Fortinet社

Size: px

Start display at page:

Download "Fortinet社"

いっけいやすもと
5 years ago
Views:

1 FortiGate Ver.4.0MR3Patch17 Information 第 1.1 版 1

2 改訂履歴発行年月版数改版内容 H26.9 第 1.0 版初版発行 H26.9 第 1.1 版目次の修正 5.1. 仕様の変更の FortiAnalyzer log upload option を修正 2

3 目次 1. はじめにアップグレードパスバージョンアップ時の注意事項 v4.0mr2 からのバージョンアップ注意事項 config の変更仕様の変更 v4.0mr3 からのバージョンアップ注意事項仕様の変更 Web フィルタリングコンテンツブロックの config 変換準備 config の変換 FG300C ディスクフォーマット準備 GUI 接続ログファイルのバックアップネットワークからの切り離し WebUI でのアップグレード config のバックアップディスクフォーマット (OS 領域 ) CLI でのアップグレードディスクフォーマット (Log 領域 ) config のリストアネットワークへの接続補足 :SQL ロギングの無効化 Fortianalyzer サポートについて Fortimanager サポートについて FortiAP サポートについて SSL-VPN サポートについて仮想ソフトウェアサポートについて Explicit web proxy ブラウザサポートについて推奨 Web ブラウザ

4 1. はじめに本マニュアルは FortiGate の OS バージョンを弊社推奨バージョン Version4.0MR3Patch17 へアップグレードを行う際の注意事項について記載しています具体的なアップグレード手順については以下のバージョンアップ手順書を参照ください FortiGate バージョンアップ手順書 2. アップグレードパス現在ご利用の OS バージョンによってはバージョンアップを段階的に行う必要がございます下記のアップグレードパスをご参照いただきご利用バージョンに合わせたバージョンアップ手順を行ってください現在の利用バージョン経由バージョン最新バージョン Version4.0MR3Patch11 以降なし Version4.0MR3Patch17 Version4.0MR3Patch11 未満 Version4.0MR3Patch11 Version4.0MR3Patch17 Version4.0MR2Patch15 なし Version4.0MR3Patch17*1 Version4.0MR2Patch15 未満 Version4.0MR2Patch15*2 Version4.0MR3Patch17*1 *1: Version4.0MR2 から MR3 にバージョンアップする場合は仕様変更に伴う変換手順が発生します詳しくは 3.2 仕様の変更をご参照ください *2: 現在 Version4.0MR2Patch15 未満から Version4.0MR2Patch15 にバージョンアップを行う手順については下記資料をご参照ください 4

5 3. バージョンアップ時の注意事項 Memory logging メモリロギングはすべてのFortiGate プラットフォームで利用可能となりデフォルトでは無効になっていますしかしながらアップグレード前にログ設定が有効の場合その設定は保持されますメモリロギングはトラブルシューティングのために使用することを目的としていますメモリロギングは以下のCLIコマンドより有効に変更することが可能です config log memory setting set status enable end FortiGate-100D hardware compatibility FortiOS v4.0 MR3のすべてのOSではシステムのパーツ番号が P 以上のFortiGate100Dに互換性の問題がございますシステムパーツ番号は機器の底面もしくは CLIからの get system status コマンドより確認することが可能ですシステムパース番号が該当する機器はpatchOS v5.0patch3 未満のOSインストールすることができません FortiGate-1240B upgrade and downgrade limitations FortiOS v4.0 MR3 Patch 2 以上では FortiGate 1240B は 62-bit 版の FortiOS で動作しており HA 構成でのダウングレードとアップグレード時に制限がございます uninterruptable-upgradeオプションが有効に設定され 32-bit 版のFortiOSバージョンから 64-bit 版の FortiOSへバージョンアップする場合 2 号機がアップグレード後に実施される1 号機のアップグレードが失敗する可能性がございますワークアラウンドはuninterruptable-upgrade オプションを無効にすることですこちらの機能が無効にすると数分のサービス停止が予想されます FortiGate-1240BをFortiOS v4.0 MR3 Patch 2からダウングレードすることはサポートしていません 64-bitと32-bitのFortiOSバージョンの間に制限があるためですダウングレードの手順はTFTPサーバを使用し BIOSメニューより実施する手順となりますその場合以前のバージョンのconfigファイルをダウングレード後にリストアする必要がございます 5

