Débutant - Fondamentaux FortiGate

Module 1 : Introduction à FortiGate

Objectifs du module

Comprendre l'architecture FortiGate et le Security Fabric
Connaître les différentes gammes et modèles
Accéder à l'interface graphique (GUI) et CLI
Comprendre les VDOM et modes de fonctionnement

1

Qu'est-ce qu'un FortiGate ?

Pare-feu de nouvelle génération, Security Fabric, écosystème Fortinet

15 min

FortiGate — Le pare-feu de nouvelle génération

FortiGate est la ligne de pare-feu de nouvelle génération (NGFW) de Fortinet. Il offre une protection complète contre les menaces avec des fonctionnalités intégrées :

Pourquoi c'est important : Sans pare-feu de nouvelle génération, un poste infecté contacte son serveur de commande sans aucun contrôle. Sur FortiGate, la politique par défaut refuse tout, puis vous n'autorisez que le nécessaire avec inspection UTM.

L'analogie qui aide : Le FortiGate est comme le gardien d un immeuble qui vérifie l identité de chaque visiteur, inspecte les colis suspects et tient un registre de toutes les entrées et sorties.

Filtrage stateful — Inspection des paquets basée sur l'état de la connexion
Antivirus / Antimalware — Détection en temps réel des malwares
IPS/IDS — Prévention et détection des intrusions
Filtrage Web — Contrôle des URL et catégories
Application Control — Identification et contrôle des applications
VPN — IPSec et SSL-VPN pour les connexions sécurisées
WAF — Web Application Firewall (Web Application Firewall)

Le Security Fabric est l'architecture de sécurité intégrée de Fortinet qui connecte tous les produits Fortinet pour une visibilité et un contrôle globaux.

# Verification de l'etat general
FGT60F # show system status

Hostname: FGT60F
Operation Mode: NAT
Version: 7.4.3
Firmware Version: FortiGate-60F v7.4.3,build2573
Serial-Number: FGT6HF0123456789

Démonstration pas à pas : Lisez une politique champ par champ : srcintf port2 vers dstintf port1, srcaddr LAN_Net vers dstaddr all, service HTTPS, action accept, logtraffic all, nat enable. Puis vérifiez avec show firewall policy 1 et get system status.

Pièges classiques : Confondre filtrage stateful et simple filtrage de ports ; croire que le Security Fabric fonctionne sans licences FortiGuard à jour ; oublier que sans politique explicite le trafic est refusé.

À vous de jouer : Citez trois fonctions NGFW du FortiGate en plus du filtrage stateful.

Voir la réponse

Par exemple : antivirus, IPS, filtrage web, contrôle d applications, VPN IPsec et SSL-VPN, avec journalisation par politique.

2

Modèles et gammes FortiGate

Séries FortiGate, FortiGate-R, performances, cas d'usage

12 min

Les gammes FortiGate

Série	Cibles	Performances
FortiGate 40F-80F	PME, succursales	Jusqu'à 10 Gbps FW
FortiGate 100F-200F	Entreprises moyennes	Jusqu'à 27 Gbps FW
FortiGate 400F-1100F	Grandes entreprises	Jusqu'à 100+ Gbps FW
FortiGate-R	Haute performance	Jusqu'à 1 Tbps FW
FortiGate-VM	Virtualisation	Variable selon licence

Démonstration pas à pas : Comparez les fiches : 40F à 80F pour une succursale jusqu à 10 Gbps, 100F à 200F pour une PME, 400F et plus au-delà de 100 Gbps, FortiGate-VM quand le débit dépend de l hyperviseur. Vérifiez toujours les débits avec UTM activé.

Pourquoi c'est important : Choisir un modèle sous-dimensionné provoque des coupures quand l inspection UTM est activée. En production, on dimensionne selon le débit pare-feu réel avec IPS et contrôle applicatif activés.

L'analogie qui aide : Choisir un FortiGate, c est comme choisir un pont : un pont de village suffit pour quelques voitures, mais il faut un ouvrage autoroutier pour le trafic d un datacenter.

Pièges classiques : Comparer uniquement le débit pare-feu brut sans inspection ; oublier les limites de sessions concurrentes ; choisir un modèle sans redondance d alimentation pour un site critique.

À vous de jouer : Quel modèle recommandez-vous pour une succursale de 30 utilisateurs avec inspection complète ?

Voir la réponse

Un FortiGate 40F à 80F suffit, car le débit avec UTM reste sous 10 Gbps et le coût reste adapté à une succursale.

3

Accès initial à FortiGate

Connexion console, accès GUI/CLI, licence et setup initial

15 min

Accès initial

Accès par défaut :

Pourquoi c'est important : Un accès initial mal sécurisé laisse l interface d administration exposée sur le WAN avec le mot de passe vide. La première action en production est de fixer un mot de passe fort et de restreindre allowaccess.

L'analogie qui aide : Le premier accès, c est comme prendre possession d un local : on change immédiatement la serrure, on règle l horloge et on déclare l adresse avant d accueillir qui que ce soit.

