Fortigateでよく使うコマンド

初期構築時によくつかう

vdom有効化

config system global
set vdom-admin enable
end

swtich mode解除

config system dhcp
server delete 1
end
config firewall policy
delete 1
end
config system virtual-switch
delete internal
end

古いバージョンはこちら

config system dhcp server
delete 1
end
config firewall policy
delete 1
end
config system global
set internal-switch-mode interface
end

ルーティング

ルーティングテーブル表示

両方確認しておいた方が良いでしょう

get router info routing-table all
get router info routing-table data

BGP

BGPネイバー確認

get router info bgp summary

BGP受信ルート表示

get router info bgp neighbors <neighbor IP> received-routes

BGP広告ルート表示

get router info bgp neighbors <neighbor IP> advertised-routes

IPSec関連

IPSecがうまく張れないときのデバッグコマンド

diagnose debug app ike -1

止める

diagnose debug app ike 0

トンネルリスト表示

diagnose vpn tunnel list

事前共有鍵を確認（FortiOS 5.4以降）

diagnose sys ha checksum show <vdom> vpn.ipsec.phase1-interface <interface>

システム状態

バージョン確認

get system status

HA状態確認

get system ha status

システム操作

再起動

execute reboot

シャットダウン

execute shutdown

フェイルオーバー/フェイルバック

Master機のAgeタイマーをリセットすると切り替わる

diagnose sys ha reset-uptime

Ageタイマー確認

diagnose sys ha dump-by all-vcluster

詳細は以下の記事をご覧ください。

Fortigateで手動フェイルオーバー/フェイルバックさせるときに知っておきたいことFortigateのHAネゴシエーションを正しく知っておくと手動でフェイルオーバー／フェイルバックさせるときにトラブらないでしょう。 ...

トラブルシューティング系

パケットキャプチャ

パケットキャプチャくらいは出来るようにしておいてくれ！と言いたい。

diagnose sniffer packet <interface> <filter> [verbose] [count] [tsformat]

interface

インタフェースを指定します。トラブルシューティングの場合は「any」にすることをおすすめします。

例：diagnose sniffer packet any

filter

フィルターはtcpdump形式のものが利用できます。フィルターの詳細は以下の記事をご覧ください。

インフラエンジニアのためのパケット解析入門パケット解析は奥が深く書き出すと膨大な量になってしまうので、取っかかりの入門として解析ツールの使い方と簡単な解析事例をご紹介します。 ...

パケットフィルタはダブルクォート（”）あるいはシングルクォート（’）で囲む必要があるので注意してください。

例：diagnose sniffer packet any "udp and port 53"

verbose

出力レベルは1から6まで指定できます。

1	もっとも単純な出力
2	パケットを16進数でダンプする
3	イーサネットヘッダーを含めて16進数でダンプする
4	インタフェース名を出力する
5	インタフェース名に加えてパケットを16進数でダンプする
6	インタフェース名に加えてイーサネットヘッダーを含めパケットを16進数でダンプする

例：diagnose sniffer packet any "udp and port 53" 4

count

出力回数を指定します。0にすると回数制限をしません。

例：diagnose sniffer packet any "udp and port 53" 4 0

tsformat

タイムスタンプを表示します。

a	UTCで時刻を表示
l	ローカルタイムで時刻を表示

例：diagnose sniffer packet any "udp and port 53" 4 0 l

パスワードが分からないとき

パスワードが分からなくてどうにもならない時。

最初にFortigateの裏面を見てシリアル番号を控えます。「FGT」で始まります
シリアルケーブルでPCと接続します
Fortigateの電源を入れます（or 再起動）
「login:」が表示されるまで待ちます
「login:」が表示されたら３０秒以内に次のユーザー名とパスワードでログインします
ユーザー名として「maintainer」を入力
パスワードとして「bcpbXXXxxxxxxxxxxxx」を入力（XXXxxxxxxxxxxxxは最初に控えたシリアル番号「例：bcpbFGT1234567890」）
ログインできます