Fortigateについて語ろう

世界初　ASICベースのアンチウイルス・セキュリティ・ゲートウェイ
オフィシャル（日本語はまだ無い・・・）
http://www.fortinet.com

みなさん語りませんかー。

ちょっとエビフライ置きますよ・・・


　　　　　　　　　　　　　　,.、,､,..,､､.,､,､､..,_　　　　　 　／i
　　　　　　　　　　　　　;'｀;、､:、. .:、:,　:,.: ::｀ﾞ:.:ﾞ:｀''':,'.´ -‐i
　　　　　　　　　　　　　'､;: ...: ,:. :.､.:',.: .:: _;.;;..; :..‐'ﾞ ￣ ￣
　　　　　　　　　　　　　　｀"ﾞ' ''`ﾞ `´ﾞ｀´´´

ソフトバンクが取り扱いはじめたね。

うちで使ってます

何か知りたいことありますか？解る範囲でよければ書きます

質問。

・この箱，どこが代理店として扱ってる？
・検知能力・処理速度，パターン更新頻度はどうよ？
・やっぱりFirewall機能セットかい？
・ところでやっぱり韓国系の箱？（いや，性能よくて壊れなければどこ製でもいいけど…）

今日、検証機借りました。
設定方法はNetScreenに近いですね。
おおまかな設定は結構簡単に設定できました。

ソリャあたりまえ。元Netscreenの健じぃが起こした会社。

>>7
うむ。NetScreenを立ち上げた人が興した会社なのね。
でもやっぱり胡散臭そうなのは気のせい？
代理店ﾊｹｰﾝ
http://www.znw.co.jp/products/FortiGate/

会社にFortigateｷﾀｰ!

・・・のはいいけど、初のＶＰＮ接続構築まかされて試行錯誤
なんとかＰｈａｓｅ１は通ったけどＰｈａｓｅ２でコケる

ルーティングの設定わかる方ヒントプリーズ
Ext Int
IKE 　　　→　　　　 128.xxx.0.0/255.255.0.0
Ipsec　　→　　　　　128.xxx.0.0/255.255.0.0

他に何か通すのってあるんですか？

FortigateにVPN-GWをやらせるのなら通すも通さないもないが。

>>10
ありがとう
早速自分で勝手に作ったルーティング設定消しました
ってことは単純にPhase1,Phase2の設定のとこを作成してあげればいいのかなぁ？（今自宅なので名前忘れました）

テスト環境がフリープロバイダ経由のダイヤルアップで、FortigateRemoteVPNClient(中身はSSH Sentinel V1.4）使ってます
どなたかフレッツADSL＆SSH Sentinel使ってFortigateをVPNゲートウェイにして使ってる方、設定のコツ教えてください。

放置ゲートに語られても困るなぁ・・・閉めといて。

>>7
スマソ。当たり前なことはわかっていたけど、あえて書いてみた。

>>8
うちもそこから引っ張ってます。

>>4
何使ってます？ＦＧ５０それともＦＧ２００でつか？

最新のFortigateRemoteVPNClientのマニュアルには
VPNポリシーを追加汁！と書いてあるのだが、ウチのFGT200にはそんなのないぞー
どうもコイツが設定できないせいでPhase2にいけないような気がしてきた。
ファームのアップデートが必要？

京都成安学園の先生たちはちゃんと事業を教えていない。

>>4
うちもFortiの200か100を買うつもりなんですが、安定性はどうですか？
こけたりしますか？
VPNとしては使うつもりないのですが

Fortimanagerっていつでるんでつか？

保守age

>>4さんカムバァーック！！

>17
4じゃないけど...
５か月目になるけど特に問題はでていません。
うちの若いのが本稼働する前にスループット
測ってましたが結構よかったらしいです。
ＦＷ／１からの乗り換えなので上もコストが
下がって満足してます。。

なにか問題があった時に首がとぶのは私なんで
マイナー製品を使うのはやだったんですがねえ。

どなたかクライアントソフト経由のIPSecやっている
方みえませんか？クライアントの動作が不安定になると
こわいんですが。

>>21
うほっ！
安心しました

他に気になるのはウィルスがスルーしちゃうとか噂あるけど、そこんとこどうなんでしょう？
実際に使っている方

保守

22>
10M以上のファイルはスルーしまつ

>>24
ウィルスファイルがスルーするかどうかのテストはやりそびれたのですが、
10MB以上がスルーするってのは、そういう設定なのではないでしょうか？
既に検証機を返してしまたので忘れましたが、スキャンするファイルサイズの
上限を設定するところがあったと思います。

ちなみに、指定するファイルサイズは、解凍後のファイルサイズです。

機器のﾊﾞｯﾌｧが10Mしかないと思われ・・・

>>26
ひょっとすると、バージョンの違いとかあるのでしょうか･･･。
ちなみに私が使った機器は FortiGate400 Ver2.5 MR4です。

どこにあるかは忘れましたが、以下のような画面が無かったでしょうか？
ttp://www.geocities.co.jp/SiliconValley-Cupertino/5773/fortigate/img.jpg
ここに10と書かれているので、圧縮したウィルスファイルは解凍後10MBを超えると、
スルーすると代理店に聞いています。

ただ、>>26さんがいうようにバッファの容量の問題はあるかもしれませんね。
以前、NetScreenスレでFortiGateが話題になった時、HDDの無い機器だと
スルーするというレスがあったので、小さい機種だとあり得るかもしれません。
確か、上位機種はメモリの容量が大きかったと思います。

本当でつか？
Fortiはｽﾙﾌﾟｼﾄをageるため10M以上はｽﾙｰ汁と聞きまつたが・・・？

>>28
全て代理店から聞いただけのうえ、記憶がやや曖昧で申し訳ないのですが、
確かにファイルサイズの指定は、スループットに影響があると言っていたと思います。
また、Fortinet曰く、10MBを超えるファイルの中にウィルスがあるということは、
まずありえないので、デフォが10MBということらしいです。

>>29
ｻﾝｸｽｺ
ところでFortiユーザー？

>>30
ユーザーというよりも、近々お客さんの所に導入するので、
検証機を借りてただけです。

会社のFG200を設置前に開けてみたことがある。
筐体でかい割にずいぶんコンパクトなボードで驚いた(ややがっかり)。
CPUもFortiASIC(FPGA?)もフィンがかぶっていて型式はわからなかった。
メモリは256MBのDIMMが一基。以前検証用に借りたFG100も全く同じボードと
メモリ構成。恐らくFG50もボードは同じではないか？（メモリは少ないかも)
FG60は後から出たのでわからないが違うかもしれない(ETHERポートの数とか)
下位機種のスループット、セッション数の制限はソフト的にかけてるのかな。
CFカードスロットがオンボードで実装されておりここからFortiOSがロードされる。
FortiOSのバイナリもAVパターンファイルもそれほど大きくないみたいだから
ワークメモリはかなり余裕がありそう。

アンチウィルスフィルタをSMTPにかけるとテスト用にウィルスを
送信してもエラーメールが送信者に返送されるだけで削除したって
文面が付加されない・・うちだけかな？
POP3にかけるとどうなるかはまだテストしてない。
設定した文面は日本語もOKだって代理店の人はいってたので
大丈夫だと思うけど・・

ウイルスチェックが働きすぎて、ｱﾌﾟﾃﾞｰﾄできませんですた。

BBで買った奴って、
Foreinetサイトユーザ登録いるんだろか？
（BBにはユーザ登録済み）
BBに聞いてみたが１０日ほど放置されてます。

日本語サイトまだ〜

Fsasのバリアパワーアップソリューションの基本パックって
FortiGate200だよ。
http://www.fsas.fujitsu.com/solution/s01nbsolution/nb01network/n01_02barrier/index.html

>>36
拡張パック、フルパックもFiortiなんでつか？

>>33
エラーメールを返すというより、smtp のセッション中に 500番台のエラーコード
を返しているだけです。エラーメールを作成しているのは、接続してきた smtp
server。

>>37
うんにゃ、拡張パックは定期的なセキュリティ診断とレポーティング。
フルパックは、サーバーとクライアントのウィルス対策を提供している。

金曜日、ケソ・ジーに会いに行きまつ。

FortiGate Home(FTTH)出ないかなあ。
100BASE-TX x 2 port
同時ユーザ数：5
PPPoEスループット：90Mbps以上
FireWallスループット：90Mbps以上
VPN：なし
実売価格40千円以下希望。

httpのウイルスチェックも出来るみたいだけど
実際はどうなんだろう？

もう疲れたぽ（´へ｀）

>>42
サンプルのeicarで試してミレ。
httpだとエラーになる。

ただ、ルーターとして動かしておいて、Winの共有フォルダーの中に
ウィルス置いて、それをFortigate経由でコピーしようとすると
エラーにならない。
どうも、httpやftp、smtpなんかじゃないとチェックしないようだな。

最新のファームだとまたわからんけど。

ルータとファイアウォールの間に置く
FortiGateのIDSの能力はどの程度ですか。

>>45
ﾅﾝﾁｬｯﾃが良く似合う。(w

>>45
>>46の言うようにﾅﾝﾁｬｯﾃが良く似合うというレベルですね。
IDS機能に関してはオマケだと思います。
そういえば、Ver2.5MR4.0ではIDS機能で攻撃パターンのON/OFFが
まともに動かないバグがありました。MR5.0では修正されるようです。

>>46
>>47
ありがとう。
やはり値段からすると妥当なところですね。
HTTP、FTPのアンチウィルスで使用します。
IDSはやはりISSですか？

それはそうと、こいつのPPPoEの実行スループットはどのくらいですか。
（値段が手頃な手頃なFotiGate200ぐらいで）

ttp://www.fortinet.com/jp/
日本語サイト、ｷﾀ━━━(ﾟ∀ﾟ)━( ﾟ∀)━( 　ﾟ)━(　　)━(　　)━(ﾟ 　)━(∀ﾟ )━(ﾟ∀ﾟ)━━━!!

>>45
ﾅﾝﾁｬｯﾃIDSやｳｲﾙｽﾁｪｼｸ、VPNをやったらかなり落ちると思われ。
情報ｷﾎﾞﾝﾇ

>>48
ウイルススキャンのやり方次第ですね。
聞いた話ばかりで申し訳ないのですが、httpフルスキャンをやった場合は、
カタログ値の3DESの半分程度だそうです。
なので、FG200でhttpフルスキャンをすると25Mbps程度だということで･･･。
ま、SpeedTestのサイトや、Vectorからデカイのをﾀﾞｳｿしないかぎり、
気にならない程度かと思います。

age

>>44
アンチウィルスとして対応してるプロトコルがhttp・ftp・imap・smtp・pop3だけだな。
まぁポートの追加はできるからhttpだけど81使ってる〜とかいうとこでも平気らしいけど。

遅レスだが一応。

>>38
smtpのセッション中にエラー返すか、
受信者に文面追加して通すかは設定次第。

>>27
2.36までは10MBまでチェックでそれ超えたらスルー。
2.5からは容量可変になっていて、
搭載メモリの約14%を上限として1MB〜設定可能。
それ超えたらスルーするか止めるかは選択可能。

>55

搭載ディスクじゃなくて、メモリなんでしょうか？

>>56
FortiGateのウィルスチェックはメモリしかテンポラリに使用しないので、
メモリに依存します。
HDDは隔離された後のウィルスファイルとログ用です。

搭載メモリはFG50が64MB、FG60とFG100が128MB、FG200〜FG500が256MB、
FG1000が512MB、FG3000〜FG3600が1GBです。
ただしFG300の初期ロットは128MBのものがあります。
それぞれの約14%が上限。

>57

なるほど。
ということは、FG５０は最大でもやはり１０M
その他が18M,35M,７0M,140Mといったところ？

なんか勿体無いな。HDD搭載している場合、速度犠牲にしても
ワークに使えるようなオプションが欲しいところだな。

ところで、このファイルサイズって、圧縮ファイルの場合は、
展開後のサイズですか？もしくは、圧縮ファイル自体＋展開ファイルサイズ？
中身を見ているんだから、展開前というなら、gzみたいなストリーム圧縮ファイル
だけしかサポートできないよね。

>>58
すんまそん、一部間違えてました。
FG100のメモリは256MBでした。

で、チェックできるサイズが、表記を見ると9MB、18MB、37MB、73MB、あと不明
となっています。
HDDは、たしかにもったいないですよね。
大きいサイズだけでもHDD使えるようにリクエスト出してみます。

圧縮ファイルの場合は展開後のサイズです。
ストリームでチェックしているわけではなく、いったんFortiGate内に取り込んで展開してから
スキャンかけます。
圧縮ファイルのサポートは「zip, lzh, rar, gzip, tar, upx」で、12階層まで展開します。
そんなに多重に圧縮するやついねーよ！って感じですな。

>>58
ウィルスチェックにオンメモリでしか動かない点については、
FortiNetの言い分としては、速度重視なのでできないと言われたことがあります。
まぁ、ウリの部分を犠牲にする意味があるのか？ってことだと思いますけど、
ユーザーに選択させるのもいいと思うんですけどね、自分としては。
でもあまりサイズを増やせてもデメリットもでてくるので、
実際に設定するサイズとしては10MB以下が妥当かにゃ。

InfoSphereIP8タイプをADSLで使用中、CIDRなIPを8個もらっております。
現状は、ADSLモデム→ルータ→SonicWall DMZを繋いでいるんですが
FG200納入後は、ルータを省いてADSLモデム→FG200の直結にしようと
考えています。何処かで、FGのPPPOEではCIDRアドレスは扱えないと
見た覚えがあるのですが、現在のファームでも同様なのでしょうか？

ルータを省ければIPが1つ余るんで他に回そうと考えてます。

>>61
ダメなのは2.36の頃の話で、2.5では対応しています。
ただしWebUIからは設定できません。CLI（sshとかtelnetとかシリアルコンソール）で設定することになります。

メモリ増設ってできるの？
開けて勝手に挿すなり挿し換えてｏｋ？
オプションでカスタマイズできるの？

こいつのアンチウィルスの実力はどうよ。
WildListのものは問題なく検知、駆除できるのかい。
カテゴリ外だけどVB100%とれる実力あんの。

>>63
モデルによってはDIMMスロットあったりしますが、さしたことはありません。
公式にはカスタマイズ不可です。有料オプションもありません。
月曜にでもさしてみます。

>>64
WildListのは100%検知できると言っています。メーカーが（ｗ

実力っていうか、検知できるウィルスの数はトレンドマイクロとかに比べると極端に少ないです。
ただ、メーカーが言うには、DOSの頃のものとかもう出て回ってないウィルスとかは対象外だそうな。
新しい物・危険度が高い物に対応ってことらしいです。速度確保の為。

>66
>メーカーが言うには、DOSの頃のものとかもう出て回ってないウィルスとかは対象外だそうな

そのメーカコメントは前から聞いていたし、
現実に日本企業の社内NWには、古いウイルスが、ゴロゴロしている例も
多いことを伝えたんですけどね。

手持ちの（届いて隔離してあった）ウイルスを、試したところ、チラホラ抜けたし、
展開後のファイルサイズ制限を超えたらすり抜けるという仕様だと
困る例が多くて、なかなか薦められないでいます。

＃実際、展開すると１００M超えるけど、圧縮すると数十Kどまりなんて
＃ファイルは、簡単に作れるし、これにウイルス付けて送られると。。なんですよね。
＃ウイルスを送る人間は「悪意を持って」行うということを認識して欲しいんですけどね。
＃（二次災害は除く）実際、特定のクライアント用アンチウイルスソフトだけ
＃すり抜けたり、書き換えたりするウイルスは、良く転がってたりするぐらいですし。

補助的に使う分にはいいんですけど＞Forti
アンチウイルス機能を売りにするには、まだ不満といったところです。

>>67
つーか、外から急速に拡散してくるようなWarm対策がメインだからな。
社内ネットワークに蔓延するタイプの奴。httpやsmtpを介さない奴は
適用外だろう。
とりあえず、これまで別サーバーを立てないといけず、ネットワーク構成や
FireWall設定が複雑になる原因だった、VirsuWall並の機能を持ってれば
漏れは十分だけどな。

あと。その「抜けた」ウィルスがどういう奴で、どの様な構成だと通り抜けたのか？
そのウィルスはWildListにのってるのか？
というのはどうなんだろう。

>68

先にも書きましたが、ただのメール添付ファイル送受信テストですよ。
展開したらサイズが膨れるようにしたテキストファイルアーカイブに
ウイルスくっつけて送信。（もちろんリストにあるもの）

チェックできない添付ファイルは、削除するか弾いてくれる方が
提案しやすくてうれしいのだけど、そういうふうになったの？

>>69
55に書いたけど、チェックできない大きなサイズのファイルは
スルーするかブロックするかを設定で選択可能です。

>70

じゃあ、あとは、顧客の運用体系だけが問題になるだけですね。
良かった、良かった。

>>62
うっ！
コンソールから操作できるんだ
知らんかったよ
どっかにマニュアルとか上がってる？？
きっと、暮れ！って言えばもらえるもんじゃないよね？

あと話変わるけど、ウィルスキターーー！！メールにメールのヘッダー情報とかって表示できないんでしょうか？
誰宛のメールだか知りたい場合もあるんですよね
誰か知らないかしら
マイナー製品？だから情報少ないよね

>>72
CLIリファレンスあるけど、買った人にしか渡してないなぁ。Webとかには落ちてないし・・・
どっかのリセラーに聞いてみるとくれたりするかも？？

うぃるすきたーーー！メールって管理者宛のアラートだよね？
だとしたら表示されますよ。

ウィルス名、プロトコル、SourceIP、DestIP、fromアドレス、Toアドレス　が表示されます。
それぞれ変数になってて、メッセージ自体カスタマイズできるし。

やっぱまだマイナーっすよね。知らない人多いし。
自分はもう1年半さわってる。って言ったらバレそう・・・

>73

S.A.さんとこの人かなぁ。

>>66
ICSA Certified Anti-Virus Productsだからって
WildListのものを100%検出できるわけではない。
VB100%受賞は意外と難しい。

高速化のためのASICじゃないのかなあ。
ASICなんてパターンマッチングくらいしか
使い道なそうだし。
WildList以外を対象にするかは
ユーザーが選択することであって
ベンダーの決めることではないな。

>>62
遅ればせながら、情報ありがとうございました。納品されましたら設定チャレンジしてみます。
で、CLIリファレンスは製品に添付されて来ないんですか？

ちょっと、Googleってみたらフォーバルクリエイティブさんに技術情報が少し載ってるんですね
http://www.forvalcreative.com/jpn/support/fortigate/index.html
でも、FortiOS 2.36までしか情報公開されてない・・・

>>73
どうもです
月曜会社いったら試してみますよ

CLIリファレンスも>>76のところから古いけど落とせるみたいですね
あとで読んでみます

ところでﾌｫｰﾁやっぱりﾏｲﾅｰですよね
実際売れてるんでしょうか？
あの馬鹿みたいに高い上位機種とか（ｗ
KDDIのサービスも加入者いるのかしら？？

KDDIも売ってます、40GATE。
んでKDDIに機能的なこと聞いたけど、よくわかりませんって言われますた。

>>77=72
>あの馬鹿みたいに高い上位機種とか（ｗ
馬鹿みたいに高い上位機種もまだ増えるみたいでつ。

>>76
CLIリファレンスは添付のCD-ROMに入っているはずですが・・・。
もしかして、代理店によって違うの？
そういえば、うちにあるCD-ROMは手作りっぽかったな。

どうでもいいけど、pingやtracerouteの前にexecuteと入力しなければ
いけないのはダルい。

>>76
製品にCDついてるから、それにCLIリファレンスも入ってると思います。

>>79
FG4000とか5000のことでつか（ｗ
そのまえにFG800が出てきますね、ぎがびっと持った機種が。

もともと添付されてるやつも手作りっぽいっすよね。まぁしゃーないけど。
exe pingぐらいの略で勘弁ってことで。

Fortiのスレ発見ｗｗ

CLIリファレンスはfortiのSupportにログインすればあると思うんだが・・・

>>79,80
了解です。納品されたら確認してみまつ

>>81
Fortinet Japan社員さんの降臨でつか？
こちらもユーザ登録後確認してみまつ

値段だけなら↓がお安いかも
http://www.pasoq.co.jp/shopping/hard/maker/kind/000504010090000.html
ダイワ某さんの直販サイトですが、6掛け以下のお値段でつね
以前は出てこんかったけど、私が発注したんで取り扱い開始した悪寒

>>80
>FG4000とか5000のことでつか（ｗ
>そのまえにFG800が出てきますね、ぎがびっと持った機種が。

そうです。それです。先日永田町でその話を聞きました。
つうか、4000なんて売れねぇ。
1slot単価がForti100程度ならどうにかなるけど。

>exe pingぐらいの略で勘弁ってことで。
をを、知らんかった･･･（汗
ありがとうございます。

>>83
Fortiもそんなに売れるとは思ってないのかも＜500とか
とりあえずラインナップそろえとかないとっていう表向きな面が強いっぽ。

CLIは普段から略しっぱなし。みょーに長くなるコマンド多いんで。
Intarfaceのあどれす決めるときなんて、
s s in internal m s i 1.1.1.1 255.255.255.0
で済んじゃいますよね。ってこれじゃ自分で何やってんだかわかんなくんなりますが（ｗ

>>84
>s s in internal m s i
既にInterfaceのアドレスを振った後なので、途中まで試してみたのですが
set s in internal m s i
でないと動かなかった。

っていうか、いやな現象を見てしまった。

*****fortigate # s
*****fortigate (set)# s
*****fortigate (set-sys)# interface
^
|
Ambiguous command.　　　　<=★

と

*****fortigate # set
*****fortigate (set)# system
*****fortigate (set-sys)# interface
^
|
Incomplete command.　　　　<=★

同じことをやっているのに、この★の行の違いは何だろう･･･。

>>85
yaccもlexもつかいこなせないSEなワタクシですが、CLI parser
の構文解析で、i) 複数の候補がある場合は`Ambiguous', ii) 該
当するものがない場合は`Incomplete', とふるまっているんじゃ
ないかなと思う次第です。

ネタにマジレスカッコワルですね...。

>85
ファームv2.50MR5の場合Menuには出てこないのがあるみたい
実際の最上位のコマンドには
diagnose
execute
exit
get
set
unset
sysctl　<　こいつが問題

がありました

s だと setとsysctlの区別が付かないんで
s s in の場合 Ambiguous Commandとなり
set s in の場合Incomplete Commandになるってことかな
確かMR4まではMenuに出てたんで気がついたけど
もしかしたら他にもMenuに出てこないCommandあんのかなぁ

CLIで省略形が使えるのなんて普通だとは思うけど、
こういう細かい部分に配慮して欲しいトコ

ところで誰か
diag system　と diag test 〜 の効果と使い方教えてくれ
systemの方は後ろに何持ってきてもIncompleteだし
testの方もCommand打っても変化が無くて気になって仕方がない

>>86
ネタのつもりじゃないのでｶｯｺﾜﾙくないです。
複数の候補があるということは予想しましたが、なにせ表示が
(set-sys)# となっているので、set-sysに入っているものだと
思っていました。
まさかsysctlがあったとは･･･。

>>87
えーっと、sysctl・・・
CLIリファレンスに載ってない・・・。

>>87
84は2.50 build160で確認してました。sysctlは無くなってるみたい。

diag system top
diag system matrix
とか・・・ってもしかして公開してないんだろうか。

>>72
いちおうサンプル。

Subject: Virus/Worm detected: W32/Klez_Family-mm

Virus/Worm detected: W32/Klez_Family-mm
Protocol: smtp
Source IP: 211.6.83.170
Destination IP: 203.14.2.123
Email Address From: [email protected]
Email Address To: [email protected]