# Connexion Console (câble série ou USB-Serial)
# Baud rate: 9600, 8N1

# Identifiants par défaut
Login: admin
Mot de passe: (aucun — vide)

# Accès GUI via navigateur
# https://192.168.1.99 (IP par défaut de port1/mgmt)
# ou http://192.168.1.99

# Accès CLI via SSH
ssh admin@192.168.1.99

Démonstration pas à pas : Connectez-vous en console à 9600 bauds avec admin sans mot de passe, définissez le mot de passe, ouvrez https://192.168.1.99, réglez le fuseau horaire, activez les licences, puis testez ssh admin@192.168.1.99.

Étapes du setup initial :

Se connecter au FortiGate pour la première fois
Définir le mot de passe admin (obligatoire en 7.x)
Configurer la langue et le fuseau horaire
Activer les licences (FortiGuard, IPS, AV, etc.)
Lancer le Setup Wizard ou configurer manuellement

Pièges classiques : Laisser le mot de passe admin vide ; autoriser http et telnet sur l interface WAN ; oublier d activer les licences FortiGuard avant de tester l antivirus.

À vous de jouer : Quelle est l adresse GUI par défaut et que faut-il changer en premier ?

Voir la réponse

L adresse par défaut est https://192.168.1.99 sur port1 ou mgmt, et il faut définir immédiatement le mot de passe admin puis restreindre les accès.

4

VDOM et modes de fonctionnement

Mode NAT, Transparent, TP — Virtual Domains

20 min

VDOM — Virtual Domains

Un VDOM permet de segmenter un FortiGate physique en plusieurs pare-feux virtuels indépendants.

Pourquoi c'est important : Se tromper de mode isole tout le réseau : en mode NAT le FortiGate route, en mode transparent il filtre comme un pont invisible. Les VDOM permettent en plus de séparer deux pare-feux virtuels sur un même boîtier.

L'analogie qui aide : Les VDOM sont comme des cloisons dans un open space : un seul bâtiment, mais deux bureaux indépendants avec leurs propres règles et administrateurs.

Mode	Description	Usage
NAT (Route)	Pare-feu routé avec NAT	Le plus courant —-permet routage + pare-feu
Transparent	Pare-feu en pont (bridge)	Insertion sans changement IP
TP (Transparent + NAT)	Combinaison	Cas spécifiques

# Activer les VDOM (redémarre le FortiGate)
FGT60F # config system global
FGT60F (global) # set vdom-mode enable
FGT60F (global) # end

# Verification
FGT60F # show system status | grep -i vdom
VDOM mode: enabled
Current virtual domain: root
Max number of virtual domains: 10

Démonstration pas à pas : Activez les VDOM par config system global puis set vdom-mode enable, vérifiez avec show system status, puis choisissez NAT pour router avec NAT ou transparent pour insérer le boîtier sans changer le plan IP.

Pièges classiques : Activer les VDOM sans sauvegarde car le boîtier redémarre ; mélanger les interfaces entre VDOM ; utiliser le mode transparent en croyant que le NAT reste actif.

À vous de jouer : Quand choisir le mode transparent plutôt que le mode NAT ?

Voir la réponse

Quand il faut insérer le FortiGate sans modifier les adresses IP existantes, par exemple devant des serveurs en production que l on ne veut pas réadresser.

5

Licences FortiGuard

FortiGuard IPS, AV, Web Filter, Application Control

10 min

Licences FortiGuard

Licence	Fonction
FortiGuard IPS	Mises à jour des signatures d'intrusion
FortiGuard Antivirus	Signatures antimalware en temps réel
FortiGuard Web Filter	Base de données d'URLs (catégories)
FortiGuard App Control	Identification d'applications
FortiGuard AntiSpam	Filtrage antispam (FortiMail)
FortiSandbox	Analyse comportementale (Cloud)

Pourquoi c'est important : Sans licence IPS et antivirus à jour, les signatures datent et les malwares récents passent. En audit FCP, on vérifie que FortiGuard IPS, AV, Web Filter et App Control sont valides et synchronisés.

L'analogie qui aide : Les licences FortiGuard sont comme les vaccins : sans rappel régulier, la protection ne reconnaît plus les nouvelles souches de menaces.

# Verifier l'etat des licences
FGT60F # get system status | grep -i license
IPsec Client VPN License: 0
SSL-VPN Premium License: 0

Démonstration pas à pas : Exécutez get system status et diagnose autoupdate version, vérifiez chaque base IPS, AV, Web Filter et App Control, puis planifiez la mise à jour automatique via FortiGuard.

Pièges classiques : Croire que le pare-feu bloque tout sans licences ; laisser expirer FortiGuard Web Filter et voir les catégories passer en allow ; confondre FortiSandbox Cloud et antivirus local.

À vous de jouer : Que se passe-t-il si la licence IPS expire ?

Voir la réponse

Les signatures ne se mettent plus à jour, la détection rate les attaques récentes et l examen FCP considère la protection comme non conforme.

Module 2 : Interface et Configuration Système

6

Configuration des interfaces

Ports physiques, VLAN, interfaces logiques, DHCP

25 min

Configuration des interfaces réseau

FortiGate possède plusieurs ports physiques (port1 à portN) et des interfaces virtuelles (VLAN, aggregate, loopback).

