri açılan her kapı iki ayrı yerde tanımlanmak zorunda kalır. Bu çift NAT’ı önlemek için modem köprü moduna alınır. Çift NAT’ın bedelini NAT yazımızda ölçtüm.

Köprü modunda PPPoE oturumunu firewall kurar; oturumun nasıl kurulduğunu ve MTU’nun neden 1492’ye indiğini PPPoE nedir yazımızda anlattık. WAN arayüzü tek başına interneti açmaz; varsayılan rota 12. adımda yazılır.

9. İç Ağ Bölümleri (VLAN)

İç ağ bölümlere ayrılacaksa her bölüm FortiGate’te bir VLAN arayüzü olur. Network → Interfaces → Create New → Interface ile açılan formda tür fabrika ayarında VLAN geliyor; üst arayüz ve VLAN ID seçilir. Switch’teki trunk portu aynı VLAN numaralarını taşımalıdır; switch tarafının nasıl yapılandırıldığını switch VLAN yapılandırması yazımızda gösterdik. VLAN düzeninde üç şey kontrol edilir:

1. Kullanıcı ağı da etiketli: üst portun adresi ve yönetim erişimi olmaz, çünkü onun etiketsiz ağı switch’te trunk’ın native VLAN’ıdır. NSA’nın ağ altyapısı rehberi (bölüm 9.3) native VLAN’ın kullanıcı trafiği taşımamasını istiyor.
2. VLAN’lar arası geçiş kurala bağlı: iki VLAN arasındaki trafik bir kural yazılana kadar reddedilir.
3. Numaralar iki uçta aynı: yanlış VLAN numarası hata vermez, sessizlik üretir.

Personel ağını üst porttan bir VLAN’a taşımayı, etiketin kablodaki izini ve bu üç ölçümü FortiGate Firewall VLAN yapılandırması yazımızda anlattık.

10. DHCP Sunucusu

Adresleri firewall dağıtacaksa her iç arayüzün formunda DHCP Server bölümü açılır; adres aralığı, ağ geçidi ve DNS orada tanımlanır. Active Directory kullanan bir kurumda DHCP’yi Windows Server’da tutmak, cihazların adlarının DNS’e kendiliğinden yazılmasını sağlar. FortiGate o ağlarda adres dağıtmaz, isteği sunucuya iletir (DHCP relay). Sunucunun kurulumunu Windows Server DHCP kurulum rehberimizde anlattık. DHCP düzeninde üç şey kontrol edilir:

1. Aralık statik adreslerin dışında: form fabrika ayarında ağın tamamını öneriyor; aralık plandaki bloğa daraltılır.
2. DNS listesi ağa uygun: fabrika ayarındaki Same as System DNS, FortiGate’in ikincil DNS’ini de istemcilere veriyor. AD ağına yalnız iç DNS’in, misafir ağına servis sağlayıcının DNS’inin ya da bir Public DNS’in adresi yazılır.
3. Relay adresi, sunucunun cevap verdiği adres: FortiGate cevabı yalnız relay adresine açtığı oturumun dönüş yönü olarak kabul ediyor.

Aralığı, rezervasyonu, DNS seçeneğini ve DHCP relay’i FortiGate Firewall DHCP sunucusu yazımızda ölçtük.

11. Zone ve DMZ

Zone, aynı güvenlik seviyesindeki arayüzleri tek bir adla toplar; kural her arayüz için ayrı ayrı değil, zone için bir kez yazılır. Network → Interfaces → Create New menüsündeki Zone seçeneği bu iş içindir. Dışarıya açık bir sunucu varsa o sunucu kendi bölgesinde, DMZ’de durur; DMZ’nin neden ayrı bir bölge olduğunu firewall yazımızda anlattık.

Bölge düzeninde üç şey kontrol edilir:

1. Zone’a yalnız aynı güven düzeyindeki bölümler girer: zone’a giren arayüz, zone’a yazılmış bütün kuralları devralır. Misafir ağı iç bölümlerle aynı zone’a konursa, iç bölümler için yazılmış kurallardan geçer.
2. Zone içi kapalı kalır: formdaki Block intra-zone traffic fabrika ayarında açık gelir; kapatılırsa zone içindeki bölümler listede görünmeyen bir kuralla birbirine açılır ve bu trafik loga düşmez.
3. DMZ’den içeri kural yazılmaz: DMZ’deki sunucudan iç ağa başlatılan bağlantı kuralsız kalır ve her deneme logda ret olarak görünür.