6 4. v4.0mr2 からのバージョンアップ注意事項注意 : 下記は v4.0mr2patch15 から v4.0mr3patch17 へアップグレードする際に発生する項目です 4.1. config の変更 DDNS interface 以下の DDNS 設定はアップデート後に config system ddns へ移動します DNS Server インタフェースの設定にある dns-query recursive/non-recursive オプションは Vdom ごとのシステム設定に移動しますまたアップグレード後は config system dns-server にてこのオプションの設定を行なうことが出来ます (CLI からのみ設定可 ) Ping Server インタフェース設定の Ping Server オプションにある gwdetect は Vdom ごとの router 設定に引き継がれますアップグレード後は config router gwdetect にてこのオプションの設定を行なうことができます (CLI からのみ設定可 ) SNMP community アップグレード後 32-bit ネットワークマスクが SNMP ホストの IP アドレスに追加されます AMC slot settings アップグレード後 config system amc-slot で設定されている ips-weight のデフォルト値が balanced から less-fw に変わります Web フィルタリング overrides FortiOS v4.0 MR2 Patch4 から FortiOS 4.0MR2Patch14 へアップグレード後 Web フィルタのオーバーライドのコンテンツがなくなります Firewall policy settings 送信元インタフェースまたは宛先インタフェースに amc-xxx インタフェースを設定している場合アップグレード後 config firewall poicy の ips センサーのデフォルト値が all_default から default に変わります 6

7 URL Filter URL フィルタの action 設定が Allow Pass Expect Block から Allow Monitor Exempt Block に変わります FortiOS 4.0MR3Patch1 以降の Allow はログの記録をしません新しい設定の Monitor は Allow のアクションを行ないログを記録します FortiOS 4.0MR2 の Pass は FortiOS 4.0MR3Patch1 の Exempt に吸収されますまた CLI コマンドが set action pass から set exempt pass に変更となります FortiGuard Log Filter アップグレード後 config log fortiguard filter の設定がなくなります FortiGuard Log Setting アップグレード後 config log fortiguard setting 上の quotafull や use-hdd オプションがなくなります 4.2. 仕様の変更文字コードの変更 FortiOS4.0MR3 では FortiGate 内部で使用する文字コードが UTF-8 に統一されましたこれに伴い FortiOS4.0MR2 でオブジェクト名に 2 バイト文字を利用している場合バージョンアップ後に正常に変更されない場合がございます安全にアップグレードするために FortiOS4.0MR2 で 2 バイト文字をご利用のお客様はすべての 2 バイト文字を半角英数字に変換してからアップグレードをおこなってくださいなお Web フィルタリングの禁止ワードは別途変換作業が発生するため半角英数字に変換する必要はござません Web フィルタリング設定方法の変更 FortiOS4.0MR3 では Web フィルタリングのコンテンツブロックが CLI からのみ設定可能となりますこれに伴い FortiOS4.0MR2 で WebUI からコンテンツを設定されている場合バージョンアップ前に config ファイルを取得して内容を修正しバージョンアップ後に修正済みの config をリストアする作業が必要になります詳しくは 5.Web フィルタリングコンテンツブロックの config 変換をご参照ください 7

8 5. v4.0mr3 からのバージョンアップ注意事項注意 : 下記は v4.0mr3patchx から v4.0mr3patch17 へアップグレードする際に発生する項目です 5.1. 仕様の変更 Disk logging Fortigateのパフォーマンスの最適化のため diskロギングはver4.0mr3patch17へのアップグレード後に無効になります extened ロギングやレポート機能を使用するためには FAMS(FortiCloud) へのログを有効にすることを推奨しますこの変更は以下のモデルに影響します FG-20C, FWF-20C FG-20C-ADSL-A, FWF-20C-ADSL-A FG-40C, FWF-40C FG-60C, FWF-60C, FG-60C-POE, FWF-60CM, FWF-60CX-ADSL-A FG-80C, FWF-80C, FG-80CM, FWF-80CM FG-100D (PN: P or earlier) FG-300C (PN: P or earlier) FG-200B without SSD installed FG-80C, FG-80CM, FWF-80C, FWF-80CM に特有であるコードの制限により disk ロギングがアップグレード後に無効になっていることをユーザーへ警告するメッセージが表示されませんアップグレード前に FortiCloud を使用する場合は設定は保持されサービスは動作し続けます Historical reports upgrade limitation 以下の機種でアップデート後に以前作成されたヒストリカルレポートは保持されません FG-20C, FWF-20C FG-40C, FWF-40C FG-60C, FWF-60C FG-80C FWF-60CM FWF-60CX-ADSL-A FWF-81CM ワークアラウンドはアップグレードを行う前にローカルカードデバイスへヒストリカルレポートをダウンロードすることになります 8