Pourquoi c'est important : Une interface LAN mal adressée ou avec allowaccess trop large expose la GUI sur Internet. En production, on limite allowaccess à ping et https côté LAN, et on coupe tout accès admin côté WAN.

L'analogie qui aide : Configurer une interface, c est comme étiqueter les portes d un bâtiment : port2 côté bureaux avec DHCP, port1 côté rue en DHCP ou statique, chacune avec ses droits d accès.

# Voir toutes les interfaces
FGT60F # show system interface

# Voir une interface specifique
FGT60F # show system interface port1

# Configurer une interface
FGT60F # config system interface
FGT60F (interface) # edit port2
FGT60F (port2) # set alias "LAN"
FGT60F (port2) # set mode static
FGT60F (port2) # set ip 10.0.1.1 255.255.255.0
FGT60F (port2) # set allowaccess ping https ssh http
FGT60F (port2) # next
FGT60F (interface) # end

# Configurer DHCP Server
FGT60F # config system interface
FGT60F (interface) # edit port2
FGT60F (port2) # config dhcp-server
FGT60F (dhcp-server) # set default-gateway 10.0.1.1
FGT60F (dhcp-server) # set netmask 255.255.255.0
FGT60F (dhcp-server) # set interface "port2"
FGT60F (dhcp-server) # config ip-range
FGT60F (ip-range) # edit 1
FGT60F (1) # set start-ip 10.0.1.100
FGT60F (1) # set end-ip 10.0.1.200
FGT60F (1) # next
FGT60F (ip-range) # end
FGT60F (dhcp-server) # end
FGT60F (port2) # end
FGT60F (interface) # end

Mode DHCP sur une interface WAN

# Configurer port1 en DHCP (WAN)
FGT60F # config system interface
FGT60F (interface) # edit port1
FGT60F (port1) # set mode dhcp
FGT60F (port1) # set allowaccess ping https ssh
FGT60F (port1) # set default-gateway 1
FGT60F (port1) # set dns-server-override enable
FGT60F (port1) # end

Démonstration pas à pas : Affichez show system interface, éditez port2 avec edit port2, fixez alias LAN, mode static, ip 10.0.1.1 255.255.255.0, allowaccess ping https ssh, puis créez le serveur DHCP de 10.0.1.100 à 10.0.1.200 avec passerelle 10.0.1.1.

Pièges classiques : Autoriser http et ssh sur l interface WAN ; oublier default-gateway sur port1 en DHCP ; chevaucher deux sous-réseaux entre port2 et port3.

À vous de jouer : Quelle commande affiche l adresse de port2 et que limitez-vous dans allowaccess ?

Voir la réponse

La commande show system interface port2 affiche l adresse, et on limite allowaccess à ping et https côté LAN, sans http ni telnet côté WAN.

7

Configuration système globale

Hostname, time zone, DNS, administrators, NTP

15 min

Configuration globale

Pourquoi c'est important : Sans NTP et DNS fiables, les logs sont horodatés de travers et FortiGuard ne résout plus rien. Un hostname clair et un administrateur dédié par rôle évitent les erreurs en dépannage.

L'analogie qui aide : La configuration système, c est le socle de la maison : hostname lisible, fuseau horaire exact, DNS 8.8.8.8 en secours et NTP synchronisé avant de monter les murs.

# Changer le nom d'hote
FGT60F # config system global
FGT60F (global) # set hostname MonFortiGate
MonFortiGate (global) # end

# Configurer le fuseau horaire
FGT60F # config system global
MonFortiGate (global) # set timezone 01
MonFortiGate (global) # end

# Configurer les DNS
MonFortiGate # config system dns
MonFortiGate (dns) # set primary 8.8.8.8
MonFortiGate (dns) # set secondary 8.8.4.4
MonFortiGate (dns) # end

# Configurer NTP
MonFortiGate # config system ntp
MonFortiGate (ntp) # set type custom
MonFortiGate (ntp) # set server 192.168.1.1
MonFortiGate (ntp) # set syncinterval 60
MonFortiGate (ntp) # end

# Ajouter un administrateur
MonFortiGate # config system accprofile
MonFortiGate (accprofile) # set name "super_admin"
MonFortiGate (accprofile) # set secfabcli enable
MonFortiGate (accprofile) # end

MonFortiGate # config system api-user
MonFortiGate (api-user) # edit "apiadmin"
MonFortiGate (apiadmin) # set accprofile "super_admin"
MonFortiGate (apiadmin) # set vdom "root"
MonFortiGate (apiadmin) # config trusthost
MonFortiGate (trusthost) # edit 1
MonFortiGate (1) # set ipv4-trusthost 10.0.1.0/24
MonFortiGate (1) # next
MonFortiGate (trusthost) # end
MonFortiGate (apiuser) # end

Démonstration pas à pas : Enchaînez config system global pour hostname et timezone 01, config system dns vers 8.8.8.8 et 8.8.4.4, config system ntp en custom avec syncinterval 60, puis créez l administrateur avec accprofile et trusthost 10.0.1.0/24.

Pièges classiques : Laisser le fuseau horaire par défaut et fausser les corrélations de logs ; mettre un DNS interne injoignable ; créer un admin sans trusthost exposé à tout Internet.

