¡Descarga Comandos útiles Fortigate y más Apuntes en PDF de Seguridad de Red solo en Docsity!
Execute ping/telnet/traceroute
Show router static
Get system arp
Get system interface physical
Diagnose ip arp list
Execute dhcp lease-list/clear
Diagnose system session list
Execute clear system arp table
Execute ping-options repeat-count
Habilitar opciones avanzadas DHCP en local
Config system global
Set gui-dhcp-advanced enable
end
Configurar lease time
config system dhcp server
edit
set lease-time
end
Mostrar la configuración general del appliance y estado de los módulos
myfirewall1 # get sys status
Mostrar las estadísticas del tráfico hasta el momento
myfirewall1 # get system performance firewall statistics
Mostrar el estado del CPU y tiempo encendido
myfirewall1 # get system performance status
Mostrar el uso del CPU ordenado por los procesos de mayor peso
myfirewall1 # get system performance top
Verificar la tabla de sesiones del Firewall
myfirewall1 # diag sys session full-stat
buscar una sesión en particular
myfirewall1 # diagnose sys session filter src 192.168.227.
myfirewall1 # diag sys session list
Comandos básicos de troubleshooting
A continuación se encuentra una selección de comandos útiles para solucionar
los problemas más comunes vía el CLI de Fortigate. Si bien no está completa ni
llega al detalle de lo que se puede encontrar en la knowledge base de Fortinet
(http://kb.fortinet.com), proporciona los comandos básicos para la solución de
problemas.
Visualización de la configuración
Para visualizar la "running configuration", simplemente teclear:
show
Nota: este comando solo muestra la configuración que NO esta por defecto.
Para ver toda la configuración (incluida la de por defecto), teclear:
show full-configuration
diagnose ip rtcache list #Información route cache =
sesiones activas con la información de routing
diagnose ip rtcache clear # limpiar la cache de rutas
High Availability
diagnose sys ha status #Conocer el estado del
cluster
execute ha manage? #Conocer el id de los
nodos del cluster
execute ha manage <device-index> #Cambiar al CLI de otro
nodo desde el master
diagnose sys ha showcsum #Verificar si el checksum
coincide para saber si estan sincronizados
Tabla de Sesiones
get system session list #Verificar las sesiones
activas
diagnose sys session filter clear #Borrar cualquier filtro
de visualización
diagnose sys session filter? #Posibles filtros
diagnose sys session filter dst 8.8.8.
diagnose sys session filter dport 53
Sniffer
El sistema permite hacer sniffer del trafico como si fuera un tcpdump. La
sintaxis es esta:
diagnose sniffer packet <interface|any> '<tcpdump-filter>'
<time-format>
En detalle:
verbose :
1: print header of packets
2: print header and data from ip of packets
3: print header and data from ethernet of packets (if available)
4: print header of packets with interface name
5: print header and data from ip of packets with interface name
6: print header and data from ethernet of packets (if available)
with intf name
count : number of packets
time-format : a: UTC time; l: local time
Ejemplos:
diagnose sniffer packet any 'host 8.8.8.8' 4 4 l
diagnose sniffer packet any 'host 8.8.8.8 and dst port 53' 4 10
a
diagnose sniffer packet wan1 'dst port (80 or 443)' 2 50 l
Flujos de tráfico
Para conocer en detalle la información de una conexión.
diagnose debug reset
diagnose debug flow filter?
diagnose debug flow filter saddr 192.168.1.
diagnose debug flow filter daddr 8.8.8.
diagnose debug flow show console enable
diagnose debug enable
diagnose debug flow trace start 10
diagnose debug disable
NOTA: Este comando se indica en detalle en esta entrada del
Blog: https://fortixpert.blogspot.com.es/2014/04/diagnosticar-flujos-de-trafico-en.html
VPN
Para hacer debug de las conexiones IKE/IPSEC:
get vpn ike gateway
get vpn ipsec tunnel name
get vpn ipsec tunnel details
diagnose vpn tunnel list
diagnose vpn ipsec status
get router info routing-table all
Para hacer debug de las sesiones IKE/IPSEC:
diagnose debug reset
diagnose vpn ike log-filter clear
diagnose vpn ike log-filter?
diagnose vpn ike log-filter dst-addr4 8.8.8.
diagnose debug app ike 255
diagnose debug enable
diagnose debug disable
Logs
Para visualizar los log’s de forma similar al GUI pero haciendo desde el CLI:
execute log filter reset
execute log filter category event
execute log filter field (enter)
