Fortinet FortiGate - Les fondamentaux de la sécurité réseau

Objectif : Prendre en main l'interface FortiOS, configurer les interfaces réseau et le routage statique.

• Présentation de la gamme FortiGate et du système d'exploitation FortiOS.
• Mode d'administration : Web GUI, CLI (SSH/Console) et modes de fonctionnement (NAT/Routeur vs Transparent).
• Configuration des interfaces réseau (Physical, VLAN, Aggregate, Loopback) et des zones de sécurité.
• Routage statique, gestion des tables de routage et vérification de la connectivité réseau.

Atelier pratique : Prise en main de l'interface GUI/CLI d'un FortiGate virtuel, configuration des interfaces et validation du routage.

Cas métier : Déploiement d'un pare-feu FortiGate en remplacement d'un routeur basique - Configuration initiale du réseau.

Compétence acquise : Effectuer la configuration réseau de base et le routage d'un pare-feu FortiGate.

Livrable : La sauvegarde de la configuration réseau initiale du FortiGate.

Objectif : Rédiger les politiques de sécurité pare-feu et configurer la NAT (Source et Destination).

• Anatomie d'une politique de sécurité FortiGate : adresses sources/destinations, services, actions et planification.
• Objets de sécurité : création d'objets d'adresses (IP, Sous-réseau, FQDN), de groupes d'adresses et de services.
• Traduction d'adresses réseau : Source NAT (Central NAT vs IP Pool) et Destination NAT (Virtual IPs / VIP).

Atelier pratique : Création d'objets réutilisables, écriture des politiques de sécurité LAN-vers-WAN et publication d'un serveur Web via VIP (DNAT).

Cas métier : Publication d'un serveur d'application interne sur Internet - Configuration d'une adresse IP virtuelle (VIP).

Compétence acquise : Maîtriser la création de règles de sécurité et de politiques NAT sous FortiGate.

Livrable : La matrice de règles pare-feu et la table des objets VIP.

Objectif : Identifier les utilisateurs dans les règles pare-feu avec l'intégration Active Directory.

• Mécanismes d'authentification utilisateur sous FortiGate : authentification locale, POP3, RADIUS et LDAP.
• Présentation du FSSO (Fortinet Single Sign-On) : authentification transparente basée sur les sessions Active Directory.
• Déploiement des agents FSSO et création de politiques de sécurité basées sur les groupes d'utilisateurs AD.

Atelier pratique : Configuration de la synchronisation FSSO avec un annuaire Active Directory et création d'une règle pare-feu réservée au groupe « Direction ».

Cas métier : Restriction de l'accès Internet selon le département de l'employé - Règle pare-feu basée sur les groupes FSSO.

Compétence acquise : Implémenter l'authentification transparente FSSO et créer des règles par utilisateurs.

Livrable : Le guide de configuration FSSO et d'intégration Active Directory.

Objectif : Configurer les profils de sécurité UTM pour filtrer les virus, les sites Web et les applications.

• Différence entre les modes de traitement : mode Proxy (Proxy-based) vs mode Flux (Flow-based).
• Configuration du profil Antivirus : analyse des flux HTTP, FTP, SMTP et blocage des fichiers malveillants.
• Filtrage Web (Web Filtering) : catégories de sites FortiGuard, quotas de temps, avertissements et listes d'URL personnalisées.
• Contrôle des applications (Application Control) : détection et blocage des logiciels de P2P, jeux et réseaux sociaux.

Atelier pratique : Configuration de profils Antivirus et de Filtrage Web avec blocage des sites de téléchargement illégal.

Cas métier : Protection des collaborateurs contre le téléchargement d'exécutables dangereux - Profil Antivirus et filtrage d'URL.

Compétence acquise : Déployer et appliquer les profils de sécurité UTM sur les politiques pare-feu.

Livrable : La banque de profils de sécurité UTM d'entreprise.

Objectif : Intercepter et analyser les flux chiffrés HTTPS et activer la prévention d'intrusions.