À vous de jouer : Pourquoi configurer NTP avant d exploiter les logs ?

Voir la réponse

Parce que des horloges désynchronisées rendent les journaux inexploitables pour corréler une attaque entre le FortiGate, les serveurs et FortiAnalyzer.

8

Sauvegarde et restauration

Backup config, restore, cloner, USB

10 min

Sauvegarde et restauration de la configuration

# Sauvegarder via CLI
FGT60F # execute backup config usb config-backup
FGT60F # execute backup config flash config-backup

# Sauvegarder dans un fichier (GUI ou SCP)
FGT60F # execute backup config scp start admin@10.0.1.50:/backup/

# Telecharger la config (GUI)
# System > Backup > Backup Configuration > Download

# Restaurer une configuration
FGT60F # execute backup config restore config-backup

# Sauvegarder en PNG (CLI)
FGT60F # execute backup full-config usb full-backup

# Export config pour FortiManager
FGT60F # execute backup all-settings usb backup-all

Démonstration pas à pas : Exécutez execute backup config usb config-backup puis execute backup full-config usb full-backup pour l image complète, vérifiez le fichier, et restaurez avec execute backup config restore si besoin.

Important

Toujours sauvegarder avant toute modification majeure de la configuration. Un backup peut vous sauver d'une erreur de configuration critique.

Pourquoi c'est important : Une modification de politique sans backup peut couper l accès distant sans retour arrière. Avant chaque changement majeur, on exporte la configuration sur USB, flash ou SCP.

L'analogie qui aide : Sauvegarder, c est comme photographier un montage complexe avant de le démonter : en cas d erreur, on restaure l image exacte au lieu de tout reconstruire.

Pièges classiques : Ne tester jamais la restauration ; stocker l unique backup sur le FortiGate lui-même ; sauvegarder sans chiffrer un fichier contenant des clés PSK.

À vous de jouer : Quelle règle d or avant une mise à jour ou un changement de politique ?

Voir la réponse

Effectuer un backup complet vérifié et externalisé, puis seulement appliquer la modification avec une fenêtre de retour arrière prévue.

9

Mises à jour firmware

Upgrade, downgrade, image secondaire

12 min

Mise à jour du firmware

# Verifier la version actuelle
FGT60F # get system status | grep Version
Version: 7.4.3
Firmware Version: FortiGate-60F v7.4.3,build2573

# Mettre a jour via USB
FGT60F # execute disk image-manage usb list
FGT60F # execute disk image-manage usb upgrade

# Mettre a jour via FortiGuard
FGT60F # execute fab update execute fortiguard

# Downgrade (format prealable recommande)
FGT60F # execute format logdisk

# Verifier apres mise a jour
FGT60F # get system status
FGT60F # get hardware status

Démonstration pas à pas : Vérifiez get system status pour la version 7.4.3 build2573, listez l image USB avec execute disk image-manage usb list, lancez l upgrade, puis contrôlez get system status et get hardware status après redémarrage.

Attention

Toujours lire les notes de version avant de mettre à jour. Prévoyez une fenêtre de maintenance et un backup complet.

Pourquoi c'est important : Un upgrade sans lecture des notes de version peut casser l IPSec ou le HA à cause d un changement de comportement entre 7.2 et 7.4. On prévoit une fenêtre de maintenance et un backup avec l image secondaire prête.

L'analogie qui aide : Mettre à jour le firmware, c est comme refaire la toiture : on consulte la météo avec les notes de version, on bâche avec un backup et on ne commence pas un vendredi soir sans secours.

Pièges classiques : Upgrader sans backup ; sauter plusieurs versions majeures d un coup ; downgrader sans format logdisk et corrompre les logs.

À vous de jouer : Que faut-il lire et sauvegarder avant tout upgrade ?

Voir la réponse

Les notes de version du chemin d upgrade et un backup complet de la configuration, avec une fenêtre de maintenance validée.

Module 3 : Politiques de Pare-feu

10

Comprendre les politiques FortiGate

Ordre d'évaluation, correspondance, action accept/deny

20 min

Politiques de pare-feu FortiGate

Les règles de pare-feu FortiGate sont évaluées de haut en bas (par numéro de policy ID). La première règle correspondante s'applique.

Pourquoi c'est important : Des politiques dans le désordre laissent passer un trafic qui aurait dû être refusé, car FortiGate applique la première correspondance du haut vers le bas et termine par un deny implicite.

L'analogie qui aide : Les politiques sont comme les contrôles à l aéroport : on passe les files dans l ordre, et si aucun guichet ne vous accepte, la porte finale reste fermée par le deny implicite.

Ordre : De l'ID le plus bas au plus haut
Première correspondance : Dès qu'une règle matche, l'action est appliquée
Implicite Deny : La dernière règle est toujours un deny (pas explicite)
Logging : Chaque règle peut logger les sessions

# Voir toutes les politiques
FGT60F # show firewall policy

# Voir une politique specifique
FGT60F # show firewall policy 1

# Voir avec la configuration complete
FGT60F # show full-configuration firewall policy

Démonstration pas à pas : Affichez show firewall policy, repérez les ID croissants, vérifiez srcintf, dstintf, srcaddr, dstaddr et service de chaque règle, puis lisez le compteur de hits pour voir quelle règle matche avec diagnose sys session list.

