Fortinet無線網(wǎng)絡(luò)接入及安全方案配置步驟

作者：曉憶 2013-03-01 15:54:39

安全

Fortinet無線網(wǎng)絡(luò)接入及安全方案由AC(Wifi接入控制器)及安全網(wǎng)關(guān)AP(Wifi接入點(diǎn))兩類設(shè)備所構(gòu)成。

1、概述：

Fortinet無線網(wǎng)絡(luò)接入及安全方案由以下兩類設(shè)備組成：

AC(Wifi接入控制器)及安全網(wǎng)關(guān)：FortiGate

AP(Wifi接入點(diǎn))：FortiAP

2、簡(jiǎn)要配置步驟

1、FortiGate 620B防火墻默認(rèn)管理地址為https://192.168.1.99(Port1);

用戶名：admin

密碼：無

建議使用IE8.0或Firefox 3.5及以上版本進(jìn)行訪問，其它瀏覽器可能不能完全兼容FortiGate V4.2以上版本的管理界面。

2、修改界面語(yǔ)言為中文

3、將系統(tǒng)時(shí)間和時(shí)區(qū)修改為正確值

這一點(diǎn)很重要，我遇到這種情況，F(xiàn)ortiGate 51B主板電池沒電了，斷電后，時(shí)間就變成1999年，啟動(dòng)后，F(xiàn)ortiAP就無法正常與FortiGate建立連接。

4、修改接口IP地址及允許的管理接口

5、修改默認(rèn)路由，使FortiGate能正常訪問網(wǎng)絡(luò)

6、配置FortiGate的DHCP服務(wù)，為FortiAP分配IP地址，并指定AC地址。使用DHCP代碼138為FortiAP指定AC地址，注意需要將AC地址翻譯成十六進(jìn)制形式(例如：192.168.118.113=C0A87671)

將FortiAP接入到FortiGate port10所在的VLAN，便可自動(dòng)獲得IP地址和AC地址，無需對(duì)FortiAP進(jìn)行手工配置。

注：也可以通過console口手動(dòng)配置FortiAP的IP地址和AC地址，命令如下：

cfg -a AP_IPADDR="192.168.118.10"

cfg -a AP_NETMASK="255.255.255.0"

cfg -a IPGW="192.168.118.230"

cfg -a AC_IPADDR_1="192.168.118.113"

cfg -a ADDR_MODE="STATIC"

cfg -c 保存配置

7、稍后可以在FortiGate管理界面上看到新加入的FortiAP。

點(diǎn)擊該FortiAP，使用“Authorize”按鈕批準(zhǔn)其加入網(wǎng)絡(luò)。

8、配置SSID(虛擬AP)，配置SSID、虛擬接口地址，及該SSID的DHCP地址池

安全模式選擇WPA2-Personal，使用預(yù)共享密鑰認(rèn)證方式。

可以選擇屏蔽SSID內(nèi)部流量，這樣連接在同一SSID下的無線終端就無法互訪了。

9、清空所有自定義AP profile

然后在命令行下(telnet 192.168.118.113)下將wifi的國(guó)家設(shè)置改成CN。

config wireless-controller setting

set country CN

end

10、新建AP profile

選擇FortiAP的型號(hào);

開啟“無線資源提供”，F(xiàn)ortiAP會(huì)自動(dòng)選擇最佳頻道進(jìn)行wifi通信;

選擇本profile中使用的SSID。

11、編輯之前加入的FortiAP，選擇接入點(diǎn)屬性profile1。

12、配置MAC過濾功能

config wireless-controller vap

edit "vap1"

set mac-filter enable //啟用mac過濾功能

set mac-filter-policy-other deny //不在列表內(nèi)的mac地址全禁止

config mac-filter-list //編輯mac列表

edit 1

set mac 50:63:13:c1:a1:94

set mac-filter-policy allow

edit 2

set mac 00:09:13:e3:a1:66

set mac-filter-policy allow

end

刪除MAC條目方法

config wireless-controller vap

config mac-filter-list

del 1

end

13、配置無線用戶訪問網(wǎng)絡(luò)的防火墻策略

源接口：SSID產(chǎn)生的虛擬接口

目的接口：port10(局域網(wǎng)所在接口)

