1. 環境說明#

• 防火牆型號：FortiGate 61F
• 防火牆版本： 7.2.8
• Switch型號：FortiSwitch 124F-POE
• Switch版本：7.2.8

2. FortiSwitch管理模式#

FortiSwitch管理模式可區分為三種，從7.2版開始切換管理模式不會重新開機

1
config switch auto-network
2
    set status disable
3
end

1
config switch auto-network
2
    set status enable
3
end

1
config switch auto-network
2
    set status disable
3
end
4
config switch flan-cloud
5
    set status enable
6
end

3. FortiLink管理模式下FortiSwitch上線流程#

1. 決定部署模式
2. 確定或設定FortiGate的FortiLink
3. 確定或設定FortiSwitch auto-discovery-fortilink
4. 授權FortiSwitch

4. FortiLink#

• FortiLink是一種專屬的管理協議可使FortiGate藉由此協議管理設定FortiSwitch，在多數的FortiGate上會有預設的Aggregation Interface啟用FortiLink功能但也可以自行在Physical Interface、Software Switch、Hardware Switch啟用該功能，端看要採用何種部署方式。
• 在使用FortiLink管理FortiSwitch時，FortiGate角色就是FortiSwitch的控制器，此時的FortiSwitch被稱為managed switch。
• 從FortiSwitch 7.2版開始已經不使用switch-mgmt-mode設定來指定FortiSwitch是standalone或managed模式，取而代之的是config switch auto-network，預設為enable，故當連接到到FortiLink Interface時會自動切換至FortiLink模式且不會重開。
• Fortiswitch IP會經由FortiGate上的FortiLink Interface DHCP Server派發，若要確保IP均不會變動可以設定DHCP保留區來達成。
• 被FortiGate控管的FortiSwitch設定會寫在FortiGate上故只要備份FortiGate設定檔即可。
• 不要直接在被管理的FortiSwitch上更改設定 ，因為FortiSwitch不會將更改的設定同步到FortiGate故會造成兩邊資訊不一致，且後續也可能會被FortiGate上的設定覆蓋。
• FortiLink Interface預設允許untagged及tagged frames，Native Vlan為4094，此Vlan也是管理使用的vlan。

1
# 進入Interface設定模式
2
FortiGate-61F # config system interface
3

4
# 編輯要啟用FortiLink功能介面
5
FortiGate-61F (interface) # edit dmz
6

7
# 啟用FortiLink
8
FortiGate-61F (dmz) # set fortilink enable
9

10
# 結束編輯
11
FortiGate-61F (dmz) # end

1
# 進入Interface設定模式
2
S124 # config switch interface
3

4
# 編輯要啟用auto-discovery-fortilink功能介面
5
S124 (interface) # edit port1
6

7
# 啟用auto-discovery-fortilink
8
S124 (port1) # set auto-discovery-fortilink enable
9

10
# 結束編輯
11
S124 (port1) # end

5. 授權FortiSwitch#

FortiSwitch連接上FortiGate後需要授權才可以使用

也可以設定FortiLink Interface開啟自動授權FortiSwitch功能

6. 部署模式#

FortiSwitch有多種部署方式故於安裝前需先評估要採取哪種方式

1
config switch-controller global
2
    set ac-discovery-type static
3
        config ac-list
4
        edit <id>
5
        set ipv4-address <IPv4_address>
6
        next
7
    end
8
end

1
config switch trunk
2
    edit <trunk_name>
3
        set static-isl enable
4
        set static-isl-auto-vlan {enable | disable}
5
        set members <switch_ports>
6
    next
7
end

7. VLAN設定#

1
config switch interface
2
edit <interface>
3
set discard-mode <all-tagged | all-untagged | none>
4
end

8. Trunk（Link Aggregation Group）設定#

9. FortiSwitch Port設定#

• STP建議都要啟用
• 若是連接設備則建議可以設定Edge Port、BPDU Guard、DHCP Snopping
• 若是連接第三方交換器則建議可以設定Loop Guard、DHCP Snopping
• 實際設定功能仍需依照實際環境調整