9 FG300C Disk Logging FG300C で v4.0mr3 から v4.0mr3patch6 のバージョンをご利用の場合にディスクロギングに関連する不具合が確認されています不具合を修正するために該当機種バージョンをご利用の場合は v4.0mr3patch7 以上のバージョンにアップグレードする際にディスクフォーマットが必要となります詳しくは 6.FG300C ディスクフォーマットをご参照くださいまた FG300C では v4.0mr3patch7 以上のバージョンにアップグレード後 SQL ロギングはデバイスの RAM サイズに依存しますログは RAM の最大 10% までを使用しそれを超えると古いログを上書きしていきますレポート作成もクエリ応答が可能な SQL ログに基づく影響を受けます SQL logging upgreade limitation FortiOS v4.0 MR3 Patch17 へアップグレード後筐体上で利用できる全 RAM 量容量を元に SQL ロギングを保持しますログは RAM の最大 10 パーセントを使用します一度閾値を超えた場合古いログは新しいログに上書きされますヒストリカルレポートを生成する場合クエリによって利用される SQL ログを元に影響を受けます対象機器 :FG-100D FG-300C FortiAnalyzer log upload option v4.0mr3patch17 へアップグレード後 FortiAnalyzer log upload option が realtime から store-and-upload に変更されます upload option を realtim に変更する場合は以下の CLI コマンドを使用して下さい config log fortianalyzer setting set upload-option realtime end 9

10 6. Web フィルタリングコンテンツブロックの config 変換 v4.0mr2 では Web フィルタリングのコンテンツブロックの禁止ワードを WebUI から設定した場合 CLI 上では実態参照という表記方法で記載されています v4.0mr3 以降 Web フィルタリングのコンテンツブロックは仕様変更に伴い CLI からのみ設定可能となりましたそのため CLI 上で解読可能な表記に変更させる必要があります本項目では実体参照部分を日本語表記に変換し設定に反映させる方法を示します 6.1. 準備作業を行う前に必ず 1. はじめにの FortiGate バージョンアップ手順書内の項番 3.4 の (2) で取得した config ファイルのコピーをバックアップとして保存してください 6.2. config の変換 (1) 項番 3.4 の (2) で取得した config ファイルをテキストエディタで開きます (2) 表示された config のテキスト文中の config webfilter content から config webfilter urlfilter の前の end までをコピーします config webfilter content edit 1 config entries edit "テスト" set lang japanese set status enable next edit "てすと" set lang japanese set status enable next end set name "test" next ( 図バックアップファイルの内容 ) (3) テキストファイルを新規作成し項番 (2) でコピーした部分を貼り付けます 10

11 (4) 項番 (3) のファイルの最初の行に <html><body><pre> を最後の行に </pre></body></html> を入力します ( 図参照 ) <html><body><pre> config webfilter content edit 1 config entries edit "テスト" set lang japanese set status enable next edit "てすと" set lang japanese set status enable next end set name "test" next end </pre></body></html> 2 1 ( 図テキストファイルの内容 ) (5) 項番 (4) で編集したファイルを html ファイルとして保存します (6) 項番 (5) で保存した html ファイルを開き表示された文章をコピーします 11

12 ( 図 Web ブラウザの内容 ) (7) 項番 (1) の config ファイルの config webfilter content から end の部分を項番 (6) でコピーした部分に置き換えます変更後は以下のようになります config webfilter content edit 1 config entries edit " テスト " set lang japanese set status enable next edit " てすと " set lang japanese set status enable next end set name "test" next end ( 図変換後の config ファイル ) (8) 項番 (7) で置き換えた config ファイルを文字コードを UTF-8 に指定して保存します (9) 項番 (8) で保存した config ファイルを機器にリストアします (10) リストア後に config をバックアップして作業終了です 12