ほぼそのまま引用。IPアドレスをメールアドレスは多少隠蔽。
こんな感じのが管理者(?)に届きます。


>>74
S.A.さんって誰だろう・・・思いつかないからたぶん違うと思う（笑）

>>76
もう納品されました？
そしてPPPoE あんなんばーどの設定できました？


メモリ増設のテストは忙しくてできてないです。
どなたかやってみて下さい（ｗ

>>90
納期未定でつ　＿|￣|○

>>91
発注してるのに納期未定？？？
なんでじゃろ。

FortiOS 2.8 age

前回の2.3→2.5は情報が少なくて心細かったけど、今回はここのｽﾚがあるから大丈夫（ｗ

>>93
2.8で管理画面のデザインががらっと変わりますよね。

>>94
おっ！ デザイン変わっちゃうんですね。
NetScreen3.Xから4.Xの時変更ぐらい変わっちゃいますか？

>>94
ガラっとって。。。。
2.3→2.5のときより変わってますか？？ｗ

2.5のときはIDSがだいぶ強化されたからすぐ入れたんだけど、今回はどんなもんでしょうか？

>>95
すいません、NetScreen3.Xの画面を知りません（ｗ

>>96
2.36->2.5よりも画面変わりますね。
機能も・・・
IDS・IDP部分も変わります。

>>97
うちようやく先月2.5にしたばかりなのに（ｗ

ヘルプやマニュアルの日本語訳版つてないのかな

>>99
ないみたいですね。
管理画面は日本語対応しているのに、マニュアルが英語なので
結局は管理画面は英語を使ってしまう。

そういえば、某代理店で日本語マニュアルを作成中のようだけど、
多分2.8からでしょうね。

＞＞多分、このスレにいる某代理店の方、どうですか？

>>100
日本語マニュアルより、>>61-62みたいなFAQを充実してもらいたいと思ったり
マニュアルに書いてないことを知りたいことの方が多いんだよね

>>101
確かに･･･。(汗

>>92
販社に発注は掛けてるけど、先週時点でそこへの納期が未定なのでつ
もしかすると、今日あたり納品されるかも知れません。
自社のリプレースPCとかも大量に納品されてきそうなので、
FGを触るのは後回しになりそうな悪寒

うちに来るのは、FortiOS 2.8になってるのかなぁ〜
私にとってはどのVer使っても初物なんで、2.8から入ります。
ところで、2.8でも、アンナンバード設定はCLIのままなのでしょうか？

>>100
うちは作ってないから違うな・・・（ｗ
ちなみに2.26の頃は作ってました。
今作ってない理由は、バージョンアップが早すぎて、
金かけて日本語マニュアル作っても出来上がった頃には古くなってるから。
今2.5のマニュアルできあがったとしても短命に終わるし。

>>103
2.8のリリースは2月以降の予定なので、当分2.5で納品されると思われ。
いまMR5(build133)で、1月後半・・・にはMR6で出荷されると思う。

>>104
MR5出てたんだ．．．．

>>105
11月頭には。

日曜日にはじめて触って（デモ機）SonicWallよりずっとイイ！(･∀･)
とおもつたのですが、ヘルプがすべて英語だったので (´･ω･`)シヨボーン

>>101
のおっしゃるとおり機能と制限のほとんどが理解できると
FAQがほしいのですが、最初にとっかかるときは、マニュアルとヘルプ
の日本語版はほしいです。
ヘルプだけでも日本語化キボーン！！
そうすればSonicに楽勝なり

皆さん分割メールってどう対策されてますか？

マニュアルって(´･ω･`)シヨボーンじゃないでつか？

>>108
自分とこは、スルーする設定にしてまつ。

NECも始めますた。
ttp://www.necsoft.com/solution/fortigate/

>>90
遅くなりましたがサンプルども
Ver2.36だったから表示されないみたいですた
2.5では表示できるみたいですね

ついでにお聞きしちゃいますが、2.5だとHTTPでウィルス検知やﾌﾞﾛｯｸした場合に、そのURLを表示できますか？
いまはIPしか表示できなくて、結構不便だったりします

>>111
NECも図研ネットウエイブから仕入れてるんだね。

>113

図研は商社だからね。本気になるまでは、ボリュームメリットの方が大きいでしょう。
サポートは、当てにならんけど、安いからなぁ。

>>112
クライアントのブラウザ上ではURLでますけど、
管理者宛アラートでは出ません。2.5 build160でもIPaddressのみ。

>>114
こなれた商品ならともかく、まだまだ発展途上の製品でサポートがあてにならないって痛いと思う・・・

>115
> こなれた商品ならともかく、まだまだ発展途上の製品でサポートがあてにならないって痛いと思う・・・

いや、だから安く仕入れてサポートは自社で行うところには向いているかもってことです。
こなれているかどうか別にして、図研扱いのセキュリティ関連商品って、皆そうじゃない？
RSCP -> *S-Solとか。E/Uが安いからって引くと泣くけど。

商品こなれると、こんどはサポートしてた人員が、ごっそり切られたりするけどね
(FC/ASなど）

>>115
IPだけですか
ちと残念です
ログには取られてるんだから、そのうち対応してくれるといいなぁ

FG200ようやく納品されますた。

リリースノートによると、OSは2.5MR4のようです。
手持ちの仕事が片付いたら、ぼちぼち設定を始めようと思います。
何分、初物なので設定に手間取るかも知れません、皆様のアドバイスを頂けますと助かります。
FAQになるかも知れませんが、作業経過等を備忘録代わりにカキコしてこうかとも思ってます。

皆さんはNSと比べてどう思いますか？

>>119
どこを比べたらいいの？
VPN？

>>118
おめでとうございます。
リリースのーとと製品に入ってるバージョンが違ってる可能性もあるので、
管理画面に入ったとこにバージョン出てるので、そこで見た方が確実かもです。
いちおう最新はMR5ですが、ちょっとバグバグなのでいやーんです。
だからといってMR4が大丈夫って意味ではないですが（ｗ
MR6はやくしてくれ・・・

Cerberianコンテンツフィルタのライセンスを国内で購入できるところありますか？

>>121
Fortigate-200 2.50,build133,031024　と出ました、日付が10月下旬なんでMR5なのかな？
添付CD内のマニュアル類は、中国語版と英語版でした。
納品されたのは、図研さん扱いの基本保守サービスのみ

とりあえず、internalのIPを変更してLANに接続して設定画面を眺めています。
CLIでも繋いでみて、set system interface内のPPPOE設定オプションの
ipunnumberedで設定できそうなのを確認。

さて、ISPに、10.1.1.1/29（10.1.1.1〜10.1.1.8）が割り当てられたとして（本当はGlobalアドレス）
externalインターフェースに、ipunnumbered enable borrow 10.1.1.2 と割り当てるとします
DMZインターフェースに、同様に、10.1.1.2 と割り当てるとします。

ここで、ちょっと不安になったので、図研さんのサポートにTelしてみました。
まずは、WEB-UIで基本的なPPPOEの設定をして、DMZにもアドレス付与
その後、CLIで上記設定を行って出来上がりのようです。

後は、既存のファイアウォールポリシーやNAPTの設定等を行えば、SonicWallと差換えられそうです。

＃この手の設定って、かなりの所で必要だろうからペーパ一枚入れておいてくれれば助かるのになぁ〜

>>123
build133はMR5ですね。
CLIでPPPoEの設定をしたら、WebUIでExternalの設定はいぢらないでください。
いぢったとたん、ipunnumberedはdisableになります。
アクセス制限など、あの画面で設定できる部分は先に行っといたほうがいいです。
んでもってCLIで。
べつにWebUIでPPPoEの設定を先に行う必要はありません。

この部分は、たぶんMR6でWebUIに追加されるんじゃないかなぁ・・・と予測。
でも予測を裏切られること多しなので期待してないけど。

？？？？

>>120
VPNとか、ｽﾙﾌﾟﾄとか、安定性とか、です。

>>126
うちはVPN他の製品使ってるからわからないなぁ
っていうか皆さんVPN使ってるんでしょうか？

安定性はいまのところ問題ないよ　ﾄﾗﾌﾞﾙなし
ｽﾙﾌﾟﾄはHTTPｽｷｬﾝしてるせいか結構落ちるね
FG200ぐらいにしとけばよかった

>>127
うちはIPSecとPPTPを使ってます。
IPSecは今の所問題ないです。
PPTPは若干問題ありってところです。(FG60 MR5)
この問題は通常起こらないとは思います。

っていうか、くだらないバグの多さはNetScreen並かと思います。

>>128
バグってVPNがらみ？

>>124
うっ、MTU辺りをいじってしまったかも、CLIで再度設定しまつ
そうですね、出来る所はWebUIで設定してます。コマンド打つの案外面倒ですので

今日は、FireWallの辺りを少し触って見ることにします。

Internal(LAN)のあるマシンは、NAPTの設定が必要なんで
バーチャルIP部分でGlobalIPとInternal(LocalIP)を、スタティックNATで対応させます。
さて、この割り当てたバーチャルIPに対するポリシーは、From external/dmz To internal
From internal To external/dmz、つまりinternalを基点に設定すればよいのですよね？

あれば嬉しい機能：
SonicWallにはあるんですが、WebProxyを中継してくれる機能
トランスペアレント（クライアント側PROXY設定無しに）にProxyサーバに中継してくれます。
ディスク持ちモデルなら、FG自体がProxyになってくれてもいいかも

PPPOEマルチセッション対応
これは、インターフェース設定でVLANを追加すれば可能なのかなぁ〜

>>128
くだらないバグっていうと、ftpでアンチウィルスを有効にしてると
日本語ファイル名のやりとりができないってことですか（ｗ

#MR5のみ

>>130
get system interface
ってコマンド打ってみて、Interface externalんとこが
desired ipunnumbered addr: disabled
ってなってたらWebからいぢっちゃったってことになりますね。
有効であればIPアドレスが入っています。

バーチャルIPでExternalとInternalの対で設定された場合は、
ポリシーではExternal to Internalの設定になりまつ。
って、あれ、unnumbered設定をしていてDMZにグローバルがありつつ、
ExternalからバーチャルIPですか？
ExternalInterfaceのアドレスをポートフォワーディングするのは試しましたが、
それ以外のアドレスをStaticNATする設定やったことないです。
ちと試してみますが、もしかしたらダメかも？

PPPoEマルチセッションは今はダメなはず。
でもってFortiUSAがあまりやる気なさそう。
日本以外で需要なさそうなので。

>>130
やっぱりバーチャルIPの設定で選んだInterface以外ではポリシーに選択が出てこないですね。

>>132
>>133
まだ、externalをInternetに繋いでいないので確認できませんが
バーチャルIPのテスト設定を行ってみた所、確かにexternal to internal/dmzの
ポリシーにバーチャルIP設定が現れることは確認しました。
ちょっと、気になるのはinternalのローカルIPを割り振ってるのに、dmzの所にも
宛先にバーチャルIP設定が現れることです。

staticNATで、external to internalの通信が出来ればOKなので
From external側でバーチャルIPに対してアクセス制限をかけ
From internal側でバーチャルIPに対応するローカルIPでアクセス制限をかければ
良いのだろうと解釈しておきます。
ローカルIPだけだと、判りにくいのでアドレス設定で判りやすい名前を付けて管理しまつ
現状だと、バーチャルIPとローカルIPの2つを意識してポリシーを設定しないと
いかんようなので、改善されると嬉しいですね。

上記設定での挙動は今のところわかりませんが、NAPTするホストはそれほど重要でないので
現時点でうまく通信できなくてもやむなしです。

PPPoEマルチセッションは現状むりですか、うちの環境だとフレッツスクエアを使うぐらいしか
現状用途はないですが、フレッツグループとか使いたい所には厳しいですね。

またまた、質問で恐縮です。
ポリシーの中のNAT設定の効用つうか用途は何なのでしょうか？

>>134
DMZにグローバルを振った状態でのExternal->Internalへのアクセスは
明日にでも試してみましゅ。余ってるunnumberedのアカウントとADSLがあるんで。
今日やらない理由は早く帰りたいから（ｗ

ポリシーの中にあるNATのチェックボックスは、IPmasqするかどうかです。
どのポリシーにも存在してるのは、どのポリシーに対してもIPmasqできるから。
たとえばExternal to InternalのポリシーでNATのチェックボックスを有効にすると、
インターネット上のアドレスは全てFortiGateのInternalのアドレスへ変換されます。
Internalにある鯖（？）から見れば、アクセス元が全てFortiGateのInternalのアドレスになります。
Internal to Externalのポリシーで使えば普通のIPmasqの動作になりますね。
逆の使い道は。。。なんだろう？　あんまり使わないですね。
Internalの鯖でデフォルトゲートウェイを設定しなくても使えるぐらいでしょうか。ってやっぱり意味無いですね。

>>134
バーチャルIPの先をInternalのローカルIPをふってるのにDMZのポリシーに出てますが、
そこで選択しても全く機能しません。
出ないようにしてほしいですよね。って言っときます。

>>135
明日にでも確認よろしくお願いします。今日はクリスマスイブですしね。

とりあえず、現状のセキュリティーポリシーを、サービス→グループ設定などを
使って構築しています。

>>137
ごめんなさい、今日やる予定だった検証できてません（汗
今日突然MR6(2.50 build171)がリリースされて、そっちの検証が優先になってしまって・・・

>>131
ここで書いたことの他に、pptpでアドレスの範囲を2つにすると、
次の3つ目がpptpクライアントに割り当てられてしまうことです。
Fortinetや図研さんでも現象の再現が出来たようなので、
対応してくれるようですが、出たばかりのMR6で改善されているのだろうか･･･。
# ま、こういうアドレスの割り当て方をした漏れも･･･（汗

>>138
うちのFG200は早速MR6にアップデートしますた。

既存のFirewallポリシー、NAPT設定等は一応完了し、後は繋いで見るだけですが動かなかったらピンチです。
検証結果お待ちしております。

>>140
やってみますた。(MR6で)
ExternalはPPPoE unnumbered、DMZはぐろーばるをstatic、
InternalはローカルIPです。
で、バーチャルIPをExt->Intで書き、ポリシーにも書き、、、

それでExt->Intのアクセスできました。
ただ、やっぱりDMZ->IntのグローバルIPでのアクセスはできませんでした。
Ext->Intの許可をしているグローバルIPには、Extからしか入って来れません。
DMZからIntへの通信が必要な場合は、
実際にふられているローカルIPへのアクセスをする必要があります。
もちろんポリシーを書くことが前提です。

>>141
お忙しい所、検証ありがとうございます。
実は、◆.p586Vj8xIさんの検証を待たずに、接続してみました、こちらの環境での結果はＯＫでした。
今もFG200越しにカキコしてます。
検証いただいた条件と、私の環境は若干違うようなのでＯＫな例を書かせていただきます。

・ExternalはADSLモデム直結のunnubered設定
　仮に、10.1.1.1/29
・ExternalのグローバルIPを、InternalのローカルIPにバーチャルIPでStaticNAT
　External自身のIPは、10.1.1.2/29　バーチャルIP対応は、10.1.1.3/29：192.168.0.1
・DMZのグローバルIPを、InternalのローカルIPにバーチャルIPでStaticNAT
　DMZ内鯖IPは、10.1.1.4/29　バーチャルIP対応は、10.1.1.4/29：192.168.0.2

私の環境では、DMZ内もグローバルIPという事です。

少しはまってしまったのが、ポリシーの設定でした。
Intenal to DMZは、通信できるのに、Internal to Externalの通信が出来ない。
はて？はて？と思いつつ、ログを眺めると、HTTP等のリクエストは送ってるが
戻り先が、External自身のIPで行き止まりになってました。
Internal to ExternalのポリシーにNATをチェックして解決です。ちゃんちゃん

次は、アンチウイルスの設定に行こうと思ってるんですが、またまた？です。
うちでは、基本的にHTTPのアクセスはDMZ内のPROXYサーバ経由です。
プロファイル内にはHTTP等のチェックボックスがあるわけですが、これは
サービス内の初期設定内のサービス名に対応してるんですよね？
初期設定ではHTTPはtcp/80となっていて、PROXYは違うポートなんで
チェックから外れちゃうのでは？と思っています。じゃあ、カスタムでHTTPの所に
ポート追加したろと思ったら、FGに駄目って怒られてしまいました。
これも、CLI設定行きのパターンなんでしょうか？それとも、ポートとか関係なく
パケットの中身を見て、FGがうまいことやってくれるんでしょうか？

>>142
> ・DMZのグローバルIPを、InternalのローカルIPにバーチャルIPでStaticNAT
> 　DMZ内鯖IPは、10.1.1.4/29　バーチャルIP対応は、10.1.1.4/29：192.168.0.2

ここ間違いでした。
DMZ内鯖IPは、10.1.1.4/29　バーチャルIP対応は、10.1.1.5/29：192.168.0.2

>>142
「HTTP」という名前のサービス（デフォルトで入ってるやつ）は、あくまで80/tcpのみです。
で、アンチウィルスの機能として対応しているhttpも、80/tcpのみを見ています。
ただし、アンチウィルスのhttpとしてのポートを追加することは可能で、
これはCLIのみになります。
上記２つの「http」の名前の対応は別々になります。

今回のケースでは、クライアントがInternalにいて、DMZにproxyサーバがあり、
そこからInternetに出て行くだけだと思われますので、
Internal->DMZへの通信はウィルスチェックせず素通しして
DMZ->Externalへの80/tcpをウィルスチェックすれば大丈夫だと思います。
proxy用に使用しているポートを追加する手もありますが、それだと手間かかると思うので。

ポリシーとして必要なのは、Internal->DMZのproxy用のサービス、
DMZ->Externalの80/tcpのサービス。
（DNSが必要とか、そのへんはあたりまえとして）
でいいんじゃないでしょか？


ちなみにCLIでアンチウィルスのhttpとして認識するポートの追加コマンドは、
set antivirus service http port add 8080
です。（8080は例）

>>144
いつもありがとうございます。
了解しました、やはりCLIで設定ですね。

ポリシーの方は色々あるんで、CLIやWebUIで色々ごにょごにょやる必要がありそうです。
さしあたり当面の運用に差し障りの無い設定は出来ましたので、その他の機能はマターリ
触っていこうと思います。

誰か管理コンソールのログインURL誰か教えてくれませんか？
https://xxx.xxx.xxx.xxx〜だったと記憶してるんですが・・・
またＩＤＳセンサーの設定が飛んだみたいです。
頻繁になりますが誰か同じ症状で悩んでる人いませんか？
私今帰省中で会社に行いけないし、ベンダー休みだし・・・
このままだとアラートメールが止まりません。
本当に困っています。

>>146
https://FG2000のIFのIPアドレス/
でしょ？

> またＩＤＳセンサーの設定が飛んだみたいです。
> 頻繁になりますが誰か同じ症状で悩んでる人いませんか？

またってことは以前も飛んだのですか？
っていうか、飛ぶものなんでしょうか？
そういえば、以前書いたIDSのチェックのON/OFFが効かない件はMR5で
修正されたはずなのに、まだ改善されていないっぽい。
もしかして、うちもその飛んだのだろうか・・・。

導入後半年位です。
飛んだのは3回目です。ＩＤＳセンサーのところで200番、212番ってチェック
いれますよね。あれです。
設定が飛ぶのはこれだけです。
その他のポリシー設定とかは飛んでないです。
https://FG200のIFのIPアドレス/の後に何か付くんです。
誰か知ってる人いないかなー・・・

>>147
MR5でもまだ設定が反映されないあたりの不具合残ってます。
MR6で修正されたと聞いています。

>>148
200番？212番？なんで番号？？
そもそもどのバージョンを使用されていますか？
アドレスは最後の/の後は何もつけなくて大丈夫です。
何も付けないで見えないなら、何かを付けても見えません。

うちのFG200だけなのか、時計がやたらと遅れて行きます。
ntpの同期設定は行っているのですが、同期してないように思われます。
ntpサーバは、ntp1.jst.mfeed.ad.jp　を設定、同期周期は60分にしてあります。

本年は皆様ご助言ありがとうございました、よいお年を、、、

>>150
MR6の段階でも、NTP鯖はFQDNで認識できないバグが存在します。
とりあえずIPアドレスで入力しておくしか今は手がありません。

>>150-151
FortiGateに限った話ではないですが、IPアドレスで指定するか、
FQDNで指定するかって結構悩むんですよね。
IPアドレスだとアドレスが変更になった場合接続できないし、
DNSだとDNS鯖が氏ぬと接続できない。

IPアドレスで指定する方がリスクは低いと思うのですが、
Y!Japanのように年1ぐらいでアドレスが変わっているところを
見てしまうと考えてしまいます。
# 私はY!のDNSRRでババを引かないようにhostsに書いているので、
# こういうアホな悩みを持ってしまうわけなのですが･･･。
スレ違いｽﾏｿ。

管理コンソールに入れました。
やはりＩＰアドレス指定だけでＯＫでした。
ご迷惑おかけしました。
ベンダーから指定されたのはＩＰアドレスのあとに何かついていたので・・・
NIDS ALERT: ICMP PING CyberKit 2.2 Windowsってなアラートが
5秒に一回来てアラートメールが2万件以上で大変です。
今は設定をしてＯＫなのでアラートメールはとまっています。
ちなみにベンダーからは年末にバージョンをあげろと言われたので
新年早々にバージョンアップして様子見です。

あけましておめでとうございます、本年もよろしくお願いいたします。

>>151
MR6のリリースノートを見てみたら既知の不具合と書いてありますた。
IPアドレス指定でしのぎます。

>>142で設定した、NAPTの設定を少しいじってみたら通信できない
ケースがあるようです、具体的には以下の通りです。

ヴァーチャルIPで、Ext→IntのStaticNAT設定を、ポートフォワーディングで
ポート指定すると、dmzに対してアクセスしようとしているようです。
ポートを限定すれば、ポリシーに書かなくて済むと思ったんですが
現状無理そうなんで、StaticNAT＋アクセス制限ポリシーで運用します。

>>154
ポートフォワーディングでもポリシーに書くのは必須になります。
ポリシーに書かなかったらDMZに行ってしまったのは、
もともとそのアドレスがDMZのセグメントだからだと思います。たぶん。

age

>>156
ｦｲｦｲ･･･。代理店がふしあなさんでageるなよ。
思わず笑っちゃったじゃないか。

>157

受けた、受けた。
CheckPointスレのJ社とN社のやり取りみたいなこと起きないかなぁ（藁

>>156
たまにですがお世話になっておりますｗ

どうでもいいが、oracle位まともに通るFW作れよなｗ
今時、WAN間に使えないって業務で使えねえジャンかよ；；

>>160
WANにFWおかなければいいじゃん。まさかインターネットに？？？
ちなみに160のお客さんの話だよね。自分の会社でやろうとした？

>160
いまどき、動的Portでしか動かないOracleを使う方が
問題では？
（どうしても使いたければ、FW-1導入してください）

固定Portで動くようにしてあれば、大抵のFW通りますので。
（今のOracleは、固定が普通）

MR5使ってる人はMR6にしましょう〜♪

>>163
うちはまだMR4なんだけど、リリース情報とかってどこ見ればわかるのでしょうか？
フォーチのメールニュースは購読しているのですが、そういう情報来ないし（2.8は来たけど）

>>164
fortinetのwebにアカウント登録してるのであれば、
ファームウェアといっしょにリリースノートも見れたと思います。
たぶん。。。。
なければ買ったところ（or サポートしてくれるところ）に聞いてみるのがいいかと。

質問です
FG200へVPN接続するのに、他拠点からADSL+Routerで各クライアントにクライアントソフト（SSH Sentinel）入れて
同時に接続なんて出来るのですか？　拠点のIPは非固定で。
同一IPでのダイヤルアップVPN接続は蹴られちゃうかな？

>>165
レスありがとうございます
メールでお知らせが理想だったんですがダメみたいですね
このスレちょくちょくチェックするようにすればOKかなｗ

FG300って構成した内容をファイルに出力できますか？

壊れた時、このファイルを読み込むだけで設定が復帰できたらうれしいのですが。

>>166
たぶん出来ないと思います。

>>168
設定ファイルは保存可能です。
ただ、アンチウィルス検知時のメッセージ等、一部保存されない部分もあります。

ありが�d＞◆.p586Vj8xI

仮に設定クリア状態になっても、保存したファイルから戻せます？

>>171
ファイルから戻せば、現状の設定は全てクリアされてファイルに保存してある設定になります。

MR6にうｐしますた。
以前書いたくだらないバグがなくなりますた。

設定ファイル保存で思い出したのですが、adminユーザーでないと設定ファイルを
保存出来ないのですね･･･。adminにtrusthost制限をかけたので、バックアップを
リモートで出来なくて鬱でした。