可以修改源地址、目標(biāo)地址、服務(wù)，對(duì)源IP、目標(biāo)IP、源端口、目標(biāo)端口進(jìn)行控制，限制無線用戶的訪問范圍。

如果不啟用NAT，則FortiGate上聯(lián)的路由設(shè)備(路由器或三層交換機(jī))需要添加到無線終端所在網(wǎng)段(192.168.179.0/24)的路由，指向FortiGate的port10接口(192.168.118.113)。例如：

ip route 192.168.179.0 255.255.255.0 192.168.118.113

14、配置用戶認(rèn)證功能

添加用戶賬號(hào)

添加用戶組

編輯之前添加的防火墻策略，選擇允許使用的用戶組。

修改用戶認(rèn)證超時(shí)時(shí)間

啟用保持用戶認(rèn)證狀態(tài)功能

config system global

set auth-keepalive enable

end

15、配置FortiGate的HA(高可用性)

將port2接口指定為心跳接口，監(jiān)控port10接口的狀態(tài)。

備機(jī)的設(shè)備優(yōu)先級(jí)數(shù)字應(yīng)該小于主機(jī)(例如：100)，其余HA配置與主機(jī)完全相同。

先連接主機(jī)和備機(jī)的心跳接口(port2)，等待約5分鐘，備機(jī)會(huì)自動(dòng)通過主機(jī)的所有配置(包括port10接口的IP地址)。

然后將備機(jī)的port10接口連接到主機(jī)port10所在vlan。HA構(gòu)建完成。

16、常用監(jiān)控及管理界面

系統(tǒng)狀態(tài)監(jiān)控，點(diǎn)擊左上角的“+微件”還可增加更多監(jiān)控控件(如接口流量)。

HA監(jiān)控

FortiAP監(jiān)控

無線上網(wǎng)用戶監(jiān)控

防火墻策略用戶認(rèn)證監(jiān)控

17、FortiGate配置管理

點(diǎn)擊“備份”可以備份文本文件至管理用PC，點(diǎn)擊“還原”可以將PC上備份的配置恢復(fù)回FortiGate。

FortiGate也會(huì)自動(dòng)備份配置至內(nèi)置存儲(chǔ)卡，點(diǎn)擊“Revisions”可以選擇存儲(chǔ)在FortiGate上的歷史版本配置進(jìn)行恢復(fù)。

恢復(fù)后FortiGate會(huì)自動(dòng)重啟。

3、同一SSID內(nèi)漫游

同一SSID可以跨越多個(gè)AP，無線客戶端可以在同一SSID無縫地切換到不同的AP上，而會(huì)話不會(huì)中斷。

測(cè)試可以采用關(guān)掉某個(gè)當(dāng)前連接的AP方式來測(cè)試。如果跨區(qū)域來測(cè)試的話，需要的很大的空間：)，信號(hào)降低得很弱的時(shí)候才能切換。

通過圖形界面和命令行都可以看到無線客戶端所連接的FortiAP。

diag wireless-controller wlac -c sta

STA mac : 00:26:c6:76:54:44

authed : yes

wtp : 0-192.168.118.4:5246

rId : 0

aId : 1

wId : 0

bssid : 00:09:0f:d6:ba:92

cap : 0031

4、AC的冗余

4.1 基于防火墻的HA實(shí)現(xiàn)AC的冗余

利用FortiGate的HA功能來實(shí)現(xiàn)AC的冗余。FortiGate HA集群中的設(shè)備根據(jù)設(shè)備優(yōu)先級(jí)的大小協(xié)商產(chǎn)生主機(jī)和備機(jī)，優(yōu)先級(jí)高的設(shè)備成為HA組中的主機(jī)，優(yōu)先級(jí)低的設(shè)備成為HA組中的備機(jī)。主機(jī)和備機(jī)具有完全相同的接口地址、完全相同的配置。

