# 資訊安全 - FortiGate 50E 防火牆設定

在每個大型的共用場所，每個人用者公用網路，但很少人會去想到說公用網路的規則，像是學校與大型企業是怎麽管理內部網路的規則及安全性，要怎麼樣才能不讓公司的設備不受攻擊，這時候就是防火牆在做事的時候了！

## 動機

在某一天，我無聊滑蝦皮的時候，突然看到了 FortiGate 50E 竟然不用千元就可以買到，於是上網研究了一下與防火牆有關的資訊，正好我在之前就有玩過軟體的防火牆，那時候還在玩 HomeLab AIO (一體機用虛擬化的那種)，就開了一台 VM 去把 pfSense 裝上去，從那個時候就有體會到 IPS/IDS 的威力了，身為把 NAS 開在公網上的我肯定更需要防火牆，所以後來就把它帶回家玩了

## 介紹
FortiGate 50E 是一台有功能 IPS/IDS 的防火牆，但這種東西通常是企業在使用的，而且企業通常都是有專門的業務來處理硬體方面，包括緊急故障汰換授權及管理系統維護等等，所以通常能買到那麼便宜的，不是授權快到期就是已到期

### 那沒有授權會影響到什麼
沒授權的話登入後在授權那邊就可以看到說有幾個功能已失效，但主要也就這四個，所以授權費一年好幾萬塊真的是不意外

- 韌體與更新（授權失效後如果有檔案仍可手動更新）
- 網頁過濾（授權過期後即無法使用，需要 FortiCloud 資料庫連線）
- 病毒資訊
- 病毒突發資料庫


但是呢，沒有了授權，`SSL VPN` 以及防火牆規則依然都還可以使用，所以花個幾百塊搞個一台授權只剩一年的也蠻值的

## 所有功能
基本上大部分的功能都可以在圖形化介面上面能找到，像是防火牆要開多深，VPN 要不要開之類的，功能選擇介面選單如下
### 那其他功能呢？
我在使用時遇到了 WAN 的 MAC Address 要改才能拿到電信商給我的實體 IP 的問題，所以這時候就需要 CLI 來加持，其實像是很多功能沒在選單上的，都還是可以透過 CLI 在做開啟，這裡舉例我用到的幾個來做示範

#### 1. WAN 自訂 MAC Address

# config sys int
# edit <interface> //這裡是 wan 介面 ex: wan1,wan2,wwan
# set macaddr <MAC address> //要修改的 Mac Address
# end

#### 2. IPv6
這裡是讓 WAN 介面啟用 IPv6 的指令

# config sys int
# edit <interface> //wan 介面，跟上面一樣
# config ipv6
# set ip6-mode pppoe
# set dhcp6-prefix-delegation enable
# set autoconf ena
# end
# next
# end

接下來是 LAN

# config sys int
# edit <interface> //lan 介面
# config ipv6
# set ip6-mode delegated
# set ip6-send-adv enable
# set ip6-manage-flag dis
# set ip6-other ena
# set ip6-upstream-interface "<interface>"  //wan 介面
# set ip6-subnet ::1/64
# config ip6-delegated-prefix-list
# edit 1
# set upstream-interface "<interface>" //wan 介面
# set autonomous-flag enable
# set onlink-flag enable
# set subnet ::/64
# next
# end
# end
# next
# end

DHCP Server

# config sys dhcp6 server
# edit 1
# set interface <interface> //lan 介面
# set upstream-int <interface> //wan 介面
# set ip-mode delegated
# set dns-service def
# next
# end

接下來 DNS 就可以用 GUI 設定了，終於不用動 CLI 了...

#### 3. USB tethering (手機 USB 網路共用)
手機網路共用就是一般 Android 插 USB 開網路共享機器就能抓到，剩下的啟用就好了

# config system lte-modem
# show
# set status enable
# end 

這時候你就會看到你的網路介面多一個 wwan 介面


然後去規則設定轉發就可以使用手機網路了！

:::info
:bulb: **提示:** 在我之前家裡斷網急須使用網路的時候，我發現因為 Pixel 手機支援度的關係，無法在許多路由器上使用 USB 網路共用，這情況我一共測試了其他五隻 Android 手機，皆未發生這些問題，所以可判定是 Pixel 手機支援度的問題（經測試連 RouterOS 也無法抓到，只有 OpenWrt 可以使用）
:::

## Forti SSL VPN 使用教學
先到進階設定開關把 VPN 打開，如下圖


然後接下來到 SSL VPN 設定裡面設定端口，像我自己就是設定 720


然後來到這裡把 tunnel-access 打開


最後只要新增 IP 轉發規則與新增使用者


接下來在你要用 VPN 的裝置下載 FortClient VPN 並且設定端口與就可以使用了！

## 可以順便做 AP 管理 (控制器)
如果你有 FortiGate 的 AP 的話，可以順便在 50E 裡面做接管


SSID 設定介面

## PPPoE 問題
由於 FortiGate 沒有 ASIC 硬撥電路，所以在使用 PPPoE 撥號效能並沒有很理想，所以建議加一台 EdgeRouter X 或者其他路由器在前面讓他做撥號效能會比較好

就像上面所講的，在我中華光世代 500/500 PPPoE 撥號加上防火牆全開的情況下跑 Speedtest 時，FortiGate 50E 的 CPU 會在大概 70% 左右，所以還是評估一下，要是家裡是那種第四台網路（WAN 走 DHCP 的）那就沒這個問題

**以下圖片是 FortiGate 50E 防火牆只開 NGFW 的使用率**