重ね重ねありが�d＞◆.p586Vj8xI

さて、どこから買おうかなぁ〜。やっぱマクニカでしょうかね。

>>173
adminとread&writeユーザーの違いってあんまり無いけど、
設定バックアップできないのは不便ですよね。
adminのtrusthostに複数かければいいんですが、１個しか書けないから中書くと外が書けない・・・
WebUIではread&writeユーザーはFGの再起動も出来ないですが、
sshで入ったら普通に再起動できちゃいます（ｗ
設定とるときは、sshで入ってget configで取ってます。
ヘッダつければそのまま戻せるファイルになるので、まぁそれでもよいかなと。

>>174
うちは図研扱いのを、付き合いのある商社から購入しました。
設定はFG200に付属してきたUSBメモリにバックアップしています。

ぷらっとホームでも取扱い始めたね
仕入れは図研からみたいだけど

図研のサポートの方ごめんなさい。
リリースノートでfixされたバグと、対応中のバグを混同したバカは漏れです。＿|￣|○

みんな図研からなのかぁ。

>>177
それは、去年の春くらいから扱っていたと思う。
調べたら、平成15年5月28日開催のイベントの案内が来ていたよ。

すみません、知っている方がいたら教えて頂きたいのですが、

購入後一年経つと、本体のアンチウィルス機能が停止してしまうのでしょうか。
それとも新規の定義をとる為のアカウントが無効になってしまうイメージですか？

あと、パソQ(www.pasoq.co.jp)などで次年度以降のハードウェア保証を
買えば更新できるのでしょうか？

>>181
１年？
とりあえず製品だけを買った場合のアンチウィルスのライセンスは90日ですが・・・
で、期限がきても機能自体は動いてます。定義ファイルが取得できなくなるだけです。

パソQのことはよくわからないので、パソQに聞いてみてくだされ・・・

ありがとうございます。
たとえばFG200で、これを買って ttp://store.nttx.co.jp/_II_FG10960488
一年切れる前にこちらを買えばOKです？ ttp://store.nttx.co.jp/_II_FG10960307

>>183
それだと、アンチウィルスのライセンスが90日で切れて、次の１年のを買うまで
アップデートができなくなってしまう気がします。
nttxが仕入れてる販社がどういう扱いにしてるかにもよりますが、
本来、定価638000円のFG200自身は、ファームウェアアップデートが1年ありますが、
アンチウィルスidsのシグネチャデータベースの更新期限は90日に設定されています。

もしかしたら初年度分は販社が製品に含んだ形で販売してる可能性もありますので、
買うところに問い合わせてみてください。

あんまり答えになってないみたいでｽﾏｿ

>>181
私はパソＱつうかここの出資会社のひとつから購入した口です。
パソＱから購入しようとすると、多分私と同じ扱いになるかと思われます。
NTT-Xでも同様かも知れません。
（商品構成とか価格を見ると大本のDBは同じように見受けられるんで、、、）

FGは図研さん扱い

初年度基本（センドバック）保守サービス込み、内容は以下
・保障期間1年
・ハードウェア故障時のセンドバック対応
・ファームウェアの最新バージョン提供
・AntiVirus/NIDSデータベースの提供（更新権利）
・技術問い合わせへの対応

で、次年度以降1年間ハードウェア保障を購入すると上記が継続されるのだと思います。

うちに出入りしてる図研さんの担当さんは、
このスレ見てるって言ってたな。降臨ｷﾎﾞﾝﾇ。

MyDoomとかもしっかり弾いてくれていい仕事をしてくれている
うちのFG200ですが、アラートメールをちっとも送ってくれません、、、

DNSはDMZ上のと、Externalのプロバイダのを指定しています。
SMTP ServerにはFQDNでDMZ上のメールサーバを指定し
SMTP Userにもちゃんと、[email protected]で指定しているのに適用しても
テストボタンが無効のままでテストメールすら送れない始末です。

何故なんだ〜〜

閑話休題
Virusチェック等で一度取り込むみたいなんで、FG自体のRWINとかの
TCPパラメータをチューニングしようと思ったんですけど設定項目が
ないみたいですね残念。

diagしてみたら、CPUはCeleron300MhzだったりNICは蟹8139だったりで
高い割には案外チープな作りなんですな。

>187
> 高い割には案外チープな作りなんですな。

NOKIAやRSに比べれば、高性能ＣＰＵだね（w;
やはり、ウイルススキャンのためだろうね。
ＮＩＣは気にいらないけど。＞蟹
トラブルの元だから。

>187

適用おしてるかい？

>>188
ウイルススキャンとかはF32つうASICがやってるんじゃないのかなぁ〜
書庫の解凍とかはCPUのお仕事だと思いますけど

>>189
適応ボタン押しまくりですよ、、、

>190
実際のところ、どうなんでしょ。
ベースOSがLinuxとかだったら、ソース要求すれば公開義務あるんだけど。
見れば判る。（見たい）

>>187
◆FG200xXuLwさん、ありがとうございます。

切れる前に、更新ライセンスを買えばいいってことで、とりあえずFG200
買ってみます。
でもなんで大本のDB同じなんだろう？？？パソQ

>>191
diagで色々情報見てみたけど、ベースOSの痕跡とか私には判りませんでした。

>>192
お〜仲間が増えそうだ。
サポート条件とかが同じって事が前提になりますが、http://support.fortinet.com/registration.aspx
では、個別の製品登録は出来ません。図研さんの代表IDのような物に紐付きで登録されるそうです。
http://support.fortinet.com/へのログインは、この代表IDで行うことになってます。
（何人で共有しているか知らないけど、パスワード変更してくれるなと言われてまつ）

>でもなんで大本のDB同じなんだろう？？？パソQ
出資会社のBtoBシステムのDBが大本なんだと思います。
で、ASPサービスか何かをやっていて、NTT-Xとかも物流まで面倒みているんじゃないかな。

次期OSからは全機種PPPoE対応になるって

>>187
それってFG200ですか？FG100じゃなくて？
上位機種のNICはIntelだったり。

>>194
現時点の2.5でも全機種PPPoE対応なんですが・・・

>>195
ってことはこのデータシートのスペック表は古いってことなのか
http://www.fortinet.com/jp/doc/FortinetBroch.pdf

販売代理店からは「次のOSから」ってアナウンスがあったけど

>>195
はい、FG200です。以下diagの抜粋

FG200 # d h g s c
processor : 0
vendor_id : GenuineIntel
cpu family : 6
model : 8
model name : Celeron (Coppermine)
stepping : 10
cpu MHz : 300.687
cache size : 128 KB
後略

FG200 # d h g s iop
前略
8800-88ff : Realtek Semiconductor Co., Ltd. RTL-8139
8800-88ff : 8139too
8c00-8cff : Realtek Semiconductor Co., Ltd. RTL-8139 (#2)
8c00-8cff : 8139too
9000-90ff : Realtek Semiconductor Co., Ltd. RTL-8139 (#3)
9000-90ff : 8139too
9400-94ff : PCI device 15bc:4001 (Agilent Technologies)
9400-94ff : FortiASIC32

>>187
自己解決しますた、SMTPユーザ名に変な物が入っていたようです。

>>196
それは古いです。
たぶん日本語訳する人が古い資料でも見ながらやっちゃったクチでしょう。
英語のほう見たほうがいいです。
http://www.fortinet.com/doc/FortinetBroch.pdf

そして対応した代理店も日本語サイトのPDF見て答えちゃったクチなのか？
画面見たらわかるのに。

>>197
あらん、FG100とFG200ってCPU一緒だったのか。
FG100がCel300ってのは覚えてたので、FG200はてっきり別かと思ってました。すんまそん。

MyDoomがスルーしまくるんだけど！って思ってFG覗いてみたら
ウイルスパターンが１２／１３から更新されてなかったよ
そのあたりの自動処理は信用してたんでｶﾞｯｸｼ

>>191,193
x86系のlinux 2.4だと思われます。diagで見える各種メッセージが
kernel 2.4系のlinuxのそれと全く同じです（ｗ
Flashのデバイス名も/dev/hdaだったような気が…

>>200
それはきちんと管理していない藻前が悪い。

ウイルスパターンが更新されない不具合あったね
手動アップデートしたら直ったけど、あれはﾌｫｰﾁの方でもっと大きく発表してもいい不具合なんじゃないかと思ったよ

もし、情報持っていたら教えて下さい。
FortiGate 60 の上位版みたいな機種は出ないんでしょうか？
200を検討しているけど、３ポートしかないのが気になっているんで…

>201
じゃあ、Fortigateに言えば、ユーザで無くても
「ソース頂戴」で貰える筈だよね。
ましてや、ユーザや代理店なら。
少なくともカーネル組込みした部分は。

貰って公開してくださいな。
（守秘義務は無い筈）

>>198
なるほど，納得しました
ありがとうございました

しかし某代理店はこの製品あまり詳しくないってことだな

>>205
洒落でソース要求してみましょっか？
仮にもらえても私にはメリットも利用価値も何もないですけどね。

どんな文面を送ればよいのでしょうか？テンプレキボン

>207

こんな感じで、どうでしょう？

FortiGate各製品は、内部でLinuxカーネルを利用していると
見受けられます。
GNU Public Licenseに基づき、ソースを入手したいので、
メールに添付して送っていただけますでしょうか？

うだうだ言ってくれなかったら、

なお、内部にLinuxを使っているにも関わらず、著作権者表示が
無い様子が見受けられます（マニュアルにあれば削除）
これに関しては、改善されなければ、GNUに連絡を取らせて
いただくことになると思います。

>>207
洒落はやめたほうがよい。本気で欲しいと思う人が米国本社へアクセス
してみるのがよいと思う。ちなみに、Linksysも最初黙っていてLKML他
で騒ぎになり公開されて、今ではOpenWRTプロジェクトもできました。

もうすぐ2.50MR7がリリースされるらしい。

2.8の話はその後全然でないね

>>211
2.8は4月予定と聞いています。

>>210
いつごろですつか？

こいつはぬるぽワームに対応していますか？

>>213
2月中には出ると聞いていますが、遅れる可能性もあります。
ぬるぽワームとはなんでしょう？

>>210
変更点とかリークｷﾎﾞﾝ

>>214

ぬるぽワーム
ttp://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=WORM_ANTINNY.A

ウィルススキャンでタイムアウトになりまつ。
特定のサイトからのダウンロードを
スキャン対象から外すことはできまつか。

>>216
今は対応リストにないですね。
そもそもwinny経由だとウィルスチェックできません。

>>217
そんなもん、特定のサイトをウィルススキャンしないルールを書けばいいじゃん。
って、これじゃダメ?

>>219
やり方がわかりませんのでお手数ですがご教授願います。

>>220
ポリシーで書いてください。
その特定のサイトのIPアドレスのポリシーを書いて、そのポリシーではウィルススキャンしない設定にして。

>>221
ありがとうございます。
やってみまつ。

>>222
>>219で「これじゃダメ？」と書いたのは理由があってですな、
Y!JapanみたいにDNSラウンドロビンしているところでは、
ある日突然ウィルススキャンするようになるんですよ。

>>221
このあたりの回避策ってURLフィルタとかで上手く出来ないもんですかね?
DstやSrcにDNS名を使えればいいのですが･･･。

>>223
今の仕様だと無理ですな。IPアドレスで処理してるので・・・
ちょっと中の人に聞いてみます。

ウイルスパターンファイル 4.229
ｷﾀ━━━━━━(ﾟ∀ﾟ)━━━━━━!!!!!

ここでは誰もうｐだて情報はやらないのですか？

>>225
ウイルス/アタックデータベース更新はFGの中の人が勝手にやってくれるんで
私はあんまり気にしてませんね。
かきこ時点で、ウイルスパターンは4.230になってますた。

Firmの方は手作業なんで、ｷﾀ━━━━━━(ﾟ∀ﾟ)━━━━━━!!!!!　と
言ってもらうと助かります。MR7はそろそろかな？

FortiWiFi-60って、名前もっと考えられんかったんかのぅ・・・
そしてFortiLogが復活してる。過去にラインナップにあったけど消え去ったやつ。

FortiGateのまとめサイトやナレッジベース、FAQ、
ドキュメントなどはどこかにないものですか。
何をどのように設定すればよいかわからなくて困っています。

そういえば、MR6にしてから1回目のログオンに
必ず失敗するのですが、そういう仕様なんでしょうか?

>>229
MR6にしてから・・・というより、IE6のパッチをあててからだと思います。たぶん。

W32/Bagle.C-mm対応ウイルスパターンファイル 4.231
ｷﾀ━━━━━━(ﾟ∀ﾟ)━━━━━━!!!!!
W32/Bagle.D-mm,E-mmはまだこない。
新種ウィルスの対応は他のベンダーに比べてだいぶ遅いね。
１分１秒を争うワーム全盛の現在では安心できないね。

>>228
何がどう判らないのか、判りませんが、、、
基本的には次の手順で最低限使えるようになると思います。

・ネットワーク構成を決めて、「システム→ネットワーク」でインターフェースの設定とかを行って通信できるようにする。
・何処から何処に何の通信を通す/通さないかを決めて「ファイアウォール→ポリシー」に書く。
　事前に「ファイアウォール→アドレス」の所で、IPアドレスとそれに対応する名前を登録しておく。
　また、「ファイアウォール→サービス」の所で、サービスグループを作っておくとポリシーをたくさん登録しないで済む。

それぞれ個別の設定方法は、マニュアル・オンラインヘルプを参照の事
どうしても判らない時は、このスレの詳しい人が教えてくれるでしょう。
私も色々教えて頂きました。Thanks>>ALL

>>231
まだ導入検討中なんだけど、Gateway(Fortigate)のウイルス対策とは別に、
クライアントとかサーバーのウイルス対策が必要なのは、常識では無いの？
それと、Gateway側のウイルス対策ソフトと、他のはメーカーを分けると、
セキュリティが上がると聞いた事があったけど、それも常識では無いの？

それほど、詳しくは無いので、どこかで聞いた知識で申しわけないけど、
そういうものかなぁと思ってたんで、詳しい人教えて下さい。

人(企業)それぞれでしょう

>>233
自分は、ゲートウェイとPC（クライアント）は両方必要と思っています。
PCだけ or ゲートウェイだけ は避けます。

>>232
ありがとうございます。
今困っているのはノートン先生のLiveUpdateが
タイムアウトになってパターンファイルが更新できないことです。

>>233
うちはPC、サーバー、グループウェアサーバー
SMTPゲートウェイでウィルススキャンをしています。
今回HTTPゲートウェイのスキャンをやりたくてFortigateを買ったのですが、
欲が出てSMTPゲートウェイも置き換えられないかと思っているのですが、
>>231 に書いたとおり対応の遅さにあきらめています。

>>237
いやいや、FortiGateの方が対応が早いものもあれば逆もある。
Fortiの方が早くても目立たないが、遅い方は目立ってしまう。
新参者の扱いってこんなもんだと思いますよ。

MR7
ｷﾀ━━━━━━(ﾟ∀ﾟ)━━━━━━!!!!!
リリースノートはまだなのね

>>236
Fortinet Technical Discussion Forumに以下の記事がありました。

Symantec Updates -- Use URL Exemptlist

A PC/server behind a FGT with HTTP scanning enabled will sometimes encounter problems obtaining Symantec/Norton updates.

The simplest workaround is to use the URL exemptlist to disable AV scanning for that one site.

Put the following in the URL exemptlist:
symantecliveupdate.com

RE: Symantec Updates -- Use URL Exem... (in reply to chall)

According to Symantec, they could use update servers from any of the following URLs:

The domains that LiveUpdate accesses are:
HTTP: symantec.com, symantecliveupdate.com, and akamai.net.
FTP: speedera.net

MR7を早速入れてみました。
細かい変更点はリリースノートが無いので判りませんが
FG200の場合、ウイルススキャン上限ファイルサイズが100MBに拡張されてました。

>>241
拡張された分、メモリをどんどん食っていくので気をつけたほうがいいです。

>>241
ソフトバンクBBはまだみたい。

>>242
前に話題になったメモリ増設は無理なのかな。

>>243
ソフトバンクBBのは、http://support.fortinet.com/にログインできないんですか？

メモリ増設できないかと少し調べてみたら、FG200はチップセットがＩｎｔｅｌ440MXで
これの最大メモリサイズは256MBなんで無理そうです。

先輩方教えてください。
Default content profilesにStrict,Scan,Web,Unfilteredの4つがあるのですが、
それぞれどのような役割を設定するものですか。
設定画面はどれも同じなっているため使い分けがわかりません。
標準的な使い方であればデフォルトで問題はないのですか。
こちらではHTTP,FTP,SMTPのウイルススキャンができれば十分です。

>>243
そういえば忙しさで忘れてました・・・＜メモリ増設
244さんのいうとおりなのかもしれません。（って、また忙しさで未確認・・・

>>245
デフォルトで存在する4つは、それぞれを開けば項目わかるようになっていると思います。
「デフォルトで」って話なら、すべて設定が違うはずです。
全て同じになってるのなら、それは初期状態ではないです。
まずそれを確認してみてください。
あと、できればバージョンも書いていただいたほうがいいです。違う話をしてしまうと困るので。

「デフォルトの状態なら」の話ですが、Scanのプロファイルが一般的なのかと思われます。
自分で使うなら、Scanのプロファイルに分割メール転送を有効に修正してから使うかも。

>>246
説明の仕方が悪くてすみません。
すべて同じと言うのは設定画面が同じで、チェックされているところは違います。
バージョンは、2.50,build171,031215です。
たとえば、Strictは、
アンチウィルススキャン〜Eメールコンテンツブロックまですべてチェックあり
上限サイズを超えるファイル/Eメールがすべてブロック
分割メール転送がすべてオフ
といったせっていになっています。
Scan、Web、Unfilteredは（意味があると思うのですが）まばらにチェックにされています。
よくわからないのが、Strict、Scan、Web、Unfilteredの優先順位というか
何に対してチェックが有効なのかということです。
StrictでほとんどチェックされているのでScanなどは重複するような気もするのですが、
実際は違うと思うのですが、そのへんが理解できていません。
情けない質問ですみませんが、詳しく教えてください。

>>247
Strict
いちばん厳しい設定です。全プロトコルウィルスチェック有効なのはもちろんのこと、
上限サイズを超えたら止める設定や、Web・Eメールのコンテンツフィルタ等も全て有効です。
ファイルブロックも有効なので、設定されてる拡張子のファイルも全て止めます。
安全・・・なのかもしれませんが、これは不便すぎるとおもいます。zipもダウンロードできませんし。

Scan
ウィルススキャン用の設定です。
全プロトコルのウィルスチェック・隔離を有効にしてあるものです。
私はこれが無難だとは思いますが、抜けとして、設定サイズを超えたファイルがあったら
ウィルスチェックせずにスルーするのと、分割メールがブロックされるようになっているので、
そのあたり注意が必要かもしれません。

Web
Web(http)用の設定です。
httpのウィルスチェック・隔離と、コンテンツフィルタ系が有効になっています。
他のプロトコルの設定は無い状態です。

Unfiltered
Web対象外リストと、Eメールの対象外リストの設定だけが入ってるものです。
これは使う人いるのか？って設定かも。

てきとうな説明ですいません。
全項目を理解して、それぞれ有効か無効かを自分で設定するのがほんとは一番かと思いますので、
チェック項目でわからないのがありましたら書いてください。私のわかる範囲で説明します。

>>247
ちょっと追加。
プロファイルで設定したものは、ポリシーで選択してはじめて有効になります。
プロファイルは複数設定して、ポリシーごとに選ぶことが可能なので、
クライアント->外、外->鯖 などなど、用途にあわせたプロファイルを作成するのがいいと思います。

>>248,>>249
丁寧に説明していただきありがとうございました。
>プロファイルで設定したものは、ポリシーで選択してはじめて有効になります。
>プロファイルは複数設定して、ポリシーごとに選ぶことが可能なので、
>クライアント->外、外->鯖 などなど、用途にあわせたプロファイルを作成するのがいいと思います。
そういうことなのですね。
ちょっといじってみます。
ありがとうございました。

外→内用プロファイル
アンチウィルススキャン：HTTP、FTP、SMTP有効
隔離：SMTP有効
上限サイズ〜：すべて転送
分割メール転送：SMTP有効

内→外プロファイル
アンチウィルススキャン：SMTP有効
隔離：SMTP有効
上限サイズ〜：すべて転送
分割メール転送：SMTP有効

外→内ポリシー：外→内プロファイル
内→外ポリシー：内→外プロファイル
ちなみにファイアウォールとルータの間に
トランスペアレントモードでFortiGateを入れています。


に設定しました。
イントラPCのWeb利用時のHTTP、FTPウィルスチェックと
メール(SMTP)のウィルスチェックがしたいのでこれでよいような気がします。
間違っていたら指摘してください。

こちらもノートン先生（企業用）を使っています。
社内LiveUpdateサーバーがシマンテックのLiveUpdateサーバーから
LiveUpdateでウィルス定義ファイルなどダウンロードするのですが、
>>236 さんと同じでタイムアウトになります。

>>221 さんのアドバイスどおり設定しようとすると、
シマンテックのLiveUpdateサーバーをIPアドレスで指定するようになるのですが、
>>223 さんの指摘のように、
サーバーが複数ありその上ラウンドロビンDNSで負荷分散しているため
すべてのIPアドレスを見つけるのは容易ではありません。
liveupdate.symantecliveupdate.com
というような指定は出来ないものなのですか。
シマンテックユーザーの方はどのように設定していますか。
何かうまい方法があるのですか。
トレンドマイクロやマカフィーではこのような問題はないのですか。

>>251
あら？
「イントラPCのWeb利用時のHTTP、FTPウィルスチェック」の部分ですが、
イントラPCとは、プロファイルの「内」の部分のことですよね？
だとすると、プロファイルが逆かも。
たとえばInternalに接続されているPCがExternalから外にあるWeb(インターネット)を見てるときに
ウィルスチェックしたいのであれば、
内→外プロファイルにhttpのスキャンが必要になります。

処理の方向は、あくまで「セッションを張る方向」と思ってください。
クライアントがInternalにあって、メールサーバーがExternalの向こうにあって、
クライアントからPOP3でメールを取りに行くときにウィルスチェックしたいのであれば、
Internal→External のポリシーでウィルスチェックが有効になってなければいけません。

>>244
ソフトバンクBBはダメです。

FortiGateは対応していないかな。
ttp://www.trendmicro.co.jp/vinfo/virusencyclo/default5.asp?VName=TROJ_WILDJP.A
この手のウィルスに有効なソリューションだともっと売れるね。

>>252
うちもNortonAntiVirus企業版ですが、タイムアウトになったことはありませんね。

Web Exempt Listを上手く使えば、こういうことが出来るような気がするんですが、
うーん、考えつかない･･･。　(>_<)
ちなみに>>223で書いたラウンドロビンの問題はある日突然IPアドレスが
変わることなんですよね。

>>256
うちは１回のダウンロードで15個の更新ファイル数十MBをダウンロードします。
あとはファイアウォール(ForitGateではない)の設定かな。
ttp://service1.symantec.com/SUPPORT/INTER/entsecurityjapanesekb.nsf/jp_docid/20020723123051949?open&prod=&ver=&pcode=&src=&miniver=&tpre=jp&prev=&dtype=corp

>>253
実は書き込んだ後ウィルステストをしたら効果がなくて
いろいろかんがえても原因がわからず、
内→外プロファイル
アンチウィルススキャン：SMTP有効　⇒　HTTP、FTP、SMTP有効
隔離：SMTP有効
上限サイズ〜：すべて転送
分割メール転送：SMTP有効
にしてしまいました。
ご指摘の件を参考に、
外→内ポリシー：外→内プロファイル　⇒　内→外プロファイル
内→外ポリシー：内→外プロファイル　⇒　外→内プロファイル
に訂正したらうまくいきました。
あとは>>252 のノートン先生の問題が解決すればハッピーです。
ありがとうございました。

>>258
>>240に対処方法を書いてみましたが、試してみてはいかがでしょうか？

Webフィルタ＞対象外Urlリストに、symantecliveupdate.comを追加
ファイアウォール＞プロファイルで、Web 対象外リストにチェック

>>258
うちにノートン先生が無いのでテストできないんですが、
257に書いてあるURLを見る限りではhttpかftpで外に出て行くだけだから
そのポリシーがあれば問題ないかと思うけど、そうじゃないんだよねぇ。
ウィルスチェックを無効にしてればのーとん先生ちゃんと動きますか？

