[Çözüldü] Fortigate bazı sitelere erişilmiyor.

Konu bunun ile ilgili sanırım

Lets encrypt kök sertifikasinin suresi doldugu icin lets kullanan sayfalara Fortigate veya diger firewall cihazlarindan erisirken sorun yasayacaklar expired certificates allow demek gerekiyor bunun içinde.

Ama tabi bu bir güvenlik riski, ama hızlı çözülür diye düşünüyorum çünkü aktif çok kullanılan bir sistem bu.

Gönderen: @hakanuzuner

Konu bunun ile ilgili sanırım

Lets encrypt kök sertifikasinin suresi doldugu icin lets kullanan sayfalara Fortigate veya diger firewall cihazlarindan erisirken sorun yasayacaklar expired certificates allow demek gerekiyor bunun içinde.

Hocam bende de aynı sorun var ilk sorum ''expired certificates allow'' bölümünü tam olarak nereden yapıyoruz, ikinci sorum sertifikalar bölümüne baktığımda hepsinin süresi var gözüküyor kök sertifikayı nereden yönetebilirim? Teşekkür ediyorum

Gönderen: @qvkare

Gönderen: @hakanuzuner

Konu bunun ile ilgili sanırım

Lets encrypt kök sertifikasinin suresi doldugu icin lets kullanan sayfalara Fortigate veya diger firewall cihazlarindan erisirken sorun yasayacaklar expired certificates allow demek gerekiyor bunun içinde.

Hocam bende de aynı sorun var ilk sorum ''expired certificates allow'' bölümünü tam olarak nereden yapıyoruz, ikinci sorum sertifikalar bölümüne baktığımda hepsinin süresi var gözüküyor kök sertifikayı nereden yönetebilirim? Teşekkür ediyorum

Dediğiniz gibi sertfikanın süresi dolmuş gözüküyor.

Fortigate cihazindan settings bölümüne sonra SSL/SS inspection bölümüne girip, fotoğrafta ki ayarların aynısı olacak şekilde yeni bir SSL/SS inspection oluşturmak gerekiyor sorunun çözülmesi için.

Gönderen: @hakanuzuner

Konu bunun ile ilgili sanırım

Lets encrypt kök sertifikasinin suresi doldugu icin lets kullanan sayfalara Fortigate veya diger firewall cihazlarindan erisirken sorun yasayacaklar expired certificates allow demek gerekiyor bunun içinde.

Yararlı bilgi. Teşekkürler Hakan hocam.

Yanlız çok ilginç bir durum. "Letsencrypt.org" dahi bir çok site hala açılmıyor ve hala resmi bir açıklama yok bu durumla alakalı.

Gönderen: @serdark54

Fortigate cihazindan settings bölümüne sonra SSL/SS inspection bölümüne girip, fotoğrafta ki ayarların aynısı olacak şekilde yeni bir SSL/SS inspection oluşturmak gerekiyor sorunun çözülmesi için.

 

''Invalid SSL certificates'' direkt allow yaptığım halde bile değişiklik olmadı hocam ben de 

@qvkare 

O sayfa da eğer altta ki fotoğrafta yer alan policylerden kilit işaretliyi değiştirmeye çalışıyorsanız işe yaramıyor yaptığınız değişiklik. Üstte ki mesajımda bulunan fotoğrafın birebir aynısını içeren yeni bir policy oluşturursanız sistem düzelmesi gerekiyor arkadaşım o şekilde yaptı düzeldi.

Gönderen: @serdark54

@qvkare 

O sayfa da eğer altta ki fotoğrafta yer alan policylerden kilit işaretliyi değiştirmeye çalışıyorsanız işe yaramıyor yaptığınız değişiklik. Üstte ki mesajımda bulunan fotoğrafın birebir aynısını içeren yeni bir policy oluşturursanız sistem düzelmesi gerekiyor arkadaşım o şekilde yaptı düzeldi.

 

Dediğiniz gibi yeni bir policy oluşturdum yazınızdaki gibi ve birebir aynısını yaptım ama değişmedi. kilitli certiface da cli console dan işlem yapıp allow haline getirebilir miyim acaba?

@qvkare Bu işlem için yeterli bilgiye sahip değilim maalesef.

Gönderen: @serdark54

@qvkare Bu işlem için yeterli bilgiye sahip değilim maalesef.

teşekkür ederim, fortigate uzmanı @hakanuzuner hocamı bekliyorum 🙂

Support'unuz yok mu durumunuzla ilgili ticket açarsanız daha hızlı çözüm bulursunuz.

Selamlar  ,

@serdark54  @qvkare 

Aşağıdaki işlemler ile  geçici  çözüm sağlanabilir  ilgili  döküman Distribütör  tarafından  paylaşılmıştır.

