Рекомендации по безопасности при работе с FortiGate

Последнее изменение: 11 декабря 2025

Рекомендации, которые позволят повысить уровень безопасности.

Использовать безопасные протоколы доступа

Запретите HTTP или Telnet для административного доступа к FortiGate. Рекомендуем оставить только доступ по HTTPS и SSH.

Графический интерфейс

Изменить эти настройки для отдельных интерфейсов можно на вкладке Network → Interfaces.

CLI

Для изменения через CLI введите:

    config system interface
        edit <interface_name>
          set allowaccess https ssh
    end

Включить перенаправление на HTTPS

Перенаправьте все попытки подключения по протоколу HTTP на HTTPS.

Графический интерфейс

1. Перейдите в System → Settings → Administrator Settings
2. Включите Redirect to HTTPS.

CLI

Для изменения через CLI введите:

    config system global
        set admin-https-redirect enable
    end

Изменить стандартные порты доступа

Измените стандартные порты для доступа администратора по HTTPS и SSH на нестандартные. Перед изменением убедитесь, что порты не используются для других служб.

Графический интерфейс

1. Перейдите в System → Settings → Administrator Settings
2. Измените HTTPS и SSH порты.

CLI

Для изменения через CLI введите:

    config system global
        set admin-port 48008
        set admin-sport 48344
        set admin-ssh-port 48022
        set admin-telnet-port 48032
    end

Настроить короткие таймауты входа

Установите время простоя на короткое время, чтобы избежать доступа посторонних лиц при отсутствии администратора.

Графический интерфейс

1. Перейдите в System → Settings.
2. Введите значение Idle timeout. Рекомендуемое время — пять минут.

CLI

Можно использовать следующую команду, чтобы настроить grace time между установлением соединения SSH и аутентификацией. Диапазон может составлять от 10 до 3600 секунд, по умолчанию — 120 секунд. Например, можно установить время на 30 секунд:

    config system global
        set admin-ssh-grace-time 30
    end

Настроить вход для доверенных адресов

Разрешите вход только с доверенных адресов.

Графический интерфейс

1. Перейдите в System → Administrators.
2. Отредактируйте учетную запись, включите Restrict login to trusted hosts.
3. Добавьте доверенные адреса или сети.

CLI

Для изменения через CLI введите:

    config system admin
        edit admin
          set trustedhost1 <ip_address>/<mask>
    end

Создать несколько учетных записей администратора

В целях безопасности для каждого администратора рекомендуется иметь отдельную учетную запись. Создайте несколько учетных записей администратора.

Настроить блокировку учетных записей

Для защиты от подбора пароля настройте блокировку учетной записи после ввода неправильного пароля. По умолчанию количество неудачных попыток ввода пароля равно трем.

Переименовать учетную запись администратора

Переименуйте учетную запись администратора. Это затрудняет вход злоумышленника в FortiOS.

Отключить неиспользуемые интерфейсы

Графический интерфейс

1. Перейдите в Network → Interfaces.
2. Отредактируйте интерфейс и установите для параметра Interface Status значение Disabled.

CLI

Для изменения через CLI введите:

    config system interface
        edit port2
          set status down
    end

Отключить неиспользуемые протоколы

Можно отключить неиспользуемые протоколы, которые злоумышленники могут использовать для сбора информации. Многие из этих протоколов отключены по умолчанию.

CLI

Для изменения через CLI введите:

    config system interface
        edit <interface_name>
          set dhcp-relay-service disable
          set pptp-client disable
          set arpforward disable
          set broadcast-forward disable
          set l2forward disable
          set icmp-redirect disable
          set vlanforward disable
          set stpforward disable
          set ident-accept disable
          set ipmac disable
          set netbios-forward disable
          set security-mode none
          set device-identification disable
          set lldp-transmission disable
    end