• Mécanismes d'inspection SSL/TLS : certificats CA FortiGate, ré-chiffrement et gestion des exceptions de confiance (ex : sites bancaires).
• Système de prévention d'intrusions (IPS) : profils d'IPS, signatures de vulnérabilités et actions (Pass, Drop, Reset).
• Protection contre les attaques DoS/DDoS au niveau des interfaces FortiGate.

Atelier pratique : Configuration de l'inspection SSL approfondie (Deep Inspection) et déploiement d'un profil IPS anti-exploit.

Cas métier : Détection de la fuite de données d'un trojan sur un canal HTTPS chiffré - Déchiffrement SSL et alerte IPS.

Compétence acquise : Configurer la Deep Inspection SSL/TLS et les profils de prévention d'intrusions IPS.

Livrable : Le profil d'inspection SSL et la politique de règles IPS.

Objectif : Configurer les liaisons sécurisées Site-à-Site IPsec et les accès nomades VPN SSL (FortiClient).

• Configuration du VPN IPsec Site-à-Site avec l'assistant Auto-Key IKE Wizard et en mode Manuel.
• Configuration du VPN SSL d'accès distant : Portail SSL Web, mode Tunnel avec le logiciel FortiClient.
• Supervision du trafic, outils de diagnostic CLI (diag debug, execute ping) et analyse des logs sous FortiView.

Atelier pratique : Configuration d'un tunnel VPN IPsec et d'un portail VPN SSL nomade avec test de connexion sous FortiClient.

Cas métier : Raccordement des 50 commerciaux nomades au réseau d'entreprise - Déploiement du VPN SSL FortiClient.

Compétence acquise : Déployer des liaisons VPN IPsec et administrer les accès nomades FortiClient.

Livrable : La documentation de configuration des accès VPN FortiGate.

Objectif : Réutiliser en autonomie la configuration initiale, le routage, les politiques, le NAT, l'authentification et l'inspection de contenu des journées ESSENTIEL.

• Réactiver les acquis des journées ESSENTIEL : rappel visuel et quiz sur les interfaces, le routage, les politiques, le NAT, l'authentification FSSO et les profils UTM.
• Configurer un FortiGate complet pour un site : réseau, règles de flux, accès des utilisateurs et filtrage.

Atelier pratique : Entraînement en binômes : relire une liste de politiques volontairement mal ordonnées ou trop permissives et la corriger, avec correction croisée.

Cas métier : L'ouverture d'un nouveau site (cas fil rouge) - Les participants configurent le FortiGate du site : interfaces et routage, politiques de flux et NAT, authentification des utilisateurs et profils de filtrage, puis présentent leur configuration au groupe.

Compétence acquise : Savoir configurer en autonomie un FortiGate pour un site d'entreprise.

Livrable : La configuration du FortiGate du site, construite avec la méthode des journées ESSENTIEL.

Objectif : Mettre à l'épreuve les tunnels VPN, l'inspection SSL, l'IPS et sa méthode de dépannage face à des incidents réalistes.

• Retour sur l'inspection SSL, l'IPS, les VPN IPsec et SSL et les outils de diagnostic vus les jours précédents.
• Relier le site au siège, ouvrir l'accès à distance et rechercher méthodiquement l'origine des pannes.

Atelier pratique : Exercice guidé : chaque binôme introduit une erreur dans la configuration VPN d'un autre, qui doit la trouver avec les journaux et les commandes de diagnostic.

Cas métier : Le site relié au siège (cas fil rouge) - Chaque participant monte le tunnel IPsec vers le siège et l'accès VPN des nomades, active l'IPS, puis résout les incidents provoqués par le formateur et présente sa démarche au groupe.

Compétence acquise : Savoir mettre en service des VPN et diagnostiquer méthodiquement un incident.

Livrable : La configuration VPN et la fiche de diagnostic, issues des modèles des journées ESSENTIEL.