Ce guide présente un exemple de configuration d'un pare-feu FortiGate pour exporter NetFlow vers un port de surveillance Trout Access Gate.
À l'issue de cette procédure :
- Votre FortiGate exportera NetFlow pour les interfaces sélectionnées.
- Trout Access Gate ingérera ces flux sur son port de surveillance.
- Vous verrez l'activité des flux et des ports en temps réel dans l'onglet Trout Monitoring.
Ce document suppose un FortiGate exécutant FortiOS 7.2.x (par exemple, un FortiGate 100F avec la version 7.2.12) et un Trout Access Gate déjà déployé sur le même site.
Présentation de l'architecture
Dans cette configuration, Trout n'est pas en ligne et ne remplace pas le FortiGate. Le FortiGate continue d'assurer le routage et le filtrage du trafic normalement. Trout reçoit simplement les métadonnées NetFlow du FortiGate via une connexion Ethernet distincte.
La configuration est la suivante :
- Le FortiGate est le routeur/pare-feu principal du site.
- Trout Access Gate dispose d'un port de surveillance dédié, câblé sur un port disponible du FortiGate ou du même commutateur.
- Le FortiGate envoie les enregistrements NetFlow (UDP) à l'adresse IP du port de surveillance Trout.
- Trout ingère ces flux et les transforme en visibilité et en renseignements dans l'onglet Monitoring.
- Aucun trafic de production ne transite par le port de surveillance Trout ; celui-ci reçoit uniquement la télémétrie NetFlow.
Prérequis
Avant de commencer, vous devez disposer des éléments suivants :
- Une adresse IP attribuée au port de surveillance Trout (par exemple, 192.168.253.10).
- Une connectivité IP entre le FortiGate et cette IP de surveillance (même sous-réseau ou routé).
- Une décision concernant les interfaces FortiGate à observer (par exemple, port2 pour le LAN, port3 pour le réseau OT).
Activer l'ingestion NetFlow sur le Trout Access Gate
Assurez-vous d'abord que Trout est prêt à accepter NetFlow avant de configurer le FortiGate.
- Connectez-vous à l'interface utilisateur du Trout Access Gate.
- Accédez à Settings → Device Port Configuration et configurez le port qui exécutera le service Monitor.
- Rendez-vous sur la page Monitor et cliquez sur "configure Netflow".
- Définissez votre IP d'écoute et votre port UDP (par exemple, 2055).
- Sauvegardez et appliquez les modifications.
Configurer l'export NetFlow sur le FortiGate
Vous allez maintenant configurer le FortiGate pour exporter les journaux NetFlow vers l'Access Gate sur des interfaces spécifiques.
Les commandes exactes peuvent varier légèrement selon le modèle, mais pour FortiOS 7.2.x la structure est celle présentée ci-dessous.
Dans cet exemple :
- IP de surveillance Trout : 192.168.253.10
- IP de l'interface FortiGate (même sous-réseau, utilisée comme source) : 192.168.253.1
- Port UDP NetFlow : 2055
- Interfaces surveillées : port2 et port3
Définir le collecteur NetFlow
Connectez-vous à l'interface CLI du FortiGate (SSH ou console) et exécutez :
config system netflow
config collectors
edit 1
set collector-ip "192.168.253.10" # Trout monitoring port IP
set collector-port 2055 # Must match Trout listener
set source-ip "192.168.253.1" # FortiGate IP appearing as exporter
set interface-select-method auto
next
end
end
Activer NetFlow sur les interfaces sélectionnées
Définir un collecteur ne suffit pas ; vous devez activer explicitement l'échantillonnage sur chaque interface dont vous souhaitez que le trafic soit résumé et exporté.
Par exemple, pour activer NetFlow sur port2 et port3 :
config system interface
edit "port2"
set netflow-sampler both
next
edit "port3"
set netflow-sampler both
next
end
Nous configurons port2 et port3 pour exporter les journaux NetFlow du trafic entrant et sortant vers l'Access Gate.
Une fois appliqué, le FortiGate commencera à exporter NetFlow v9 vers le Trout Access Gate.
Vérifier que NetFlow atteint Trout
Après la configuration, vérifiez que le trafic circule effectivement du FortiGate vers Trout et qu'il est bien ingéré.
Vérification sur le FortiGate
Utilisez la commande de diagnostic intégrée :
diagnose test application netflowd 3
Cette commande doit afficher le collecteur configuré, ainsi que des compteurs indiquant le nombre de flux et de paquets envoyés. Si le collecteur n'apparaît pas, il y a probablement un problème de configuration dans le bloc config system netflow.
Vérification sur Trout
Sur le Trout Access Gate :
- Ouvrez l'onglet Monitor
- Les données doivent se remplir
Les premiers flux peuvent mettre jusqu'à une minute à apparaître, selon le volume de trafic sur les interfaces surveillées.
Récapitulatif
Nous avons défini un collecteur NetFlow pointant vers l'IP de surveillance de l'Access Gate, activé l'échantillonneur sur les interfaces FortiGate choisies, et confirmé l'export avec diagnose test application netflowd 3.
Utilisez cette procédure lorsqu'un FortiGate est votre routeur de site et que vous souhaitez que l'Access Gate acquière une visibilité sur les flux via la télémétrie NetFlow v9 sans être déployé en ligne.