主機(jī)和備機(jī)的配置通過心跳線實(shí)時(shí)同步，管理員的配置針對(duì)整個(gè)HA集群，無需單獨(dú)配置每一臺(tái)設(shè)備。主機(jī)和備機(jī)的相應(yīng)接口具有完全相同的IP地址，并使用同一個(gè)虛擬MAC地址，在發(fā)生故障切換時(shí)不會(huì)產(chǎn)生IP或ARP問題。

當(dāng)主機(jī)的任意接口或設(shè)備本身發(fā)生故障時(shí)，產(chǎn)生HA設(shè)備切換，主機(jī)變?yōu)閟tandby狀態(tài)，備機(jī)變?yōu)閣ork狀態(tài)，自動(dòng)接替主機(jī)工作。由于會(huì)話狀態(tài)均在主備機(jī)之間同步，因此所有訪問自動(dòng)切換到備機(jī)上進(jìn)行，所有已建立會(huì)話無需重新連接。

注意事項(xiàng)：當(dāng)兩個(gè)FortiGate處于HA狀態(tài)時(shí)，關(guān)于AP的配置信息是同步的，但是AP當(dāng)前注冊(cè)的狀態(tài)是不同步的，也就是說，當(dāng)AC切換時(shí)，AP需要重新注冊(cè)。這個(gè)過程是自動(dòng)完成的。當(dāng)FortiGate發(fā)生切換后，雖然FortiGate很快就能切換完成，但是AP還是需要等很長(zhǎng)時(shí)間才能注冊(cè)到新的FortiGate上。另外客戶端PC的連接信息也同樣在FortiGate也是不同步的，也需要重新注冊(cè)到新的FortiGate?？蛻舳藦那袚Q開始到到正常工作需要幾分鐘。

如果要提高這個(gè)切換速度，可以采用以下步驟：

1、提高設(shè)置AC檢測(cè)AP的頻率，在FortiGate上設(shè)置：

config wireless-controller timers

set echo-interval 30 ------檢測(cè)間隔

end

2、無線客戶端設(shè)置為靜態(tài)IP地址，免去了重新獲得IP地址的過程。

3、如果主FortiGate切換到備設(shè)備，其原有的AP注冊(cè)信息和無線終端信息仍舊可以保留一段時(shí)間，也就是說當(dāng)備設(shè)備在短時(shí)間內(nèi)切換回來的話，主設(shè)備很快就能正常工作，這個(gè)時(shí)間可以低于一分鐘。

4.2 基于AP配置多個(gè)AC實(shí)現(xiàn)AC的冗余

AP可以配置多個(gè)AC ，當(dāng)它無法正常連接第一個(gè)AC時(shí)，可以自動(dòng)地連接第二個(gè)AC。

該功能需要在AP上指定：

cfg –a AC_DISCOVERY_TYPE=1

cfg -a AC_IPADDR_1="192.168.11.2"配置第一個(gè)AC

cfg -a AC_IPADDR_2="192.168.11.1"配置第二個(gè)AC

cfg –c 保存配置

這里值得注意的一點(diǎn)是，當(dāng)以上完成一項(xiàng)配置后，會(huì)出現(xiàn)以下提示

restarting wtp daemon ...