Pièges classiques : Placer une règle large all-all-accept en haut qui masque les suivantes ; oublier le deny implicite et croire qu il faut l écrire ; désactiver le log et ne plus savoir quelle règle matche.

À vous de jouer : Dans quel ordre FortiGate évalue-t-il les politiques et que fait le deny implicite ?

Voir la réponse

Du policy ID le plus bas vers le plus haut, première correspondance gagnante, et tout trafic non matché est bloqué par le deny implicite final.

11

Créer une règle de pare-feu

Source, destination, service, action, shedule, logging

25 min

Créer une politique de pare-feu

# Creer une regle pour autoriser le trafic LAN vers Internet
FGT60F # config firewall policy
FGT60F (policy) # edit 1
FGT60F (1) # set name "LAN_to_Internet"
FGT60F (1) # set srcintf "port2"
FGT60F (1) # set dstintf "port1"
FGT60F (1) # set srcaddr "LAN_Net"
FGT60F (1) # set dstaddr "all"
FGT60F (1) # set service "HTTP" "HTTPS" "DNS"
FGT60F (1) # set schedule "always"
FGT60F (1) # set action accept
FGT60F (1) # set logtraffic all
FGT60F (1) # set nat enable
FGT60F (1) # next
FGT60F (policy) # end

Démonstration pas à pas : Créez edit 1 avec name LAN_to_Internet, srcintf port2, dstintf port1, srcaddr LAN_Net, dstaddr all, service HTTP HTTPS DNS, schedule always, action accept, logtraffic all, nat enable, puis vérifiez avec show firewall policy 1.

Paramètres clés :

Pourquoi c'est important : Une règle LAN vers Internet sans NAT coupe la navigation, et une règle sans log rend l incident invisible. Chaque règle de production précise interfaces, adresses, services, schedule, action accept et logtraffic all.

L'analogie qui aide : Créer une règle, c est rédiger un laissez-passer : qui part de port2, vers quelle sortie port1, pour quels services HTTP, HTTPS et DNS, quand avec always, et avec tampon logtraffic.

Paramètre	Description
srcintf / dstintf	Interface source / destination
srcaddr / dstaddr	Objet adresse source / destination
service	Service(s) autorisé(s)
action	accept ou deny
logtraffic	all, utm, disable
nat	enable / disable (NAT sortant)

Pièges classiques : Autoriser le service ALL par facilité ; oublier le schedule et laisser un accès temporaire permanent ; activer nat sur une règle inter-LAN où il est inutile.

À vous de jouer : Quels champs minimaux rendent une règle LAN vers Internet fonctionnelle et traçable ?

Voir la réponse

srcintf, dstintf, srcaddr, dstaddr, service, schedule always, action accept, nat enable et logtraffic all.

12

Objets pare-feu : adresses et services

Adresses IP, groupes d'adresses, services custom

20 min

Objets de pare-feu

Pourquoi c'est important : Écrire des IP en dur dans chaque politique rend la maintenance infernale. Avec des objets adresse, des groupes et des services custom comme MySQL sur TCP 3306, on modifie une fois et tout suit.

L'analogie qui aide : Les objets sont comme des contacts dans un téléphone : au lieu de retaper le numéro à chaque fois, on appelle Serveur_Web et si l adresse change on met à jour la fiche unique.

# Creer un objet adresse
FGT60F # config firewall address
FGT60F (address) # edit "Serveur_Web"
FGT60F (Serveur_Web) # set subnet 10.0.2.10/32
FGT60F (Serveur_Web) # set comment "Serveur web DMZ"
FGT60F (Serveur_Web) # next
FGT60F (address) # end

# Creer un groupe d'adresses
FGT60F # config firewall addrgrp
FGT60F (addrgrp) # edit "LAN_Complet"
FGT60F (LAN_Complet) # set member "LAN_Net" "DMZ_Net"
FGT60F (LAN_Complet) # next
FGT60F (addrgrp) # end

# Creer un service custom
FGT60F # config firewall service custom
FGT60F (custom) # edit "MySQL"
FGT60F (MySQL) # set protocol TCP
FGT60F (MySQL) # set tcpportrange 3306
FGT60F (MySQL) # next
FGT60F (custom) # end

# Creer un groupe de services
FGT60F # config firewall service group
FGT60F (group) # edit "DB_Services"
FGT60F (DB_Services) # set member "MySQL" "PostgreSQL"
FGT60F (DB_Services) # next
FGT60F (group) # end

Démonstration pas à pas : Créez firewall address Serveur_Web en 10.0.2.10/32, regroupez LAN_Net et DMZ_Net dans addrgrp LAN_Complet, créez service custom MySQL en TCP 3306, regroupez-le dans DB_Services, puis référencez ces noms dans la politique.

Pièges classiques : Créer des objets en double avec des noms proches ; utiliser des /32 oubliés qui élargissent le périmètre ; laisser des groupes vides qui ne matchent rien.

À vous de jouer : Quel intérêt d un groupe d adresses par rapport à des IP en dur ?

Voir la réponse

Centraliser la définition pour modifier une seule fois et garder des politiques lisibles, auditées et sans erreur de frappe répétée.