13 7. FG300C ディスクフォーマット FG300C で v4.0mr3 から v4.0mr3patch6 のバージョンをご利用の場合にディスクロギングに関連する不具合が確認されています不具合を修正するためには該当機種バージョンをご利用の場合は v4.0mr3patch7 以上のバージョンにアップグレードすることとアップグレードする際にディスクフォーマットを実行することが必要となります本項目では FG300C を v4.0mr3~v4.0mr3patch6 から v4.0mr3patch7 以上にバージョンアップする際の手順を示します 7.1. 準備以下のものを準備しますネットワーク接続可能な PC ( 対応ブラウザ情報はアップグレードするバージョンの ReleaseNotes をご確認ください ) アップグレードするファームウェアファイルシリアルケーブル (FortiGate に付属 ) ディスクのフォーマットに伴い以下のものをバックアップします config (FortiGate バージョンアップ手順書 3. コンフィグのバックアップリストアを参照してください ) 過去に作成したレポートログファイル ( 6.3 ログファイルのバックアップを参照してください ) 7.2. GUI 接続 (1) FG の HTTP/HTTPS のアクセスを許可しているインタフェースの IP に対して PC を直接またはネットワーク経由で到達可能な環境を準備します (2) PC のブラウザにて FortiGate にアクセスします ( ブラウザに URL もしくはを指定します x は FortiGate の IP アドレスを指定します ) (3) ログイン画面が表示されるのでユーザー名パスワードを入力してログインをクリックします 13

7.3. ログファイルのバックアップディスクのフォーマットを行うとディスクに保存されているログが削除されるため必要な場合はログファイルのバックアップを行います (1) ログ & リポート > ログ & アーカイブアクセス > イベントログを表示し生ログをダウンロードをクリックして PC にログファイルを保存します ( 図 6-3-1.

14 7.3. ログファイルのバックアップディスクのフォーマットを行うとディスクに保存されているログが削除されるため必要な場合はログファイルのバックアップを行います (1) ログ & リポート > ログ & アーカイブアクセス > イベントログを表示し生ログをダウンロードをクリックして PC にログファイルを保存します ( 図ログ画面 ) (2) その他のログファイルに関しても (1) と同様の手順で取得します 7.4. ネットワークからの切り離しディスクフォーマット時に config も削除されるため FortiGate をネットワークから切り離します 7.5. WebUI でのアップグレード FortiGate のインタフェースに PC を直接接続し FortiGate バージョンアップ手順書の 4. WebUI でのアップグレードを実行します 7.6. config のバックアップ FortiGate バージョンアップ手順書の 3. Config のバックアップリストアを参照しバックアップを実行します 14

15 7.7 と 7.8 の作業は FortiGate バージョンアップ手順書の 5. CLI でのアップグレードダウングレードの手順の途中でフォーマットを実行する流れとなります 7.7. ディスクフォーマット (OS 領域 ) FortiGate バージョンアップ手順書の 5. CLI でのアップグレードダウングレードから 5.5 アップグレードダウングレードの (2) まで実行してから以下の手順を実行します (1) リブート後 Press Any Key To Download Boot Image. と表示されたら何かキーを押します Enter G,F,B,Q,or H: と表示されるので F を入力し All data will be erased,continue:[y/n]? と表示されるので Y を入力します Enter G,F,B,I,Q,or H: F を入力 All data will be erased,continue:[y/n]? Y を入力 Formatting boot device Format boot device completed CLI でのアップグレード FortiGate バージョンアップ手順書の 5.4 アップグレードダウングレードの (3)~(8) を実行します 7.9. ディスクフォーマット (Log 領域 ) CLI でログインした状態で以下の手順を実行します (1) execute formatlogdisk コマンドを実行します再起動が発生します FG300CXXX # execute formatlogdisk Log disk is /dev/sda1. Formatting this storage will erase all data on it, including logs, quarantine files; and require the unit to reboot. Do you want to continue? (y/n)y_ Formatting the requested disk(s) and rebooting, please wait... Formatting the disk... - unmounting /data2 : ok - unmounting /var/log : ok - unmounting /var/storage/flash2-38ad707d21a52a84 : ok Formatting /dev/sda1... done The system is going down NOW!! 15

7.10. config のリストア FortiGate バージョンアップ手順書の 3. Config のバックアップリストアを参照しリストアの手順を実行します 7.11.