Process '/sbin/cwWtpd' (pid 584) exited. Scheduling it for restart

如果沒有出現(xiàn)restart的話，說明配置得不正確

注意事項(xiàng)：配置多個(gè)AC，AP也僅僅會(huì)在一個(gè)AC上注冊(cè)，當(dāng)AC發(fā)生切換的時(shí)候，AP也同樣要在新的AC上注冊(cè)，這個(gè)過程不比FortiGate做HA更為快捷。

5、非法AP檢測(cè)與壓制

FortiAP可以對(duì)非法的AP進(jìn)行無線壓制。進(jìn)行無線壓制最好是采用支持2.4G的Radio，并將其設(shè)置為“專屬監(jiān)測(cè)”

注意事項(xiàng)：一定要開啟非法接入點(diǎn)掃描，否則就會(huì)壓制不成功。

開啟非法AP檢測(cè)，如下圖。

該圖上有一個(gè)選項(xiàng)“開啟有線接入點(diǎn)檢測(cè)技術(shù)”(Enable On-Wire Rogue AP Detection Technique)，它的目的是檢測(cè)該AP有沒有接入到該FortiGate所在的網(wǎng)絡(luò)，檢測(cè)方法是看無線空間AP的mac地址有沒有出現(xiàn)在FortiGate的有線環(huán)境里。檢測(cè)依據(jù)是只要在<無線mac-7>~～<無線mac+7>這個(gè)范圍之內(nèi)就可以了。這個(gè)規(guī)定并不奇怪，因?yàn)槁酚善鞯牟煌涌诘膍ac地址應(yīng)該是連續(xù)的幾個(gè)MAC地址，比如FortiGate的不同接口mac地址就是連續(xù)的。

此時(shí)，監(jiān)控所有無線AP，并且可以選擇非法AP進(jìn)行壓制了

注意事項(xiàng)：也許是4.3.4版本的問題，一旦進(jìn)行壓制(禁止AP——Suppress AP)，就無法通過取消壓制(取消禁止壓制——Unsuppress AP)來關(guān)閉壓制。只能將進(jìn)行壓制的Radio設(shè)置回正常模式，才能取消掉AP壓制。

6、基于頻段的負(fù)載均衡

無線AP可以主動(dòng)引導(dǎo)支持 2.4/5GHz 的無線終端優(yōu)先采用 5Hz頻段關(guān)聯(lián)無線接入點(diǎn)。FortiOS 5.0GA可以支持該功能，也就是說當(dāng)即支持2.4G又支持5G的客戶端接入無線網(wǎng)時(shí)，自動(dòng)地根據(jù)實(shí)際情況將其引導(dǎo)到5G。該選項(xiàng)是在命令行下設(shè)置的。

config wireless-controller wtp-profile

edit "FAP220A-default"

set handoff-rssi 25

set handoff-sta-thresh 30 ---設(shè)置引導(dǎo)的頻段強(qiáng)度閾值

config radio-1

set frequency-handoff enable -----在2.4G和5G頻段進(jìn)行切換

set ap-handoff enable -----在AP之間進(jìn)行切換

end

如果需要測(cè)出該效果的話，得具備多個(gè)條件，第一個(gè)條件是無線終端本身是支持2.4G和5G，第二個(gè)條件是無線終端本身缺省連接的是2.4G，因?yàn)楝F(xiàn)在很多新的筆記本電腦優(yōu)先連接5G。

滿足以上兩個(gè)條件后，需要先調(diào)整handoff-sta-thresh調(diào)整很低，比如最小值為5。然后可以看啟用handoff和不啟用handoff的區(qū)別了。不啟用handoff時(shí)，無線終端始終連接2.4G。啟用handoff時(shí)，無線終端連接AP時(shí)，就會(huì)被推送到5G。這個(gè)推送過程是需要終端斷開連接然后重連。

7、無線頻段管理

在FortiGate中可以實(shí)現(xiàn)對(duì)Radio(頻段)中的頻道進(jìn)行管理，以2.4G為例，可以選擇1-11若干的頻道。頻段數(shù)量是按照美國(guó)標(biāo)準(zhǔn)的，如果按照中國(guó)標(biāo)準(zhǔn)，可以達(dá)到13個(gè)。

config wireless-controller setting

set country CN設(shè)置標(biāo)準(zhǔn)為中國(guó)

end

如果擔(dān)心該頻道被其他AP使用，也就是說頻道沖突，可以選擇“無線資源提供”——Radio Resource Provision，這樣它可以自動(dòng)地回避被其它AP使用的頻道。