>>259
やってみます。

>>260
スキャンサイズを最低の1MBsにするとタイムアウトしないのはわかっています。

>>261
無事に設定できました。
ttp://service1.symantec.com/SUPPORT/INTER/entsecurityjapanesekb.nsf/jp_docid/20020723123051949?open&prod=&ver=&pcode=&src=&miniver=&tpre=jp&prev=&dtype=corp
に書かれている
liveupdate.symantecliveupdate.com
liveupdate.symantec.com
*.akamai.net
を設定しました。

すでに60303iは今朝ダウンロードされているので、
次の更新があるまで結果がわかりません。
最近は日に数回更新があるので、
（新種発生ですのでよいことではありませんが）
この調子だと今日明日に結果が出るかもしれません。

>>262
akamai.netを対象外Urlリストに入れるのは微妙な所ですよね。
社内LiveUpdateサーバー用のプロファイルを作って、ポリシーに
社内LiveUpdateサーバーを書いてあげるのが良いような気がします。

対象外Urlリストもグループ化できるといいなと思いました。

MR7のリリースノートが出てました。

機能拡張
・RADIUS port numberが設定できるようになった。
・SYSLOG facility levelが設定できるようになった。
・アンチウイルスのスキャンサイズの上限を増やした。
　以前はシステムメモリの15%が上限だったが、40%が上限になった。
・BASE64エンコードされた添付ファイルをウイルススキャンできるようになった。
・新機種サポート(50A、FortiWIFI-60、4000)

バグフィックス26件詳細省略

既知のバグ8件詳細省略

>>263
レベルが低くてすみませんが教えてください。
（１）プロファイル
新規作成のデフォルトに対し、Web対象外リスト有効
だけでよいのですか。
（２）ポリシー
送信元：Internal
宛先：External
で新規作成し、
送信元：すでにあるInternalのアドレス（0.0.0.0/0）
宛先：すでにあるExternalのアドレス（0.0.0.0/0）
スケジュール；Always
サービス：ANY
アクション：ACCEPT
コンテンツプロファイル：（１）でつくったプロファイル
でよいのですか。
何か違う気がするのですが。

>>264
あきらかにバグフィックス項目少なすぎ。
リリースノートにのってない修正項目が多大にあると思われ。

>>265
送信元はInternal_Allではなく、LiveUpdateの鯖だけのアドレスグループを作成し、それを選んだほうがいいです。
それと、Internalのアドレスがプライベートアドレスで、NAT/RouteモードならばNATのチェックボックスは必須で。

>>266
FortiGateはファイアウォールとルータの間にトランスペアレントモードで入れてます。
（グローバルです）
社内LiveUpdateサーバーはプライベートIPですが、有効になるのですか。

>>267
ポリシーが
# ID 送信元 宛先
1 1 Internal_All External_All
2 2 External_All Internal_All
3 3 LiveUpdate External_All
という順になりましたが、順番（優先度など）はこれでよいのですか。

>>267
FortiGateを通過する時点でのアドレスなので、グローバルアドレスでアドレスグループを作成してください。

>>267
それでは3番目のポリシーが有効に働きません。
優先順位は上からです。ポリシーを上から順に見ていって、該当するものがあれば処理されて下には行きません。

>>268
ポリシーの表示はモデルによって違ったりする部分もあるので、
モデル名等も書いていただけると・・・

>>269
そうするとNAT処理されていますので、Internal_Allと同じになってしまうと思います。

>>270
Fortigate-200 2.50,build171,031215です。

よろしくお願いします。

>>271
そういえばそうか・・・・
じゃぁInternal_Allしか選択できないですね。Internal配下にグローバルアドレスで何かがなければ。
とりあえずポリシーの順番だけ変えればOKだと思います。

>>271
NAT処理している機器の内側にFortiGate入れるのはどうだろう。と思ってみた。思ってみただけ・・・

>>272
了解です。

>>273
こちらですとファイアウォール（内側）とスイッチの間になります。
どこに入れるのが一般的（もしくは効果的）なんですか。

>>274
私の所はそんなに規模が大きくないので、FG200のみで
ExternalはPPPoE、DMZはGlobal、InternalはプライベートIPのNAPTで運用しています。

Globalアドレスに余裕があるなら、既存FirewallでLiveUpdateサーバに1対1NATするとかどうですか？
大幅にネットワーク構成変えてもいいのなら、既存FirewallをやめてFG200にやらせるとか

Fortigate-200 導入しようかとおもっているのだが
実際 VPN の安定性とかどおなのでしょうか？
使っている人います？

導入検討中なのですが
コンテンツフィルタリングはどういう設定方法になるのでしょうか？
シマンテックのみたいにカテゴリー選択方式ですか？

>>276
自分とこではVPN使ってますが、いまんとこべつに障害とかは無いですねぇ。
他の方どうでしょ？

>>277
FortiOS2.5では、全て手入力でのコンテンツフィルタリングです。
Cerberianのエンジンはのってるんで、ライセンスあれば可なんですけどねほんとは。
正式対応(?)は2.8からになります。2.8からはカテゴリ選択で可。

>>275
構成は変えられないです。

>>274
そもそも構成がわからないのでなんとも言えないのですが、
FortiGateを入れるのは、「FortiGateで何かしたいトラフィックがある場所」ってことですよね。
プライベートアドレスをNATする箱の外のネットワークにいま付けてると思いますが、
そのNATされて出てくるパケット以外にFortiGateを通す必要なものがなければ、
NATの箱の内側にトランスペアレントモードで入れるのがいいかもしれません。

>>280
１番の目的はHTTP、FTPのウィルスチェックです。
２番の目的はSMTPのウィルスチェックです。
これは現在やっているもの（DMZにある）を置き換えを狙っています。

で何かしたいトラフィックですが、
基本は内側で、欲を言うと＋DMZです。
それでファイアウォールとルータの間に入れています。

>>277
回答ありがとうございます
現状ではURLを指定してブロックするしかないわけですね

上のは>>278さんへのレスでした

>>282
コンテンツフィルタについて補足。
Cerberianのコンテンツフィルタリングのライセンスは別料金になると思います。

回答ありがとうです。
HTTP、FTP、SMTPのウィルスチェックですが、実際すべてスキャン対象
とした場合、Fg200 だとどのくらいのスループットがでるでしょうか？
PC200台くらいなら問題ないですかね、ちなみに接続は、フレッツ100Mです。

>>285
えぇと、PC200台で設置したことないので想像になってしまいますが、
FG200ではちときびしいのかと。
カタログ値のスループットはFirewallのみだし。
FG300・・・欲を言えばFG400かな。でも高い・・・
VPNも使うのですよね？

ちなみにIDS系ってけっこう処理重いらしいです。

>>285
似たような環境ですが、問題ないと思いますよ。
速度測定サイトでは惨敗かもしれませんが、
日常的な業務使用では問題ないと思います。
こちらはVPNなしですのでそのへんは勘弁してください。

>>276
>>278
うちも特に問題は無いです。IPSecはね。

話はそれますが、以前>>139で話していた、
PPTP clients assigned out of range IP addresses(Bug ID:0004195)
のバグですが、MR7のリリースノートを見たところ、闇に葬られたような気が･･･。
Open Bugsにも載ってない・・・。単なる書き忘れなら良いのですがね。
図研さん、後よろしく。

60303alがアップされたので試したところ、
タイムアウトせずすべてダウンロードできました。
いろいろとアドバイスいただきありがとうございました。
ただ、ファイアウォールのNATもいじっていますので、
もしかしたらこちらが真因かもしれません。

いろいろと情報頂ありがとうございます。
導入の方向に向け、動いているので助かりました。

>>285
実効スループットは判りませんが、FG200を通すと以下のような感じになります。

DL元→FG200（AV対象ファイル取込&チェック）→クライアント

例えば、IEで何かをDLしようとした時、FG無しだとすぐにダイアログが出ますが
FG経由だと、取込&チェックが終わるまで応答してくれないので
大きいファイルをDLした時とかにストレスが溜まったりするかも知れないです。

ところで、AV自体は同時複数セッションで行われるようですが
同時セッション数の制限とかメモリを使い切った時の挙動とか教えてほしいです。

ノートン先生の問題が解決して当初狙っていた内容は無事にクリアできました。
みなさまありがとうございました。

欲が出てきたというか、NIDSがどんなものか試してみようと思うのですが、
検知−一般−Externalチェック、IP、TCP、UDP、ICMPすべてチェック
検知−シグニチャリスト−有効すべてチェック
防御−防御を有効にするチェック、シグニチャ有効すべてチェック
などという設定でよいものですか。
実際に使われている方アドバイスお願いします。

>>291
メモリを使い切ったら（一定以上になったら）新たなセッションがはれなくなります。
なので、あまり大きくするのは危険。

>>292
検知のほうは、あくまで「検知」なので、ログに出すかアラートメールを送るかをしないと意味がありません。
それに、そのログ・アラートを見て自分が対処する必要があります。
ちなみに検知を全チェックすると、pingとかにも反応しますよ。

防御もむやみに全チェックするのはどうかなと。
攻撃じゃないパケットも防御されてしまう可能性もありますし・・・

>>294
面倒なので（ダメな理由）
検知は外しました。
防御はデフォルトのシグニチャにしました。

MR7はどんなでつか。
うちはソフトバンクBBなんでさっぱりアナウンスがない。
サポート、情報もひどくて最低でつ。
図研はどうなんだろ？

>>296
とりあえず自分とこではMR7で運用中。いまんとこ問題はなさそう。

>>293
その様な仕様になっているんですね、了解しました。

>>296
うちもMR7で運用中、特に問題は出てません。VPNはやってませんが
Fortinet Technical Discussion ForumにはFG50、FG60に
適用したらPPTPが動かなくなったとか書かれてました。

図研さんからメールでリリースのお知らせとか来たことはないです。
一度設定についてサポートをお願いしましたがすぐに返事もらえましたよ。
◆.p586Vj8xI さんのリリース予告を見て、http://support.fortinet.com/をチェックしてます。
アカウントよこせ〜といっても駄目なんですか？

>>299
図研のサポートもパッとしないんでつか。
きちんとサポートしてくれるとこってあるんでつか。
ttp://support.fortinet.com/
のアカウントはソフトバンクBBもダメでつ。
ふぉーち日本法人は何やっているんだろ？

>>298
>図研さんからメールでリリースのお知らせとか来たことはないです。
MR6の時にうちは来たよ。
ただし、図研さん内部での検証が終わってからですが。
だからMR7のリリースのアナウンスは、来月ぐらいに来ると思います。
っていうか、基本的に代理店は全て自社の検証が終わらないと
ユーザーには案内を出さないよ。

>>299
ソフトバンクBBは図研からサポートを受けてるとの噂です。
ということは自動的に
図研　＞　超えられない壁　＞　SBB
という図式が成り立つと思われ。

フォーティーゲートは無名ですがシマンテックやマカフィーなどの
有名なところのアプライアンスと比べて本当にスキャンスピードが
速いのですか。
新種対応スピード、検出能力、駆除能力のウィルス性能はどうですか。
安定稼働してますか。
サポートは万全ですか。

>>301
荒らすつもりではないが、藻前欲張りすぎ。
ウダウダ言うのだったら検証機借りろ。

>>302
フォーティゲートを買った皆さんは当然ベンチマークして
その結果何らかの理由でフォーティゲートを選んだんですよね。
結果はともかくその過程で集めたデータがあったら教えて欲しいです。

>>303=301
>フォーティゲートを買った皆さんは当然ベンチマークして
正直な話人柱になってくれるお客さんがいたので。ネタじゃなくて、マジな話。
イチイチ他社製品と比較してらんねぇよ。

> 有名なところのアプライアンスと比べて本当にスキャンスピードが
> 速いのですか。
俺達は監査機関じゃねぇんだ。カタログスペックと作った人を信用するしかねぇよ。
つーか、FortiGateの構造を考えたらどっちが早いかわかるだろう。

>新種対応スピード
Fortinetのエンジニアの力量次第だろう。
どこかにも書き込みがあったが、対応スピードは各社それぞれ早い時もあれば、遅い時もある。

>安定稼働
安定するかどうかってのは、使用環境によりけり。
何をもって安定していると言う？　どういう環境で使うの？

>サポートは万全ですか。
代理店による。あと保守契約の内容次第。
サポートは金で買うものと思え!

>その過程で集めたデータがあったら教えて欲しいです。
こういう匿名掲示板では教えられん。販売代理店に直接聞け。
これも一種の商売道具だ。簡単には出せんわい。
藻前みたいな香具師は嫌われて教えてくれないことが多いので気おつけろ。

再びお伺いいたします

現行OS(2.5)上でのコンテンツフィルタリングに関してですが
特定のURLを指定する以外にも
禁止ワードを指定する方法もあるらしいのですが
これは「指定した単語を含むページの閲覧がブロックされる」
という解釈でいいのでしょうか？

>>305
その解釈であっています。
ただし、かなーり抜けだらけになります。
キーワードフィルタは、はっきり言って使い物にならないぐらいです。

Fortinet200使っているが、NetSkyの亜種が通り抜けた人いない？
VirusListみるとNetSky.Hまで対応してて通り抜けてるから
最新の亜種かな。
どこにVirus情報送ればいいんだろ

>>307
最新の4.239のパターンにしても通り抜けるんであれば、
リセラーに送ったほうがいいのかと。
Fortinetの送り先をここに書いていいかわからんので・・・・
送るときはzipに圧縮してpassword付きで送るのがベター。
ま、送る前にリセラーに電話して「送りますよー？」って言ったほうがいいと思う。

#むしろ私が欲しいぐらい（ｗ

>>307
サンプルはこちらから送れるようです。
http://www.fortinet.com/FortiResponseCenter/submit.html

>>306
ありがとうございます
URL指定と併用しないとダメですね

ちゃんとしたコンテンツフィルタリングは
OS2.8＋Cerberian待ちですね

ところで、Cerberianのライセンスってお幾らぐらいなんでしょうか？
大体の目安が判れば予算化しときたいので。

>>308,309
ありがとん、送ってみるよ

>>307
世の中じゃ W32.Netsky.I@mm まで出てるよ
まだFortiは未対応のようだね

W32/Netsky.J-mm,W32/Netsky.K-mm
アンチウイルスパターン 4.241(03/08/2004 16:33)
ｷﾀ━━━━━━(ﾟ∀ﾟ)━━━━━━!!!!!

Ｚまでいったら、次は何になるんだろうねｗ

Z→ZZ→ν→V→V2→∀

age

ウィルスパターンの更新記録をログに残したいのですが、できないのですか。
イベントログの更新失敗、更新成功はチェックしてあります。
レベルはInformationです。

LAN内にあるマシンAから別のマシンBの
MACアドレスあるいはipアドレスを指定して
特定のポートを閉じ、Bから別のマシンCへのパケットを
遮断するwindowsのフリーソフトはありますか？

まちがいm(_ _)m

2.8なかなか出てこないですな・・・・

>>321
2.8そろそろ出る予定なんですか？

ところで、MRTGとかRRDtoolでFGの状態を可視化している方っています？
とりあえず、MRTGでTrafficグラフは作ってみたんですが、CPUとかMem使用状況等は
Private MIB内にあるようなんですよね、、、図研さんにMIBちょうだいってお願いはしましたが。

RRDtoolを素で使うのはちょっと骨が折れそうなんで、フロントエンドを物色中なんですが
漏れはこれだ！とかお勧めってありますでしょうか？

>>322
fortinetのftpサイト内（ファームウェアあるとこ）にMIB置いてあったと思ったのですが。
2.50のフォルダの中にMIBというフォルダがあるので、中のぞいてみてください。
それがご希望のものかはわからないですが・・・

自分もMRTGでトラフィックの状況だけは見ています。

>322
Nagios, BigBrother, 手抜きならWebminかな

>>323
あ、ftpサイトにMIBありました、見落としていたようです。
図研さんからも同じ物を頂けました。
とりあえず、手持ちのSNMPマネージャに食わせてCPU/MEM使用状況とか確認できました。

>>324
ありがとうございます、ご提示下さった物調べてみます。

なんか閑散としてる気がしたら、人大杉でieとかから見られなくなってるんですね。

Fromを詐称するタイプのワームメールを受け取っても警告メールを
送る仕様みたいだけどOFFに出来ないのかな？
黙って捨ててくれるだけでいいんだけど。

>>327
FortiGateはFromの人に警告メールを送ったりしませんよ。
そもそも送る機能は無いし。

>>328
FGはメールを送っていませんでした。
私の早トチリでした。失礼しました。

トランスペアレントモードだとワイヤーの一部という感じで
余計な構成変更しなくて済むからお手軽に導入できるね

システムのステータスのモニターで「合計セッション数」は
スペック表のファイアーウォールの「最大同時セッション」に
あたるんでしょうか。他に「同時セッション/秒」というのが
るんですが違いがわからないでいます。
FORTIGATE-100で同時セッション/秒は4,000となっていて
モニターでみてみると合計セッション数がピーク時3,500にな
ります。

>>331
同時セッション/秒 は、1秒に張れる最大セッションです。
なので、たとえばFG200は最大20万、秒4000セッションですが、
1つめのセッションをはりはじめて1秒で20万セッションは不可です。
1秒で4000セッションまではれて、そのペースで毎秒4000セッションはっていけば、
5000秒で最大の20万セッションまではれるという意味です。

・・・って、カタログ値は単機能使用時の理想値であって、
普通に使ってればまず無理な数字です。
アンチウィルス有効にしていたら、そんなにはれるわけがない。
そのへんは使用環境依存で。

ちなみにFG100で3500って表示がでてるのであれば、ちと多いのかもしれません。
メモリの状況とか大丈夫ですか？
85%になったら新規セッションをはれなくなったりするので、
監視してヤバそうだったら上位機種を検討したほうがいいと思います。

>>332
さっそくアドバイスありがとうございます。
イメージがわいてきました。
メモリ使用量はピーク32%です。
メモリはそれほど増えないのですがCPU使用率が100%に
なることが多いみたいです。レスポンスが体感的に低下
するといったことは現在のところありません。

>>332
訂正。
FG200は最大20万・・・と書きましたが、FG100のことでした。すいません。

>>328
ｆｒｏｍじゃなければ、どこに送っているの？
テストで送ってみたら帰ってきたけど。

>>335
私が確認したときはForiGateの背後にある自社のメールサーバに配送を試みた
プロバイダのメールサーバから配送失敗のエラーメールが送られてきました。
従ってFortiGate自身がエラーメールを送っているわけではありませんでした。
なおFROMを詐称していた場合はエラーメールがそこ向かって送られるようです。

配送失敗になるのはFortiGateがメール中にウィルスを発見するとステータス554で
異常終了？にしてしまうからのようです。
素人考えですがウィルス付きでも配送完了として扱ってくれればエラーメールが
発生しないで済むような気がします。ただFortiGateはメールを正式にリレーしている
わけではないのでそのような実装が難しいのかなと勝手に想像しています。

できればウィルスメールに対して完全にブラックホールになってほしいのですが。

>>335
FortiGateからはどこにも送ってません。
返ってきたのであれば、メールとして送り返したのはメールサーバーだと思います。

>>336
Fromを詐称してた場合に詐称してるFromに送られるのはメールサーバーがそうしてるだけであって、
FortiGateが送ってるわけじゃないです。
SMTPセッション内でエラーを返すのがデフォルトになっているだけで、
エラーを返さず正常に終了させることも可能です。cliから下記コマンドを入力してください。
set antivirus service smtp splice disable

もちろん正常に配送完了になっても、ウィルスであればちゃんと削除されて届きます。

>>337
>Fromを詐称してた場合に詐称してるFromに送られるのはメールサーバーが
>そうしてるだけであって、FortiGateが送ってるわけじゃないです。
私の書き方がまずかったようです。FortiGateがどのような場合も
メールを送らないことは最初に指摘して頂いた時に理解しました。

早速 antivirus service smtp splice disable を設定してみたところ、
プロバイダのメールサーバはエラーメールを(FROMに向けて)
送らなくなりました。素晴らしい！ これで安心して眠れます。
ご教授ありがとうございました。

>>338
あ、すいません、ちゃんとそう書いてありましたよね・・・
読み間違いしたようです。。。

smtp splice disableの設定はsmtpのセッション全てに有効になってしまうので、
FortiGateより内側のPCから送信した時も、止めずに送信完了してしまいます。
たとえば企業とかで、内部PCがウィルスに感染し、そこから外に向かってウィルスメールをばらまいてしまった場合、
デフォルトの設定だとsmtpセッションのエラーとして止められますが、
smtp splice disableにしてしまうと、駆除されるものの感染してウィルスを送信したメールが
ばらまかれてしまうのがネックかもしれません。
Ext->のセッションだけsmtp splice disableが有効にできればいいのですが、現状はできないようです。

FG200にtelnetでログインするには何か設定など必要でしょうか？

現状は無応答です。

>>340
システム>ネットワーク>インタフェースから対象となるインタフェースを修正
管理権限アクセスのTELNETにチェックでどうでしょうか。

>>340
ログインしたいInterfaceの設定で、telnetを許可する必要があります。
InterfaceのIPアドレスを設定するところにあります。

中だけならいいですが、外(internet)から入る必要がある場合は、できるだけsshで。。。。

>>339
深い考察恐れ入ります。内部にウィルスを持ち込まないように
注意するしかないですよね。そのためのForiGateですし。

(ここから小声)
現在かなりの数のNetSky."Q"がスルーしています。がんばって、FortiNet！

>>343
(同じく小声)
Netsky.Q多いですよね、届きすぎ。
しかしウィルスバスター2004もまだ未対応・・・ちと怖いのでどっちでもいいから早く対応してほしい。

(同じく小声)
しかたないので拡張子PIF、ZIP、SCR、EXE止めました
シマンテックは対応完了したようですね
トレンドマイクロはまだみたいですが

>>345
(こそこそ会話)
ウィルスバスター2004はNetsky.Qに対応しましたね。（パターン842)

こそこそ

とっくにFortinetにはNetsky.Qのファイルは送ってるんですけどね。
これが技術力の差ということですかな。
やる気の無さとも言うが。

関係ないけど、今日の朝NortonのLiveUpdateをしたらRev8で
帰る前に再度Updateしたら、Rev50だった。
そろそろ、Symantecの開発者が倒れるだろうな･･･。

ようやくNetsky.Q対応のパターン(4.274)が出ていましたね。
さて寝るか・・・・。

>>341&>>342さん　ありがとうございました。　telnetの件、解決しました！

Definitions versin 4.275ですが、なにげに 3/29/13:08　なんですね。
もちっと早くアップしてほしかったところですね。

>>351
バージョンの横にある日時がパターン作成日なのかはわからないですが、
3/29 13:08 がUSAだとしたら、日本時間では9時間後なので3/29 22:08となりますね。
でも遅いですね（笑）

>>353 さん

西海岸時間なら17時間時差があるのではないでしょうか？（勘違いかな。）

>>352でしたね。間違い。

と考えると、米国西海岸時間29日13:08+17時間=本日6:07に再アップされたのかもしれませんね。

うは、無知さらけだしでした・・・
9時間はGMTとの差ですよね。。。。（鬱

>>349
どこかの記事であったけど、今のVirus検知は99%は自動化されていて
残り1%が人間が見ないとわからないそうですね。

#その自動化のソフト売ればいいのに・・・

>>356
それこそがノウハウでしょ。
上を行く技術が作られたら売られるかもね。
FPCの日本語化はまだなんだろうか…

>>357
FPCって何ですか？

FortiProtect Centerのことじゃないかな？

Anti Virus Definition 4.276(3/31 7:17)　で　Qの亜種がスルーしまくっているような
気がするのですが、皆様いかがですか？


www.free-av.com　の製品では　Netsky.Q.2 と検出されます。

いまのところスルーしてるのは無いです。
たぶんうちには届いてないだけだと思いますが・・・

スルーしたものをノートンさんに検出させてみたところ
Netsky.Q@mmではなく　スルーしたのは[email protected]　というモノのようです。

FortiGateでスルーしたmessage.scrをウィルスバスターでもノートンでも検知できないのがありました。
そもそもウィルスじゃないって可能性もあるんですが、さすがにこのファイル名は・・・。
さてどうしたものか、何かで調べる方法ないかなぁ。

ttp://www.free-av.com あたりでしらべてみてはいかがでしょうか。

これで出なければシロということで（ｗ



先ほどの件ですが、ピータノートンさんの所に聞いて見たところ、

　.encが付くのは暗号化されているか破損しているウィルスだそうです。
enc=暗号化そのままですね。

謎は深まるばかり。

>>364
見てみたんですが、英語ダメダメ人間なのでわかりませんでした・・・（鬱

>>365

言葉足らずでした。

http://www.avup.de/personal/en/avwinsfx.exe　　

ドイツ製のアンチウィルスソフト(商用利用以外無料)でスキャンしてみては
いかがですか？の意でした。

私の経験では　ノートンさんで非検出だったものが、これとトレンドマイクロ、マカフィー

では検出された経験があります。

まあ、ウィルス以外にも仕事は山ほどあると思いますので、気にしないほうがよいかもしれません :-)

