Differences

This shows you the differences between two versions of the page.

--- informatique:fortinet:start [2025/03/25 14:47] – [VxLAN] pteu
+++ informatique:fortinet:start [2025/10/08 14:46] (current) – [Configuration] critères d'élection du primaire pteu
@@ Line 35: / Line 35: @@
    Processes: 20 (running=1 sleeping=99)
    [..]
+</code>
-# et quand un processus plante, prend trop de CPU ou de mémoire, on peut le killer :
+C'est un peu anxiogène d'en parler si haut dans la page, mais fortiOS laisse la possibilité aux comptes superadmin de killer les processus (cela peu éviter un redémarrage) :
-diagnose sys kill 11 <PID>
+<code bash>
+# rechercher le/s numéro/s de processus du serveur web (processus httpsd)
+diagnose sys process pidof httpsd
+
+
+
+
+# peut les killer un par un avec :
+diagnose sys kill <PID>
+# ou tuer tous les processus nommés httpsd
+fnsysctl killall httpsd
 </code>
+Par défaut le kill envoie un SIGTERM (15) qui ne laisse pas de trace dans le crash log ''diagnose debug crashlog read'' ; si on veut laisser un backtrace dans le log il faut spécifier d'envoyer un signal 11 (SIGSEGV) :
+<code bash>
+diagnose sys kill 11 <PID>
+fnsysctl killall 11 httpsd
+</code>
 =====Redémarrage=====
@@ Line 711: / Line 729: @@
 # affiche les LSAs envoyés par ce Fortigate :
 get router info ospf database self-originate
+diagnose sniffer packet any 'proto 89' 6 0 l
+diagnose sniffer packet any 'host 224.0.0.5' 6 0 l
 get router ospf
@@ Line 1208: / Line 1229: @@
     set ha-mgmt-interface "mgmt2"
     set ha-mgmt-interface-gateway 10.0.7.254
-    set override disable
+    set override disable            # ce paramètre doit être aligné sur toutes les unités du cluster
     set priority 150
     set monitor "port23" "port24"
 end
 </code>
+Les critères de sélection du primaire, lors d'une élection d'un cluster configuré avec le paramètre ''set override disable'' :
+  - l'unité qui possède le moins d'interface monitorée en défaut devient le primaire
+  - l'unité ayant le plus long uptime (__uniquement si la différence dépasse 5min/300s__)
+  - l'unité ayant la plus forte priorité
+  - l'unité ayant le plus haut numéro de série
+NB: lorsqu'une interface monitorée passe en d"faut, cela reset le compteur d'uptime de l'unité.
 Normalement l'IP de management du master devient l'IP virtuelle d'admin du cluster et le backup n'est plus joignable ; pour se connecter dessus il fait se connecter au master d'abord, puis saisir :
@@ Line 1459: / Line 1488: @@
   * [[https://community.fortinet.com/t5/FortiGate/Technical-Tip-Displaying-logs-via-FortiGate-s-CLI/ta-p/193027|Technical Tip: Displaying logs via FortiGate's CLI]]
+=====Tips=====
+====Supprimer des logs====
+Il n'est pas possible de supprimer une ligne de log individuelle, même pour de bonnes raisons (par ex. si elle contient par mégarde un mot de passe...). On ne peut supprimer les logs que pour toute une catégorie au minimum.
+Dans l'exemple du journal contenant un mot de passe, il faut supprimer tous les logs de la catégorie "event", depuis le VDOM de mgmt :
+<code bash>
+c v
+edit root
+# lister les catégories possibles
+execute log filter category
+Available categories:
+: traffic
+: event
+: utm-virus
+: utm-webfilter
+: utm-ips
+: utm-emailfilter
+: utm-anomaly
+: utm-voip
+: utm-dlp
+: utm-app-ctrl
+: utm-waf
+: utm-dns
+: utm-ssh
+: utm-ssl
+: utm-file-filter
+: utm-icap
+: utm-sctp-filter
+: forti-switch
+: utm-virtual-patch
+: utm-casb
+execute log filter category 1
+execute log delete
+This will delete memory event log
+Do you want to continue? (y/n)y
+</code>
 ======Mail d'alerte======
@@ Line 2405: / Line 2477: @@
 =====Auto filesystem check=====
-Après une coupure électrique les Fortigate affichent un message d'alerte invitant l'utilisateur à rebooter et réaliser un filesystem check pour contrôler l'intégrité du système de fichier. Depuis les version 6 il est possible de réaliser automatiquement ce check au démarrage , via le menu : System> Settings> Start Up, "Auto file system check" ; ou en CLI:
+Après une coupure électrique les Fortigate affichent un message d'alerte invitant l'utilisateur à rebooter et réaliser un filesystem check pour contrôler l'intégrité du système de fichier. Depuis les version 6 il est possible de [[https://community.fortinet.com/t5/FortiGate/Technical-Tip-Run-a-File-System-Check-automatically/ta-p/193298|réaliser automatiquement ce check au démarrage]], via le menu : System> Settings> Start Up, "Auto file system check" ; ou en CLI:
 <code bash>
 config system global
@@ Line 2412: / Line 2484: @@
 </code>
-C'est toutefois non-recommander car 1) ça prend du temps donc il vaut mieux le planifier en heure non ouvrée et 2) en cas d'incident électrique le courant peut ne pas être stable et donc recouper le Forti pendant son check -> dangereux.
+Ce n'est toutefois pas souhaitable car 1) ça prend du temps donc il vaut mieux le planifier en heure non ouvrée et 2) en cas d'incident électrique le courant peut ne pas être stable et donc recouper le Forti pendant son check -> dangereux.
 =====SSH sortant impossible=====
@@ Line 2439: / Line 2511: @@
 </WRAP>
+=====Désactiver les upgrades automatiques=====
+Depuis la version 7.4.5 et si on les mets à jour (donc pas les //fresh install//) depuis des versions majeures antérieures (7.0, 7.2), les Fortigates se mettent à jour de leur propre chef s'ils détectent une nouvelle version de FortiOS disponible. Comme tout ce qui est forcé, masqué et impactant c'est assez malvenu ; mais on peut tout de même le désactiver :
+<code bash>
+# pour vérifier l'état de l'option
+diagnose test application forticldd 13
+Scheduled push image upgrade: no
+Scheduled Config Restore: no
+Scheduled Script Restore: no
+Automatic image upgrade: Enabled.       # <-------- l'option fautive est activée
+        New image information may be fetched.
+        Next new image info fetch scheduled at (local time) Tue Oct  7 01:34:49 2025
+        New image installation may be cancelled by the user.
+        Last new image info fetch executed at (local time) Mon Oct  6 03:36:21 2025
+# Pour la désactiver :
+c g
+config sys fortiguard
+set auto-firmware-upgrade disable
+end
+Any pending automatic patch-level firmware upgrade has been removed.
+</code>
+src: [[https://community.fortinet.com/t5/FortiGate/Technical-Tip-Auto-firmware-update-enabled-by-default-when/ta-p/306899|Auto-firmware-update enabled by default when upgrading from v7.0.X to v7.2.6]]
 ======Liens utiles======
   * [[http://docs-legacy.fortinet.com/cb/html/index.html#page/FOS_Cookbook/Install_advanced/cb_enhance_security.html|Enhancing FortiGate Security (fortinet.com)]]