Zone ve DMZ’yi kurup bu üç durumu FortiGate Firewall zone ve DMZ yapılandırması yazımızda ölçtük.

12. Statik ve Varsayılan Rota

Network → Static Routes ekranında FortiGate’in hangi ağa hangi yoldan gideceği yazılır. En önemlisi varsayılan rotadır: hedef 0.0.0.0/0, ağ geçidi servis sağlayıcının adresi. Varsayılan rota yoksa kural izin verse bile internete giden paket çıkacak yolu bulamaz. Rota düzeninde üç şey kontrol edilir:

1. İkinci hat izleniyor: ikinci hattın varsayılan rotası daha büyük mesafeyle bekler. Arayüz açık kaldıkça FortiGate karşı tarafın sustuğunu bilmez; yedeği devreye sokan, ağ geçidinin ötesindeki en az iki adresi yoklayan link monitor’dür. Ağ geçidini yoklayan izleme, ötesindeki kopukluğu görmedi.
2. Kurallar iki hatta geçerli: kural yalnız birincil hatta yazılıysa rota yedeğe geçer ama trafik geçmez. İki hattı bir zone’da toplayıp kuralları bir kez yazmak bunu çözer.
3. Özel adresler dışarı çıkmıyor: üç RFC 1918 aralığı için mesafesi 254 olan kara delik rotaları yazılır.

Bu üç kontrolü FortiGate Firewall statik rota yazımızda ölçtük.

İç ağda başka bir yönlendiricinin arkasında duran ağlar varsa onlara da statik rota yazılır. VLAN’lar arası yönlendirme bir Layer 3 switch üzerinde yapılıyorsa FortiGate o ağlara switch üzerinden, statik rotayla ulaşır.

Tablonun nasıl okunduğunu, en uzun önek eşleşmesini ve dönüş rotasını yönlendirme tablosu nedir yazımızda ölçtüm; o yazıdaki bir bulgu burada da önemli: çalışan tabloya elle eklenip yapılandırmaya yazılmayan rota, hat kopup geri geldiğinde dönmedi. Kalıcı olması gereken her rota bu yüzden yapılandırmaya yazılır.

4. Aşama: FortiGate Kuralları ve NAT

Ağlar ve yollar hazır. Dördüncü aşamada trafiğe hangi yollardan geçebileceği söylenir. Kural gelen ve giden arayüzü sorduğu için bu aşama arayüzlerden sonra gelir.

13. Adres ve Servis Nesneleri

Kurala yazılacak her adres ve servis önce bir nesne olarak tanımlanır: Policy & Objects → Addresses ve Services. FortiGate kurala adresi doğrudan yazdırmıyor, yalnız nesne adı kabul ediyor; kuralı iki yıl sonra okuyan kişi 10.34.30.50 yerine h-personel-eski-pc görür. Nesne düzeninde üç şey kontrol edilir:

1. Her adresin tek nesnesi var ve adı türünü söylüyor: h- tek cihaz, n- ağ, g- grup; nesnenin neden açıldığı açıklamasında yazar. Aynı ağı iki nesne tutuyorsa biri silinir.
2. İç sunucuya FQDN değil adres nesnesi yazılır: FQDN nesnesi FortiGate’in DNS’i kadar doğrudur. İç DNS’e ulaşılamayınca ikincil Public DNS iç ada internetteki iki adresi verdi ve nesne onları doğru adresin yanında tuttu.
3. Gruba yazılan her üye duruyor: farklı arayüzlere bağlı iki nesne aynı gruba yazılınca FortiGate ikinci üyeyi düşürdü ve betikle çalışırken bunu söylemedi.

Bu üç kontrolü FortiGate Firewall adres nesneleri yazımızda ölçtük. Adlandırma standardı olmadan yıllar içinde biriken bir kural listesini nasıl temizlediğimizi kural sıkılaştırma vakasında anlattık.

14. Kural Seti (Firewall Policy)

Kurallar Policy & Objects → Firewall Policy ekranında yazılır. FortiGate listeyi yukarıdan aşağı okur, eşleşen ilk kuralda durur ve hiçbir kurala uymayan trafiği listenin sonundaki Implicit Deny satırıyla reddeder; bu mantığı firewall yazımızın kural bölümünde anlattık.