13

Schedule et Implicit Deny

Planification, règles temporelles, déni implicite

10 min

Schedule et Implicit Deny

Pourquoi c'est important : Un accès de maintenance laissé en always reste ouvert après le week-end. Avec un schedule oneshot ou recurring Bureau_Horaire, la règle ne s active que sur la plage prévue puis retombe sur le deny implicite.

L'analogie qui aide : Le schedule, c est la minuterie d un sas : Maintenance_Weekend ouvre du samedi 22h00 au dimanche 06h00, Bureau_Horaire du lundi au vendredi de 08h00 à 18h00, puis la porte se reverrouille seule.

# Creer un schedule
FGT60F # config firewall schedule oneshot
FGT60F (oneshot) # edit "Maintenance_Weekend"
FGT60F (Maintenance_Weekend) # set start 2026/09/05 22:00
FGT60F (Maintenance_Weekend) # set end 2026/09/06 06:00
FGT60F (Maintenance_Weekend) # next
FGT60F (oneshot) # end

# Creer un schedule recurring (hebdomadaire)
FGT60F # config firewall schedule recurring
FGT60F (recurring) # edit "Bureau_Horaire"
FGT60F (Bureau_Horaire) # set start 08:00
FGT60F (Bureau_Horaire) # set end 18:00
FGT60F (Bureau_Horaire) # set day monday tuesday wednesday thursday friday
FGT60F (Bureau_Horaire) # next
FGT60F (recurring) # end

# L'Implicit Deny est la derniere regle (ID haute, typically 1000+)
# Il est toujours present et ne peut pas etre supprime
# Il bloque tout trafic non matche par les regles precedentes

Démonstration pas à pas : Créez firewall schedule oneshot Maintenance_Weekend avec start et end précis, puis recurring Bureau_Horaire de 08h00 à 18h00 du lundi au vendredi, associez-le à la politique et vérifiez que hors plage le debug flow indique deny.

Pièges classiques : Laisser always sur un accès temporaire ; confondre les fuseaux horaires du schedule ; croire que le deny implicite peut être supprimé.

À vous de jouer : Que devient le trafic hors plage d un schedule ?

Voir la réponse

Il ne matche plus la règle temporelle et tombe sur les règles suivantes puis sur le deny implicite qui le bloque et le journalise.

14

Politiques de priorité et Sécurité Profiles

UTM, antivirus, IPS, web filter sur les règles

20 min

Security Profiles sur les politiques

FortiGate permet d'appliquer des profils de sécurité (UTM) sur les règles accept :

Pourquoi c'est important : Une règle accept sans profils UTM laisse passer malwares et phishing en clair. En attachant av-profile, webfilter-profile, ips-sensor et application-list avec logtraffic all, chaque flux est inspecté et tracé.

L'analogie qui aide : Les Security Profiles sont comme le scanner à bagages après le contrôle des papiers : même autorisé à entrer, chaque paquet passe au détecteur antivirus, IPS et filtre web.

AntiVirus — Scan antivirus pour FTP, HTTP, IMAP, POP3, SMB, SMTP
Web Filter — Filtrage URL par catégories
Application Control — Contrôle d'applications
IPS — Système de prévention d'intrusion
DLP — Prévention de perte de données
Email Filter — Filtrage antispam
File Filter — Filtrage de fichiers par type

# Appliquer des Security Profiles sur une regle
FGT60F # config firewall policy
FGT60F (policy) # edit 1
FGT60F (1) # set av-profile "default"
FGT60F (1) # set webfilter-profile "default"
FGT60F (1) # set ips-sensor "default"
FGT60F (1) # set application-list "default"
FGT60F (1) # set logtraffic all
FGT60F (1) # set logtraffic-start enable
FGT60F (1) # next
FGT60F (policy) # end

Démonstration pas à pas : Éditez la politique 1, ajoutez set av-profile default, set webfilter-profile default, set ips-sensor default, set application-list default, activez logtraffic all et logtraffic-start enable, puis testez avec un téléchargement de test EICAR.

Pièges classiques : Empiler tous les profils sans vérifier l impact CPU ; appliquer l inspection sur du trafic chiffré sans inspection SSL ; ne pas logger et rater les faux positifs.

À vous de jouer : Quels quatre profils ajoute-t-on classiquement sur une règle Internet ?

Voir la réponse

Antivirus, Web Filter, IPS et Application Control, avec journalisation complète pour auditer les détections.

Module 4 : NAT de Base

15

NAT sortant (Source NAT / SNAT)

Masquage d'adresses, IP Pool, NEIP

20 min

NAT Sortant (Source NAT)

Le NAT sortant est activé sur les règles qui autorisent le trafic LAN vers Internet. Il masque les adresses internes.

Pourquoi c'est important : Sans SNAT, les postes LAN sortent avec des IP privées non routables et la réponse ne revient jamais. Avec nat enable ou un ippool WAN_IPs, le FortiGate masque 10.0.1.0/24 derrière 203.0.113.10 à 203.0.113.20.

L'analogie qui aide : Le SNAT est comme le standard téléphonique d une entreprise : tous les appels internes sortent avec le même numéro public, et le standard redistribue les réponses à chacun.