>>366
ありがとうございます。
早速インストールしてテストしてみたところ、Netsky.Qとして検知されました。
ノートンやウィルスバスターで検知できないのは不明ですが、とりあえずウィルスとわかって一安心です（？

Netsky.Qたくさん検出しますが、Source IPのところが感染しているのか、それともそこから宛先不明で戻ってきただけなのかって判断できますか？
メールヘッダーなどが読めれば、どちらか判断つくのでしょうが。
お客さんから来たメールからNetsky.Qを検出した場合に、感染してるよ！って教えてあげたいのですが、今はどっちかわからないので困ってます。

>>368
Netsky.Qがどのタイプかは調べてませんが、
ウィルス自体がMXを調べてToのMXに直接送るタイプであれば、表示されてるIPアドレスが
感染してるIPアドレスでしょう。もちろんマスカレードしてたら別ですが。
それか、PCのSMTPサーバーの設定（Outlookの？）を調べてそれを使うタイプであれば、
メールからわかるIPアドレスはメールサーバーのでしょう。

もちろん他の動作をするものや、例外等もあるでしょうけど・・・

調べたら、Netsky.Qは自身のSMTP機能でMXを調べて送るタイプのようです。
北大から大量に届く・・・（ｗ

ごめんなさい
そうじゃなくて、Netskyってわざと（？）存在しないメールアドレス（@xx.xx.xxドメインは存在する）宛てに、
メールだしません？
そうすると、エラーメールが送信元アドレス（これは偽装されている）帰ってくるわけですが、Fortigate
で検出されているのが、このエラーメールなのか、本当にNetsky感染しているPCがメール送ってきて
いるのか知りたいのです。
これって見分けがつきますでしょうか？

私、勘違いしてます？？
エラーメールも感染してると思ってるわけですが．．．．．

Netsky.R-mmっていうのが現れましたね
これが[email protected]のことなのでしょうかね

>>371
たぶんそれは無理だと思います。たぶん。
FortiGateから見たら、どちらもただのメールですから。

ノートンさんで検出される
[email protected]ですが、結局以下のとおりらしいです。

ttp://www.symantec.com/region/jp/sarcj/data/e/enc.detection.html

> ご使用の電子メールプログラムで以前に感染していたメッセージを選択するたびに、
>　NAVはそのヘッダーを関連があるウイルス/ワーム/トロイの木馬の検出名に.encが付いた
> 脅威として検出するようになります。


なにやらよくわかりませんが、fortiをすり抜け、NetskyQとして感染活動を行うのは事実です。

ご注意を。

今更なお話ですが、FortiGateのアンチウィルスは
Outlook(Exchange)を使うとウィルスはｽﾙｰですか？

>>375
Outlookは関係ありません。
Signatureが対応していればFortigate通過時に対応します。

>>375
すいません、Exchangeの仕様をよくしらないのですが、
FortiGateでチェックできるのは、http・ftp・smtp・pop3・imap4の各プロトコルになります。
ftp以外はチェック対象ポート番号の追加もできるので、ポートが違っても各プロトコルの手順を踏んだやりとりであれば
ウィルスチェック可能です。
Exchangeはどうなんだっけ・・・・

>>377
Exchangeはややこしいのですよ。
キャプチャしても理解できねぇ〜（汗

>>376
Outlookと言っても、ExchangeServerのクライアントとして使い、
pop,smtp,imapを使わないんですよ。

>>378
意味汲み取れずすんまそん。
話の流れを見ると、POP/SMTPと独自プロトコルを変換する
リレーサーバのようなものが物理的に存在してないと難しそうですね。
DMZ上にSendmailのような物を立てて回避したりしてます。

なるほど、ややこしいのですね。
とりあえず外部から届くメールはSMTPだと思うので、そこに入れるぐらいしか無いんですかね・・・。

すみません、Email Filterについて教えてください。

Email Filter - "Content Block"にキーワード(例: nudity)を追加したところ、
nudityが含まれるメールの件名に Email Filter - "Config"で指定された警告が
付記されるようにはなったのですが、これが正しい動作なのでしょうか？

正直言うと、キーワード(件名、本文、mailアドレス)の含まれたメールを
reject などしてくれると思っていたのですが。

あと、Email Filter - "Block List"は何を入れ、どのような動作を期待して
よいのでしょうか。

呉呉すみません。


2.50-build212

>>381
Content Blockについては、その動作で正しいです。
あくまでSubjectにタグを付けるだけで、止めたりはしません。

Block Listは、メールのFromにあたる部分を入れるものです。
この機能に関してはメール自体を止めることになります。
たとえば"fortinet.com"と入れれば、fortinetからのメールは一切こなくなります。
[email protected] と入れれば特定のメールアドレス単体の拒否になります。

ただ、"com"とだけ入れると、comが最後についている全てのドメインからのメールを拒否することになります。

>>374
私の手元にある、すりぬけてたNetsky.Qは4.283では全てひっかかるようになりました。
そちらのはどんな感じですか？まだすりぬけてるのあります？

1台検証機がまわってきたので試してみたのですが、
メールサーバ　→　FortiGate　→　Outlook
と、いう組み合わせではダメでした。
やっぱり素直に
FortiGate　→　メールサーバ　→　Outlook
と言う組み合わせが一番のようですね。

◆.p586Vj8xI さん

>>382
どの辺が"Content Block "なんでしょうか、とふと思ってしまいますね。
とりあえずtagをつけるからユーザー側のメーラールールで自動処理しやすくなりますよ、
といった感じですかね。


>>383

うちも同じです。＞Q変種


ありがとうございました。

>>384
やっぱりダメでしたか。
Exchangeぐらいは対応してほしいものですが、開発リソース的に無理なんでしょうかね。。。

>>385
名称と実際の動作が異なる(?)のは、けっこう困りますよね。
名称と一致してれば設定画面さわってれば動きがわかりますが、
FortiGateでは実際にテストしてみないと動作がわかんない部分が多い気がします。
昔はもっとちぐはぐでしたが。。。（笑）

Fortinet Technical Discussion Forumに、FortiOS 2.8の情報がありました。
リリースは4月中旬ぐらいみたいです。

＜その１＞

Over 50 new features and enhancements, including:

・IPv6 Support
・Virtual Domains (Fortigate-3000 and 3600)
・Enhanced Email Filtering (AntiSpam)
・Dynamic Attack Prevention System

Dynamic Attack Prevention System
Fortinet’s Dynamic Attack Response Combines the Best of AV, NIDS and IDP. [From what I hear it allows you to prevent all of the current detection signatures. So, the 2.80 boxes should be able to prevent 1400+ intrusions. - jbult]

＜その２＞

Additional Features in FortiOS 2.8

・AV Enhancements
・Improved performance
・Heuristic Detection
・HTTPS scanning
・HTML link for Virus detection
・AV for PPTP and L2TP VPNs
・Quarantined AV samples for Fortinet response analysis
・Append customized text to email messages
・Management Enhancements
・Role based administration
・Improved Tech-support
・Support extended characters in name/password
・WebUI improvements
・Backup improvements
・CLI interface via WebUI
・SNMP enhancements
・Firewall Enhancements
・Policy based NAT
・Multiple IP Pool
・More pre-defined services
・SIP
・Diffserv setting via Policy
・User Authentication via SecurID
・Non-standard port numbers for pre-defined services
・Address book support for IP address range
・Multiple Secondary IPs
・New GUI Provides Integrated Security "Dashboard" [See the picture at the bottom. It looks great. The picture is a pre-beta screenshot, so it could look radically different once released - jbult]

＜その３＞

VPN Enhancements

・Support Dynamic DNS host names for VPN tunnels
・IPSec in Transparent mode
・WebUI Display
・Central site Internet access for Remote VPN tunnel
・DHCP over IPSec [I've been waiting for this - jbult]
・Overlapping address for VPN branch office

FortiOS 2.8 Provides First Phase of IPv6 Rollout
Fortinet IPv6 Phase 1(FortiOS 2.8): Coexistence
- IPv6 addresses and routing between interfaces
- IPv6 addressing server functionality
Fortinet IPv6 Phase 2: Tunneling
- Connect IPv6 “islands” together using existing IPv4 networks
Fortinet IPv6 Phase 3: Application Aware
- Advanced applications (example: Antivirus scanning) for IPv6

ｷﾀ━━━(ﾟ∀ﾟ≡(ﾟ∀ﾟ≡(ﾟ∀ﾟ≡ﾟ∀ﾟ)≡ﾟ∀ﾟ)≡ﾟ∀ﾟ)━━━!!!!!!!!!!

＜その４＞

Virtual Domains for Managed Services

・Supported on the FortiGate 3000 and FortiGate 3600
・Up to 250 Virtual Domains (VDOMs) per system
・Service providers can offer different services (antivirus, content filtering, etc.) for different customers on the same FortiGate unit

Email Content Filtering (Antispam) Enhancements

・Check & Mark Messages with Signs of SPAM:
・Keywords & phrases in message body and subject line
・Blacklist of known bad spam senders
・Invalid return email address (DNS check))
・Spoofing (MIME header check)
・IP address Black/White list
・IP-based checks against the Real-time Blackhole list (RBL) and the Open Relay
・Database (ORDB)
・Reverse DNS lookups

新WebUIのpre-betaスクリーンショット
http://v.isp.2ch.net/up/289b0b9c4dc9.jpg

>>388
HTTPS scanning　っていうので、SoftEther止められるかしらん？

Bagle.XってのがトレンドマイクロはすりぬけるけどFortiGateで止められた。
FortiGateが先ってのは初めて体験した（ｗ

FortiOS 2.5を入れたFortiGateの全モデルでパターンファイルのアップデートができない現象が発生しています。
ほっといたら永遠に更新されないので、手動で作業する必要があります。
作業の方法は・・・各パートナーに問い合わせてください。（てきとう

>>392
多分HTTPSでのアンチウイルスチェックの事じゃないかと思います。
きっと一旦FGに取り込んで復号してからチェックするんでしょうね。

SoftEtherを止めようとするならIDSの方でじゃないでしょうか
今でもカスタムシグネチャを書いてあげれば止められるのかも知れません。

>>394
ほんとだ、なんかFortiResponse Distribution Networkが使用不能になってました。
とりあえず、Virus Definition4.287をDLして手動で適用しました。
今は、FortiResponse Distribution Networkが使用可能になって
4.288にアップデートされてました。

>>394
有益な情報ありがとうございます
この手の情報はPush配信してくれないものですかねぇ．．．
してくれるベンダーさんありますか？

>>396
うちは各販社には配信しましたが、
そこから先のエンドユーザーまでは知らないところが多いので、
販社からエンドユーザーに連絡するようお願いしています。
急を要するものだから、エンドまで把握しておくべきなのかなぁ・・・

うちは図研さんから13:40頃に第一報のメールが来ました。
第ニ報の対処法のアナウンスは16:00です。
事前に心の準備が出来たので助かりました。

>>397
>急を要するものだから、エンドまで把握しておくべきなのかなぁ・・・
いくら操作が簡単だからと言っても、個人的にエンドユーザーにそういうことを
やらせるのはちょっと酷かと思います。
なんて言うのかな、エンドにとってはこういうことは一大イベントのようです。

やっとVirus Definition4.288への手動アップデートが終わったと思ったら、4.289へのアップデートが失敗しまくってる。
またバグかよ。。。。いい加減にしてくれ。。

>>399
build133の人は失敗することがあるらしい

>>399-400
うちはbuild171ですが、そのような現象は出ていないです。

確かにbuild133です。アップしてみます。。。。

MRTGでメモリ使用状況・コネクション数・CPU使用状況を取得するのに使うOID

メモリ使用状況:
.1.3.6.1.4.1.12356.1.1.6.4.0

コネクション数:
.1.3.6.1.4.1.12356.1.1.6.6.0

CPU使用状況:
.1.3.6.1.4.1.12356.1.1.6.1.0

CPU空き状況:
.1.3.6.1.4.1.12356.1.1.6.2.0

2.5ではAV・IDSの情報は取れない(SNMPトラップは受信できる)2.8に期待

Fortinet Technical Discussion Forumによると
2.8は一部のIMとP2Pをブロックできるらしい

IM:　　MSN IM、Emule、Yahoo
P2P:　Kazaa、Gnutella、Edonkey、Morpheus

これに、Winny、WinMX、Softetherブロックが加われば最強かも

>>403
たしかにアンチウイルスの情報はほしい。
2.8のMIBはやく見たいな

>>404
うちはAOLのメッセンジャー使ってる奴が多いんだよなぁ

Webフィルタで嵌っています。

まず、http://www.staff.uiuc.edu/~ehowes/resource.htmにあるブロックリスト（広告業者とか海外エロサイトとか8000件強）と
google検索で上位に来るエロサイトとかをURLブロックリストに追加しました。

続いて、コンテンツブロックリストにエロ関係の禁止キーワードを30件ほど追加しました。
これで、それなりにブロックはされているのですがひとつ問題がありました。

検索サイトで適当に検索した時に、検索結果に禁止キーワードが含まれている場合、検索自体がブロックされてしまう事です。

とりあえず、YahooやMSNなどの著名どころの検索サイトURLを対象外URLリストに追加し
検索だけは出来るようにしたのですが、googleで困ってしまいました。

禁止キーワードがあっても検索はさせる、でもキャッシュは見せたくないが、やりたいことです。

googleの検索クエリーにはいくつかパターンがあって、それを対象外URLリストに登録しようと思ったのですが、うまくいきません。
具体的には下の２．のパターンを除外できれば可能だと思うのですが、現状では正規表現とか使えないようです。

１．www.google.co.jp/search?q=検索文字列及びパラメータ
２．www.google.co.jp/search?q=cache:キャッシュ用パラメータ

何か妙案とかありませんでしょうか？それとも2.8なら可能とか？

2.50MR8、ｷﾀ━━━━━━(ﾟ∀ﾟ)━━━━━━!!!!!
リリースノートは来てないんで詳細不明。とりあえず入れてみます

MR8入れました。

・AVの最大サイズが100MB→25MBに変更された。
・ログフォーマットが変わってた。(追加情報あり)
・セッション情報画面のリフレッシュ/上/下ボタンのaltテキストが表示されるようになった。

以上とりあえず気が付いた点だけです。

> AVの最大サイズが100MB→25MBに変更された。

減りましたかｗ

>>410
減ったというか、もともと100MBって設定しても動かないし。

2.8ﾏﾀﾞｰ?
Cerberianﾏﾀﾞｰ?

>>407
URL Exemptリストに正規表現（書式自信なし）で書いてみた。

www.google.co.jp\/search\?[^(cache:)]?

やっぱり駄目らしい、、、マニュアルには正規表現使えないとは書かれていないんだか(使えるとも書いてないけど)

MR8でも直っていない目で見える所

日本語WebUIの時、AVの隔離リストで日本語ファイル名が化けている(英語WebUIではOK)
Ｈ×Ｈ.zip　ってのが隔離されているが、H$B!_(BH.zip　になっている。
隔離ファイルをダウンロードする時も文字化けする(英日とも)

中の人見ていたらよろしくです。

MR8に変更してから、ウイルス名の無い警告メールが届くようになりました。

警告メール
Virus/Worm detected:
Protocol: smtp
Source IP: *.*.*.*
Destination IP: *.*.*.*
Email Address From: *
Email Address To: *

ログ
日時 log_id=* type=virus subtype=infected pri=warning src=*.*.*.* dst=*.*.*.* src_int=external dst_int=dmz service=smtp status=blocked from="*" to="*" msg="The file your_product.pif is infected with ."

これって誤報でしょうか？

MR8はリリースノートが無いので正式リリースではないと思います。

>>415
MR7の時もファーム公開後、しばらくしてリリースノートが公開されたんで
もうそろそろ来るんじゃないかと思っているんですが、、、

FG5000なんていう知らない機種用のファームもあるようですし。

リリースノートが着てないかとftpをチェックしたらMR8が消えていた。
誰かさん用の暫定リリースだったんですかね。

AVの動作が怪しいのでMR7に戻します。

Email Filterについて教えてください。

Content Block に設定した語句の含まれないメールの一部に対しても
banned words　ということで件名が書き換えられてしまう事があります。

現バージョンの不具合という認識でよろしいのでしょうか？


FG200 2.50,build212,040224

FG60の導入を考えているのですが、
トランスペアレントモードで2本のADSLを挿して、
冗長構成ではなく同時に処理させる事は可能なのでしょうか。

>>419
トランスペアレントモードってことは
別にルータ2台用意してそいつにPPPoE張らせるんだから
問題ないでしょ

v2.36から2.50 MR6へのファームウェアのバージョンアップ方法
のマニュアルが代理店のページにあるのですが、TFTPで取得
する方法でバージョンアップ後も初期設定に戻ってしまう
みたいなのですが、「システム」の「ステータス」の
「ファームウェアバージョン」でローカルディスクの
ファイルを指定してアップグレードできるみたいですが
TFTPで取得する方法と違いはあるのでしょうか。
みなさんはどちらのパターンでおこなってるんでしょうか。

>>421
TFTPでファームウェアを入れた場合は、設定ファイルを初期化します。
ブラウザからファームウェアを入れる場合、
バージョンアップは設定が引き継がれますが、
バージョンダウンは設定が初期化されます。
ただ、設定を引き継ぐ場合は飛びバージョンアップは危険らしいです。
リリースノートでは、1つづつバージョンをあげていくことと、
その都度設定のどっかを修正しなければいけなかったと。

自分がやるときは、ブラウザからバージョンアップしていったん初期化してから
再度設定を作ってます。もちろんこんなめんどくさいことはやりたかないのですが、
「設定を引き継ぐ」という行為があまり好きではないので。
Win95からWin98をアップグレードインストールするのが嫌いなのと一緒。（ぉぃ

やっとパターンの自動うぷできるようになった…

メモ:
パターンファイルをダウングレードするには、
今入っているのと同じバージョンのファームウェアを入れ直す
(もしくはアップグレード)。

>>419
同時に処理させる事っていうのは負荷分散させたいと言う意味でしょうか？
>>420が言うようにADSL用ルータは2台あるんですよね？

当方のFG200のヘルプからルーティングの箇所を抜粋すると次の事が可能なようです。

・static/policyルーティングが可能
・ルーティングテーブル毎に2つのGatewayを指定できる。そして冗長及び負荷分散が可能

噂では5月末にリリースされるらしい2.8ではインタフェースに2つのアドレスが指定できるように
なるようですね。マルチリンクPPPoEもサポートされていると嬉しいな。

>>420
>>424
ありがとうございます。
「2本のADSL」と書いてしまいましたが、実際にはCATVとADSLでして、
CATVは固定IPを取って自鯖のホスティング用に、ADSLは
内部→外部のインターネットアクセス・VPN・VoIPに使用しています。
当然それぞれにルータはありますが、CATVの方は非PPPoEです。

要はこの2本にFORTIGATEを導入したいのですが、予算上2台は
厳しく、色々な絡みでルータはそのまま使いたい為、各モデムと
ルータの間にFG60をトランスペアレントモードで挟んで、1台で
処理させたいのです
出来そうな気はするのですが、カタログでもWebでも冗長構成には
触れているものの、同時処理については曖昧だったものですから。

>>425
http://www.znw.co.jp/support/index.html
上記から、図研さんに評価機の貸し出しを依頼してみたらいかがでしょうか？

借りれて評価出来ましたらレポートしてくれると嬉しいです。

＞407
リストへの登録は力業ですか？　
一気に取り込む方法なんかがあれば教えていただきたいのですが。

>>427
テキストファイルから一気に登録できますよ。
WebUIのWeb URL Block登録画面右上の赤上矢印のボタンからアップロードできます。

urlblock1.com
urlblock2.com
初期登録時は上のように羅列すればブロック有効で登録されます。

urlblock1.com 0　←ブロック無効
urlblock2.com 1　←ブロック有効
ダウンロードするとブロックリストは上のようになります。

FortiGate，検証機を借りて使用してみているのですが，
VirtualIPの設定した際に，内側同士の通信でVIPの
アドレスでアクセスが出来ません．

グローバルアドレス 1.2.3.4 を，Intゾーンの
192.168.0.123 に VirtualIP 設定した場合に，
１．Ext側から1.2.3.4へアクセス ○
２．Int側から1.2.3.4へアクセス ×
３．Int側から192.168.0.123へアクセス ○
となってしまうのですが，２を可能にする方法は
無いのでしょうか．

問い合わせたところ，最初は出来るという回答を
貰ったのですが，後からやっぱり出来ませんという
回答に変わり，本当に製品として不可能なのかどうか
知りたいのです．

みなさんもVIPを使う時は２の通信は諦めているのでしょうか？

>>429
前のバージョンで試した限りは×でした。
自分がさわったFirewallではダメなのしか見たこと無いんですが、できるのもあるんでしょうか。

うちはもともと内部用DNSがあるので特に気にしてませんが。。。

>430
FW-1でNAT table編集は、要件違い？

最近導入しだした*BSD/*Linux系 FireWallでは可能だったよ。

>428
>urlblock1.com
>urlblock2.com
上記の形式になっているリストなんかは、ネット上にあるのでしょうか？
レジストリの形式になっているものから、加工して利用するしかないですか？

>>432
>>407で書いたサイトからダウンロードできる物の中にテキスト形式のリストがあります
AGNIS-OP.ZIP、AGNIS-AS.ZIPがそうです

ダウンロードしたブロックリストは多少加工が必要かも知れません
正規表現などFGで処理してくれない形式が含まれています
私が使った限りでは、無加工でFGに取り込んでもブロックしてくれないだけで特に問題は起きていません

>>430
やはりダメですか．
いまはNetScreenを使用しているのですが，これは可能です．
一端NetScreenに繋がった後，折り返して接続されます．
内部用DNSを立てるしかないのでしょうかね．．．

内部からVIPのアドレスにアクセス出来ないのってヤバくないか？
特にDNSサーバ。
詳しいことは忘れたけど、自分自身のNSレコードを確認するために
VIPにパケットを投げなければいけなかったと思います。

>>434
基本的には内部の通信はFWを経由しないのが常識だと思われ。
内部DNSを立てるまでの間、hostsファイルにでも書いておくべき。

>>339
便乗質問なのですが
set antivirus service smtp splice disable
にてエラーをかえさないようにできるようですが
ウイルスが削除されたメール自体も届かないように
できるのでしょうか。
ウイルスメールが外から来た場合、エラーも返さず、
メール自体もFortigateで捨ててしまうようにでき
ないかなと・・

>>436
それはできません。
ってゆか、消えてしまうのは怖すぎ・・・

FG-60のユーザーですが、困っています。
InfoSphere Bフレッツ８個ＩＰで、PPPoEが繋がりません。

set system interface wan1 mode pppoe connection enable ipunnumbered enable username <> password <> borrow xxx.xxx.xxx.xxx

xxx.xxx.xxx.xxx のところはプロバイダから割り当てられた番号を振っています。
username <> ,password <> の部分は当然プロバイダから指定されているものを記述しています。
何か設定が抜けているのでしょうか？

>>438
まず確認なのですが、フレッツスクエアには繋がりますか？
あと、アンナンバードの設定をしない状態で接続は可能ですか？

2.50 duild251 MR8がリリースノート付きでサイトに置いてありました。
正式リリースなのかな？

>>440
正式リリースらしいMR8入れました。

アップデートしたらコレクションしていた隔離ウイルスが全て消えてました。
あと、ウイルス隔離をしてくれてないようです。

>>441
なんだか最近MRを出す度におかしくなってきていますね。
Fortinetは、ちゃんとテストしてリリースしているのか、見ていて不安になります。
もう少し気合入れてくれないと、取り扱い品目から外してしまうかも･･･。