Kural seti erişim matrisinden kurulur: her açık hücre bir kural, her kapalı hücre yazılmayan bir kuraldır. Kural setinde üç şey kontrol edilir:

1. Ret kuralı kestiği iznin üstünde: arayüzden eklenen yeni kural listenin sonuna düşer. Genel iznin altında kalan yazıcı ret kuralı hata vermeden hiç çalışmadı; Policy Lookup hangi kuralın eşleştiğini trafik göndermeden gösterir.
2. İzinler yalnız gereken servisi açıyor: internete çıkan genel izin ALL yerine web ve ping taşır. Daraltınca dışarıya SSH örtük retle düştü, web ve ping geçti.
3. Ret kurallarının logu açık: Log Violation Traffic fabrika ayarında kapalı; ret çalışırken trafik logunda tek kayıt yoktu. Her kuralın Comments alanında neden var olduğu ve kimin istediği yazar.

Bu üç kontrolü FortiGate Firewall policy yapılandırması yazımızda ölçtük. Arayüzden eklenen kuralın listenin sonuna düştüğünü kullanım rehberinde de göstermiştik.

15. NAT ve Dışarıya Servis Açmak (Virtual IP)

İç ağın özel adresleri internete çıkarken çevrilir. FortiGate’te bu fabrika ayarında kuralın içinde yapılır: yeni bir izin kuralında NAT açık gelir ve çıkış hattın adresiyle olur. NIST bu çeviriyi bir güvenlik özelliği değil, bir yönlendirme işlemi sayar. NAT düzeninde üç şey kontrol edilir:

1. NAT yalnız internete çıkan kurallarda açık: iç bölümlerden DMZ’ye giden kuralda açık kalan NAT, DMZ sunucusuna muhasebeyi ve depoyu FortiGate’in tek bir adresinden geliyor gösterdi.
2. Çeviri logda iki ucuyla duruyor: internet kurallarında log All Sessions kipindeyken her satır iç adresi ve portu, çevrilmiş adresi ve portu birlikte taşıyor. Yedek hatta geçince çıkış adresi de değişiyor; çıkış adresini tanıyan karşı taraflar iki adresi de bilmeli.
3. IP havuzu ve central NAT bilinçli seçiliyor: Policy & Objects → IP Pools ile açılan ayrı bir çıkış adresi, ARP cevabı kapalıyken cevap alamadı. Central NAT kipine geçildiği anda da, yeni tabloya kural yazılana kadar bütün çıkışın çevirisi durdu.

Bu üç kontrolü FortiGate Firewall NAT ayarı yazımızda ölçtük. NAT’ın açık gelmesi çıkış kuralında doğrudur, içeri açılan kuralda ise yanlıştır. Farkı aşağıda, dışarıya servis açarken görüyoruz.

İçerideki bir sunucuyu dışarıya açmak da bir adres çevirisidir, yalnız yönü terstir: dış adres iç adrese çevrilir. Bu kısım yalnız dışarıya açık bir sunucu varsa yapılır ve iki parçadır: dış adresi iç adrese çeviren sanal IP (Policy & Objects → Virtual IPs) ve o trafiğe izin veren kural.

Dışarıya açılan servis için üç şey kontrol edilir:

1. Sunucu DMZ’de: dışarıdan erişilen sunucu iç bölümlerle aynı ağda durmaz. Lab’daki sanal IP v-dmz-web, DMZ’deki 10.34.80.10’a açılıyor.
2. Sanal IP’nin kuralı var: sanal IP tek başına kapıyı açmaz. Lab’da kural kapalıyken dışarıdan gelen istek örtük retle düştü.
3. Kuralda NAT kapalı: NAT açık kalınca DMZ’deki sunucu bütün ziyaretçileri FortiGate’in DMZ adresinden gördü; kapatınca gerçek ziyaretçi adresi göründü.

Ölçümleri port açmayı anlattığımız bölümde gösterdik.

5. Aşama: FortiGate Yedeği, Doğrulama ve Sıkılaştırma

Cihaz canlıda. Son aşama onu kalıcı kılar. Yedek alınır, çalıştığı doğrulanır, fabrikadan açık kalan kapılar kapatılır ve yazılım güncel tutulur.

