Fortigate -- Policies firewall¶

Concepts fondamentaux¶

Un pare-feu stateful comme le Fortigate inspecte chaque paquet en tenant compte de l'etat de la connexion (SYN, SYN-ACK, ESTABLISHED...). Contrairement a un pare-feu stateless qui evalue chaque paquet individuellement, le Fortigate maintient une table de sessions : une fois qu'un flux est autorise par une policy, les paquets de retour sont automatiquement acceptes sans reevaluation.

Ordre d'evaluation des policies¶

Les policies sont evaluees de haut en bas (top to bottom). Le premier match arrete l'evaluation : le trafic est traite par cette policy et les suivantes sont ignorees. C'est pourquoi l'ordre des policies est critique : une policy trop permissive placee en haut peut court-circuiter toutes les restrictions.

Deny implicite¶

Si aucune policy ne correspond au trafic, celui-ci est silencieusement bloque (implicit deny). La policy 38 (DENY-ALL-LOG) rend ce blocage explicite en loguant tout trafic refuse avant le deny implicite.

graph TD
    PKT["Paquet entrant"] --> P20{"Policy 20 ?"}
    P20 -->|"Match"| ALLOW20["Autorise"]
    P20 -->|"No match"| P34{"Policy 34 ?"}
    P34 -->|"Match"| ALLOW34["Autorise"]
    P34 -->|"No match"| PNEXT["..."]
    PNEXT --> P38{"Policy 38<br/>DENY-ALL-LOG"}
    P38 -->|"Match all"| DENY["Bloque + Log"]
    P38 -->|"Pas atteint"| IMPLICIT["Deny implicite<br/>(silencieux)"]

    style DENY fill:#e74c3c,color:#fff
    style IMPLICIT fill:#95a5a6,color:#fff
    style ALLOW20 fill:#27ae60,color:#fff
    style ALLOW34 fill:#27ae60,color:#fff

Etat du Fortigate¶

Policy 1 (catch-all) -- DESACTIVEE¶

La policy initiale "ALL" autorisait tout le trafic de n'importe quelle zone vers n'importe quelle destination (any -> any, action ACCEPT). Cette approche est incompatible avec un modele de securite en production.

Elle a ete desactivee et remplacee par un ensemble de policies granulaires, chacune limitee a une zone source, un ensemble de destinations FQDN et des services specifiques.

FQDN Address Groups¶

Le Fortigate permet de definir des objets d'adresse de type FQDN (Fully Qualified Domain Name). Au lieu de specifier des adresses IP en dur, on definit un nom de domaine : le Fortigate effectue des resolutions DNS periodiques et maintient une table FQDN -> IP mise a jour dynamiquement. Ainsi, meme si l'IP d'un CDN change, la policy reste valide.

Les FQDN sont regroupes en Address Groups pour simplifier les policies :

GRP-Repos-Publiques¶

Depots de packages et logiciels pour l'infrastructure.

GRP-Docker-Registries¶

Registres d'images de conteneurs.

GRP-Threat-Intel¶

Sources de renseignement sur les menaces pour le SOC.

GRP-Cloud-Identity¶

Services d'identite et cloud pour Entra ID, AWS et Azure.

GRP-AWS-S3¶

Endpoints specifiques pour les sauvegardes S3.

GRP-Proxy-Squid¶

Adresses du proxy Squid HA.

Flux de trafic via le proxy¶

La majorite du trafic Internet passe par le proxy Squid. Le chemin est le suivant :

sequenceDiagram
    participant VM as VM (toute zone)
    participant SQ as Squid VIP<br/>10.15.50.3:3128
    participant FGT as Fortigate
    participant NET as Internet

    VM->>SQ: HTTP CONNECT / GET (port 3128)<br/>Policy 46
    Note over SQ: Filtrage Layer 7<br/>ACL dstdomain whitelist
    SQ->>FGT: Requete HTTPS/HTTP<br/>IP source = Squid
    Note over FGT: Filtrage Layer 3/4<br/>Policy 47 (FQDN groups)
    FGT->>NET: NAT source → IP publique
    NET-->>FGT: Reponse
    FGT-->>SQ: Reponse
    SQ-->>VM: Reponse

Policies actives¶

Policies desactivees¶

Diagramme des zones et policies¶

graph TB
    subgraph ZONES["Zones sources"]
        SERVICES["Services<br/>VLAN 106"]
        SOC["SOC<br/>VLAN 800"]
        IDENTITY["Identite<br/>VLAN 107"]
        ADMIN["Admin<br/>VLAN 108"]
        SUPV["Supervision<br/>VLAN 103"]
        SAUV["Sauvegarde<br/>VLAN 105"]
    end

    subgraph DMZ["DMZ Proxy — VLAN 50"]
        SQUID["Squid HA<br/>VIP 10.15.50.3"]
    end

    subgraph FW["Fortigate (policies FQDN)"]
        P47["Policy 47<br/>Squid → Internet<br/>Tous FQDN groups"]
        P39["Policy 39<br/>Admin → Internet<br/>Tout autorise"]
    end

    INTERNET["Internet"]

    SERVICES -->|"P46 — port 3128"| SQUID
    SOC -->|"P46 — port 3128"| SQUID
    IDENTITY -->|"P46 — port 3128"| SQUID
    SUPV -->|"P46 — port 3128"| SQUID
    SAUV -->|"P46 — port 3128"| SQUID
    SQUID -->|"P47 — FQDN"| INTERNET
    ADMIN -->|"P39 — tout"| INTERNET
    SUPV -->|"P52 — ICMP/SNMP"| ZONES

    style INTERNET fill:#3498db,color:#fff
    style SQUID fill:#e67e22,color:#fff

Procedure : ajouter un nouveau FQDN ou une nouvelle policy¶

Etape 1 -- Ajouter le FQDN au Fortigate¶

Dans l'interface Fortigate ou via l'API REST :

1. Creer un objet Address de type FQDN (ex: nouveau.domaine.com)
2. Ajouter cet objet au Address Group correspondant (ex: GRP-Repos-Publiques)

Etape 2 -- Ajouter le domaine a la whitelist Squid¶

Sur les deux serveurs Squid (ou via Ansible) :

1. Editer /etc/squid/squid.conf
2. Ajouter le domaine dans l'ACL dstdomain appropriee
3. Recharger Squid : systemctl reload squid

Etape 3 -- Tester¶

# Depuis une VM de la zone concernee
curl -x http://10.15.50.3:3128 https://nouveau.domaine.com