FortiGate Firewall Yönetim Erişimi: HTTPS ve Trusted Host

FortiGate Firewall’da yönetim erişimi iki kilitle sınırlanır: arayüzde hangi yönetim yollarının açık olduğu (Administrative Access) ve her hesabın hangi adreslerden girebileceği (trusted host). NSA, CISA ve Fortinet’in tarif ettiği düzende yönetim yalnız yönetim ağından ve yalnız şifreli yollarla yapılır, hatalı denemeler kilitlenir ve boşta kalan oturum kısa sürede kapanır. Bu yazı FortiGate Firewall yapılandırma rehberimizin 2. adımı. İki kilidi ve hatalı girişte devreye giren üçüncüsünü lab’daki FortiGate’te ölçtüm.

Örnekteki sınır kapısında kulübenin iki kapısı vardır. Yola bakan ön kapı sürgülüdür; yalnız personel avlusuna açılan yan kapı kullanılır ve avluya da yalnız listedeki görevliler girer. FortiGate’te ön kapı internete bakan port, yan kapı yönetim portu, avlunun listesi de güvenilen adreslerdir.

Bu yazı, Kurumsal Network Kurulumu hizmetimizde kurduğumuz her FortiGate’te ilk gün kapattığımız kapıları anlatır.

FortiGate Yönetim Erişimi Nasıl Olmalı?

Yönetim erişiminin doğru düzeni dört maddedir:

1. Yönetim yalnız yönetim ağına bakan portta ve yalnız şifreli yollarla açılır: HTTPS ve SSH, teşhis için PING. İnternete bakan portta hiçbir yönetim yolu açık kalmaz.
2. Her hesap yalnız yönetici bilgisayarlarının adreslerinden girer.
3. Hatalı girişler kilitlenir.
4. Boşta kalan yönetim oturumu kısa sürede kapanır.

Bu düzeni üç kaynak birlikte tarif ediyor:

1. NSA, Network Infrastructure Security Guidance rehberinde (Mart 2022 sürümü) HTTP ve Telnet gibi şifresiz yönetim yollarının kapatılmasını istiyor (bölüm 7.1). Yönetime yalnız yönetici bilgisayarları ulaşır; bu bilgisayarlara sabit adres verilir ki izin listesi kurulabilsin (bölüm 7.4). Hatalı yönetim girişi en fazla üç kez denenebilir (bölüm 4.6), boşta kalan yönetim oturumu en geç beş dakikada kapanır (bölüm 7.5).
2. CISA, kamu kurumlarına yönetim arayüzlerini internetten kaldırmayı şart koşuyor (BOD 23-02).
3. Fortinet, kendi güvenlik bildiriminde güvenilen adresin ancak bütün hesaplarda tanımlıysa koruma sağladığını yazıyor (FG-IR-24-535). Sıkılaştırma kılavuzu ayrıca yönetim için standart dışı HTTPS ve SSH portları öneriyor.

Lab cihazımın fabrika ayarlarını bu önerilerle yan yana koydum:

Bir Giriş Denemesi Üç Kilitten Nasıl Geçer?

Örnekteki kulübeye girmek isteyen biri üç engelle karşılaşır. Önce yan kapının açık olması gerekir. Kapıyı daha önce zorlamış biri bir süre beklemeye alınır. Kapıdan geçen kişinin adı da avludaki listede yazmalıdır. FortiGate’te bir giriş denemesi aynı sırayla üç kilitten geçer ve her kilit ekranda kendine özgü bir belirti bırakır:

İkinci kilidin birinciden sonra, üçüncüden önce geldiğini ölçümden biliyorum: kilitli bir adresten başka bir hesabın anahtarlı SSH bağlantısı, kimlik sorulmadan, bağlantının ilk aşamasında reddedildi. Aşağıdaki bölümler kilitleri bu sırayla tek tek ölçüyor.

FortiGate Administrative Access: Arayüzde Hangi Yollar Açılır?

