Comprendre une règle de pare-feu FortiGate avec un exemple
Apprenez à décrire un flux réseau et à lire une règle FortiGate avec un exemple HTTPS et un exercice corrigé de préparation NSE 4.
Décrire le besoin avant de toucher à la règle
Vous devez permettre à un poste d’accéder à une application. « Autoriser Internet » décrit mal ce besoin. Commencez plutôt par une phrase précise : « ce poste doit joindre ce serveur avec ce service ».
Dans notre exemple fictif, un client de labo doit accéder à une application HTTPS située sur un autre réseau. On étudie ici un flux qui traverse le FortiGate, pas l’accès à son interface d’administration. Aucun changement sur un équipement réel n’est nécessaire pour faire l’exercice.
Lire les critères ensemble
Une règle de transit FortiGate décrit notamment des interfaces, une source, une destination, un service, un horaire et une action. Le flux doit correspondre aux critères de la règle. L’interface d’entrée et l’adresse source désignent deux informations différentes ; un nom de règle ne prouve pas à lui seul qu’elle correspond au trafic. Ces éléments sont détaillés dans la documentation FortiOS 7.6.4.
Pour notre cas, remplissez d’abord ce tableau sur papier :
| Question | Valeur dans le scénario |
|---|---|
| Quel poste démarre la connexion ? | Le client de labo |
| Quelle machine doit répondre ? | Le serveur de l’application |
| Quel protocole et port utilise l’exercice ? | TCP, port destination 443 |
| Par où le trafic entre-t-il et doit-il sortir ? | Les deux interfaces à identifier sur le schéma |
| Quelle intention décrit-on ? | Autoriser ce besoin précis |
L’exercice suppose HTTPS sur TCP443. Il ne prétend pas décrire tous les transports ou ports possibles d’une application web.
Exercice : quel détail ne correspond pas ?
Le scénario demande TCP443. La règle que vous examinez n’autorise que TCP80. Est-ce que ce critère correspond au besoin ?
Correction : non. Même si les adresses correspondent, TCP80 et TCP443 restent deux ports différents. La première action utile est de constater ce décalage ; elle ne consiste pas à ouvrir tous les services. Ce raisonnement porte sur le critère de service, pas sur un diagnostic complet de la connexion.
Éviter une conclusion trop rapide
Une règle qui semble cohérente ne prouve pas que l’application est accessible. Le trajet et l’état des autres éléments du scénario doivent aussi être vérifiés. Avant de proposer une correction, formulez l’observation attendue et ce qu’elle permettrait de conclure.
Pour continuer, essayez les questions gratuites, puis découvrez la méthode de préparation NSE 4.
Norimeo est une préparation indépendante de Fortinet. Exemple pédagogique original, sans question d’examen officiel reproduite.