10. Quarantines#

此功能可以用於隔離特定的Mac Address，當FortiSwitch Port偵測到被隔離的Mac Address時就會將該Port Vlan改成quarantine vlan

1
config switch-controller global
2
    set bounce-quarantined-link enable
3
end

11. 設定Security Policy以允許訪問FortiLink Interface#

在某些情形下需要能夠從外部訪問FortiSwitch（如需要使用SNMP監控FortiSwitch）這時就需要建立Security Policy，但在GUI上無法在Security Policy中選擇Interface是FortiLink Interface僅能於CLI設定，Policy建立後就可以到GUI修改其他設定

1
config firewall policy
2
    edit <policy_ID>
3
        set name <policy_name>
4
        set srcintf <FortiGate port>
5
        set dstintf <FortiLink>
6
        set action accept
7
        set srcaddr <Source Address>
8
        set dstaddr <Destination Address>
9
        set schedule "always"
10
        set service <Destination Service>
11
    next
12
end

12. 設定FortiSwitch可供存取的管理服務#

• FortiGate預設是使用access profile名稱為”default”的設定套用到各台FortiSwitch，故可以直接修該此policy或新建一個policy關聯到要使用的FortiSwitch
• internal-allowaccess指的是使用data port當Fortilink的Fortiswitch
• mgmt-allowaccess指的是使用management port當Fortilink的Fortiswitch，通常是指FortiGate over Layer 3網路管理FortiSwitch且FortiSwitch是使用Management Port與FortiLink溝通情形

新增或修改access profile

1
config switch-controller security-policy local-access
2
    edit <policy_name>
3
        set mgmt-allowaccess <options>
4
        set internal-allowaccess <options>
5
        next
6
end

賦予FortiSwitch access profile

1
config switch-controller managed-switch
2
    edit <FrotiSwitch SN>
3
        set access-profile <local access policy name>
4
        next
5
end

13. 統一變更FortiSwitch密碼#

FortiSwitch預設帳號為admin，密碼為無，登入後即可修改密碼但若要所有FortiSwitch都使用相同密碼可於FortiGate設定switch profile

1
config switch-controller switch-profile
2
    edit "default"
3

4
        # 啟用密碼覆蓋功能以讓FortiGate上設定的密碼取代FortiSwitch本機設定的密碼
5
        set login-passwd-override enable
6

7
        # 設定要覆蓋FortiSwitch的密碼
8
        set login-passwd <new password>
9
    next
10
end

預設所有FortiSwitch均使用switch profile名稱為”default”的設定檔但也可以針對特定FortiSwitch套用不同設定檔

1
config switch-controller managed-switch
2
    edit "<FortiSwitch SN>"
3
    set switch-profile <profile name>
4
end

以上方式僅適用於修改admin帳號，若要建立額外帳號或設定額外帳號密碼僅能利用FortiGate Custom Script功能

14. SNMP設定#

• 需建立Security Policy以允許SNMP流量到FortiSwitch或FortiSwitch SNMP Trap流量到監控Server
• 需允許FortiSwitch Interface SNMP管理存取
• 可選擇使用全域設定或針對特定FortiSwitch單獨設定

1
config switch-controller snmp-sysinfo
2
    set status enable
3
    set description <system_description>
4
    set contact-info <contact_information>
5
    set location <FortiGate_location>
6
end

1
config switch-controller snmp-community
2
    edit <SNMP_community_entry_identifier>
3
        set name <SNMP_community_name>
4
        set status enable
5
        set query-v1-status enable
6
        set query-v1-port <0-65535; the default is 161>
7
        set query-v2c-status enable
8
        set query-v2c-port <0-65535; the default is 161>
9
        set trap-v1-status enable
10
        set trap-v1-lport <0-65535; the default is 162>
11
        set trap-v1-rport <0-65535; the default is 162>
12
        set trap-v2c-status enable
13
        set trap-v2c-lport <0-65535; the default is 162>
14
        set trap-v2c-rport <0-65535; the default is 162>
15
        set events {cpu-high mem-low log-full intf-ip ent-conf-change}
16
        config hosts
17
            edit <host_entry_ID>
18
            set ip <IPv4_address_of_the_SNMP_manager>
19
            end
20
    next
21
end