Birinci kilit arayüzdedir. Network → Interfaces ekranında her portun düzenleme formunda bir Administrative Access bölümü durur; o porttan hangi yönetim yollarının kabul edileceği burada işaretlenir (HTTPS, HTTP, PING, SSH, SNMP ve diğerleri). Kural basittir: yönetim yalnız yönetim ağına bakan portta açılır, internete bakan portta hiçbir yönetim yolu işaretlenmez.

Lab’daki yönetim portu port1 (takma adı yonetim). Formunda (Network → Interfaces, porta çift tıklanır) Administrative Access bölümünde dört kutu işaretli:

1. SSH: komut satırı.
2. HTTP: web arayüzü. Gerçek cihazda burada HTTPS işaretlenir; lab cihazının değerlendirme lisansı HTTPS yönetim vermediği için arayüz HTTP’den açılıyor, aşağıda ayrıca anlattım.
3. PING: teşhis için.
4. SNMP: izleme sisteminin sorguları için, SNMP yazımızda açtık.

Aynı kaydın komut satırındaki karşılığı:

config system interface
    edit "port1"
        set allowaccess ping ssh snmp http
    next
end

İnternete bakan port3’ün aynı bölümünde yalnız PING işaretli; ekranını ve dışarıdan yapılan port taramasını WAN ayarı yazımızda gösterdik.

Sık yapılan varsayım, bir cihaz ping’e cevap veriyorsa yönetim arayüzüne de ulaşılacağıdır. Lab cihazımın yönetim portunda HTTP’yi kaldırıp PING ve SSH’ı bıraktım, beş saniye bekledim ve üçünü birden denedim:

arayuz: http=000 sure=5.010368
Reply from 192.168.10.1: bytes=32 time<1ms TTL=255
Reply from 192.168.10.1: bytes=32 time<1ms TTL=255
    Packets: Sent = 2, Received = 2, Lost = 0 (0% loss),
ssh ile: set allowaccess ping ssh

Arayüz test komutunun 5 saniyelik sınırında cevap vermedi, ama ping’in iki paketi de döndü ve SSH ile bağlanıp ayarı okuyabildim. Her yönetim yolu ayrı bir kapıdır: ping’in açık olması yalnız ping’in açık olduğunu gösterir. Bir porttan arayüze ulaşılamıyorsa ilk bakılacak yer o portun Administrative Access listesidir.

Değişikliğin ne kadar sürede işlediğini de ölçtüm. HTTP’yi kaldırdıktan yaklaşık 2 saniye sonra arayüz kapandı, geri koyduktan 1,5 saniye sonra açıldı. Ayarı değiştirdikten hemen sonra yaptığınız test bu yüzden eski durumu gösterebilir; ilk denememde tam olarak bu oldu ve sayfa HTTP kaldırıldığı hâlde bir kez daha açıldı.

FortiGate Trusted Host: Girişi Yönetim Ağına Bağlamak

İkinci kilit hesaptadır. System → Administrators ekranında bir hesabı açtığınızda Restrict login to trusted hosts seçeneği durur; açıldığında hesabın girebileceği adresler Trusted Host alanlarına yazılır.

Fabrika ayarında bu kilit yoktur. Lab cihazımda admin hesabının güvenilen adresi 0.0.0.0/0 idi, yani her adres. Güvenilen adres her hesapta ayrı tanımlanır ve tek bir hesabın her adrese açık kalması, cihazın o hesap üzerinden her adresten denenebilmesi demektir. Hesapların nasıl açıldığını ve hangi profilin neye yetkili olduğunu admin hesabı yazımızda ölçtük.

Parolayı bilen birinin her yerden girebileceği beklenir. Bunu sınamak için cihaza geçici bir deneme hesabı açtım ve güvenilen adresini yalnız iç ağa (10.34.30.0/24) verdim. Yönetim bilgisayarımdan (192.168.10.225) doğru parolayla girmeyi denediğimde ekrana tek bir satır geldi:

Authentication failure

Parola doğruydu, ama bağlandığım adres listede değildi. Güvenilen adresi yönetim ağına (192.168.10.0/24) çevirince aynı parolayla giriş hemen açıldı. Asıl dikkat edilecek şey mesajdır: az sonra yanlış parolayla yaptığım denemelerde de ekran aynı “Authentication failure” satırını verdi. Cihaz, reddin sebebinin parola mı adres mi olduğunu söylemiyor. Doğru parolayla giremeyen biri parolayı sıfırlamaya kalkmadan önce hangi adresten bağlandığına bakmalıdır.

