愛文娛己的教學筆記

Fortigate 只接受特定外網IP 要設定，讓特定外網IP Ping Fortigate，在執行上比較麻煩，意思是你不能特別關閉PING，再讓PING端口開啟給一個指定IP。 求其次，你只能設置讓特定IP能訪問Fortigate Firewall，順便能PING。 一般來說，Interfaces裡的Restricted Access功能，大家都很熟悉，裡面能讓WAN開啟HTTPS，SSH，PING服務去做管理，而這個Restricted Access部份，是設計給”Administrator”使用的。意思是指 System>Administrators 裡面的Users。 所以，只要修改Administrators>admin，裡面Enable “Restrict login to trust hosts” ，並加入管理者的常用外網IP，就能讓Fortigate只接受特定IP訪問，包括HTTPS和PING。 但有種情況，我只想要某IP，只能PING，而不能做其他訪問，要如何做？ 以下解說： 1. 在System>Admin Profiles 新增一個Admin設置，老外都喜歡叫no_logon，Access Control設成全部None。 2. 在System>Administrators 新增一個User，例如ping_only， Administrator Profile設成剛剛的no_logon。 3. 把剛剛新增的User的Restrict login to trusted hosts. 並設置指定外網IP。 4. 單是限制這個User並不足夠，「所有」其他Admin帳戶都要設置Restrict login to trusted hosts. 並設置成管理者常用的外網IP。 增加no_logon的Admin Profile，設置為「無權限」 為ping_only新增一個trust host 結論可想而見， ping_only的trusted hosts可以PING到該Fortigate Firewall，但不能登錄。 而admin帳戶的Trust hosts就可以Ping可以登錄。 後記，有些...

因應辦公室需求，想找出內網裡經防火牆出去的各節點流量。其實之前也有寫過累似的文章，請見 http://it-ivan.blogspot.com/2010/07/blog-post_21.html 話說Fortigate的Dashboard只有Session數量，有總流量卻沒有個別節點流量，所以如果有內網機器進行P2P去癱瘓網路時，只能使用Firewall Policy作排除法去搜尋有問題的機器。 今天同事找了一個軟件，說使用ssh登入後可以看到經過防火牆的流量，這個軟件名稱叫做FirePlotter，經由SSH連進去操作。 截圖: http://www.fireplotter.com/Screenshots.htm 安裝方法很簡單，需要使用Windows安裝。他分為付費版，14日試用版和免費版本。所以我就試用了免費版本的FirePlotter。基本上，如果你只想要連進Firewall去觀察連線和流量，免費版本就足夠了，但只能看，沒法儲存Log，也沒法改設定，但相信也夠用。 有些要注意的事。使用這個建議不要使用Admin帳戶，而是在防火牆裡面創建一個新用戶，並配置super_admin_readonly權限，避免不必要的風險。

我管理一套沒有報表和報告的網路架構，使用Fortigate 60B作為PPPOE的Router。 設定了一些簡單的Policy去限制User的出入。 礙於Adsl upload頻寬的不足，所以每當有User做上傳動作，不論是FTP，IM或是HTTP的上傳，都會直接影響整條寬頻的速度，從Ping time可以直接暸解到。 每當此情況出現，就需要找出誰是上傳真兇。 首先要對外檢查著目前水喉現況，我會使用Ping Google去監察。 然後在Firewall裡的Policy設定，用二分法，找出真兇的大概IP位置。

在現在網際網路峰行的年代，幾乎沒有一個現代人可以避免使用Email，公司辦公要使用Email，私人聯絡要使用Email，談情說愛要使用Email，一大堆。 有沒有想過當你收到一封從你同事寄來的Email，內容似是而非，還附上一條連結，結果內裡卻是病毒呢，這不代表你同事的電腦已經中毒，而是Email本身可能被冒認。 我想，需要一個機制去提升每一封收到的Email的可信性吧。數位証書是其中一門方法。 好，說了一大堆廢話，不是我的性格。進入正題，Ivan使用Outlook + Pop3/SMTP去收發郵件，每封經由Ivan電腦上的Email帳號寄出的信都會附帶一張不能偽造的數位証書，別人收到我寄的郵件時，同時間會看到Ivan的數位簽証，這証明了這封郵件是從Ivan的電腦上發出的，細嚼一下，是不是可信多了?

以電郵型式散佈 中毒者會發送一封如下的Email A new setting file for user@domain.com has just been released. 其中 user@domain.com 將會是你的電郵地址或與你同domain的電郵地址。 署名將會是 xxx Team 如 [Your Domain ] Team, Microsoft Team, Facebook Team 諸如此類 郵件中還夾帶一個.zip檔案，打開檔案後中標。 如你收到疑似檔案，請儘快刪除吧。不過截至2月23號為止，Eset已會攔截相關電郵。

標題沒下的很好。 最近接觸了一套跑WMI的軟件，幫忙管理subnet內的Server的健康情況。 這套軟件是跑WMI的，所以需要WMI Service。但當我做完所有要求的設定並成功地開始監控Client Server時，安全憂慮就開始產生了。 要一台Server A去監管另一台Server B，需要用到網路和端口，可是我一開始留意到的是，當Server A 連線到 Server B後，Server B 卻產生一個動態端口去讓Server A連接，這大大挑戰了防火牆設定的難度。 以下文章記錄了小弟研究解決方案的心路歷程(笑)，難度可能是大學階段吧。 整個軟件(似乎太多數軟件)是這樣跑的。 1. A訪問B的135Port(RPC)，嘗試與B連線。 2. A與B建立連線後，B的RPC找尋一個可用的端口，呼叫winmgmt聆聽，並將端口資訊傳回給A。(編按：注意! 將端口資訊傳回給A是RPC的工作，並不是winmgmt的工作，因為到現在為止A的Client只有和B的135Port連線，而端口資訊是經由這條連線回傳的，這是由擷取的封包中得到的答案) 3. A收到B的winmgmt聆聽端口後，嘗試對此端口建立連線，一旦成功則從此連線中擷取B的wmi資料。 就是以上這麼簡單的流程，但中間一旦隔一層防火牆，即時出現問題。A->B開B的135Port是肯定的了，問題是步驟2的端口，到底要開甚麼呢? 這將視乎RPC在當時找到哪一個可用的端口給winmgmt用，而預設情況下，RPC會開1025-5000中的其中一個Port，大概會從1025開始一個一個嘗試吧，如果防火牆中把1025-5000開起來，在網絡安全的角度裡似乎不太合理。 既然是RPC找的端口，當然方向是只好從RPC著手。在上述的理據中，很容易讓人聯想到，假如能限制RPC開放端口的範圍，問題就好解決了。當我知道這事實之後，前途一片光明，因為要設定RPC的方法太好找了。 解決：如果你不想手動地搞到註冊表，你需要一件工具去輔助你。 http://www.microsoft.com/Downloads/details.aspx?FamilyID=9d467a69-57ff-4ae7-96ee-b18c4790cffd&displaylang=en 上述網址有個rktool.exe，是給Window Server 200...