>>442
う〜ん、今回は私がフライングしたのがまずかったんだと思いますよ。

一応件のウイルス隔離してくれない症状は治りました。
やったことは、CLIでログディスクをフォーマットです。

フォーラムの記事によると、MRとかのリリース方法を変えたとか書いてありました。
リリース候補版を限定的なユーザ（人柱？）に使わせて、フィードバックを受けた後、正式版リリースって事らしいです。
恐らく何かの手違いで公開されてしまった人柱版を私は使ってしまったんですね。

>>443
うちはMR7からMR8にしましたが、いままでのコレクション分は保持されてますし、追加もされてます。
ちなみにFG200。
なんかのタイミングなんでしょうかねぇ、１台しか使ってないのでよくわからんです。

>>444
時系列的にはこんな感じですね。

１．MR7→MR8(人柱版Build249)
　　AVで隔離ファイル名が出てこなくなった。隔離されなくなった/コレクションは残ってる
２．MR8(Build249) AVエンジン・パターン自動アップデート(版数等は失念)
　　AVで隔離ファイル名が出るようになった。相変わらず隔離されない/コレクションは残ってる
３．MR8(Build249)→MR8(正式版Build251)
　　相変わらず隔離されない/コレクション消滅
４．CLIでログディスク初期化
　　隔離されるようになった/コレクション再開

という感じなんで、恐らく１か３の時点で隔離ファイル用領域が壊れたんでしょうね

>>445
build249から、いちどMR7に戻した方がよかったのかもしれませんね。

いまのところMR8は安定していますね。

ネタ不足

>>447
ごもっとも・・・。2.8まだ出ないしねぇ。

ｻｰﾍﾞﾘｱﾝﾏﾀﾞｰ?　ﾁﾝﾁﾝ

eIQ FirewallAnalyzer
ttp://www.asgent.co.jp/Products/eIQ/index.html
これ使っている人いますか？

>>450
これいくらなん？

24万3000円

アズジェント、eIQnetworks社と販売提携
〜ファイアウォールログ分析ツール“廉価版”を提供〜
ttp://www.asgent.co.jp/Press/040223.html

FortiNet訴えられたらしいよ。

>>454
ソースキボンヌ

>454

是非是非。。ソースを

eIQ FirewallAnalyzerはフォーティネットの人に教えてもらいました。

皆さんご無沙汰しております。
ネタが無いようなので燃料投入

2.8のオンラインデモが何時からか公開されていました。
http://www.fortinet.com/demov280/

>>458
スパムに対応したみたいですね
ポリシールーティングは便利そう
ルーティング部分は微妙にCISCOっぽいけど
結局RIPだけなのかなあ。IP-Pluseとかがあったら
笑えるけど。

>>459
そのうちOSPF対応するらしいです。
冬にはBGP・・・（ほんとか？

ExternalのAdministrative Accessにhttpsアクセスを許可したところ、
Trusted Hostで指定していないホストでも認証画面が表示されます。
ポリシーで拒否しても認証画面が表示されます。
これは仕様でしょうか？ご存知の方は教えてください。

>>461
現時点の仕様です。
Interfaceでhttpsの許可をした時点で、認証画面までは行けてしまいます。
その後の認証では許可されたところからしかログインできませんが。

これ、一昨年から言ってるんだけど直さないんだよね。
これでほんとにセキュリティ製品なのかって感じ。

>>462
早速のお返事ありがとうございました。
「ログインできませんからＯＫです」という考えなんでしょうかね？

InternalにVirtualIPでNATも張れなかったような気がするので、
外部からのメンテナンスは見送りかな？

>>463
そもそも「FortiGateだ」とバレること自体が問題だと思うんですけどねぇ。
2.8でもあいかわらず。

>InternalにVirtualIPでNATも張れなかったような気がするので、
>外部からのメンテナンスは見送りかな？

ん？これはFortiGateの設定でということですか？

間違っていると誠に申し訳無いのですが、IP1のサービスの場合はGlobalが１個しか無いので、
ExternalのIPをVirtualIPでInternalのインターフェースにNATして、外部からのアクセスを
許可したいと思います。
ですが、マッピングの段階でエラーが出ます。
現段階では詳しくメッセージを記載出来ませんが、これは可能ですか？
もしくは、他の方法で外部からのメンテナンスを可能なように出来るのでしょうか？

申し訳ございませんが、ご存知の方はご教授お願い致します。

Ver2.50 build251にUpdateしたらVirusScanサイズ25Mになったんだけどなんで？
以前は100Mまでいけたような記憶が。
詳細知ってたら教えて。

>>465
もう少し情報教えてよ。

>>467
ExteranlのIPを → NAT → InternalのIPへマッピング
この状態で、他のglobalIPからExternalへのアクセスはポリシーで制限をかけつつ、
ポリシーで許可したIPからのみアクセスを許可したいのです。
引っかかっているのは、このExternalのIP→NAT→InternalのIPへのマッピングです。
Netscreenでは可能だったと記憶しているので、FGでも出来るかな？と、思ってました。

この方法では無くても、指定されたGlobalIPからのみFGのExternalへメンテナンスをかけ
たいのですが、皆さんはどのように行っていますか？
HTTPSの認証画面が出る状態でしょうか？

>>468
それはできません。
はじめに書いたとおり、そのような制限はできませんので。

>>466
build251から、搭載メモリに対して約10%までしかウィルスチェックのサイズを設定することができません。
ちなみに、前バージョンでは約40%でした。。

プロ固定金土日こと星山成寿(李明煕/イ・ミョンヒ）
の２ちゃんねるワンポイントアドバイスの時間です。

長年プロ固定してますので、削除とか他人のIP抜き取り個人情報調べ、
２ちゃんねるのアングラの仕事など西村博之の右腕として広範囲な仕事を
任されております。一般に２ちゃんねるは、収益を上げてない個人管理の掲示板
かのように思われていますが、各トピックごとに様々な人間がアクセスしてくる
ため、それらのIPで個人情報を調べた名簿を企業に売買しすることにより、
裏側では巨大な収益をあげております。DHCの裁判でいきなり５億円もの損害賠償
を請求されているのも、彼らの独自の調査によって２ちゃんが裏側で稼いでいる
情報がばれているからにほかなりません。２ちゃんねるでも、ほんの一部の幹部
しかしらない情報としましては、「薬・違法掲示板」の名簿を、覚醒剤の売買
組織に、売り捌いていることです。これに関しては、アングラマネーなので当然
税金もかからず、実は一番の巨大な利益は「薬・違法掲示板」で集まった
シャブ中連中の個人情報を組織に転売することにより得ています。
最近それらの情報に警察や公安が気づき始めたため、西村博之の実家には何度も
ガサ入れ（家宅捜査）に入られており、逮捕への証拠固めとして、国家権力が
動き始めて、かなり立場的には危険になったことは確かです。ですので、
以前ほど堂々と、そのような行為もできなくなってきているので、私も住居を
転々としている次第です。あっ、このことについては、本当に危ない話
なので、他言しないでくださいね。もしばれた場合は、ネタ情報として
逆にでたらめな似通った情報をたくさんネット上に流すことにより、煙に
まいてください。大抵の場合、ガセの情報をたくさん流せば、またネタが
始まったと、冗談で終わります。以前オウム真理教が毒ガスサリンを
自分たちが作っているのに、毒ガスで命を狙われたなどと自作自演した
作戦と同じ手口ですね。よろしくお願いします。

LocalのHDDに溜め込まれたログをscpかftpでコピーできると助かるのですが、
やはり出来ないのでしょうか？

>>471
syslog使うのは駄目ですか？

SYSLOGも検討していますが、どうせHDDにログがあるならそれをコピーするのが
良いかと思いまして。
Syslogサーバを増やすのもなんですし。

>>473
一連のレスを読み返して見ましたが、WebUIにリモートメンテしたいということでよろしいでしょうか？
一つの代案として以下のような運用はいかがでしょうか？

・Internal内の既存若しくは新規サーバにPROXYを設置
・バーチャルIPにてポートフォワーディングで当該PROXYをNAT
・ポリシーで当該PROXYへのアクセス制御
・当該PROXYのACL・認証等でアクセス制御
・外部から当該PROXY経由でInternalへ管理権限アクセス

>>468
私だったら、Externalからのhttpsでのメンテを全部禁止にして、
PPTPなどでFortigateに接続し、InternalのIFへhttpでアクセスします。
指定されたグローバルIPアドレスに限定ということにはなりませんが･･･。

300のデモページができてますね。
http://www.fortinet.com/demo/index.html

ちなみに、ヘルプ（マニュアル？）も？マークをクリックすると出てきます。

どなたかFortiGate-60のデュアルWANインタフェースの設定方法などの情報をお持ちじゃないですか？

使った実績なんかもあると嬉しいです。

>>476
バージョン古すぎ・・・

>>478
ドメイン出てるよ？（ｗ

最新は　458　だったんですね。
失礼しました。＆助かりました。>>478

>>478
がんばってね（はーと

>>474
Proxyにも詳しくなくて申し訳ありません。
結局NAT先はInternalのアドレスになりませんか？
すみません。勉強不足です。

>>475
もちろんExternalからの許可するつもりはありません。
確かにVPNとう手が有りますね。IPSecだと金が掛かってしまいますけど。


一旦内部で折り返すと、内部に障害がある場合に問題切り分けが面倒になると思います。
とのことで、単純にExternalへのメンテナンスが有れば良いのですが、認証の画面が表示
されるのが気に入りません。

結局リモートからのメンテナンスは、内部のPCで折り返すかVPNですかね。

>>474
>>482
Proxy経由でWebGUIを動かすのって恐くないですか？
ReadOnlyなら別に良いのですが。

>>482
私はIP8な環境ですが、試しにFGのInternal自体のアドレスを
External自体のアドレスにNATしようとしたら、
スタティック、ポートフォワーディングともにヴァーチャルIPが既に登録されている旨の
エラーメッセージが出て登録できませんでした。そちらも同じ状況ですよね？

ただし、Internal内のホスト、例えば192.168.0.1にポートフォワーディングでNATは可能でした。
IP1でもこれは可能ではないでしょうか？

>>483
Proxyにアクセスできるホストが限定されていて、FGのポリシーとProxyのACLが
適切に設定されていれば私は大丈夫だと思います。
まあ、このあたりは運用ポリシー次第だとは思いますが、、、

>>484
あ、ｽﾏｿ。言葉が足りなかった。
踏み台にされるとか、ログイン元がわかり辛いとかそんなのじゃなくてですね、
キャッシュが変に作用して、設定がグチャグチャになるとかそういう話です。
WebGUIなんかでよく「本製品の操作はプロキシを経由しないでください」
とか書いているのあるでしょ。そういう恐さです。
# ま、この辺りは大丈夫だとは思うのですが、やっぱりビビリます。

>>484
可能ですが、Internal内のPCで折り返すのが少しだけ抵抗があります。

例えばIP8とかを利用してExternalのインターフェースに割り当てているIP
以外でバーチャルIPをInternalのインターフェースにポートフォーワディング
は可能でしょうか？

>>485
なるほど、キャッシュの副作用が怖いって話でしたか
今回の案件の場合は、キャッシュは不要でしょうから
例えば、Squidを使ってキャッシュ無しの設定で運用するってのもありかも知れません。
単純にフォワードするだけなら、iptablesとかでも可能かも

>>486
やってみましたが、やはり無理でした。

メールチェックすると長いときだと数分かたまる・・・
仕様でしょうか。

>>488
サイズ、回線速度等に依存します。
FortiGateで１通のメールを全て受信してウィルスチェックしたあとにクライアントに渡しますので、
サーバーからFortiGateまでが遅ければ、重いメールがあればクライアントから見ると止まったように見えます。
その間は、FortiGateとサーバー間でがんばって転送してると思って下さい。

>>488
うちでも発生しています．
固まる時は，AVを通るもの全体（SMTP/HTTP）が通信不能になります．
pingとか他のセッションであれば普通に使えるので，AVが重いのかも．．．
小さいサイズのメールでも，不特定のタイミングで固まるので
>>489 のような問題ではないようです．

>>490
最近そんな話多いですね・・・てゆか大杉なぐらい。
まずavを通るものから止まるような現象の発生理由としては、メモリ不足。
メモリが足りないと、まずavを通るセッションがはれなくなります。メモリ多く使うから。
・・・でも、最近メモリが足りない理由として多いのは不具合が多い。
ntp動かしてるだけでメモリ食いまくってなんもできなくなったりもする。
メモリ使用率が85%になったら新しいセッションはれなくなるので、
それに近い数字とかだと危険かもです。
再起動直後のメモリ使用率をどこかに控えておいて、
それとかけはなれた数字とかになってると危ないと思ったほうがいいかもしれません。

ちなみにMR7(2.50 build212)ではパターン更新するプロセスのメモリリーク等があるので、
早急にMR8(2.50 build251)にしたほうがいいと思う。パターン更新されなかったりするので。

>>491
メモリー不足でない状況で、AV絡みで私が遭遇した現象

HTTPで同名ファイル（URL・ファイルサイズが違う）を複数同時に
ダウンロードしようとしたらできないというのがありました。
メモリ使用率を見ていたら、上がったり下がったりでFGが何度も
やり直ししているように見えました。これって既知なんでしょうか？

2.8の前にMR9が出そうなんで直っておれば良いんですが、、、

>>492
httpで同じファイル名、違うURLでテストしてみたんですが、とくに問題ありませんでした。（MR8)
それって毎回発生しますか？
ちと気になる・・・

>>493
ごめんなさい、FTPの間違いでした。
上がったり下がったりの件は、ダウンローダ使用時に
タイムアウトになってやり直しをしている為でした。Orz

今も試してみましたが、やはり再現します。
例えば、下記からのFTPダウンロード等です。
http://www-6.ibm.com/jp/domino07/lotus/home.nsf/Content/DP6_Notes_Domino_R50_incr509a
http://www-6.ibm.com/jp/domino07/lotus/home.nsf/Content/DP6_Notes_Domino_R50_incr510

>>494
w332nsrvi.exeのファイルで試してみたのですが、普通にダウンロードできました。
片方をクリックし、応答があるまえにもう片方の同じファイル名のをクリックする・・・でいいんですよね？
その後はどちらもファイルダウンロードのダイヤログが開きました。

FG200 MR8(build251)です。
アンチウィルスのチェックサイズは10MBで、それ以上はスルーの設定です。

25MBに設定して試してみましたが、やはりうまくいきます。けっこうメモリ食いますね・・・・。

>>495
操作はその通りです。
私のPC/ブラウザが腐ってるのかな、、、一度インターネットオプションで
ftpをパッシブに設定したらうまくいくようになってしまいました。

追試ありがとうございました、とりあえず直って結果オーライです。

リリースノート付きでMR9発見。ＤＬしてみまっす。

>>498
あっ、ほんとだ、リリースノートにMR9,Rev.1とか書いてあるよ、、、
MR10の前に、Rev.2･･･とか続くのかいな？

Cerberian使ってるときはMR9入れるな
“exec formatlogdisk”しろって書いてありますね。

さて、私も落として入れちゃおう

この間、Fortigate50を導入。
Hotmail宛がほとんど通らなくなった・・・。
docomoの携帯宛ても宛先によってよく止まる・・・。

ｳｨﾙｽﾁｪｯｸｵﾌﾟｼｮﾝをはずしたら、
docomo宛で引っかかることはなくなったけど、
Hotmail宛はまだほとんど止まる。

unset system sessionttl *** ってやったら、接続切られるし、謎

>>499
リリースノートの追記とかでリビジョン変わったことあるから、そのせいだと思う。
ファーム自体が同じビルドで内容変わったことはない・・・それはさすがに（ｗ
って、HDD消さなきゃあかんのか。コレクションが・・・・

>>500
500ゲットおめ。
unsetコマンドはまだ動かない。リリースノートに書いてある。
謎が多いなら買ったとこに問い合わせすべし。

>>501
あり。
MR9の話題が出てたので、速攻見に行ったら、
「MR9でもまだ直ってない」
とありました。
失礼しました。

メールの方は、いろいろ試してみて、うまくいけばよし。
ダメなら問い合わせしてみます。
有益な情報が得られたら、反映させて頂きます。

>>502
あのコマンド、いつになったら直るんでしょうかねぇ。たぶん2.5では直す気なさそう。＜fortinet
FG50は貧弱だから、クライアント多かったらけっこうよく止まるねぇ。

>>501
MR9入れちゃいました。
以前のMR8人柱版投入と同様に、案の定ウイルス隔離しなくなりました。
やっぱフォーマットせんといかんですね。

ちょこっとだけ気がついた点
・メモリリークが直った感じ
・AVのファイル上限まで溜め込まないで、直ぐに転送/ブロックされるようになった

>>504
こちらもMR9入れました。
うーん、ウィルスの隔離できてる模様。。。。
コレクションまだとっといてないのでフォーマットしてません。

転送の感じも前と変わらず・・・・。
メモリリークはいままで常にあったので、今回もある気がしてなりません（笑）
しばらく運用してみます。

MR9のリリースノートをみましたが、直って欲しいところがまだ直ってない・・・。
あぁ、上司から認可がもらえねぇ〜＿|￣|○

>>506
たぶんMR10は出ないっぽいなぁ。
あとの修正は2.8だと思われ。
そして2.8出たばっかりはバグバグで使い物にならないと・・・。
夏が終わる頃には2.8が使えるようになってるといいなぁ。

>>507
>たぶんMR10は出ないっぽいなぁ。
この前、代理店の営業さんがうちに訪問に来て言ってたのですが、
そこの社長さんが米Fortinet社に
「2.8を出す前に2.5をもっと完璧に作れYo! ｺﾞﾙｧｧｧ!」
と、乗り込んだらしいです。

セッション保持時間って変えられる？

>>509
tcpの無通信タイムアウト値なら変えられます。

set system session_ttl default 300
set system session_ttl port 23 timeout 300

上がtcp全体を変える場合、下が23/tcpを変える場合。
300は秒です。お好みで変えて下さい。
両方設定してある場合はポート単位が優先になります。
ちなみにデフォルトは300秒。

>>510
ｻﾝｸｽ

>>498
最初にＤＬしたリリースノートと、今サイトにあるリリースノートでサイズがだいぶ違う。。。。
しかしファイル名は同じ。中身違うのかなぁ・・・。
ちぇっく面倒だから放置・・・

藻前ら、代理店に「Cerberianとの提携ってどうよ？」
って聞いて美奈代。
面白いことが聞けるかもよ。

>>513
まさか白紙になったのか!?

>>513
独自の・・（ぽそ

Σ(・∀・;)

　

>>515
FortiGuardの事でつか？
あれって有償/無償？Cerberianより安い/高い？

http://www.fortinet.co.jp/products/pricelist.html
そういえば、ここにこの前まで、Cerberianのライセンス参考価格が
あったはずだけど無くなってますなぁ、、、

日本語ホームページ充実せんかなぁ

MR9は安定していますか。

>>515
あ、情報ソース同じっぽいですね。
私もそれ聞きました。

もうCerberian買えないっす

>>520
いまんところMR9で問題でてないっす。
MR9で発生する問題はMR8でも発生するって意味ですが（ｗ
なので、MR9にしといたほうがいいってこと。

MR10は来月末にリリースだって

>>523
8月末ってこと？？
今月末と聞いているんだが・・・

>>524
interopで聞いてきたんだけど聞き間違いかなぁ。
MR10以降は大きなバグが無い限り出ないとも言ってた。

http://itpro.nikkeibp.co.jp/free/NCC/NEWS/20040701/5/

>>522
MR9はログディスク初期化必須ですか。

>>527
必須ではありません。
formatしたほうがパフォーマンスがよくなる〜とか書いてあったっけ。
コレクション消したくないのでformatしないで使ってます。

今更ですが、InteropでFortiManager見てきますた。
うーん、Sm*rtDa*hb**rdみたいで（・∀・）ｲｲ!!

W32/Bagle.adってまだ対応してない？

ReplacementMessagesのメッセージに日本語入れたら、
一部のメーラだと文字化けしてみれないね。

Content-Typeのcharsetを指定できたらいいんだけどなぁ。無理か。

２００をＭＲ９にアップデートしたらパターンの更新等のステータスが
「ネットワークエラー」の表示でパターン更新ができないのですが、
これってバグなんでしょうか？？どなたか知りませんか？

目の前にFG200がありますが、MR9を適用してもパターン更新は「ネットワーク
エラー」にはなってないですね・・・なんだろう？
一応、私はHDDをFormatしているんですがそれが関係しているのかな。

うちも200(MR9)だけどフォーマットしていない。
メモリ使用率がどんどん上がって困ってる。

2.8が見える気がするようなしないような。

>>535
あ！ホントだ、初版なのにMR3からスタートですか〜
さすがに即入れは怖いんで、とりあえずリリースノート読んでみるでつ

>>536
入れてみました。日本語化け化けがちらほら。
ちょっと怖いです（ｗ

>>537
化け化けですか、、、英語表示ならあまり問題ないかな
さて、これから入れてみようと思います。

AVのヒューリスティックスキャンとHDD利用での1GB対応に期待

バージョンアップで色々はまってしまいました。

・なんかアクセスできないと思ったら、Service group listの内容が消えていた（再登録で回避）
・Spam filterの新機能に引っかかってメール送受信ができなくなった（とりあえず新機能部分OFF）
・Virtual IPの仕様変更かバグで2.5MR9と挙動が違う、、、orz

ポリシーとかプロファイルを色々見直さなければいけない悪寒

>>539
バージョンアップ怖いな。
バージョンアップ後、設定バックアップ戻してもダメなのかな？

2.5MR9もちょっと変だなぁ。
HTTPがいきなり通らなくなる現象が発生したよorz
＃トランスペアレントで発生
POPやSMTPは普通に通過出来るのに・・・なぜだ〜

FG-60のExternalのインタフェーススピードがファイルに表示されない
Bugはいつ直るんだ！

.

ADSL環境(IP1個)にてWEBサーバを公開しています。
WEBサーバ(DMZ)は192.168.1.2でgatewayが192.168.1.1です。
externalからWEBサーバへport22,25,80,443を割り振っています。アクセスログを見たところ
すべてgetawayのIPアドレス(192.168.1.1)になっていました。
どこからみたらよいでしょうかね・・・

>543
初心者が手を出していい製品じゃないのに・・・
source IPがグローバルIPじゃなくてDMZのIPになっているってこと？
externalからdmz向けのFirewall policyのNATにチェックが入っているとか。

>>541
自分とこでは、HTTP、SMTPがいきなり通らなくなる現象が発生したよ。
トランスペアレントで発生。
再起動で復旧、なぜだ〜

支店と営業所、出張所、計５拠点をＢフレッツを使って
インターネットＶＰＮのＷＡＮを構築する計画です。
小さい会社なので、コスト＞安定性＞セキュリティ
支店：Ｆｏｒｔｉｇａｔｅ１００
営業所、出張所：同６０
を予定しているのですが、
�@拠点間ＶＰＮの安定性、スループットはどうですか。
�AＰＰＰｏＥの安定性、スループットはどうですか。
�BＯＮＵとＦｏｒｔｉｇａｔｅの間にブロードバンドルータは必要ですか。
ノウハウ、実績のある方教えてください。
ＳｏｎｉｃＷＡＬＬと天秤にかけているのですが、
正直どちらがインターネットＶＰＮに適していますか。

>>546
同じトランスペアレント環境だ・・・orz
2.5MR8に戻した方が良いかな。
WEBアプリが動かなくなるのが辛い。
私のおもちゃFG-60で再現テストしてみるか。

あ・・・レスアンカー間違えた・・・

>>540
リリースノートによると、設定ファイルの互換性はないらしいです。
(CLIコマンドが変更されてるからかな？)
バージョンアップの過程で設定は自動変換されるんですが
Service group list部分のタイトルはあるけど、中身がないって状態でした。

どうも、ExternalがPPPoEだとNAT(Virtual IP・IP Pool共)が効かないらしい。

ちなみに、今出てるMR3は日本での正式リリースではないです。念のため。。。。

http://www.itmedia.co.jp/enterprise/articles/0407/20/news043.html
これどうなんですかね？
FortiGateと競合しそうだけれど
まだ値段もわかりませんが・・・

ウィルスチェックをゲートウェイじゃなくって、クライアントで行なうっていうのがシマンテックにしては新しい感じだけど、NortonAntivirusしばりになるんだろうなぁ

>>545
バグだって・・・
対処方法はロギングしない。or ログのサイズを10M以下にする。
MR10で修正予定らしいよ。(8月リリース)

>>552
らしいね。って同じ文面見てるんだろうか（ｗ
とりあえずロギング部分だけの修正版出してほしい。今すぐ。
MR10なんて待ってられるかっちゅーねん。

>>553
たぶん同じじゃないかな。FGは代理店それほど多くないし。
ここまで不安定な製品も久しぶりだよ。

しかし何でデータのフォワードとログが関係してるんだorz
MRxx(数字)が二ケタ台にのらないと安定しないのかな。
＃CiscoのIOSじゃないんだから勘弁してくれ。

>>546
悪いことは言わないから辞めた方がいいよ。
出来ない事はないけど、VPNするんだったらNetScreenや第二候補のSonicWallに
していた方が無難。

FWとしてもまだ安定しているとは言いがたいから。
じゃじゃ馬好きならどうぞ・・・

>>554
MR出ても安定しないってのがイヤかも・・・。
少し古くても、「このバージョンなら安定してます」的なものが存在しないってのが困る。
次々とバージョンアップしてもらっても結局トラブルだらけ。

>>555
確かにね。MRを出してもMRの意味を成してないし・・・
こんな状況なのにv2.8を出してくる神経がある意味凄い。
＃出たときからMR3だし(ぉ

>>556
修正項目は全て2.8で・・・・という考えなのかな？
しかし2.8MR3も怖くて実環境投入できず（ｗ
MR4でてからかなぁ、それでも人柱だよね。

>>557
何を入れても人柱だよね。
フィールドテストをするんだったら自分たちでやって欲しい・・・
代理店もあんまりテストしてないんだろうね。

あ〜、なんだか皆さん不満が爆発しはじめたようですね。

InterScanの代わりに入れようと思ってるけど、チョト不安だな...
FireWallやVPNは別にｲﾗﾈけど、安いウィルススキャン用の
箱と思って買うのは無理っぽい?