Bir kök sertifika yetkilisinin (ISRG Root X1) sertifika zinciriyle ilgili devam eden bir sorun tespit edilmiştir. Bu sorun, ister derin (deep) ister yalnızca sertifika denetimi kullanılıyor olsun, tüm SSL denetim ürünleri satıcılarını etkileyecektir.
Bu makalede 30.09.2021 itibariyle baş gösteren, ISRG Root CA sertifikası kullanan web sitelerindeki sertifika hatasının geçici olarak FortiGate sistemlerinde nasıl önleneceği anlatılmaktadır.

Öncelikle sisteminizin konfigürasyon yedeğini almalısınız.

Kurallarınızda kullanılan “SSL/SSH Inspection” profilinizde aşağıdaki gibi “Expired certificates” alanını “Allow” şeklinde düzenlemelisiniz :

Eğer “Deep Inspection” türünde bir derin (deep) ssl/ssh profil kullanıyorsanız, ayar aşağıdaki gibi olmalıdır :

* Eğer, “certificate-inspection” veya “deep-inspection” isimli, değiştirilemeyen profilllerden birini kullanıyorsanız, varolan bu profili aşağıdaki gibi klonlayarak, yeni bir profil olarak kaydetmeli ve gerekli değişikliği uygulayarak kurallarınızda aktif etmelisiniz.

Gönderen: @ibrahimyildiz

Support'unuz yok mu durumunuzla ilgili ticket açarsanız daha hızlı çözüm bulursunuz.

 Hocam kendim çözmek istiyorum desteğimiz var ama öğrenmek istiyorum

Gönderen: @cumhuraltan

Selamlar  ,

 

@serdark54  @qvkare 

Aşağıdaki işlemler ile  geçici  çözüm sağlanabilir  ilgili  döküman Distribütör  tarafından  paylaşılmıştır.

 

Bir kök sertifika yetkilisinin (ISRG Root X1) sertifika zinciriyle ilgili devam eden bir sorun tespit edilmiştir. Bu sorun, ister derin (deep) ister yalnızca sertifika denetimi kullanılıyor olsun, tüm SSL denetim ürünleri satıcılarını etkileyecektir.
Bu makalede 30.09.2021 itibariyle baş gösteren, ISRG Root CA sertifikası kullanan web sitelerindeki sertifika hatasının geçici olarak FortiGate sistemlerinde nasıl önleneceği anlatılmaktadır.

 

Öncelikle sisteminizin konfigürasyon yedeğini almalısınız.

 

Kurallarınızda kullanılan “SSL/SSH Inspection” profilinizde aşağıdaki gibi “Expired certificates” alanını “Allow” şeklinde düzenlemelisiniz :

 

 

Eğer “Deep Inspection” türünde bir derin (deep) ssl/ssh profil kullanıyorsanız, ayar aşağıdaki gibi olmalıdır :

 

 

* Eğer, “certificate-inspection” veya “deep-inspection” isimli, değiştirilemeyen profilllerden birini kullanıyorsanız, varolan bu profili aşağıdaki gibi klonlayarak, yeni bir profil olarak kaydetmeli ve gerekli değişikliği uygulayarak kurallarınızda aktif etmelisiniz.

 

Hocam elinize sağlık teşekkür ederim

Deep Inspection profillerinde yukarda anlatıldığı gibi Expired Certificate için davranışını Trust&Allow yaptık. 

Certificate Inspection profili Read-Only olduğu için bu ayarı değiştirilemiyor bu yüzden bu profili klonlayarak (bir kaç yerde klonlamaya da izin vermedi bu yüzden cli üzerinden yaptık) veya aşağıdai şekilde CLI üzerinden yeni profil açıp Certificate Inspection yerine bu yeni profili kullandık. Şu an bi sorun yok.

config firewall ssl-ssh-profile
edit "cert_insp_allow_all"
config https
set ports 443
set status certificate-inspection
set expired-server-cert allow
set cert-validation-failure allow
end
config ftps
set status disable
set expired-server-cert allow
set cert-validation-failure allow
end
config imaps
set status disable
set expired-server-cert allow
set cert-validation-failure allow
end
config pop3s
set status disable
set expired-server-cert allow
set cert-validation-failure allow
end
config smtps
set status disable
set expired-server-cert allow
set cert-validation-failure allow
end
config ssh
set ports 22
set status disable
end
config dot
set status disable
set expired-server-cert allow
set cert-validation-failure allow
end
next
end

https://www.fortinet.com/blog/psirt-blogs/fortinet-and-expiring-lets-encrypt-certificates?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+fortinet%2Fblogs+%28Fortinet+All+Blogs%29

yine dediğiniz gibi kilitli olduğu için üsttekiler bende de işe yaramadı ama sonra yukarıdaki bloğu buldum orada yazan cli üzerinden 

config system dns-database
    edit "1"
        set domain "identrust.com"
        config dns-entry
            edit 1
                set hostname "apps"
                set ip 127.0.0.1
            next
        end
    next
end

yaptım sorun çözüldü teşekkürler yardımcı olan herkese