Fortigateでよく使うコマンド

Fortigate隠しコマンド

IPSec事前共有鍵

事前共有鍵を確認（FortiOS 5.4以降）

diagnose sys ha checksum show <vdom> vpn.ipsec.phase1-interface <interface>

事前共有鍵を確認（FortiOS 5.3まで）

diagnose sys ha showcsum vpn.ipsec.phase1-interface <interface>

ローカルユーザーのパスワード

ローカルユーザーのパスワードを表示する（FortiOS 5.4以降）

diagnose sys ha checksum show <vdom> user.local <user>

ローカルユーザーのパスワードを表示する（FortiOS 5.3まで）

diagnose sys ha showcsum user.local <user>

初期構築時によくつかう

初期化

execute factoryreset

vdom有効化

config system global set vdom-admin enable
end

swtich mode解除

config system dhcp server delete 1
end
config firewall policy delete 1
end
config system virtual-switch delete internal
end

古いバージョンはこちら

config system dhcp server delete 1
end
config firewall policy delete 1
end
config system global set internal-switch-mode interface
end

ルーティング

ルーティングテーブル表示

両方確認しておいた方が良いでしょう

get router info routing-table all
get router info routing-table data

BGP

BGPネイバー確認

get router info bgp summary

BGP受信ルート表示

get router info bgp neighbors <neighbor IP> received-routes

BGP広告ルート表示

get router info bgp neighbors <neighbor IP> advertised-routes

IPSec関連

IPSecがうまく張れないときのデバッグコマンド

デバッグ設定

diagnose debug app ike -1

デバッグ開始

diagnose debug enable

デバッグ停止

diagnose debug disable

デバッグ設定解除

diagnose debug app ike 0

トンネルリスト表示

diagnose vpn tunnel list

事前共有鍵を確認（FortiOS 5.4以降）

diagnose sys ha checksum show <vdom> vpn.ipsec.phase1-interface <interface>

事前共有鍵を確認（FortiOS 5.3まで）

diagnose sys ha showcsum vpn.ipsec.phase1-interface <interface>

システム状態

バージョン確認

get system status

HA状態確認

get system ha status

起動時間確認

get system performance status

CPU・メモリ使用率確認

get system performance status

リアルタイムにCPU・メモリ使用率を表示

diagnose sys top-summary

システム操作

再起動

execute reboot

シャットダウン

execute shutdown

フェイルオーバー/フェイルバック

Master機のAgeタイマーをリセットすると切り替わる

diagnose sys ha reset-uptime

Ageタイマー確認

diagnose sys ha dump-by all-vcluster

詳細は以下の記事をご覧ください。

Fortigateで手動フェイルオーバー/フェイルバックさせるときに知っておきたいこと

トラブルシューティング系

パケットキャプチャ

diagnose sniffer packet <interface> <filter> [verbose] [count] [tsformat]

interface

インタフェースを指定します。トラブルシューティングの場合は「any」にすることをおすすめします。

diagnose sniffer packet any

filter

フィルターはtcpdump形式のものが利用できます。フィルターの詳細は以下の記事をご覧ください。

インフラエンジニアのためのパケット解析入門

パケットフィルタはダブルクォート（”）あるいはシングルクォート（’）で囲む必要があるので注意してください。

diagnose sniffer packet any "udp and port 53"

verbose

出力レベルは1から6まで指定できます。

diagnose sniffer packet any "udp and port 53" 4

count

出力回数を指定します。0にすると回数制限をしません。

diagnose sniffer packet any "udp and port 53" 4 0

tsformat

タイムスタンプを表示します。

diagnose sniffer packet any "udp and port 53" 4 0 l

通信が通っているはずなのにパケットキャプチャで表示されない場合

ASICで処理されたパケットはキャプチャできません。パケットキャプチャできるのはCPUで処理されたパケットのみです。

そのような場合はポリシーでASIC処理をオフにします。以下はポリシーIDが1の場合の設定です。

IPv4パケットの場合

config firewall policy edit 1 set auto-asic-offload disable next
end

IPv6の場合

config firewall policy6 edit 1 set auto-asic-offload disable next
end

マルチキャストの場合

config firewall multicast-policy edit 1 set auto-asic-offload disable next
end

auto-asic-offload disableは性能影響が出るので、パケットキャプチャが済んだらenableに戻しておく事を忘れないでください。

パスワードが分からないとき

パスワードが分からなくてどうにもならない時。

通信フローデバッグ

通信フローデバッグ開始

diagnose debug flow filter <フィルタ>
diagnose debug show function-name enable
diagnose debug console timestamp enable
diagnose debug flow trace start <表示数>
diagnose debug enable

通信フローデバッグ停止

diagnose debug disable
diagnose debug flow trace stop
diagnose debug flow filter clear
diagnose debug reset

FortiGateで始める 企業ネットワークセキュリティ

◎アマゾンのレビューを見る

• Kindle
• Amazonで探す
• 楽天市場で探す
• Yahooショッピングで探す

FortiGate完全攻略

◎アマゾンのレビューを見る

• Amazonで探す
• 楽天市場で探す
• Yahooショッピングで探す