>>559
ベンチャーの出たばっか商品ならまだいいけど、
こんだけ時間たってあの程度じゃねぇ。
機能付けるだけ付けてバグだらけ。すぐなおさないし。
なんかあったらバージョンアップしろというけど、それはそれでまた別のバグに悩まされるわけだ。
今回はトラフィックログをLocalHDDに記録するとメモリリークすると。
対処法は、記録するのをやめろと。
ほんとにこれでFirewallか？どう管理しろというんだ？
すぐに直す気ないらしいし。

>>561
>ほんとにこれでFirewallか？どう管理しろというんだ？

そうなんですよ。私も以前から管理面で非常に困ってるんですよ。
Fortigateなだけに放置しても良さげな案件にしかオススメできないんですよ　（寒っ

Firewallって導入よりも、運用の方に重みが置かれるってことを
Fortinetは判っているのだろうか?　と、思う今日この頃です。
FireWall-1のありがたみを改めて認識してしまいます。

ところで、>>552のログのサイズ10MB以下にするってのは、10MBで
ローテーションするということですよね？
私はawkやgrep処理することを考えて、最初から10MBにしてます。
10MB以下じゃないと、ショボイPCだと辛いので･･･。
みなさん何MBにしてますか？

おぉ、少し波が立ってるねぇ。。。
先月、FortiGate-300を1台購入して、来月、もう1台、追加予定。
NetScreenもSonicWallも少しずつ導入してるけど、まぁ、正直、
どこの製品も品質は大きくは変わらないよ。
敢えて比べるなら、NetScreenは少しマシかな？って程度。
確かにもうベンチャー企業じゃないと思うから、少し頑張っては
欲しいけど、2、3年前の他の製品はもっと酷かったような。。。

2.8のマニュアル類とか公開されたみたいだから、とりあえず落としとこ

>>560
InterScanの代わりに入れたところはあるよ。
スキャンの精度は確実に落ちるから、神経質なユーザなら辞めておいた
方がいいよ。新物好きだったら受ける可能性はあるけど。

>>562
そういうことみたい(10M以下でローテッド)
でもまだ試してないです。

確かKDDIってFortigate使ってサービスしていたような。
どうなっているんだろう？気になる〜

>>565
>スキャンの精度は確実に落ちるから

詳しく聞かせてもらえますか？
古いｳｲﾙｽがひっかからないっていうのは聞いたことありますが、それのことですか？

>>566
動作を軽くするためにパターンファイル容量を制限してるって
代理店の人が言ってた
今流行ってるウィルス以外はほとんど素通しﾗｽｨ…

>>554
どうもです。
無難にNetScreenにしておきます。

>>567
あくまでも「Wildリストに対応」しているとのことです。
流行らなくなってリストから消えるとそれにあわせて
消しているそうです。

>>565
高速HTTPスキャンって割り切るか、VPN装置といった使い方
がよいと勧められました。

>>567
私もそのように聞いてます。
確かに今時、DoS時代の古いウィルスをスキャンするのも
いかがなものかと思うので、この考え方はアリかと思います。

っていうか、商売的にもゲートウェイ1ヵ所でウィルスを検知するのも
良く無いと思うので、古ウィルスはクライアントのアンチウィルスで
検知するってのが良いかと・・・。

>>566
VirusScan大手と比べると、解析・パターンファイル作成・配布が遅れ気味なの
でそういった意味でスキャン精度が低いと言えます。
クライアントタイプのソフトと組み合わせるのがベターです。
また、価格相当と言った所ですね＞みなさま

HTTPスキャンはお世辞にも速くないですよ。
チェックをはずした時との速度差は歴然・・・

>>565
まぁ値段ｱﾚなので精度が少し落ちるぐらいはやむを得ないかと。
あとはｽﾙﾌﾟﾄだけど、DSL接続とかなら50Aで問題ﾅｼでつかね。
>>569
まぁDOSの奴はかまわんけど...　どのあたりまでっていう
基準が難しい気がするなぁ。

>>570
他のウイルス対策ゲートウェイよりはずっと速い。
問題は、現行OSの仕様。添付ファイルが、本文ごとまとめて
エンコードされていると、先頭のtextの部分だけ検索して
OKとやっちゃうところかな。これはQ3辺りに改良されると
聞いているが

symantecの遅さには開口しっぱなしだったなぁ・・・
それでこの値段？って思うほどに。
それに比べると確かにFortiGateは速いか。
過渡な期待は危険なのには変わりないけどね。
ASICベースなんて書いてあるからなおさら。

FG-60分解したけど、どの辺りにASICが搭載されているのかぱっと見わからん。

>>573
SGS5400ですか？
スループットはどのくらいでしたか？

高速に処理できるのはFortigate位だろう。でもOS改善までは逃すウイルス多し

コストパフォーマンスならFortiGateが文句無しでしょ。
まぁ、他のAVGW製品が高すぎて遅すぎって言うだけだけどね。。。
取りあえず、クライアント側にはAVソフトウェアを導入する事は必須として、
AVの二重化を安く構築したい場合にはお勧め出来るんじゃない？
流行のウイルスだけでも、ある程度GWで削除してくれれば、管理者としては
そこそこ助かるよ。

>>574
現行の1つ前のやつ。型番忘れた・・・
FireWall機能だけで1桁(何Mbpsだったかな)台しか出なかったので
速攻使うの辞めた記憶がある。(後に返した)

>>576
FortiGate1台の全てを任せないで他社製品と組み合わせるんだったらお勧め
します。コストを考えるとね。
あと、もう少し安定性が良ければなぁ・・・
でも安定したらNetScreenのようにどこかに買収されちゃったりして。

気づけば日本語サイトがわりとまともになったんだね．．．．

>>577
うちは安定してるけどなぁ
少なくとも落ちたりしない
（最近CPUのメーターがあがりぱなしなのが気になるけど）
VPNとか使ってないのでそのあたりの違いかな？

>>578
特定の機能の不具合とかが多いから、その機能を使わない状態であれば問題ないのかも。

2.8のMIBﾏﾀﾞｰ

>>579
HDDへのログの記録は普通機能だから痛いんだよ・・・
FG100にしておけばよかったよ。

>>578
私もVPNは使ってないです。
FG200のばかー

2.8インスコしてみますた。
コ、コ、コ、コマンドが全然違う〜〜〜〜〜！＿|￣|○

まだ、少ししか試してませんが、2.5で直して欲しいと
代理店に伝えてもらったバグが直っていました。

どうなんでしょうか？
2.5でのバグは余程のものでないかぎり2.8から修正と
いう形になるのでしょうか？
2.8のリリースは、こうやって前向きに受け止めないと
やってられんわな。

2.5の時にSquidから拾ってきたURLリスト(約60,000リスト)を加工して使っていたのですが、
2.8ではそのまま使えませんですた。
行末の1を::01000000:: に置換してとりあえずは使用可能でした。
ただし、32,000リストが限界でした。
ちなみにFTG60で試しました。上位機種だともっといけるかもしれません。

FG400 2.50,build212なのですが、W32/Bagle.zip-mm感染の添付メールがウィルスごと
スルーしちゃいました。AntiVirusDefinition は4.423 の一つ前だった事は確認してるのですが・・・
その後再現しないのですが、こんなことってあるのでしょうか？

>>567
私も代理店の人からそんな話を聞きました。
やっぱり機能を詰め込みすぎた結果なんでしょうか？
AntiVirus機器として特化して使う場合、
パターンファイルはフルに搭載して欲しいですね。

Fortigate使いはじめてから、WindowsUpdateに失敗する事が多くなったきがする。
皆さんhttpスキャンの上限どの位にしてます？

ftp://ftp-temp:[email protected]/b299
こんな所に2.5MR10人柱版みたいなのがありますね

>>587
誰だかわかんないけど、それってここに書いていいような内容じゃないと思うが。

・Fortigate100（2.5MR9）
・アンチウィルスの上限10M（上限越えたらチェックせずスルー）

の環境で、10Mを越えるSMTPを、
DMZ上のメールサーバからExtarnal（インターネット）宛てに送る度に、
インターネットやVPNが切断されて、5〜10分程で正常に戻るんだけど、
同様の症状出た事ある人いる？

アンチウィルスのログには、容量を超えてる内容のログが出てる。

障害時にExtarnalにPING打っても応答無し。

でも、回線はプロバイダに認証ログ確認してもらったら再接続の要求は
無いとの事。

なんなんでしょ？

>>587
削除依頼出しといてね。

>>584
の続きなのですが、W32/Bagle.zip-mmに続きBeagle.AOに感染したzipファイルが
8/8 素通りしました。（多分、AntivVirusDefinitionは当時の最新）

ユーザーから突っ込まれたらどうしよう。。。。

自己レスですが、
http://www.fortinet.com/FortiProtectCenter/で
08-09: W32/Bagle.AQ-mmとなっているということは 8/9以降しか
検出できなかった、ということでしょうか。

SMTPゲートウェイは要所なのでメジャーベンダー製品のものと併用した方が
ベターです。
もっともメール型ウィルスは拡散速度が異常に速いので、
*.exe、*.pifなどをフィルタリングした方が効果的です。
とりあえずはファームアップした方がよいかもしれません。

>>593

そうですか？
この部分だけでもきちんと動いてくれないと　”一体、何の機械やねん！”って事になるかと
思うんですが。。。

まあ、もちろん各クライアントにはウィルスバスターを入れてますけど、
ttp://headlines.yahoo.co.jp/hl?a=20040816-00000001-vgb-sci　のような時に困ってしまう。

ちなみにWORM_RATOS.Aはシマンテック名W32.Mydoom.Q@mm
ttp://www.fortinet.com/VirusEncyclopedia/には8月3日掲載だけど素通りでした。

>>592,594
FortiProtectCenter，VirusEncyclopedia とFGのパターン配布が
正確に一致していないように見えます．
FGの管理画面から，Anti-Virus - Config - Virus List で
リストを確認するようにしてみてはどうでしょう．
diff取るとかしないと追加を把握しにくいですが．

>>595

そうなんですよね。

でもＦＧが検出するまではフォーティネットでのウィルス名が判らないという罠・・

>>594
8月3日掲載のは違うウィルスじゃないの？
WORM_RATOS.Aは16日発生じゃん

FortiでWORM_RATOS.Aにあたるのは W32/Mydoom.S-mm だね
日付だけじゃなくって何時に対応したかまで公開して欲しいなぁ

>>597

そのようですね。
NortonAntivirusではHPにMydoom.Qと載ってるくせに検出するとMydoom.sと表示された。

>>599
NortonAntivirusで検出したらMydoom.sって表示されたってこと？
うちの脳�dさんはMydoom.Qって出るけど

FortiでMydoom.Sって表示されたってことならそりゃしかたないでしょ
名前つける基準が各社違うから

RATOS.A はトレンドは17時で、fortiは21時(MyDoom.S)対応
だったよ。どっちにしても間に合ってねぇーよ（笑

ところでfortiで、photos_arc.exeだけブロックする設定とかできる？

うちの呆痴げーとくんはRedlofなどを平気で見逃します。
高速HTTPスキャンを期待して買ったけどいまいちです。
すでにリストラリスト入りしています。

>>601
ファイルブロックでファイル名書いたら止められるんじゃないかな？

FG60 2.50,build171を使用中ですが、以前OCNのADSL(IP8)を利用して
wan1とdmzを同一セグメントとしていたのですが、
(wan1：PPPoE，dmz：static)
回線をUSEN GATE02(IP8 FTTH 非PPPoE)に変更後、以前と同じ設定が
できずに困っています。(wan1とdmzを同一セグメントにする設定)
wan1，dmz共static設定にして両方に同一セグメントとなるアドレスを
設定しようとすると「アドレスが間違っています」みたいなエラーが出ます。

PPPoE以外でwan1とdmzを同一セグメントとすることはできないのでしょうか？

>>601
今回シマンテックも遅かったよね
２０〜２１時ぐらいだった気がする
ﾊﾗﾊﾗさせられたよ

ふつう、dmzはプライベートにしてWAN1からNATするんじゃねーの＞604

それか、トランスペアレントモードにするのかも。（やったことねーけど）

>>606
ﾊｧ?
NATかましてDMZですか？

Fortigate200(2.5 Build269)をトランスペアレントモードで
使用しておりますが何故かある特定のドメインに内部のメールサーバ
からメールが送信できません。
FortiGateを外すとさくさく送信できてしまいます。

こんな現象が発生した方いらっしゃいませんか？もし何か原因
的なものが思い当たる方がいたら教えて下さい。

>>604
その構成だと、WANとDMZだけを同一セグメントにすることはできません。
WANをグローバル、DMZをプライベートアドレスにするか、
トランスペアレントモードにして全部のインターフェイスを同一セグメントにするしか。

>>608
それってアンチウィルスをはずしたらちゃんと送れるようになりますか？
そうだとすると、解決できないかも。
アンチウィルスを有効にしてると、FGが代理でtcp/synを出すので、
MXレコードが複数あり、プライオリティの高い鯖が直接送れないところだと、
２番目にいってくれないようです。
使ってる鯖ってqmail系じゃないですか？

>>602

FortigateではRedlofもちゃんとスキャン＆除去してるぞ。
エンコードされた部分だけ削除してるから
クライアントでスクリプト部分で検知されることがあるがな

クライアント型で検知されたからといって盲目的に信用してると
馬鹿見るぞ。

ま、スクリプト部分も削除してくれるのが一番だがな〜

>>609
>FGが代理でtcp/synを出すので
というか、Fortigateが Proxy 動作を行う際に、リレー元に ACK を返してしまう(一度コネクションが確立してしまう)のが問題。
## qmail は TCP コネクションの成否で、リレー先 MX の稼動状況を判断している為
Typo だったらすまぬ。

結構あるんだよなぁ…Primary な MX に、外部からのリレーを受け付けないホストを設定してるとこ。
スプール用のホストなんだろうけど、とても褒められたもんじゃないよね。
つーか、わざわざそんな事する意味がわからんし。

おかげで queue がガンガン溜まって、罪も無いドメイン当ての Mail が遅延しまくった苦い記憶が…

2.5MR10来てますね、私は、2.8MR4待ち、、、

>>612
2.8どうっすか？
2.5から移行するメリットありますかねぇ？

>>613
色々機能強化されてはいるんですが、現状はバグ多すぎって感じ・・・
http://support.fortinet.com/forum/を覗いてみては如何ですか？

2.8に移行してメリットと感じられるのは私的にはこんなところかな
・AVでDISKを使えるようになった(1GBまで)
・AVでヒューリスティックスキャンをしてくれている
・IDS(IPS)関係が良くなった
・GUIが良くなった(現状日本語は×ですが)

v2.5MR10を入れてみた。
FG-60のwan1のデフォルトのインタフェーススピードが表示されないBugはFix
されてるなぁ。

後は、ログのメモリリークが直っているかだな。
リリースノートを見る限り直っているんだか分からない(載ってない！？)

>>609
>その構成だと、WANとDMZだけを同一セグメントにすることはできません。
やはり無理ですか。残念です。
トランスペアレントモードも試してみようとしたのですが、
このモードではVPNが使用できないみたいなのでパスしました。

現在はご指摘のようにWANをグローバル、DMZをプライベートとして
バーチャルIPを設定してルーティングしています。

ありがとうございました。

>>609,>>611さん
ありがとうございます。
来週ウィルススキャンを外して送信可能か否か試してみます。
結果はまた報告します。

しかし相手がqmailの場合は致命的な気がするのですが・・・。

>>614
なるほど
気安くﾌｧｰﾑあげられない環境なので生の声が聞けて助かります
もう半年ぐらい待った方がよさそうですね

会社のFG200に自宅（ADSL YAMAHART55i)からFortiClientで接続を
試みているのですがﾉｰﾄPCだと問題なく接続でき社内のイントラを利用できますが
デスクトップPCだとFortiClient上では接続できているのですが社内のﾌﾟﾗｲﾍﾞｰﾄｱﾄﾞﾚｽ
にpingが通りません。別のPCだとpingを打つとﾛｯｸしてしまいます。
どなたか解決方法ご存知ないでしょうか？

FG200で特定のIPのみInt→Extブロックって出来ませんか？

試しに「ファイヤーウォール」→「アドレス」→「Internal」に対象のIP(A.B.C.D)とサブネット設定(255.255.0.0)。名前は仮にｱﾉｰﾝとしときますか
「ファイヤーウォール」→「ポリシー」→「Int→Ext」の一番に下のを登録してみた
送信元：ｱﾉｰﾝ
あて先：ExternalAll(0.0.0.0)
スケジュール：Always
サービス：Any
アクション：Deny
こうするとIPアドレスA.Bで始まるクライアント全てが通信不可になってしまいます。
そもそもこの行為自体FGでやるべきことではないのですか？
ご存知の方宜しくお願いします。

>>620
対象IPのサブネットマスクを255.255.255.255で設定(例えば、192.168.0.1/255.255.255.255)
登録したアドレス郡をグループ登録してあげればスマートでしょうか

>>621さん
ありがとうございます。なるほどサブネットマスクで絞り込むわけですね。
今のところ怪しいクライアントは１つだけなのでそれだけブロックできればOKですが、後々増えたときにもグループ化しておけば楽ですね。

IPの何たるかも知らない香具師がネト管！？
((((；ﾟДﾟ))))

>>623
仕方ないですよー僕だってそれ専門で会社入ったんじゃないので。
多少社内でパソコンに詳しいって理由で管理者やらされてます。
たぶん2,3年後くらには「俺ってバカな書き込みしてるなー」って思うかもしれません。これから頑張ります。
一応結果ですが、ブロックできたみたいです。
その前にp2pやってる人間を突き止めろって話もありますが…

>>620
がんがれ〜ヽ(´ー｀)ノ初めは皆素人

>>624
P2Pやってる人間突き止めたいなら、完全ブロックせずに帯域制限かけて泳がせて見れば？
一応、2.8では、bit_torrent、edonkey、gnutella、kazaaは検知したりブロックできる様にはなってる

>>624
正直、スマンカッタ

>>625さん
応援ありがとうございますm(_ _)m
>>626さん
ものすごくFGに負担かかるようなので（実際LANとWANのランプが激しく光り、モニターでCPUの使用率が100%になってる）
こりゃブロックしたほうがいいなという結論です。
それで、ファーム調べたらFortigate-200 2.36,build073,030514でした。
様子見て早急にファームのアップデートしてみます。
>>623さん
いえ、逆に自分の質問にスルーさせれるの覚悟でいたので
反応があっただけ嬉しいです。

>>628
ファーム上げるなら、2.5にしておきましょうね
2.8は人柱覚悟で、、、orz

>>629さん
情報ありがとうございます。
そうですかぁ2.8のp2pブロック機能は魅力ですが、
会社で使ってる以上人柱覚悟のファームは使えませんね
大変参考になります

>>619
ノートとデスクトップの環境・FortiClientの設定を比較してはどうですか。
Virtual IPとか間違っているとか、Nat Traversalが外れてるとかでは？
ちなみに私は54iですが問題ありません。

リリースノートにか書かれていないけど、ログファイル(10M以上の設定の時)のメモ
リリークはv2.5MR10で直っているらしい。
っていうか何で書いてないんだろう？(Workaroundがあるから？)

さて、9月上旬に試してみるか。

FortiClientで思い出しました。XP SP1 + FortiClient Ver 1.4の環境です。
インストールするとネットワークコンピューターが使えなくなることありませんか？
使えないというか、ワークグループのコンピューターが見えなくなるんです。
仕方ないので\\コンピューター名\な使い方で対処してもらってます。

「2年後にはセキュリティのリーディング・カンパニーに」――米FortinetのCEO
ttp://itpro.nikkeibp.co.jp/free/ITPro/NEWS/20040830/149213/

FortiReporter使った人います？
意外と良かったよ。

>>634
うーん、無謀かもしれないけどこればっかりは蓋を開けてみないとねぇ。
漏れはブランド力さえつけばCP社を抜けると勝手な分析をしてまつ。
ただ・・・。彼らはは出てくるのが10年早かったかもしれない。
CP社のロードマップを見ると最終形は放置門に近いと思う。

>>636
どうやってCPに勝つつもりなのかしら
何か新しいことやらないと

俺としてはFTGはCPのOPSECに入って欲しい。
もちろんアンチウィルスでね。
そこでもっと名前を売って、実績を上げてからが勝負かな。

もっと中身をちゃんと作ってくれないと別の意味で名前が売れるよ・・・

トランスペアレントモードで　ウイルス対策を自動更新したいです。
ゲートウェイとかＤＮＳの設定が見当たらないのですが、
どうやって設定するのでしょうか？
どなたか教えてください

IP-VPNてどうよ？
通信営業だす。ip-vpnなど教えてください。

どうでも良いけど、FortiNetから来るリリースアナウンスって遅くないですか？
今ごろ2.5MR10のメールが来たよorz
私だけかな？

>>632
直っていないと思うよ。

こんなページ見つけました。
ttp://www.nvc.co.jp/product/fortinet/

スパムメールに対応するようになると聞いたんだけど、どうなってるのかな？

>>644
2.8からSpamFilterという機能がつきました。
実際にこの機能を使ったことが無いので、どの程度使えるかはわかりませんが、、
IPアドレスでのフィルタや、,RBL Serverの指定をはじめ、
その他、メールアドレスやキーワードでブロックできるようです。

>>643
マヂ！？orz
取り扱いベンダーは直っているって言ってるけど、Fortinet JPはダンマリ・・・
ここのリリースノートってなんだよって思ってきたよ。

こんなんじゃCPを抜くなんて到底無理〜

>>646
ふぉてぃねっと社がまずやるべきことは、
仕様通り動作する製品にすること。
稼働率というか信頼性を向上させること。
ファイアウォールとして一級品にならないと
ちぇっくぽいんと社は超えられない。
さらにウィルス検知力を向上させないと
ねっとすくりーん社にも及ばない。
課題は山積み。
これがふぉーてぃねっと社の実際。
がんばれ。

>>647
トレンドのエンジンと比べたらそりゃ劣るよ。
おまけ程度の考えて使わないとね・・・

Fortigate300どかなと思っています。
アンチセキュリティ機能のみ使う予定（ファイアウォールなどは使わない）です。
他と比べて安いみたいなんだけど（理由はほとんどそれ）
同業他社というかここよりいいのあるのでしょうか。
おしえてください。