16 7.10. config のリストア FortiGate バージョンアップ手順書の 3. Config のバックアップリストアを参照しリストアの手順を実行しますネットワークへの接続 FortiGate をネットワークに接続します (1) 実通信に問題が発生していないことを確認しますアップグレードによる問題の有無を確認します問題が発生した場合は設定等を見直し問題の修正または切り戻しを行います (2) アンチウィルス IPS をご利用されている場合は exe update-now コマンドにより最新シグネチャのアップデートを実行します補足 :SQL ロギングの無効化 FG300C ではディスクロギングに関連する不具合の発生に伴い FortiGate でのレポート作成機能をご利用されない場合は SQL ロギング設定を無効にすることを推奨しております以下に手順を示します (1) GUI にログイン後ログ & リポート > ログ環境設定 > ログ設定を表示し Enable SQL Logging のチェックマークを外し適用をクリックします ( 図 SQL ロギング設定画面 ) 16

17 (2) この設定変更を行うと GUI へのログイン時に SQL ロギング設定を有効にするように促す警告画面が表示されますが Go をクリックすると SQL ロギングが有効の設定に戻ってしまうのでクリックしないように注意してください ( 図ログイン後警告画面 ) 17

8. Fortianalyzer サポートについて FortiOS v4.0 MR3Patch17 は FortiAnalyzer v4.0 MR3Patch6 以上をサポートしています FortiAnalyzer の version が FortiAnalyzer v4.0mr2 の場合は FortiAnalyzer v4.0mr3 へのアップグレードが必要になります 9.

18 8. Fortianalyzer サポートについて FortiOS v4.0 MR3Patch17 は FortiAnalyzer v4.0 MR3Patch6 以上をサポートしています FortiAnalyzer の version が FortiAnalyzer v4.0mr2 の場合は FortiAnalyzer v4.0mr3 へのアップグレードが必要になります 9. Fortimanager サポートについて FortiOS v4.0 MR3Patch17 は FortiManager v4.0 MR3Patch7 以上をサポートしています 10. FortiAP サポートについて FortiOS v4.0 MR3Patch17 は FortiAP v5.0 Patch Release 3 build 0032 以上の FortiAP をサポートしています 11. SSL-VPN サポートについてトンネルモードの場合 FortiOS v4.0 MR3Patch17 の SSLVPN トンネルクライアントのインストーラ (build2303) は以下のオペレーションシステムをサポートしています Microsoft Windows XP, 7, 8,in.exe and.msi formats Linux CentOS and Ubuntu in.tar.gz format Virtual Desktop in.jar format for Microsoft Windows 7 SP1(32-bit) 18

19 SSLVPN の web モードの場合以下のウェブブラウザが SSL VPN の web モードでサポートされています Microsoft Internet Explorer versions 8 and 9 Mozilla Firefox version18 Apple Safari version 6 その他のオペレーションシステムやウェブブラウザで正常に動作してもサポートできかねますのでご留意下さい 12. 仮想ソフトウェアサポートについて FortiOS v4.0 MR3Patch17 では以下の仮想ソフトウェアをサポートしています VMware ESX /ESXi versions 4.0, 4.1, 5.0 and 5.1 Citrix XenServer versions 5.6 Service Pack 2 and 6.0 Open Source Xen versions and Explicit web proxy ブラウザサポートについて以下のウェブブラウザが FortiOS v4.0 MR3Patch17 の explicit web proxy 機能でサポートされています Microsoft Internet Explorer versions 8, 9, and 10 Mozilla Firefox version 18.1 Apple Safari version Google Chrome version 26 他のウェブブラウザで正常に動作してもサポートできかねますのでご留意下さい 14. 推奨 Web ブラウザ FortiOS v4.0 MR3Patch17 での推奨 Web ブラウザは下記の通りです Microsoft Internet Explorer versions 8,9 Mozilla Firefox version 15,16,17 上記以外のブラウザを利用する場合動作は保障致しかねます以上 19

FortiGate Ver.4.0MR3Patch14 Information 1

FortiGate Ver.4.0MR3Patch14 Information 1 H25.7 1.0 2 1.... 4 2.... 4 3. v4.0mr2... 5 3.1. config... 5 3.2.... 6 3.3. Fortianalyzer... 6 4. v4.0mr3... 7 4.1.... 7 4.2. Fortianalyzer... 8 5. Web... 9 6.