16. Yedek ve Geri Yükleme

FortiGate’te kaydetmek ayrı bir adım değildir. Lab cihazımda kayıt kipi fabrika ayarında otomatikti (cfg-save automatic), yani her değişiklik anında kalıcı oluyordu. Yanlış bir değişikliğin geri dönüş yolu bu yüzden yalnız yedektir.

Yedek düzeni için üç şey kontrol edilir:

1. Yedek cihazın dışında ve şifreli bir yolla: NSA yapılandırmanın SFTP ya da SCP ile taşınmasını istiyor. Lab’da TFTP ile giden şifresiz yedeğin tamamı yolda okundu; SFTP’de tek bir yapılandırma satırı görünmedi.
2. Firewall’da yedek deposunun parolası yok: otomasyon zincirinin betiğine yazılan SFTP parolası olay loguna ve syslog sunucusuna açık metin düştü. Lab’da yedeği yedek sunucusu her gece kendi anahtarıyla çekiyor; tam yedek için hesabın super_admin olması gerekti, giriş tek adrese ve 02:00-02:15 penceresine bağlı.
3. Yedek bir kez geri yüklendi: cihaz yeniden başladı, yönetim adresi 43,8 saniye cevap vermedi ve yedekten sonra yapılan her ayar silindi. FortiOS 7.0 SFTP’den geri yükleyemiyor; iki yedek de arayüzden geri yüklendi.

Sürümleri, gönderen ve çeken yedeğin farkını ve geri yüklemenin maliyetini FortiGate Firewall yedek alma yazımızda ölçtük.

17. Doğrulama ve Teşhis

Yapılandırma bitince trafik iki taraftan sınanır. İstemci tarafında iç ağdaki bir bilgisayardan internete ve dışarıya açılan servise erişilir. Yönetim tarafında Log & Report → Forward Traffic geçen ve reddedilen satırları, Policy Lookup bir trafiğin hangi kurala takılacağını gösterir.

Teşhis düzeni için üç şey kontrol edilir:

1. Normal günün kaydı var: Fortinet normal durumun kaydedilmesini ister. get system performance status ve get system session status çıktıları tarihli bir dosyada durur; arızada ilk bakılan yer de olay logundaki son değişikliktir.
2. Log tek tanık değil: lab’da kurala varmadan, dönüş yolu denetiminde düşen pingler trafik logunda tek satır bırakmadı. Paketin geldiğini sniffer (Network → Packet Capture ya da diagnose sniffer packet), içerideki kararı diagnose debug flow gösterir.
3. Cevap sayılır: cevap gelmeyen bağlantı logda yeşil onayla duruyordu; oturum tablosunda reply=0/0/0, logda Result’ın ikinci sayısı 0 B idi.

Üç aracı aynı bağlantılarda FortiGate Firewall sorun giderme yazımızda ölçtük.

18. Sıkılaştırma

Fabrika ayarında açık kalan yollar hata vermez ve kendiliğinden kapanmaz; bir listeyle bulunur. Sıkılaştırmada üç şey kontrol edilir:

1. Password policy açık ve dolu: NSA yerel parolalarda en az 15 karakter ve dört karakter sınıfı istiyor. Lab’da policy açılınca gelen değerler 8 karakter ve sıfır karakter şartıydı; policy’ye uymayan eski parolalar da bir sonraki girişte değiştirilmeden içeri girmedi. Acil durum hesabının parolası policy açılmadan önce kontrol edilir.
2. Yönetim oturumu ve şifreleme: boşta kalan oturum 5 dakikada kapanır (NSA), Telnet genel ayarda da kapalıdır ve SSH listesinde eski algoritma kalmaz. Lab’da fabrika listesi 3des-cbc ile kurulan bağlantıyı kabul etti, daraltılınca reddetti.
3. Fiziksel erişimin kestirmeleri: cihaz kilitli bir kabinde değilse USB’den otomatik kurulum ve maintainer hesabı (bakım hesabı) kapatılır (Fortinet).

On yedi maddelik listeyi, kaynaklarını ve ölçümlerini FortiGate Firewall sıkılaştırma yazımızda, cihazdan bağımsız kısmını siber güvenlik sıkılaştırma sayfamızda anlattık.