# SNAT simple (masquerade) sur une regle
FGT60F # config firewall policy
FGT60F (policy) # edit 1
FGT60F (1) # set name "LAN_to_Internet"
FGT60F (1) # set srcintf "port2"
FGT60F (1) # set dstintf "port1"
FGT60F (1) # set srcaddr "LAN_Net"
FGT60F (1) # set dstaddr "all"
FGT60F (1) # set action accept
FGT60F (1) # set nat enable
FGT60F (1) # set ippool disable
FGT60F (1) # next
FGT60F (policy) # end

# Utiliser un IP Pool pour un NAT plus specifique
FGT60F # config firewall ippool
FGT60F (ippool) # edit "WAN_IPs"
FGT60F (WAN_IPs) # set startip 203.0.113.10
FGT60F (WAN_IPs) # set endip 203.0.113.20
FGT60F (WAN_IPs) # set nat statically enable
FGT60F (WAN_IPs) # next
FGT60F (ippool) # end

# Associer l'IP Pool a une regle
FGT60F # config firewall policy
FGT60F (policy) # edit 1
FGT60F (1) # set ippool enable
FGT60F (1) # set poolname "WAN_IPs"
FGT60F (1) # next
FGT60F (policy) # end

Démonstration pas à pas : Éditez la politique LAN_to_Internet de port2 vers port1, mettez nat enable, créez firewall ippool WAN_IPs de 203.0.113.10 à 203.0.113.20, associez-le avec set ippool enable et set poolname WAN_IPs, puis contrôlez avec diagnose sys session list.

Pièges classiques : Activer le NAT des deux côtés et créer un double NAT inutile ; oublier l ippool et saturer l IP de sortie ; utiliser un pool qui chevauche une IP déjà utilisée.

À vous de jouer : Quand utiliser un IP Pool plutôt qu un simple masquerade ?

Voir la réponse

Quand il faut répartir la sortie sur plusieurs IP publiques ou garantir une IP source fixe pour un service, avec traçabilité par plage.

16

NAT d'destination (DNAT / Port Forwarding)

Redirection de ports, Virtual IP, DNAT

20 min

NAT d'destination (DNAT)

Le DNAT (Destination NAT) redirige le trafic entrant vers un serveur interne (port forwarding).

Pourquoi c'est important : Publier un serveur web sans VIP expose tout le LAN si la règle est trop large. Avec une VIP extip 203.0.113.5 vers mappedip 10.0.2.10 sur TCP 443 et une politique port1 vers port3 limitée à HTTPS, seule la bonne porte est ouverte.

L'analogie qui aide : Le DNAT est comme la réception d un hôtel : l adresse publique sonne à l accueil 203.0.113.5 port 443, et la réception transfère discrètement vers la chambre 10.0.2.10.

# Creer une Virtual IP (VIP) pour le port forwarding
FGT60F # config firewall vip
FGT60F (vip) # edit "WebServer_443"
FGT60F (WebServer_443) # set extip 203.0.113.5
FGT60F (WebServer_443) # set mappedip 10.0.2.10
FGT60F (WebServer_443) # set extport 443
FGT60F (WebServer_443) # set mappedport 443
FGT60F (WebServer_443) # set protocol tcp
FGT60F (WebServer_443) # set comment "Serveur Web"
FGT60F (WebServer_443) # next
FGT60F (vip) # end

# Creer la regle de pare-feu pour le DNAT
FGT60F # config firewall policy
FGT60F (policy) # edit 3
FGT60F (3) # set name "DNAT_WebServer"
FGT60F (3) # set srcintf "port1"
FGT60F (3) # set dstintf "port3"
FGT60F (3) # set srcaddr "all"
FGT60F (3) # set dstaddr "WebServer_443"
FGT60F (3) # set service "HTTPS"
FGT60F (3) # set action accept
FGT60F (3) # set logtraffic all
FGT60F (3) # next
FGT60F (policy) # end

# Port forwarding multiple
FGT60F # config firewall vip
FGT60F (vip) # edit "MultiPort_443_8443"
FGT60F (MultiPort_443_8443) # set extip 203.0.113.5
FGT60F (MultiPort_443_8443) # set mappedip 10.0.2.10
FGT60F (MultiPort_443_8443) # set extport 8443
FGT60F (MultiPort_443_8443) # set mappedport 443
FGT60F (MultiPort_443_8443) # set protocol tcp
FGT60F (MultiPort_443_8443) # next
FGT60F (vip) # end

Démonstration pas à pas : Créez firewall vip WebServer_443 avec extip, mappedip, extport et mappedport 443 en TCP, créez la politique 3 de port1 vers port3 avec dstaddr WebServer_443 et service HTTPS en accept avec logtraffic all, puis testez depuis l extérieur.

Pièges classiques : Mettre srcaddr all et dstaddr all au lieu de la VIP ; oublier d ouvrir le service retour ; rediriger 8443 vers 443 sans prévenir les utilisateurs.

À vous de jouer : Que contient une VIP et que filtre la politique DNAT ?

Voir la réponse

La VIP mappe IP et port externes vers IP et port internes, et la politique n autorise que ce couple précis depuis l interface externe.

17

Central SNAT

SNAT centralisé, binding à une policy

15 min

Central SNAT

En FortiOS 7.x, le Central SNAT permet de configurer le SNAT de manière centralisée hors des politiques de pare-feu.

Pourquoi c'est important : Éparpiller le NAT dans chaque politique complique l audit. En mode central-snat, la table central-snat-map sépare le contrôle d accès du masquage avec srcintf, dstintf, adresses et services dédiés.

L'analogie qui aide : Le Central SNAT est comme un guichet unique pour les passeports : au lieu de tamponner dans chaque file, toutes les translations passent par le même comptoir central et traçable.

# Activer le Central SNAT
FGT60F # config system settings
FGT60F (settings) # set central-snat-mode enable
FGT60F (settings) # end

# Configurer le Central SNAT
FGT60F # config firewall central-snat-map
FGT60F (central-snat-map) # edit 1
FGT60F (1) # set srcintf "port2"
FGT60F (1) # set dstintf "port1"
FGT60F (1) # set src-addr "LAN_Net"
FGT60F (1) # set dst-addr "all"
FGT60F (1) # set service "HTTP" "HTTPS"
FGT60F (1) # set nat enable
FGT60F (1) # next
FGT60F (central-snat-map) # end

Démonstration pas à pas : Activez set central-snat-mode enable dans system settings, créez central-snat-map 1 de port2 vers port1 pour LAN_Net vers all sur HTTP et HTTPS avec nat enable, puis vérifiez que les politiques restent en accept sans nat.

Pièges classiques : Activer le mode central sans migrer les politiques existantes ; créer des maps qui se chevauchent sans ordre clair ; oublier de vérifier la compatibilité avec la version FortiOS.

À vous de jouer : Quel bénéfice du Central SNAT en FortiOS 7 ?

Voir la réponse

Centraliser et auditer toutes les translations hors des politiques, avec des règles NAT ordonnées et réutilisables.

18

Dépannage NAT et debugging

Session table, sniffer, logs NAT

15 min

Dépannage NAT

Pourquoi c'est important : Un poste qui ne navigue plus peut venir d une absence de NAT, d une route ou d un DNS. La méthode va de diagnose sys session list au sniffer sur port1 puis aux logs forward pour isoler la cause.

L'analogie qui aide : Dépanner le NAT, c est suivre un colis : on vérifie le bon de départ avec la session, on filme le quai avec le sniffer, puis on lit le registre avec les logs.

# Voir les sessions NAT activees
FGT60F # diagnose sys session list

# Filtre par interface
FGT60F # diagnose sys session filter intf port1
FGT60F # diagnose sys session list

# Sniffer pour verifier le NAT
FGT60F # diagnose sniffer packet port1 'host 10.0.1.50' 4 0 l

# Verifier les logs
FGT60F # execute log filter field type forward
FGT60F # execute log display

# Verifier la table NAT
FGT60F # diagnose ip route list

# Diagnostique DNS (si pas de resolution)
FGT60F # execute ping 8.8.8.8
FGT60F # execute ping google.com

Démonstration pas à pas : Filtrez diagnose sys session filter intf port1 puis list, capturez avec diagnose sniffer packet port1 host 10.0.1.50, filtrez les logs forward avec execute log filter field type forward puis display, et validez la sortie avec execute ping 8.8.8.8.

Pièges classiques : Sniffer sans filtre en production et saturer la console ; purger toutes les sessions au lieu de filtrer ; conclure au NAT alors que le DNS ne résout plus.

À vous de jouer : Quelle séquence pour prouver un problème NAT ?

Voir la réponse

Sessions filtrées, sniffer ciblé, logs forward, table de routage avec diagnose ip route list, puis test ping IP puis nom pour séparer routage et DNS.

Fondamentaux FortiGate

Module 1 : Introduction à FortiGate

Objectifs du module

Qu'est-ce qu'un FortiGate ?

FortiGate — Le pare-feu de nouvelle génération

Modèles et gammes FortiGate

Les gammes FortiGate

Accès initial à FortiGate

Accès initial

VDOM et modes de fonctionnement

VDOM — Virtual Domains

Licences FortiGuard

Licences FortiGuard

Module 2 : Interface et Configuration Système

Configuration des interfaces

Configuration des interfaces réseau

Mode DHCP sur une interface WAN

Configuration système globale

Configuration globale

Sauvegarde et restauration

Sauvegarde et restauration de la configuration

Important

Mises à jour firmware

Mise à jour du firmware

Attention

Module 3 : Politiques de Pare-feu

Comprendre les politiques FortiGate

Politiques de pare-feu FortiGate

Créer une règle de pare-feu

Créer une politique de pare-feu

Objets pare-feu : adresses et services

Objets de pare-feu

Schedule et Implicit Deny

Schedule et Implicit Deny

Politiques de priorité et Sécurité Profiles

Security Profiles sur les politiques

Module 4 : NAT de Base

NAT sortant (Source NAT / SNAT)

NAT Sortant (Source NAT)

NAT d'destination (DNAT / Port Forwarding)

NAT d'destination (DNAT)

Central SNAT

Central SNAT

Dépannage NAT et debugging

Dépannage NAT