[Çözüldü] Fortilogger yeterli mi? DHCP log ları almak şart mı?

Active directory entegrasyonu yaparak kuralları kullanıcı bazlı tanımlayıp, logları kullanıcı bazlı tutmak daha doğru bir yaklaşım olaacktır. Şirket veya domain dışı terminaller için kimlik doğrulama yapmanız gerekir.

Kolay gelsin.

@SerkanAtes Active Directory entegrasyonundan kastınız nedir?

Active directory entegrasyonu yaptığınız takdirde kurallarınızı istemci/ip bazında değil kullanıcı bazında verebilirsiniz. Bu durumda kullanıcı adı ile log tutmaya başlarsanız, istemcinin aldığı ipnin bir önemi kalmaz, dolayısı ile soru sormanıza sebep olan durum ortadan kalkmış olur.

Kolay gelsin.

Merhaba , detaylar aşağıdaki linkte burayı inceleyiniz. 

https://www.cozumpark.com/community/fortigate-13/531067/

@SerkanAtes Entegrasyon için, FSSO şart mı? yoksa LDAP üzerinden yeterli mi?

Sorunuzu tam anlayamadım. Emre'nin gönderdiği bağlantıları incelediniz mi? Eğer alternatif soruyorsanız RSSO inceleyebilirsiniz. Kolay gelsin.

Not: Domain ortamımız mevcut dediğiniz için yapınızda active directory bulunduğunu varsaydım. Farklı bir LDAP servisi var ise çarşı pazar karışır. Daha detaylı bilgi lütfen.

https://docs.fortinet.com/document/fortigate/6.2.0/cookbook/85730/radius-single-sign-on-rsso-agent

@SerkanAtes merhaba. Fortilogger üzerinden hotspot yönetimi yapıyorum ve FSSO üzerinden de içerdeki (domaindeki) kullanıcılarımın log unu çekebiliyorum. Cevaplar için teşekkürler. 

Yalnız, misafirlerin dışında kendi kullanıcımızın mobil cihazları için süresiz izin vermek istiyoruz ve loglara isimleri ile düşsün istiyoruz.

Bunun için fortigate firewall cihazı üzerinden, mobil cihaz mac adreslerini firewall üzerinde tanımladım ve mac grubu oluşturarak bu gruba üye yaptım. Sonra bu gruba internete çıkış izni verdim. böylelikle sadece mac adresini tanımladığım (domain de olmayan) mobil cihazlar süresiz çıkış yapabiliyor. Ama malesef bunu fortilogger da loglara gene ip adresi olarak döküyor.

Süresiz izin vermek istediğiniz, kendi personelinizin cep telefonuna siz nasıl bir yöntem kullanıyorsunuz? loglarını forttilogger üzerinde isim olarak düşürebilecek şekilde

Gönderen: @ismailcetin

Bunun için fortigate firewall cihazı üzerinden, mobil cihaz mac adreslerini firewall üzerinde tanımladım

Sorun zaten burada başlıyor. Tanımları yapan siz olmamalısınız. Kullanıcı bu kayıtlar benim değil derse ne yapacaksınız? O yüzden şifresini bilemeyeceğiniz bir hesabı kullanıcıya vermeli ve kimlik doğrulaması yaptırmalısınız. Aksi taktirde yasal denetlemede her durumda sorun yaşayabilirsiniz.

Gönderen: @SerkanAtes

Gönderen: @ismailcetin

Bunun için fortigate firewall cihazı üzerinden, mobil cihaz mac adreslerini firewall üzerinde tanımladım

Sorun zaten burada başlıyor. Tanımları yapan siz olmamalısınız. Kullanıcı bu kayıtlar benim değil derse ne yapacaksınız? O yüzden şifresini bilemeyeceğiniz bir hesabı kullanıcıya vermeli ve kimlik doğrulaması yaptırmalısınız. Aksi taktirde yasal denetlemede her durumda sorun yaşayabilirsiniz.

Şuan ki ayarladığımız hotspot yayınında da zaten, TC kimlik, ad, soyad ve doğum yılı var sadece. İş yasal sürece kaldıktan sonra birisi bu bilgilerim ile girmişte diyebilir. Yasal süreçte zaten kullanıcı itiraz ettikten sonra bir sebep zaten bulur düşüncesindeyim. 