Güvenilen adresin işe yaraması için yönetici bilgisayarının adresi değişmemelidir. NSA da bu yüzden yönetici bilgisayarlarına sabit adres verilmesini öneriyor (bölüm 7.4); adresi her gün değişen bir bilgisayar için dar bir izin listesi kurulamaz.

FortiGate Hatalı Girişte Kilitlenme: Üç Deneme ve Bir Dakika

Üçüncü kilit, hatalı girişte kendiliğinden devreye girer. Lab cihazımın fabrika ayarında üç hatalı girişten sonra 60 saniyelik bir kilit vardı (admin-lockout-threshold 3, admin-lockout-duration 60). Bu, NSA’nın önerisiyle uyumlu: en fazla üç hatalı deneme (bölüm 4.6). Ayarın yazdığı gibi çalışıp çalışmadığını bir deneyle sınadım: aynı deneme hesabına üç kez yanlış parola girdim, sonra kilidin 30. ve 65. saniyesinde birer SSH bağlantısı denedim. SSH’ı bilerek başka bir hesapla, parolasız, anahtarla açtım:

04:59:58 yanlis 1 "mesaj":"Authentication failure",
05:00:05 yanlis 2 "mesaj":"Authentication failure",
05:00:12 yanlis 3 "mesaj":"Too many login failures. Please try again in a few minutes...",
05:00:12 T = ucuncu yanlis denemenin sonu
05:00:42 T+30 ssh: RED (kex_exchange_identification: read: Software caused connectio)
05:01:17 T+65 ssh: RED (kex_exchange_identification: read: Software caused connectio)
05:02:22 son denemeden 65 sn sessizlik sonra ssh: KABUL

Çıktı iki şey gösteriyor:

1. Kilit hesaba değil adrese uygulanıyor. Kilitlenen deneme hesabıydı, ama başka bir hesabın anahtarlı SSH bağlantısı da reddedildi. Kilitliyken açtığım yeni bir tarayıcıda da giriş formunun kullanıcı adı alanı devre dışı geldi.
2. Kilitliyken yapılan her deneme süreyi baştan başlatıyor. 65. saniyedeki bağlantı, 60 saniyelik kilit dolmuş olmasına rağmen reddedildi; 30. saniyedeki deneme sayacı sıfırlamıştı. Son denemeden sonra 65 saniye hiç denemeyince bağlantı kabul edildi.

Pratikte bunun anlamı şu: kilitlendiyseniz bir dakika hiçbir yoldan denemeyin, çünkü her deneme bekleme süresini uzatır. Yönetim bilgisayarınızın adresi kilitlendiğinde aynı bilgisayardan SSH ile de giremezsiniz; konsolun ilk günden hazır tutulmasının bir sebebi de budur. Kilit, parola tahmin eden bir saldırganı tek bir adresten dakikada birkaç denemeyle sınırlar; bu savunmanın neden tek başına yetmediğini brute force yazımızda anlattık.

FortiGate Yönetim Arayüzü İnternete Neden Açılmaz?

Kilit, tek bir adresten gelen tahmini yavaşlatır. Ama internete açık bir yönetim arayüzünü deneyen tek bir adres olmaz. Fabrika ayarında yönetici hesabı her adrese açık gelir (lab cihazımda 0.0.0.0/0); kurulumda internete bakan portta HTTPS’i işaretleyen tek bir tık, giriş ekranını bütün dünyaya açar. O ekranı arayanların sayısı da ölçülmüş:

