作者hateh (hateh)
看板MIS
標題[請益] fortigate policy問題
時間Sat May 28 00:47:43 2016
各位大大好
最近碰到個問題
主要是要管控員工上網限制(禁止FB line youtube 等等,但開放skype)
不過又希望可以分群組限制
例如有些人可以上FB line但不能上youtube QQ
目前初步想法如下
Lan->Wan
^^^^^^^^
policy編號 ||src_addr || dst_addr|| service|| Action|| Web filter||App filter
_____________________________________________________________________________
1 FB_on all any accept (Web filter跟Appfilter
line_on 配合src_addr名稱去過濾)
youtube_off
.
.
.
N all all any accept (Web跟filter擋掉FB
line,youtube,
但開放skype)
基本上想根據個人電腦ip去看他可以上什麼不能上什麼
然後把該ip分配到對應的src_addr group
不過這種作法隨著想限制的軟體越多就必須規劃越多的src_group跟對應的filter組合
不知有沒更聰明的作法QQ
有熟悉fortigate的大大可以賜教嗎
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 61.224.204.206
※ 文章網址: https://webptt.com/m.aspx?n=bbs/MIS/M.1464367665.A.FDA.html
※ 編輯: hateh (61.224.204.206), 05/28/2016 00:48:13
※ 編輯: hateh (61.224.204.206), 05/28/2016 00:49:34
1F：→ littlecut: 想當初FG跟ad整合用fsso弄好久QAQ 05/28 04:39
2F：推 trumpete: 問個外行的問題 請問 forti 的 web filter app filter 05/28 09:43
3F：→ trumpete: 這兩個功能是不是要加買 license 才會有? 05/28 09:43
4F：推 yamaraja: 是的, app 控管,web filiter, 這些統稱UTM模組,都得加購 05/28 10:04
5F：→ voodist: 其實 一個group套一個filter就好了 最後一行就全部deny 05/28 10:05
6F：→ yamaraja: 之前玩的是FSSO 的前身, 叫FSAE, 這個要在DC 上裝agent 05/28 10:05
7F：推 liskenny: 我曾想搞過 當時SI建議整合交換器搞802.1Q配FW 政策 05/29 16:07
8F：→ liskenny: 然後再用FW物件去分配誰可用誰不能用 甚至設時段 05/29 16:08
9F：→ liskenny: 不過一來交換器不給換來整合 二來人多嘴雜意見多 搞不成 05/29 16:08
10F：推 sssxyz: 802.1Q應該是ip base管控 結合AD的話就不需要強分網段 05/30 07:54
11F：→ infosec: 看不懂.. dot1q vlan tagging和這需求有什麼關係 05/30 09:29
12F：噓 fredwei1031: 是哪間si推薦使用802.1q這麼專業 05/30 11:22
13F：推 liskenny: 如果有認知錯誤或技術錯誤認知 請直接指正就好 不需酸吧 05/31 09:55