Gönderen: @SerkanAtes

O yüzden şifresini bilemeyeceğiniz bir hesabı kullanıcıya vermeli ve kimlik doğrulaması yaptırmalısınız.

Aslında burada bunu söylemek istedim ama iş yoğunluğunda hızlıca post girince böyle oluyor. Eğer kullanıcı hesabını siz oluşturuyorsanız sizin de belirttiğiniz gibi ne tip bilgileri girdiğinizin bir önemi yok, denetimde sorun yaşarsınız. Bu yüzden sistemin oluşturacağı (sizin değil) hesap bilgilerini kendisine ait bir telefona sms veya yine kendisine ait bir e-posta adresine e-mail ile göndermelisiniz. Telefon veya e-posta erişimi kullanıcının kendi sorumluluğunda olduğu için bu konuda sizi daha fazla güvende tutacaktır.

Kolay gelsin.

@SerkanAtes evet dediğiniz gibi domain users dışında kalan herkesi misafir ağında hotspota yönlendirdik. Ama şöyle bir durum var; fortigate cihazı üzerinde Authentication timeout süresi max 24 saat veriliyor. Fortilogger üzerinde ise max 90 gün. Her gün kendi çalışanımızın hotspot portal üzerinden tc kimlik doğrulaması yapmasını istemiyoruz. En azından 90 günde bir tc kimlik doğrulaması yaptırsın. Fakat fortilogger üzerinden 90 gün olarak ayarlasakta, en az olanı dikkate alıyor. Yani, fortigate Authentication timeout 5 dk ise, 5 dk içinde trafik akışı oluşmamış ise kullanıcının net bağlantısı kesiliyor.

Fortigate üzerinde Authentication timeout süresinin fortilogger portal üzerindeki süreyi etkilememesi mümkün mü? kaynak araştırdım ama bulamadım.

Kimlik doğrulamasının yenilenmeden 90 gün boyunca korunması bana mantıklı gelmedi. Başka arkadaşlar belki konuyu daha farklı değerlendirebilir.

Ben pas geçiyorum.

@SerkanAtes fortigate CLI üzerinden kullanıcı grubuna özel max 1 ay olarak süre tanımlanabiliyor. Şuan için 1 ay yaptık ve muhtemelen öylede kalacak. Cevaplar için tşkler.

@ismailcetin eğer ilgili kodu buradan da paylaşırsanız başka arkadaşlarında işine yarayabilir. Ayrıca şöyle bir şey var ( https://docs.fortinet.com/document/fortigate/6.4.0/new-features/743069/no-session-timeout). Detaylı inceleyip ihtiyaçlarınıza göre düzenlenebilirsiniz. Kolay gelsin.

@SerkanAtes kullandığım kod aşağıdaki şekilde, ama genede çalışırlığı test aşamasında bizim için. yanıltıcı olmak istemem.

FG100D3G16xxxxxx # config user group

FG100D3G16xxxxxx (group) # edit Guest-group

FG100D3G16xxxxxx (Guest-group) # set authtimeout

<integer>   The auth time-out range is 0-1440 minutes (0 = use global authtimeout value)

FG100D3G16xxxxxx (Guest-group) # end

Siz bir aydan bahsetmiştiniz ancak burada parametre 1440 dakikaya kadar ayarlanabiliyor. Bu da 24 saate denk gelir. Dolayısı ile sistem her gün şifre sormaya devam edecek.

@SerkanAtes aslında şöyle; 1440dk aktiflik süre sınırı. yani siz pazartesi akşam iş çıkışına kadar bağlıydınız ve bir şekilde trafik oluşturdunuz. Ertesi sabah işe geldiğinizde 24 saati doldurmamış olduğunuz için doğrulamaya gerek kalmıyor. Ama hafta sonu 2 gün boyunca aktiflik oluşmadığı için, her pazartesi girmek zorunda kalacak kullanıcılar ki bizim için sorun değil.

Bilgilendirme için teşekkürler.