1. Açık arayüzler on binlerle ölçülüyor. Ocak 2025’te FortiOS yönetim arayüzündeki bir açık (CVE-2024-55591) için Shadowserver, yamasız ve internete açık 48.457 cihaz saydı (The Register).
2. Listeler forumlarda dosya olarak dolaşıyor. 2021’de bir saldırgan 87 bin FortiGate SSL-VPN cihazının erişim bilgisini yayımladı (Fortinet). Ocak 2025’te bir grup, ülkelere göre ayrılmış IP, parola ve yapılandırma dosyalarını bir forumda paylaştı; Fortinet’in incelemesinde dosyalardan birinin adı vpn-password.txt (Fortinet). Veriler eski açıklardan toplanmıştı, ama Fortinet’in 2021’deki uyarısı açık: yamayı geçip parolaları değiştirmeyen cihaz hâlâ risk altında.
3. Giriş ekranları durmadan deneniyor. GreyNoise, 3 Ağustos 2025’te tek günde 780’den fazla farklı adresin Fortinet SSL-VPN’e kaba kuvvetle parola denediğini gördü (GreyNoise). Yukarıda ölçtüğüm kilit tek bir adresi durdurur; yüzlerce adresten gelen parola püskürtmeyi (password spraying) durdurmaz.

Dışarıdan Yönetim: Önce VPN, Sonra İçeriden

Doğru düzen üç adımdır:

1. Yönetim yalnız içeriden. Arayüz yalnız iç ağdaki yönetim portunda açılır; dışarıdan yönetmek gerektiğinde önce uzaktan erişim VPN’i ile kurumun ağına girilir, arayüze içeriden bağlanılır. ABD’nin siber güvenlik ajansı CISA, kamu kurumlarına iki yoldan birini şart koşuyor; biri arayüzü internetten kaldırıp yalnız iç ağdan erişilebilir kılmak (BOD 23-02).
2. Güvenilen adres her hesapta. Fortinet’in kendi güvenlik bildirimi ilk çözüm olarak HTTP/HTTPS yönetimini kapatmayı sayıyor ve güvenilen adresin aynı korumayı ancak bütün hesaplarda tanımlıysa sağladığını yazıyor (FG-IR-24-535).
3. VPN de bir giriş ekranıdır. İnternete bakan tek kapı o kalacağı için iki aşamalı doğrulama ve güncel firmware ister. Fortinet, 7.6.3 sürümünde SSL-VPN’in tünel kipini kaldırıp uzaktan erişim için IPsec’e geçilmesini istiyor (Fortinet).

FortiGate Yönetim Portları: HTTPS, HTTP ve SSH

Yönetim yollarının hangi portlarda dinlediği System → Settings ekranının Administration Settings bölümündedir. Lab cihazımın fabrika değerleri HTTP için 80, HTTPS için 443, SSH için 22 idi.

Yönetim için HTTPS ve SSH kullanılır; HTTP ve Telnet parolayı ağda düz metin taşıdığı için kapalı kalır (NSA bölüm 7.1).

Telnet ile yönetim lab cihazımın genel ayarında açık geliyordu (admin-telnet enable); arayüzde seçilmediği sürece kullanılamaz, ama genel ayarda da kapatılır.

Aynı ekranda bir uyarı da duruyor. HTTPS portu fabrika ayarında 443 ve ekran, bunun SSL-VPN portuyla çakıştığını kendisi yazıyor: Port conflicts with the SSL-VPN port setting, yani bu port SSL-VPN port ayarıyla çakışıyor. Lab cihazım değerlendirme lisansıyla çalıştığı için Fortinet’in sanal makine kılavuzuna göre yönetimi HTTP ile veriyor. Bu yüzden ölçümlerimde HTTP görünüyor. Gerçek bir cihazda HTTP kapatılır.

FortiGate Yönetim Portunu Değiştirmek Gerekir mi?

