guzik

Używam FortiGate jako bramy dla użytkowników. Gdzieś wcześniej już o tym wspominałem. Powód, dla którego pozostałem przy tym, to połączenie z Active Directory poprzez FSEA. Niestety rozwiązanie oprócz ogromnej zalety pojedynczego logowania, ma ogromną wadę. Mianowicie przetwarzanie reguł z autoryzacją kończy się po pierwszej nietrafionej. Troszkę oryginalnej dokumentacji, a potem moje wyjaśnienie:

Firewall policy order
The firewall policies that you create must be correctly placed in the policy list to be
effective. The firewall evaluates a connection request by checking the policy list
from the top down, looking for the first policy that matches the source and
destination addresses of the packet. Keep these rules in mind:
• More specific policies must be placed above more general ones.
• Any policy that requires authentication must be placed above any similar policy
that does not.
• If a user fails authentication, the firewall drops the request and does not check
for a match with any of the remaining policies.
• If you create a policy that requires authentication for HTTP access to the
Internet, you must precede this policy with a policy for unauthenticated access
to the appropriate DNS server.

Czyli filtrując ruch np. HTTP robimy to dla wszystkich, nie możemy rozdzielić grup. Tym samym cała sieć ma identyczny protection profile.

W połowie stycznia będę na szkoleniu Fortinet Server Authentication Extensions (FSAE) + MS-2199 Active Directory Fundamentals, więc może jeśli nie rozwiązanie, to przynajmniej znajdę obejście problemu.