FortiGate

Définition simple

FortiGate est la gamme de pare-feu de Fortinet exécutant FortiOS pour sécuriser, filtrer et acheminer les flux réseau.

Définition technique

Un FortiGate combine des fonctions de firewall stateful, routage, NAT, VPN et, selon le modèle, les licences et la configuration, des fonctions d’inspection et de sécurité avancées. Le trafic est traité selon les interfaces, le routage, les politiques firewall, la translation et les profils de sécurité applicables.

Fonctionnement / rôle

Son rôle est de contrôler les communications entre zones réseau et vers Internet, établir des tunnels VPN, appliquer des règles d’accès et fournir un point central de visibilité et de sécurité réseau.

À quoi cela sert ?

Protéger un site, segmenter des VLAN, connecter des agences en VPN, publier des services, contrôler les sorties Internet ou intégrer du SD-WAN.

Exemple concret

Une entreprise place un FortiGate entre son LAN et Internet. Les VLAN utilisateurs et serveurs ont des politiques distinctes, le trafic sortant est NATé et les agences distantes sont reliées par IPsec.

Problèmes fréquents

Architecture FortiGate et FortiOS

FortiGate est un équipement de sécurité réseau Fortinet exécutant FortiOS. Selon le modèle et les licences, il peut combiner pare-feu à états, NAT, routage, VPN, SD-WAN et profils de sécurité. Les interfaces physiques, VLAN et zones structurent les flux. Une politique firewall n'est pas un simple interrupteur : elle associe source, destination, services, interfaces ou zones, planification et action, ainsi que NAT et profils de sécurité éventuels. Les accélérateurs matériels NP/CP peuvent améliorer certains traitements mais le résultat dépend de la plateforme et des fonctions activées.

Politiques firewall et ordre d'évaluation

FortiOS évalue les politiques correspondant au contexte du paquet, notamment interfaces entrante et sortante, adresses et services. L'ordre des règles importe : une autorisation générale placée trop haut peut rendre une restriction plus précise inopérante. Les connexions établies sont suivies en session, ce qui explique pourquoi un changement de politique ne modifie pas toujours instantanément un flux existant. Préférer des objets nommés, des services limités et une journalisation adaptée pour comprendre quelle règle accepte ou refuse une communication.

NAT, VIP et publication de services

Le SNAT traduit généralement l'adresse source de connexions sortantes, notamment pour partager une IP publique. Le DNAT modifie la destination, par exemple lorsqu'un Virtual IP (VIP) publie un service interne vers Internet. Sur FortiGate, le NAT peut dépendre du mode de configuration, y compris Central SNAT. Une VIP seule ne suffit pas nécessairement à rendre un service accessible : il faut également une politique adaptée, un routage correct, un service à l'écoute et une protection appropriée. Une règle de publication trop large expose inutilement le réseau.

VLAN, routage et segmentation

Un FortiGate peut porter plusieurs réseaux sur des interfaces ou sous-interfaces VLAN, chacune avec une adresse IP et des règles de circulation inter-VLAN. Le routage détermine le prochain saut, tandis que les politiques de sécurité autorisent ou bloquent le trafic : une route existante ne signifie pas que le flux est permis. Sur des installations multisites, les routes statiques, dynamiques et les VPN doivent être cohérents avec les plages IP et le NAT. Éviter les VLAN utilisateurs, invités et serveurs dans une même zone de confiance sans politique de segmentation documentée.

VPN IPsec, accès distant et MFA

Les tunnels IPsec relient des sites ou certains clients en protégeant les échanges par négociation IKE et associations de sécurité. Les paramètres de chiffrement, authentification, échange de clés, sélecteurs et routes doivent correspondre aux équipements pairs. Pour l'accès distant, les fonctions disponibles évoluent selon la version de FortiOS et le modèle : vérifier la documentation de la branche installée avant de retenir SSL VPN ou IPsec. Renforcer les accès avec MFA, comptes nominatifs, segmentation des destinations autorisées et journalisation. Éviter d'ouvrir tout le réseau interne à un profil VPN générique.

SD-WAN et double accès Internet

La SD-WAN FortiGate utilise des membres de transport et des règles pour orienter les flux selon leurs besoins. Les sondes de santé Performance SLA peuvent mesurer disponibilité, perte, gigue et latence, puis influencer la sélection des liens. Un lien peut être actif mais médiocre pour la VoIP : une politique peut alors privilégier le chemin respectant les seuils. La bascule réelle dépend aussi du routage, du NAT, de l'état des sessions et de la destination. Tester une coupure physique et une dégradation partielle, car ces événements n'ont pas le même effet.

Profils de sécurité et inspection TLS

Les profils Antivirus, IPS, Web Filter, DNS Filter et Application Control ajoutent des contrôles aux politiques qui les utilisent. La visibilité dépend du protocole et de l'inspection TLS ; l'inspection de certificat ne fournit pas le même accès au contenu que l'inspection approfondie. Le déchiffrement complet peut nécessiter le déploiement d'une autorité de confiance sur les postes et poser des contraintes de confidentialité, performances et compatibilité, notamment pour les applications à certificate pinning. Activer progressivement les blocages en analysant les faux positifs et les journaux.

Haute disponibilité et supervision

En cluster HA, deux FortiGate compatibles peuvent assurer une continuité de service selon le mode et le câblage retenus. Les interfaces heartbeat, liens surveillés, synchronisation de configuration et conditions de basculement doivent être planifiés. Une HA correctement configurée ne protège pas d'une erreur de politique répliquée sur les deux membres. Surveiller les journaux locaux ou centralisés, l'état des tunnels, l'utilisation des ressources, la qualité SD-WAN, les licences et les mises à jour. FortiAnalyzer peut faciliter la corrélation des événements selon l'environnement.

Diagnostic : isoler une panne de flux

Avant toute modification, identifier IP source et destination, protocole, port, interface d'entrée et chemin attendu. Vérifier ensuite l'adressage, le routage, la politique correspondante, le NAT et l'état de session. Les commandes FortiOS de diagnostic de flux et de capture réseau permettent d'observer les décisions, mais leur syntaxe et leurs options dépendent de la version. Utiliser des filtres précis et limiter leur durée sur un équipement en production. Pour un VPN, contrôler séparément la négociation IKE, les sélecteurs, routes et politiques. Un ping réussi n'atteste pas qu'un service TCP ou UDP est accessible.

Durcissement, sauvegardes et mises à jour

Limiter l'administration aux interfaces nécessaires, restreindre les adresses sources et utiliser des comptes personnels avec privilèges minimaux et MFA lorsque compatible. Sauvegarder les configurations de manière chiffrée et documenter les changements avant mise à niveau. Examiner les avis de sécurité Fortinet, la compatibilité des fonctions et le chemin de mise à jour recommandé pour la branche FortiOS installée : un saut direct de version n'est pas toujours pris en charge. Tester VPN, VLAN, NAT, journalisation et bascule WAN après intervention. Protéger également l'accès physique, les comptes de secours et les secrets intégrés à la configuration.

Termes associés

À retenir : Un diagnostic FortiGate efficace suit le chemin réel du paquet : interface d’entrée, routage, policy, NAT, profils de sécurité puis interface de sortie.