Değiştirmek önerilir, ama port numarası bir kilit değildir. Portu yabancı adreslere kapatan şey güvenilen adres listesidir; port değiştirmek ise yalnız kör bir taramayı birkaç dakika yavaşlatır. Kaynaklar bu konuda farklı yerlerde duruyor:

1. Fortinet, sıkılaştırma kılavuzunun yönetim ayarları bölümünde yönetim için standart dışı HTTPS ve SSH portları öneriyor ve yeni portun başka bir hizmette kullanılmamasını istiyor.
2. NSA ve CISA yönetim erişimi için yukarıdaki şartları sayıyor: şifreli yol, yönetici adreslerine izin listesi, internetten kaldırma. İkisinin metninde de port değiştirmek bir önlem olarak geçmiyor.
3. NIST, SP 800-123 rehberinde (Temmuz 2008) açık tasarım ilkesini sayıyor: sistemin güvenliği, uygulamanın ya da bileşenlerinin gizli kalmasına dayanmamalıdır (bölüm 2.4). Port numarası da böyle bir gizliliktir.

İkisinin farkını lab’da iki taramayla ölçtüm. İlkinde yönetim ağındaki ntp01’den nmap çalıştırdım. Varsayılan tarama en sık kullanılan 1.000 portu yokluyor ve 4,6 saniyede 22 ile 80’i buldu. SSH portunu geçici olarak 20022’ye aldığımda aynı tarama SSH’ı göremedi. Bütün portları yoklayan ikinci tarama ise 117 saniye sürdü, 20022’yi buldu ve üstündeki hizmeti adıyla tanıdı:

PORT      STATE  SERVICE VERSION
80/tcp    open   http?
...
20022/tcp open   ssh     FortiSSH (protocol 2.0)
...
Service Info: CPE: cpe:/o:fortinet:fortios
...
Nmap done: 1 IP address (1 host up) scanned in 116.71 seconds

Çıktının son iki satırı, portun gizlenemediğini söylüyor: tarayıcı hem hizmetin SSH olduğunu hem de karşısındakinin bir FortiGate olduğunu buldu.

İkinci taramada aynı bilgisayara hiçbir yönetici hesabının listesinde olmayan bir adres verdim (192.168.20.15) ve FortiGate’e bu adrese giden geçici bir rota yazdım. Bu adresten ping cevap aldı, yani yol açıktı. Sonra aynı adresi bir hesabın güvenilen adreslerine ekleyip taramayı tekrarladım:

Güvenilen adres listesinin dışından gelen bağlantı isteğine FortiGate hiç cevap vermedi; port numarası ne olursa olsun tarayıcı orada bir hizmet göremedi. Bu, portun numarasını değiştirmekten daha güçlü bir gizlenmedir. Yalnız bütün hesaplarda liste tanımlıysa çalışır.

Lab cihazımda fabrikadan gelen admin hesabında liste yoktu; ölçümden önce ona da yönetim ağını yazmıştım. Ölçümden sonra yalnız bu hesabın listesini kaldırıp taramayı tekrarladım: liste dışındaki adres iki portu da yeniden open gördü. Listesi olmayan tek bir hesap, portu bütün adreslere açıyor.

Bu ölçümlerden sonra yönetim portlarında uyguladığımız düzen:

1. HTTP kapatılır. Parolayı düz metin taşır (NSA bölüm 7.1).
2. HTTPS standart dışı bir porta alınır, örneğin 20443. Gerekçe gizlenmekten çok çakışmadır: 443, kullanıcılara dönük hizmetlerin de istediği porttur. Lab ekranındaki SSL-VPN uyarısı bunu söylüyor; Fortinet de IPsec’i TCP 443 üzerinden taşırken yönetim portuyla çakışma uyarısı yapıyor (yönetim kılavuzu). Port değişince arayüzün adresi https://192.168.10.1:20443 biçiminde yazılır.
3. SSH için de Fortinet aynısını öneriyor. SSH’ın portunu değiştirmek otomatik taramaların gürültüsünü azaltır; yönetim ağı ve güvenilen adresler yerindeyse 22’de kalması bir açık oluşturmaz. Portu değiştirirseniz yedekleme ve izleme betiklerinizdeki port numarasını da güncellersiniz.

Aynı ayarların komut satırındaki karşılığı:

config system global
    set admin-sport 20443
    set admin-ssh-port 22
end

Lab cihazımda HTTPS portunu 20443’e aldım. Değerlendirme lisansı HTTPS vermediği için arayüz yine HTTP’den açılıyor.

Kapatılan Tarayıcı Oturumu Bitirmez

Yönetim oturumu, tarayıcı kapatılınca bitmez. Deney bittiğinde deneme hesabını silmek istedim ve cihaz izin vermedi:

Cannot delete admin while 'deneme' is logged in!
Command fail. Return code -14

O hesabın tarayıcısını 12 dakika önce kapatmıştım, ama oturum listesinde hâlâ duruyordu. Oturumu execute disconnect-admin-session komutuyla kestikten sonra hesap silinebildi.

Kapatılmayan oturum, System → Settings ekranındaki Idle timeout dolana kadar yaşar. O gün lab cihazımda bu süre 30 dakikaydı; ölçüm sırasında oturumların kapanması işi böldüğü için ilk kurulumda yükseltmiştim. Süreyi Fortinet’in fabrika değeri olan 5 dakikaya indirdim ve deneyi tekrarladım: deneme ile giriş yapıp oturumu kapatmadan bıraktım, oturum listesini 20 saniyede bir yokladım.

T0 09:16:19
deneme          http    192.168.10.225   Thu Oct  1 09:16:19 2026
admintimeout        : 5
...
09:21:00 deneme oturumu: 1
09:21:20 deneme oturumu: 0

Oturum, girişten yaklaşık beş dakika sonra kendiliğinden düştü. NSA boşta kalan yönetim oturumunun en geç beş dakikada kapanmasını istiyor (bölüm 7.5); süre ne kadar kısaysa, kilitlenmemiş bir bilgisayarda açık kalan bir yönetim sekmesinin ömrü de o kadar kısadır. Oturumlar yine de sağ üstteki kullanıcı menüsünden çıkış yapılarak kapatılır.

Doğrulama: FortiGate Yönetim Erişimi Beklendiği Gibi mi?

Ayarlardan sonra erişim iki taraftan sınanır. Yönetim bilgisayarından arayüz ve SSH açılmalı; başka bir ağdaki bilgisayardan aynı adres denendiğinde ne arayüz ne SSH cevap vermelidir. Cihaz tarafında üç komut ve bir tarama durumu gösterir:

1. show system interface port1 komutunun allowaccess satırı, o porttan açık olan yönetim yollarını listeler. İnternete bakan portta bu satırda yönetim yolu olmamalıdır.
2. show system admin <hesap> komutunda set trusthost1 satırı görünmelidir; görünmüyorsa hesap her adrese açıktır. Deneme hesabımda satır set trusthost1 192.168.10.0 255.255.255.0 idi.
3. get system info admin status o anda açık olan yönetim oturumlarını kullanıcı, yöntem ve kaynak adresle listeler; tanımadığınız bir adres ilk burada görünür.
4. Listede olmayan bir adresten yapılan port taraması yönetim portlarını filtered görmelidir. open görüyorsa güvenilen adresi tanımlı olmayan bir hesap vardır; show system admin çıktısında trusthost satırı olmayan hesabı ararsınız.

Sonuç: Yönetim Kapısı Yalnız İçeriden ve Yalnız Tanınan Adresten Açılır

FortiGate’in yönetim erişimi üç kilitle kapanır. Arayüz, yönetim yollarını yalnız yönetim portunda açar; hesap yalnız güvenilen adreslerden giriş kabul eder; hatalı girişte cihaz o adresi bir süreliğine kapatır. Lab cihazımın fabrika ayarında ikinci kilit hiç yoktu, admin her adresten girebiliyordu; üçüncüsü ise kilitliyken yapılan her denemeyle kendini uzatıyor.

Örnekteki sınır kapısında da yola bakan kapı sürgülenir, avluya yalnız listedeki görevliler girer ve kapıyı zorlayan biri beklemeye alınır.

Kurulumun geri kalanını 20 adımlık kontrol listesinde, cihaza ilk girişi ise FortiGate Firewall ilk kurulum yazımızda bulabilirsiniz.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn