Fiches mémo FortiGate - Commandes CLI

1. Commandes système (show et get)

État général, matériel, interfaces et performance — extraits du cours Débutant.

Commande	Usage
`show system status`	Nom d'hôte, version, numéro de série, mode VDOM.
`get hardware status`	CPU, RAM, ASIC CP9 et NP6, BIOS.
`show system interface`	Liste des interfaces, IP, masque, état.
`show full-configuration system interface`	Configuration complète au format config.
`config system interface`	Entrer dans le contexte de configuration des interfaces.
`get system performance`	Charge CPU et mémoire en temps réel.
`show user local`	Utilisateurs locaux pour VPN et administration.

Évaluation de haut en bas, premier match, Implicit Deny — extraits du cours Débutant.

Commande	Usage
`show firewall policy`	Toutes les politiques avec NAT, services et compteurs.
`show firewall policy 2`	Détail de la politique numéro 2 au format config.
`show firewall address`	Objets adresses existants.
`show firewall service custom`	Services HTTP, HTTPS, DNS et SSH définis.
`config firewall address`	Créer un objet adresse.
`show firewall shaper traffic-shaper`	Garantie et limite de bande passante par classe.

Ordre : règles spécifiques en haut, règle générale en bas, Implicit Deny en dernier.
set nat enable active le Source NAT sur une politique.
IP Pool : plage d'adresses publiques pour le SNAT ; Virtual IP pour le DNAT entrant.
Le champ schedule limite l'activation temporelle ; logtraffic all journalise chaque session.

Phases IKE, ESP, certificats et portail — extraits du cours Intermédiaire.

Commande	Usage
`get vpn ipsec sa`	Security Associations IPsec actives.
`get vpn ssl settings`	Port 10443, certificat, pool et timeouts du SSL-VPN.
`execute ping` + `get router info routing-table all`	Vérifier la joignabilité et la route avant de monter un tunnel.

Phase 1 IKE sur UDP 500 puis UDP 4500 en cas de NAT ; IKEv2 plus rapide avec MOBIKE.
Phase 2 en ESP : sélecteurs, chiffrement et PFS doivent correspondre des deux côtés.
DPD surveille le pair distant ; PFS renouvelle les clés Diffie-Hellman.
SSL-VPN : split tunneling pour le seul trafic distant, certificat auto-signé à remplacer.

Cluster, heartbeat et supervision — extraits du cours Expert.

Commande	Usage
`get system ha status`	Rôle master et slave, synchronisation du cluster.
`get system performance`	Sessions actives, CPU et mémoire.
`diagnose sys cpu-history`	Historique graphique de la charge CPU.

HA : redondance avec basculement automatique active-passive ou active-active.
Heartbeat HA en UDP sur le port 1944.
FortiManager centralise les configurations ; FortiAnalyzer collecte et analyse les logs.

Pipeline paquet, sessions, captures et routage — extraits du cours Expert.

Commande	Usage
`diagnose debug flow`	Trace le pipeline : recv, policy match, UTM, NAT, send.
`diagnose sys session list`	Sessions actives pour vérifier le NAT.
`diagnose sniffer packet port2`	Capture les paquets sur une interface.
`get router info routing-table all`	Table de routage effective.
`get log setting` et `show log setting`	Journalisation et envoi vers FortiAnalyzer.
`execute traceroute 8.8.8.8`	Chemin réseau et latences par saut.

Séquence debug filtré : diagnose debug filter, diagnose debug enable, diagnose debug flow, puis disable.
Inspection SSL requise sinon le HTTPS contourne l'IPS et l'antivirus.