測(cè)試方法(舉例)：

1、準(zhǔn)備兩個(gè)AP，將一個(gè)AP的2.4G頻段設(shè)置只能使用6

2、將另外一個(gè)AP設(shè)置為可以使用1，6，然后啟用“無線資源提供”，這樣觀察該AP使用的頻段，就會(huì)發(fā)現(xiàn)它只使用1頻段

通過查看Managed FortiAP可以看到channel一列顯示為Radio1：1，它表示用的是Radio1的第一個(gè)頻段。

8、FortiAP獲取FortiGate IP的多種方式

FortiAP可以通過多種方式獲得AC的IP地址，廣播方式、DHCP方式和手工配置。

8.1 廣播方式

缺省狀態(tài)下，F(xiàn)ortiAP在獲得IP地址后，會(huì)自動(dòng)地發(fā)送廣播方式，以尋找網(wǎng)絡(luò)中的AC。如下圖所示，192.168.118.4發(fā)送尋找AC的Request， 192.168.118.61作為AC給192.168.118.4發(fā)送Reponse。

也就是說，如果FortiAP和FortiGate在同一個(gè)網(wǎng)絡(luò)中，根本就不要手工指定什么東西，它會(huì)自動(dòng)地找到FortiGate。

下面的工作僅僅是在FortiGate上對(duì)FortiAP做一個(gè)認(rèn)證：

8.2 DHCP方式

配置FortiGate的DHCP服務(wù)，為FortiAP分配IP地址，并指定AC地址。使用DHCP代碼138為FortiAP指定AC地址，注意需要將AC地址翻譯成十六進(jìn)制形式(例如：192.168.118.113=C0A87671)

將FortiAP接入到FortiGate port10所在的VLAN，便可自動(dòng)獲得IP地址和AC地址，無需對(duì)FortiAP進(jìn)行手工配置。

8.3 手工配置

注：也可以通過console口手動(dòng)配置FortiAP的IP地址和AC地址，命令如下：

cfg -a AP_IPADDR="192.168.118.10"

cfg -a AP_NETMASK="255.255.255.0"

cfg -a IPGW="192.168.118.230"

cfg -a AC_IPADDR_1="192.168.118.113"

cfg -a ADDR_MODE="STATIC"

cfg -c 保存配置

9、空口抓包

9.1 wireless-controll抓包命令

通過diagnose wireless-controller抓包命令，直接將數(shù)據(jù)包直接發(fā)送給PC，PC需要啟動(dòng)抓包軟件，并且關(guān)閉防火墻，才能對(duì)數(shù)據(jù)包進(jìn)行抓取。該種抓包方式與Aruba方式相同。

diagnose wireless-controller wlac sniff-cfg <抓包pc的IP><端口>

<抓包pc的IP>是指運(yùn)行抓包軟件的PC，端口是隨意指定的

diagnose wireless-controller wlac sniff 2

運(yùn)行上面命令開始抓包。

但是我們目前對(duì)這種方式支持有限，轉(zhuǎn)出來的數(shù)據(jù)包無法正確。以后在FortiOS 5.0會(huì)對(duì)此部分進(jìn)行加強(qiáng)。