19. Firmware Güncelleme

FortiGate’in güvenliği yazılımının güncelliğine bağlıdır: üretici kapattığı açıkları yeni sürümle dağıtır ve eski sürümde kalan cihaz o açığı taşımaya devam eder. Kurulu sürüm System → Firmware ekranında görülür; lab cihazım FortiOS 7.0.10 çalıştırıyor ve ekran sürümün yanına olgunluk etiketini de yazıyor (Mature).

Yükseltme en son sürüme bir kerede atlanarak değil, üreticinin yayımladığı yükseltme yolu izlenerek ve öncesinde yedek alınarak yapılır. Yolu Fortinet’in Upgrade Path Tool sayfası verir: cihaz modeli, kurulu sürüm ve hedef sürüm seçilince Fortinet’in test ettiği en kısa yolu, aradaki her sürümün sürüm notuyla birlikte listeler.

Lab cihazım değerlendirme lisansıyla çalışıyor ve Fortinet’in sanal makine kılavuzuna göre bu lisansta firmware yükseltmek arayüzü kilitliyor. Yükseltmeyi bu yüzden ölçmedim, ama ekranın kendisi bir şey gösterdi: 7.0.10 için The firmware is up to date yazıyor. Oysa 7.0 dalının desteği 30 Eylül 2025’te bitti ve 7.0.10, Fortinet’in istismar edildiğini bildirdiği bir SSL VPN açığından etkilenen aralıkta. Cihaz FortiGuard’a ulaşamadığı için bunu bilmiyor. Sürümü elle kontrol etmeyi, yükseltme yolunu ve geri dönüşü FortiGate firmware güncelleme yazımızda anlattık.

20. Parola Kurtarma ve Fabrika Ayarları

Bu adım listenin sonunda duruyor ama hazırlığı ilk günden yapılır. Fortinet’in kendi belgesine göre FortiOS 7.2.4’e kadar, cihaz donanımsal olarak yeniden başlatıldıktan sonra konsoldan girilen maintainer hesabı (bakım hesabı) vardı. Fortinet bu hesabı 7.2.4’te kaldırdı.

Aynı belgeye göre parolasını kaybeden kişi artık cihaza fiziksel erişimle, firmware’i bir TFTP sunucusundan yeniden yükleyerek girebiliyor ve yapılandırma fabrika ayarına dönüyor. Yapılandırmayı geri getiren, parola satırı silinmiş bir yedektir. Lab’daki ikinci FortiGate’te iki yolu da ölçtük:

1. 7.0’daki maintainer girişi sanal makinede de çalıştı, açılıştan sonra en az 65 saniye açık kaldı ve yalnız parolayı değiştirebildi.
2. Yedekten kurtarma çalıştı, ama parolalı yedekten parola satırı silinemedi ve geri yüklenen cihaz admin’e yeni parola zorlamadı.

Bu adımın asıl hazırlığı bu yüzden iki şeydir: parolası güvenilir birinde duran bir acil durum hesabı ve korunan bir depoda duran şifresiz bir yedek. Adımların tamamını FortiGate şifre sıfırlama yazımızda anlattık.

Sonuç: Liste, Fabrikadan Gelen Açıkları Sırayla Kapatır

FortiGate yapılandırmasında sıra, fabrikadan gelen ayarları görünür kılar. Lab cihazım boş parolalı ve her adresten girişe açık bir yönetici hesabı, kapalı saat eşitlemesi, bir hafta saklanan loglar ve kapalı bir password policy ile geldi. Hiçbiri hata vermiyordu ve hiçbiri kendiliğinden kapanmıyordu.

Örnekteki sınır kapısında açılış listesi de bu yüzden kapı açılmadan önce elden ele dolaşır. Saat kurulmadan, anahtarlar dağıtılmadan ve talimat listesi asılmadan ilk araç geçmez.

Cihaz bu listeyle çalışır hâle geldikten sonra ihtiyaca göre eklenen katmanları, yani güvenlik profillerini, kimlik entegrasyonunu, VPN’i, SD-WAN’ı, BGP’yi ve HA’yı FortiGate Firewall ileri seviye rehberimizde 13 adımda sıraladık.

Bu listenin kurumsal network kurulumu hizmetimizdeki yerini ana sayfasında okuyabilirsiniz.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn