[Çözüldü] Fortigate bankalara giriş problemi hk.

Firmamızda fortigate 100e cihazımızda wan1 ve wan2 ye bağlı 2 ayrı internetimiz mevcut. SDWAN kısmından 1. internet için 70 2. internet için ise ağırlığı 30a aldım ve giriş yapabildim. Normal de 1 internet bağlı olarak kullanıyorduk. Sorunun kaynağı nerede olabilir acaba?

Merhaba, sorun anında logları kontrol ettiniz mi? SD-WAN tarafında siteler için özel bir policy var mı? yük dengelemeyi eski hale getirdiğinizde yine o problemi yaşıyor musunuz?

@serdark54 merhaba;

Aşağıdaki kontrolleri yapıp bilgi verebilir misiniz?

1. Banka tarafında herhangi bir ip kısıtlaması mevcut mu? Eğer mevcut ise ilgili bankaya erişim kuralınızı, izinli ip üzerinden çıkmasını sağlamalısınız.

2. Bankaya erişirken çıkış yaptığınız kuralda deep inspection açık mı? Eğer açık ise ilgili kuralda deep inspection uygulamamalı ya da deep inspection kuralınızdan banka kategorisini kapsam dışına almalısınız.

Bknz: https://docs.fortinet.com/document/fortigate/6.2.13/cookbook/122078/deep-inspection

Geri bildiriminizi bekliyoruz, iyi çalışmalar.

Bankalara farklı gw'lerden gitmemeli kullanıcılar arkadaşlar da bunları kastediyor aslında banka ip'leri için sdwan'larda kural oluşturmalısınız f.gate tarafında nasıl yapılacağı ile ilgili arkadaşlar yardımcı olurlar aksi durumda süreklilik halinde çoğunluk bankalarda süreli yada sürekli bloklanır ip'leriniz.

@serkanates bey Merhaba, sorunun başlangıcı dual wan kullanıma geçtikten sonra başladı.

1.Banka tarafından IP kısıtlaması yok olmadı hiç.

2. Inspection kısmında özel kural var deep inspection kapalı durumda.

@ibrahimyildiz bey Merhaba. 2 internetin SDWAN kısmında adresler aynı. Bu sorunu yaşadığımda 2. interneti devre dışı bırakıyorum sorun çözülüyor. Bu şekilde de kullanmak istemiyorum.

@hasanhuseynozer bey Merhaba, yük dengelemeyi 70/30 yapıyorum speedtest sitesinde ara ara 2. ISS nin ipsi gözüküyor böyle olunca problem başlıyor tekrar.

Dışarı çıkan IP nin her zaman WAN1 bacağında ki internetin sabit ipsi olması için ne yapmalıyım bu yeterli olacaktır çözüme ulaşmak için diye düşünüyorum bilgisi olan aydınlatırsa sevinirim.

Merhaba,

SD-wan policy yazabilirsiniz. Bankalara giderken sadece WAN1 üzerinden çıkacaktır. Ayırıten yedekli olması için bir başka policy yazın her ihtimale karşı WAN2 için. Policy sıralamasında WAN1 üst kısımda olmalıdır.

Merhaba,

SD-WAN kural yazmanız gerekmektedir. Burada kuralınız internete çıkışa doğru olmalı. Ayrıca normal kural da yazmanız gerekmektedir. Herhangi bir security profile tanımız yok ise bağlantınızda sorun olmayacaktır.

İyi günler. 

Türkçesi; iki interneti birleştirdiğinizde bankacılığa girerken iki ip adresi algılıyor banka da güvenlik için engelliyor. internet bankacılığına bağlanırken tek bir wan bacağından bağlanmasını sağlarsanız durum düzelecektir. Ben yaparken sd-wan kullanmıyorum hatların distance değerini aynı yazıp aynı anda hatları ayakta tutuyorum.  policy root dan hatları ayırıyorum daha stabil oluyor en azından benim uygulamalarım için. 

https://sozluk.cozumpark.com/dual-wan

Temelde balancing değil ip, traffic konusu. Bir yöne bir ip'den gidip dönülmelidir. Bankalar gibi sıkı denetim yapan yapılar için de partnerliğiniz vs yoksa "an" içerisinde tek bir yoldan gidilmelidir. Hat birleştirmelerle vs balancing de bu konu eskiden beri var, problemli sadece kurumsal seviye cihazlar bunu yönetebiliyordu, SD-Wan ile de daha fazla detay yönetimi kazanılmış oldu farklı tür omurgalar ve detaylı kural yazabilmek gibi.

Merhaba;

fortigate açtıktan sonra; Network, Sd-Wan altında Sd-Wan Rules altındaki kurallı " Source-Destination IP" olarak işaretler iseniz banka sitelerine yaptığınız trafik hep aynı dış ip adresinizden gider ve geri gelir ve probleminiz düzelir.

selamlar