Diese Anleitung beschreibt ein Beispiel für die Konfiguration einer FortiGate-Firewall, um NetFlow an einen Trout Access Gate-Überwachungsport zu exportieren.
Am Ende dieser Vorgehensweise gilt:
- Ihre FortiGate exportiert NetFlow für ausgewählte Schnittstellen.
- Trout Access Gate nimmt diese Flows über seinen Überwachungsport auf.
- Sie sehen Live-Flow- und Port-Aktivitäten im Trout-Tab Monitoring.
Dieses Dokument setzt eine FortiGate mit FortiOS 7.2.x voraus (zum Beispiel eine FortiGate 100F mit 7.2.12) sowie ein bereits auf demselben Standort bereitgestelltes Trout Access Gate.
Architekturübersicht
In diesem Setup ist Trout nicht inline geschaltet und ersetzt die FortiGate nicht. Die FortiGate übernimmt weiterhin wie gewohnt Routing und Firewall-Funktionen. Trout empfängt lediglich NetFlow-Metadaten von der FortiGate über eine separate Ethernet-Verbindung.
Das Setup ist wie folgt aufgebaut:
- Die FortiGate ist der Haupt-Router/die Haupt-Firewall des Standorts.
- Trout Access Gate verfügt über einen dedizierten Überwachungsport, der per Kabel mit einem freien Port der FortiGate oder demselben Switch verbunden ist.
- Die FortiGate sendet NetFlow-Datensätze (UDP) an die IP-Adresse des Trout-Überwachungsports.
- Trout nimmt diese Flows auf und wandelt sie im Tab Monitoring in Transparenz und Erkenntnisse um.
- Kein Produktivverkehr fließt über den Trout-Überwachungsport; er empfängt ausschließlich NetFlow-Telemetrie.
Voraussetzungen
Vor dem Start sollten folgende Punkte erfüllt sein:
- Eine dem Trout-Überwachungsport zugewiesene IP-Adresse (zum Beispiel 192.168.253.10).
- IP-Konnektivität zwischen der FortiGate und dieser Überwachungs-IP (gleiches Subnetz oder geroutet).
- Eine Entscheidung darüber, welche FortiGate-Schnittstellen beobachtet werden sollen (zum Beispiel port2 für LAN, port3 für OT-Netzwerk).
NetFlow-Aufnahme auf dem Trout Access Gate aktivieren
Stellen Sie zunächst sicher, dass Trout bereit ist, NetFlow zu empfangen, bevor Sie die FortiGate konfigurieren.
- Melden Sie sich an der Trout Access Gate-Benutzeroberfläche an.
- Navigieren Sie zu Settings → Device Port Configuration und konfigurieren Sie, welcher Port den Monitor-Dienst ausführen soll.
- Wechseln Sie zur Seite Monitor und klicken Sie auf "configure Netflow".
- Legen Sie Ihre Listener-IP und den UDP-Port fest (zum Beispiel 2055).
- Speichern und übernehmen Sie die Änderungen.
NetFlow-Export auf der FortiGate konfigurieren
Nun konfigurieren Sie die FortiGate, um NetFlow-Logs für bestimmte Schnittstellen an das Access Gate zu exportieren.
Die genauen Befehle können je nach Modell leicht abweichen, für FortiOS 7.2.x ist die Struktur jedoch wie unten dargestellt.
In diesem Beispiel:
- Trout-Überwachungs-IP: 192.168.253.10
- FortiGate-Schnittstellen-IP (gleiches Subnetz, als Quelle verwendet): 192.168.253.1
- NetFlow-UDP-Port: 2055
- Überwachte Schnittstellen: port2 und port3
NetFlow-Collector definieren
Verbinden Sie sich mit der FortiGate-CLI (SSH oder Konsole) und führen Sie folgenden Befehl aus:
config system netflow
config collectors
edit 1
set collector-ip "192.168.253.10" # Trout monitoring port IP
set collector-port 2055 # Must match Trout listener
set source-ip "192.168.253.1" # FortiGate IP appearing as exporter
set interface-select-method auto
next
end
end
NetFlow auf ausgewählten Schnittstellen aktivieren
Das Definieren eines Collectors reicht nicht aus; Sie müssen das Sampling explizit für jede Schnittstelle aktivieren, deren Datenverkehr zusammengefasst und exportiert werden soll.
Um NetFlow beispielsweise auf port2 und port3 zu aktivieren:
config system interface
edit "port2"
set netflow-sampler both
next
edit "port3"
set netflow-sampler both
next
end
Wir konfigurieren port2 und port3 so, dass NetFlow-Logs für ein- und ausgehenden Datenverkehr an das Access Gate exportiert werden.
Sobald dies angewendet wird, beginnt die FortiGate mit dem Export von NetFlow v9 an das Trout Access Gate.
Überprüfen, ob NetFlow Trout erreicht
Nach der Konfiguration sollte überprüft werden, ob tatsächlich Datenverkehr von der FortiGate zu Trout fließt und aufgenommen wird.
Prüfung auf der FortiGate
Verwenden Sie den integrierten Diagnosebefehl:
diagnose test application netflowd 3
Dieser sollte den konfigurierten Collector sowie Zähler anzeigen, die angeben, wie viele Flows und Pakete gesendet wurden. Erscheint der Collector nicht, liegt wahrscheinlich ein Konfigurationsproblem im Block config system netflow vor.
Prüfung auf Trout
Auf dem Trout Access Gate:
- Öffnen Sie den Tab Monitor.
- Die Daten sollten sich befüllen.
Es kann bis zu einer Minute dauern, bis die ersten Flows erscheinen, abhängig vom Datenverkehrsaufkommen auf den überwachten Schnittstellen.
Zusammenfassung
Wir haben einen NetFlow-Collector definiert, der auf die Access Gate-Überwachungs-IP zeigt, den Sampler auf den ausgewählten FortiGate-Schnittstellen aktiviert und den Export mit diagnose test application netflowd 3 bestätigt.
Setzen Sie diese Konfiguration ein, wenn eine FortiGate Ihr Standort-Router ist und Sie dem Access Gate Flow-Transparenz über NetFlow v9-Telemetrie verschaffen möchten, ohne es inline zu schalten.