9.2 sniffer命令抓取與FortiAP通訊內(nèi)容

WLAC命令不理想，可以采用diagnose sniffer命令來抓取FortiGate和FortiAP通訊內(nèi)容。命令如下：

Diagnosis sniffer packet any ‘host FortiAP的IP地址’ 3

一樣可以抓出802.11頭，DTLS加密的數(shù)據(jù)包，但是無法看到Beacon頭。如下圖：

10、調(diào)整發(fā)射強(qiáng)度

發(fā)射強(qiáng)度很容易調(diào)整，如下圖：

但是從客戶端PC很難被觀察到，需要在客戶端安裝專門的檢測(cè)軟件，比如inSSIDer可以觀察到，如下圖。如果你將TX Power調(diào)整到最低，觀察到的信號(hào)并非一定是最低，會(huì)上下波動(dòng)，波動(dòng)的平均值是相對(duì)比較低的。

11、屏蔽SSID內(nèi)部通訊

缺省狀態(tài)同一SSID下的PC是可以相互通訊的。但如需要屏蔽通訊的話，也是很容易。

命令行下的操作：

config wireless-controller vap

edit "要編輯的SSID"

set intra-vap-privacy enable

end

10、通信加密和門戶認(rèn)證

Fortinet無線方案支持多種無線加密方式，包括：

開放模式(不加密，不建議使用);

WEP(64bit或128bit RC4加密);

WPA(256bit TKIP或AES加密);

WPA2(256bit TKIP或AES加密，在WPA的基礎(chǔ)上支持802.11i標(biāo)準(zhǔn)的安全要求);

強(qiáng)制門戶

開放方式和WEP放在命令行下，如下。

config wireless-controller vap

edit "ssidname"

set security

captive-portal captive-portal

open open

wep128 wep128

wep64 wep64

wpa-enterprise wpa/wpa2-enterprise

wpa-only-enterprise wpa-only-enterprise

wpa-only-personal wpa-only-personal

wpa-personal wpa/wpa2-personal

wpa2-only-enterprise wpa2-only-enterprise

wpa2-only-personal wpa2-only-personal

end

強(qiáng)制門戶方式有點(diǎn)類似防火墻策略的用戶認(rèn)證，當(dāng)通過瀏覽器訪問Internet時(shí)會(huì)自動(dòng)彈出認(rèn)證界面。

配置界面如下：

認(rèn)證界面如下：

認(rèn)證成功后，可以在菜單項(xiàng)user\monitor\firewall里看到認(rèn)證成功的用戶。

11、關(guān)閉SSID廣播

關(guān)閉SSID廣播需要在命令行下進(jìn)行，操作的命令如下：

config wireless-controller vap

edit "ssid-name"

set broadcast-ssid disable

end

12、MAC地址過濾

MAC地址過濾可以建立黑名單也可以建立白名單。所謂黑名單就是缺省狀態(tài)下全部允許，但是部分MAC不允許，命令設(shè)置如下：

config wireless-controller vap

edit "ssid-name"

set mac-filter enable ------啟動(dòng)MAC地址過濾

set mac-filter-policy-other allow --------缺省的MAC地址是否允許通過

config mac-filter-list

edit 1

set mac 00:00:00:00:00:00 -------設(shè)置mac

set mac-filter-policy deny ------設(shè)置該mac是阻斷還是允許

end

這里值得注意一點(diǎn)是，當(dāng)某無線設(shè)備因mac被阻斷時(shí)，其現(xiàn)象與無線WPA認(rèn)證通不過的現(xiàn)象是一樣的。

13、基于Radius認(rèn)證

配置Radius認(rèn)證有兩種方法，一種是直接啟用，如下圖。這種方法是可以，但是需要修改客戶端無線的認(rèn)證參數(shù)，使用起來不方便。

如果要用這種方法的話，需要在客戶端關(guān)閉CA證書的認(rèn)證，這是因?yàn)槲覀儨y(cè)試使用的Radius服務(wù)器本身提供的證書，不能為客戶端所認(rèn)可。如果Radius服務(wù)器的證書能夠?yàn)榭蛻舳吮旧淼腞oot證書所認(rèn)可，則可以認(rèn)證通過?？赡苁俏沂怯玫腞adius服務(wù)器所使用證書有問題。