1
config switch-controller managed-switch
2
    edit <FortiSwitch_serial_number>
3
        set override-snmp-sysinfo enable
4
        config snmp-sysinfo
5
            set status enable
6
            set description <system_description>
7
            set contact-info <contact_information>
8
            set location <FortiGate_location>
9
        end
10
    next
11
end

1
config switch-controller managed-switch
2
    edit <FortiSwitch_serial_number>
3
        set override-snmp-community enable
4
        config snmp-community
5
            edit <SNMP_community_entry_identifier>
6
            set name <SNMP_community_name>
7
            set status enable
8
            set query-v1-status enable
9
            set query-v1-port <0-65535; the default is 161>
10
            set query-v2c-status enable
11
            set query-v2c-port <0-65535; the default is 161>
12
            set trap-v1-status enable
13
            set trap-v1-lport <0-65535; the default is 162>
14
            set trap-v1-rport <0-65535; the default is 162>
15
            set trap-v2c-status enable
16
            set trap-v2c-lport <0-65535; the default is 162>
17
            set trap-v2c-rport <0-65535; the default is 162>
18
            set events {cpu-high mem-low log-full intf-ip ent-conf-change}
19
            config hosts
20
            edit <host_entry_ID>
21
            set ip <IPv4_address_of_the_SNMP_manager>
22
            end
23
        next
24
    end

15. Syslog設定#

• 需建立Security Policy以允許FortiSwitch Syslog流量到Syslog Server
• 可選擇使用全域設定或針對特定FortiSwitch單獨設定

1
config switch-controller remote-log
2
    edit {syslogd | syslogd2}
3
    set status {enable | *disable}
4
    set server <IPv4_address_of_remote_syslog_server>
5
    set port <remote_syslog_server_listening_port>
6
    set severity {emergency | alert | critical | error | warning | notification | *information | debug}
7
    set csv {enable | *disable}
8
    set facility {kernel | user | mail | daemon | auth | syslog | lpr | news | uucp | cron | authpriv | ftp | ntp | audit | alert | clock | local0 | local1 | local2 | local3 | local4 | local5 | local6 | *local7}
9
    next
10
end

1
config switch-controller managed-switch
2
    edit <FortiSwitch_serial_number>
3
        config remote-log
4
        edit {edit syslogd | syslogd2}
5
            set status {enable | *disable}
6
            set server <IPv4_address_of_remote_syslog_server>
7
            set port <remote_syslog_server_listening_port>
8
            set severity {emergency | alert | critical | error | warning | notification | *information | debug}
9
            set csv {enable | *disable}
10
            set facility {kernel | user | mail | daemon | auth | syslog | lpr | news | uucp | cron | authpriv | ftp | ntp | audit | alert | clock | local0 | local1 | local2 | local3 | local4 | local5 | local6 | *local7}
11
            next
12
        end
13
    next
14
end

16. Port Mirroring#

1
config switch-controller managed-switch
2
    edit <FortiSwitch_serial_number>
3
        config mirror
4
            edit <mirror_name>
5

6
                # 設定此Mirror是否啟用
7
                set status {active | inactive}
8

9
                # 設定流量要複製到哪一個Port。需要先設定才可以設定src部分
10
                set dst <port_name>
11

12
                # 設定目的地Port是否要保留原有交換功能
13
                set switching-packet {enable | disable}
14

15
                # 設定流量從哪些Port進入時需複製
16
                set src-ingress <port_name>
17

18
                # 設定流量從哪些Port出去時需複製
19
                set src-egress <port_name>
20
            next
21
        end
22
    next

17. 更換FortiSwitch#

• 更換的FortiSwitch需要是相同型號

1
    config switch-controller managed-switch
2
        edit <failed_FortiSwitch_serial_number>
3
        set fsw-wan1-admin disable
4
    end

1
    execute factoryreset

1
    execute replace-device fortiswitch <failed_FortiSwitch_serial_number> <replacement_FortiSwitch_serial_number>

1
    config switch-controller managed-switch
2
        edit <replacement_FortiSwitch_serial_number>
3
        set fsw-wan1-admin enable
4
    end

18. 重新開機#

19. 升級Firmware#