とりあえず、SonicWALL、WatchGuardとかの第２グループにはなってきているみたい…

「04年Q2のVPN／ファイアウオール市場は前年同期比1％減，SSL VPNは成熟期へ」，米調査
http://itpro.nikkeibp.co.jp/free/ITPro/USNEWS/20040907/149529/

>>649
適当なLinuxマシンにF-secureでも入れた方がいいと思われ

2.8MR4がようやくきましたね
リリースノート読んでから適用します

ATT、及びOCNからのメールが受信できないっす。
トランスペアレントモードで使ってますが、同じような現象の方いますか？
FGが代理でセッション確立して云々っていうのは関係ないですよね？

>>649
FG300をチョイスした理由は？

>>694
もれは、Fortigateはあきらめた。FG300を買うぐらいなら、アラジンのeSafe
ttp://www.aladdin.co.jp/esafe/index.html
をおすすめするよ。
Varioセキュアルーターも悪くなさそうだが、ウィルスチェックは
メールだけだ。ファイヤウォールとして使わないならもったいなし。

スマソ
sage損ねた。

>>650
第２グループということは一般的にはSonicWALL、WatchGuardなどのほうが
信頼度があるということでしょうか。両方知りませんでした。調べてみます。
>>651
ASICベースでスループットが早いというのが売りみたいなので、興味を持ったのです。
>>654
会社の規模からそのくらいがいいのかと。あとは費用です。
>>655
アラジンのeSafeは聞いたことありますね。
ありがとうございます。

もう少ししらべなくちゃ。

>>657
まぁ第2グループはこなれてきた(枯れてきた)という所でしょうか。
HTTPのAntiVirusを動かすとHTTPが物凄く遅くなるから気をつけてね。
FG400でも30MBぐらいしか出なかったから。
ASICの割にはショートパケットの処理も遅い・・・

POPやSMTPならFG300ならそんなに気にならないんじゃないかな。

>>652
2.8MR4が出ましたか。
後で確認してみます。サンクス。

>>657
いろいろあるよね。
WebShiledとか、Trustream SSGとか、SecureSoftとか、Astaro Linuxとかかな。
でも、どれも結構高いんだよねぇ。値段ならやっぱりFortigate？

2.8MR4適用したけど、うちの問題はまだFIXされてないや･･･
日本語GUIもまともになったみたいだから、これで日本でも正式リリースかな〜

MR3ではAVでDISKをバッファーに出来たけど、何やら問題があったのか
MR4では設定はあるけど動かなくなってますね、どうもしばらく凍結らしい

ログが見やすく整形されているのはGoodです

メモ終わり

初心者で恐縮ですが、教えてください。
Fortigate100購入予定ですが、購入先の代理店に
よって、サポートの良し悪しがありますか。
よろしければ、いいとこ、やめたほうがいいとこ
などコッソリ教えていただけると嬉しいです。
正規代理店以外もインターネットで広告を見ますが、
そういう所で買うと、サポートはどこで受けるのですか。
又、IPSecでヤマハのRTX1000と接続実績のある方
おられますか。
以上、よろしくお願いいたします。

かけだし君、ぜひうちから買ってくれ。

>>658
2.8MR3から上げてみました、snmpのおかしいのはそのままみたいですね。

>>661
Fortinet Japanが腐ってるからどこもそんなに大差ないんじゃない。
買ったことがあるのはNが付く2社から。
SBからは買ったこと無いから分からないけど。

RTX1000？普通に動くよ。RTX1500は来月借りる予定。
FGとの相互接続もやったことある(繋がる)けど、あくまでラボレベルでの話し。

FG200に2.5MR10入れたよ。
今の所無事？だけど、なんだかHDDが見えなくなったよ（T_T
Formatコマンドまで消えた！orz

>>661
損BBは、http://support.fortinet.com/のユーザIDくれないとか
サポートが･･･とか以前このスレで誰かが言ってましたよ、現在の状況は存じませんが
うちは商社経由(安かった)で買いましたが、サポートは図研さんです

>659

Jさん？

FG200って最大セッション数が40万だのと嘯いてるけどさ、
実際には、平均1000セッション越えた辺りから動作が不安定になる様に見えるんだけどウチだけ？
相変わらず激しくメモリリークしてるし、もう泣きそう。

>667

他の処理を全くさせない設定での数値でしょ＞４０万
ウイルススキャンとかのメモリ食い機能使ったら、ガタ落ちして
当然だわな。
ルールが増えただけでもスループット落ちるし。

カタログ読むときには注意しなきゃね。

FG-2M さん
◆FG200xXuLwさん
ありがとうございました。

>>667
40万ってのはFW最大同時セッション数と書いてあったと思います。
FW機能だけを使ってそんなもんでしょうか？

某代理店が図研さんのパートナー会で、「用途が決まっていない場合FTG300以上にしましょう」
と、言っていたような気がします。
つまり、色々させる場合はFTG200ではちょっと弱いということですね。

FG-200をMR9にて利用していますが2.5MR9以前にバグがあると本日メールが来ました。
スキャンエンジン1.31にバージョンアップされた今月の１０日頃から
調子悪くなり、サーバー側の原因だとあれこれ調べましたが特定できず
打つ手がなくなった本日、タイムリーに？　バグメールが来ました。
変な意味でうれしかったですね。　　出来れば、もう少し早めに教えて欲しいですね。　　
この７日間以上、綱渡りで運営していました。
2.5MR9以前の方は早急にMR10にバージョンアップすることをお勧めします。
セッションが常時５０００を超えてるから限界なのかと冷えました。
ＡＶ機能が１０分ほどロックされて、ローカルからもＦＧにアクセスできないくらいに
なります。　メール以外のＦＷ機能はその間でも正常に動作してるようです。
今回だけは参りましたね・・・・

>>671
つかとっくにMR10でてただろ

>>671
ForitinetのSupportページはマメに見た方が良いよ。
アカウントを持っているんなら。

>>672
しかしね・・・　　ココでの皆さんのレポート参考にしていますよ。
そうじゃないと、新しいのが出たらすぐに入れるのは怖いですからね。
それほど安定していないって言う証拠かもしれないけど・・・
代理店からのメールを待つか、こちらのみなさんのレポートを参考に
MRの新しいものがでたときには慎重にしています。
サポートのメーリングリストに登録していますので、新しいMR情報等も
リアルタイムで入っていますが・・・

SBのサポートページ・・
ＭＲ９のままなんですけど・・orz

ファームくれってメール汁。

>>676
ありがとん

>>671
うちは2.5MR5だったりしますが問題でてません
スキャンエンジンも1.31です
なにか条件があるのでしょうか？

Supportページ見れないです　＿|￣|○

おまけ

「ウイルス感染は社内ネットの幹で止めろ」と米フォーティネットCEO
http://itpro.nikkeibp.co.jp/free/NC/NEWS/20040922/150280/

同社は今後、日本市場に力を入れていくという。まもなく、日本国内に
サポート・センターを設立し、日本法人であるフォーティネットジャパン
の人員を倍増する予定だ。

>>678
これはあくまでも予想ですが、ある程度のAVに負荷がかからないと
この症状は発生しないのではないでしょうか？
どちらにせよ、メンテ時にMR10にあげておいた方がいいかと思います。
ここの皆さんのレポートは非常に貴重ですので、毎日チェックしています。
私にとっては、どちらかというとサポート情報よりも重要だったりします。

2.8MR4でRBLを利用したスパムフィルタがうまく動作しません。

送信元アドレスがブラックリストにあるはずのサーバから例外なく
スパムを受け取ってしまいます。最終的にはスパムを破棄するのではなく
サブジェクトの書き換え"SPAM"追加を実行したいので、その様な設定もして
みましたがやはり書き換えはできませんでした。

同じスパムフィルタの禁止ワードは動作していますのでプロテクションプロファイルと
ext->intのファイアウォールポリシーの設定は問題ないと思います。
またtelnetでFGにログインしてRBLサーバ(dnsbl.sorbs.net、bl.spamcop.netなど)に
exec pingを実行し少なくともDNS問い合わせが出来ることも確認しています。
ポリシー、プロファイル、RBLリストの設定をいったん削除して追加したり
FGを再起動したりしましたがやはりだめでした。

どなたかこの機能が動作している方いらっしゃいますか？

>>671
こっちはそのメール今日来たよ。
来るの遅い！
MR10当ててる所と当てていない所がある・・・

>>678さん
>>680さんの言うように、ある程度まで負荷がかかると、
ウィルススキャンしているポートが接続不能になる現象がうちでも発生しました。2.5MR9。
MR10に上げるのは様子を見ていたのですが、このバージョンアップで
解消したらいいのだけど。。。

ちなみに繋がらない間は管理画面もhttps telnet などが動かない。
FG以下にあるスキャンしていないwebやメールサーバなんかは接続するのに問題ないようなんだけど。
やっと繋がったと思ってモニター見たら、大抵CPU使用率が９０％超えてたりしないですか？

いつもこのスレ参考にさせてもらっているので、多少なりと情報提供を。

週末に怪しげなサイトを閲覧したものがおりまして、クライアントのノートン先生が
JS.Exception.Exploit
MHTMLRedir.Exploit
Download.Ject
Trojan Horse
を次々と検出。
見事にトロイの木馬がダウンロードされちゃいました。
もちろんFortiGateでは検出ログなし
こんなもんですかね？


ほぼ同時刻に
JS/Exploit.DialogArg.B
はブロックされたのですが、どうもjavaスクリプト系の検出が弱い感じがします。
今のところsmtpは問題ないのですが。

ファームは2.5MR5です。

>>683
ちなみにお使いの機種は何ですか？
最近、書かない人が多いね・・・

確かに管理画面やssh,telnetが繋がらない(途中で切れる)事はあったよ。
2.5MR9以下で。
MR10を入れたFG200はHDDが逝っちゃったので現在確認出来ません。

>>684
大手と比べたらFGは見劣りするのは事実。過渡な期待をしちゃ駄目よ。
それからウィルス名やトロイの木馬はベンダーによって命名方法が違う
ので書かれても答えるのが難しいです。

Fortinetは確かにJavaScript系は弱いかも。
http://www.fortinet.com/VirusEncyclopedia/search/encyclopediaSearch.do?method=quickSearch&virusName=JS&QuickSearch=Search+Name&keyWords=

お初です。

>>685
物理障害で無いなら、
特別イメージでの再フォーマットが必要かと思われ。

>>687
コマンドまで出なくなったのと、再起動するたびに見えたり見えなかったり
するので修理に出しました。(HW自体が不安定)

>>685
FG60ですよ。FG200もありますが、こちらは未確認です。
今度バージョンアップしてみるので、結果報告してみます。

>>689
今回の現象とは違うけど、Windows XPだとこんな事が起きるらしい。

3.2.23 GUI hang under Windows XPTM
Description: GUI hang under Microsoft Windows XPTM when using Internet ExplorerTM with option turned on to
refresh every time.
FortiGate Models Affected: All
Bug ID: 5002
Status: Fixed in MR10

2.8MR5が来てましたね

MR4から上げようと思ったら
「システム設定はデフォルトに戻されると同時に現在の設定はすべて消去されますが、よろしいですか ?」と
おっしゃる･･･、デフォルト設定がどうだったか忘れちゃったんで出なおしです。

MR5のリリースノートをよく見たら、前のバージョンはembedded RSA signatureを
扱えないからメッセージ出るけど問題ないって書いてあったわ

ひとまず、アップデートは正常終了
PPPoE（unnumberd）でのバーチャルIPの問題はまだ直ってない　orz

>>691
MR4→MR5では、設定はそのまま引き継がれるようです。
MR5→MR4にダウングレード？すると、設定が見事に吹っ飛びました。
snmpの値がおかしいのは相変わらずの様ですね。

こんばんわ
　ysといいます　最近妙なイタズラメ-ルがケータイにきて困っています
個人のアドレスみたいなんですけどどうもそのアドレスがシッポを
つかまれないように本来のアドレスとは違うものにしているみたいなんです
メールの内容が明らかに自分をしっている人物のものなので
送り主が誰かをしりたいのであいての本当のアドレスを突き止める方法をしりたいです
誰か教えてください　おねがいします

>>693
v2.5でもバージョンダウンすると設定は消えるよ。
確か仕様だった気がする。

こんばんは
教えてください、
トランスペアレントモードでExternalとDMZを
同一ネットワーク
Internalをもうひとつネットワークの構成は組めるのでしょうか？
また全てIPアドレスひとつで
InternalだけセカンダリIPみたいな形は
取れるのでしょうか？

>>696
SonicwallからFortigateに変更というわけでつな。

>>697
Fireboxかもよ・・。

>>696
Fortigateでは無理。
internal側にL3機器を置いて回避すれ・・。（NATデバイス）
FGはトランスペアレントね。

詳しいことは忘れましたが、ftgでPPPoE接続の場合、WAN側とDMZ側の
IPアドレスを同じ(いや、WAN側がunnumberedだったかな？）にすることが
出来るので、既存の構成に近い形でリプレースできるかも。

>>699
うちはその構成で、Sonicwallからリプレースしました
IP8でExternalはunnumbered、DMZと同一ネットワークです
オペレーションモードはNAT/Routeにしています

現在2.8MR5を使ってますが、External-InternalのバーチャルIPが効きません
DMZ-InternalのバーチャルIPは問題なし
2.5MR9では問題なかったので早くFIXしてほしいです

ｷﾀﾜｰｰｰｰｰｰｰｰｰｰ
http://www.fortinet.co.jp/news/pr/2004/pr100604.html

>>697さん
>>698さん
>>699さん
>>700さん
ありがとうございました。
ちなみにいまFireBoxでした。
2.8だとOKなるんでしょうか？

>>682
Fortigateってどの販社から買ってますか？
差し支えなければ教えて頂きたいのですが・・・。

自分の所は、
　・バグ情報
　・OSアップデート情報
なんて一切来た事がなく、挙句の果てにFortinet.comでID登録しようとしたら、
販社の方で勝手にSerialが登録されてました・・・。

ちなみに、うちは商社系子会社から買ってしまいました。

>>703
NVCは登録書みたいなのを送ってきます。
これに記述して送り返すとfortinet.comのアカウント登録を代行してくれます。
アカウントは後日送られてきますよ。

もう1社はどうだったかな・・・

>>703
商社系子会社ってどこ？

さあForiGateユーザーのみなさん、
１、購入会社、値引率
２、サポート会社
３、サポートレベル（情報提供、ファーム提供、回答内容＆レスポンス）
について報告しましょう。

>>706
そういうならまず貴方から報告してよ・・・
まだ買ったことがないでもいいからさ。

Fortinet Japanが腐ってるから販社のサポート力の差は気になるけど。

>>703
確かに気になるかも。
何処の商社系子会社ですか？

商社系子会社･･･。
俺、微妙に関係してるかも。ちょっと探り入れてみます。

>>704
情報ありがとです。
そか、fortinet.comのIDもらえる販社もあるのか。
このスレ読んでると、FortiOS自体にかなり問題がありそうなので、
IDもらえないと困るなぁ・・・。

>>705
Cから始まる会社っす。
(Fortinet JapanのWebにも載ってるはず)
補足だけど、OSのアップデートCDだけは、時折思い出したように
送ってくるです。

よかった。うちじゃなかった。

>>702
バーチャルIPの件ですか？
それなら、現在2.5ならOKで2.8はNGです

そういえば、2.8MR5リリースに伴ってドキュメント類も整備されてますね
v2.80_Configuration_Example_SOHO_1_June_2004.pdfのP17によると
うちで使ってる、FG200だとAVとIPS効かせて25-50ユーザ程度ですって
もう少し奮発して、FG300にしておけばよかった、、、orz

FortiGate 100ですが、unnumberedとNATの併用ってできまつか？

１が新スレ立ててからいつのまにやら１年経ってたんだねぇ

なんかNIDSがSoftEtherに対応してる

参考になるなぁ、
伊藤君系列から買うとダメっと

winnyに対応してくれ．．．．．

損もダメです。

トラブルなので経験がある方は教えてください。

FG200でファーム等は最新版です。
まず、AV機能が全く利用できなくなり(外部からのメールをすべて拒否）
当然、内部からもだめ。
とりあえずAV機能を停止したところ、正常に受信できるようになりました。
しかし、ローカルからの管理画面へのアクセスが不能になりました。
コンソールからは試していません。

この状態で電源をOFF->ONすれば正常に動作するような気もするのですが
もし、今はなんとか動いている状態が、最悪な状態にならないか怖いので
動きが取れない状態です。

このような状態から復旧した経験がある方はぜひ、ご教授願います。

>>718
2.5MR9以前とAVエンジンv1.31の組み合わせで
件の問題が出るって以前メールが来てたけどそれとは別ですか？
解決策はMR10にしろってことでしたが

>719
ご返答ありがとうございます。
2.5MR10で運用中ですので、以前の症状ではありません。
MR9以前のトラブルでも苦労しました。（メール来るのが遅かったもので・・）

FG200がもう一台あるのですが、そちらも同じバージョンですが、
今回の症状は出ていませんので、個別のトラブルのようです。

>>720
http://support.fortinet.com/forum/の何処かで似たような案件を読んだ事があるような気がします
役に立たなくてごめんなさい

>>721
ありがとうございます。

とりあえず「telnet」でログインできるようですので「internal」から入り
「external」から「https」で入れるように変更しましたが、反応しません。

んん・・・　　やはりシャットダウンしかないのか・・・？

Webインターフェースからアクセスできないのは非常に不安ですしAVも動いてない状態ですので
どうにかしたいです。

>>718
2.5MR10にもバグがあるよ。
高負荷運用時に、AV機能(SMTP)が使用不能になるやつ。
元々、負荷が上がるとSMTPをRefusedする機能が付いているらしいのだが、
それが誤動作する模様。

ファームのbuild314で解決済みらしいから、販社に問い合わせてみるのが
よろしいかと。
あるいは11月末登場予定の2.5MR11まで待つか。

ファームのバージョンアップなしでの解決方法としては、
　・なるべく低付加で運用するように工夫する
　・現象が起きたら電源OFF/ONする
くらいしかないかも。

つーかさ、これって結構重大なバグだよねぇ。
何故販社はこれをアナウンスしないのかと小一時間(以下略

>>723
貴重な情報ありがとうございます。

やはり、バグでしたか・・・　　突然、症状が出ましたからね。
FG200から300へのグレードアップを考えないとだめなんでしょうね。
前回も負荷が上がってからでた症状です。
今回も負荷が上がってからの症状。　　なんか、fortigateファンだったんですが
がっかりですね。

しかし、情報ありがとうございました。　　電源OFF/ONします。

>>724
Fortigate本体をアップグレードしても、状況は変わらないかと。
バグだし。
うちでも恐らく同じと思われる現象が発生したんだけど、その時は、CPU:70%、
メモリ15%程度だったし。
　
って言うか、CPU負荷常時70%程度で、サポートには「負荷高いですね」って
言われたんだけど・・・。
Fortigateって初めて使ったんだけど、この程度で高負荷なの？

>>725

>CPU負荷常時70%程度 (一部省略)
>この程度で高負荷なの？

Fortigateに限らず、高杉。常時なら異常な負荷状態にある。

私見だが、
何かの処理が、あいているCPUを無駄に食いつぶしているバグかと。
CPUがはやくなっても、無駄な処理が増えるだけで、
負荷状態は変わらないのではないかと思う

2.5MR11を待つのと2.8への移行はどちらがよさそうですか。
2.8MR6が狙い目ですか。

>>727
やりたい事にもよると思いますが。

さて、旅行から帰ってきたので明日から復活です。
CPU負荷率が話題になっているようなので、修理から戻ってきたFG200を付けてみて
同じ事が起こったら報告します。(今月中につけるのは多分無理かな)

>>723
CLIでtopして、当該プロセスkillじゃ駄目かな？

そういえばサポートサイトに、100A〜500Aなんて新機種名が出てますね

>>728
Ver2.5とVer2.8って何が違うの？
やりたい事ってなんですか？

まずは搭載されてる機能が正しく動作し安定稼動することかな。
その上でどの機能を使うかって話だと思うのだが。

>>730
逆に質問されてもね・・・
私は貴方がFortiGateにどういう仕事をさせたいのか知らないので
答えようがありません。

お付き合いしてる販社に聞いてください(違い)
ここじゃ書ききれないので。

fortigate300

約20000セッション、トラフィック１０〜１５MbpsでCPU負荷80〜95%をいったりきたり。
アンチウイルス無し、FW機能のみ。

このあたりが限界かな。

>>726
そか、そう言うものなんですか・・・。
うちにあるサーバ/ストレージ(NAS)類って、ほとんど常時CPU使用率70%以上
なんで、そう言うものかと思ってました。

2.5MR11が出たら入れてみるか・・・。
デグレードしてたら困るけど。

>>729
うちでこのバグの現象が出た時は、Web(GUI)は操作可能だけど、CLIからは
ログインすら出来ませんでした。
ただ、GUIから再起動かけても反応なかったので、UIが見れてただけかもし
れないけど。

今回の台風のおかげで？　　電源off/onできる機会がありました。
現在はAV機能も使えるようにして、何事もなかったように動いています。
CPU使用率は10%　セッション8500ですが、これが突然70%を越えて
バグが出るようです。
しばらく監視します。　　代理店にも投げていますので何らかのフォローが
あるかと思います。

販社より、このスレ住人の方が詳しそう。
というわけでエロい人教えてください。

えっと想定している用途とか環境が
1.クライアント数20台
2.使用機能Firewall＋AntiVirus(10MBまでスキャン、以上スルー)
3.想定機種Forti100(HDD無い方が良いかなと思っただけ)
4.動作モードは今のところプロキシモード(NAT使うと思う)

で、望んでいる事が
5-1.Firewallはある程度普通に動いて欲しい。
NAT(NAPT)、フィルタ、ログ(SYSLOG)、GUIによる設定
ﾀﾞｲｼﾞｮﾌﾞ or ﾀﾞﾒﾀﾞﾒ？
多少のやんちゃは目つぶります。

5-2.AntiVirus(HTTP+SMTP&POP)
だいたいでおｋ(クライアントはノートン先生導入)
ただ、URLや拡張子でスキャンしないというフィルタは
を書きたい。出来ますか？
(260前後見る限りURLは逝けそうだとわかったんだが)

5-3.ウイルスパターンの自動アップデート
「プロキシ」経由で更新出来たらウレシイ。出来ますか？
出来なければ構成変更考えるから必須では無いけど。

長文スマソ

自己レス
串以外は問題無い事わかったんで逝ってみます。

>>737
FG60ユーザーですが、串は問題ないです。
WebUIでは設定できないかも知れませんが、
telnet後のコマンドで設定可能です。

>>738
おおっ、そうなのか。
それは良いことを聞いたよ。感謝！感謝！

>>736
もう少しすると後継機が出そうな気配だから
急ぎじゃないなら買い控えたほうがいいかも

えっ、そうなの？
じゃあ、予算だけ確保して発注は少しの間待つのが賢いかな。

>>740
もしかしてメーカーかベンダーの人ですか？

すみません、こちら詳しい方多そうなので質問させて下さい
PPPOEを２セッションはって片側はインターネット、
もう一方はフレッツグループでVPNという構成をとりたいのですが
forti60で可能でしょうか？

結局南極、放置ゲートって、どうなわけさ！？
Firewall＋GWでのVirusScan
（他人様へ迷惑をかけないための外へのsmtp＋webmail対策で外からのhttp）
とした時にいいのか、悪いのか？
バグだらけで、ろくにサポートしないんじゃ、カタログスペックよくても
どうしようもないんだけど。。。

私が購入している販売店はサポートはいいですよ。
真剣やっていただいています。
買う前に、ここに質問するようなことをいろいろと聞いてみて
その反応を探ってみて決めるといいかもしれませんね。

ちなみに、私が書いている不具合も対応している？ファームをとりあえず
提供していただきました。　
MR11がでるまで待てないので、次のメンテのときに入れてみますが・・・
当然、結果はこちらの責任でしょうけど、今よりはいいかと・・・

ちなみに販売店は孫さんグループです。

バグ等のアナウンスは日本の代理店から出るのが遅いでしょうから
ここの掲示板で投げてみると詳しい方が多いので貴重な情報を得ることができます。
いつもチェックして感謝しています。

孫ｻｿとこのサポートって良いのか？
俺にバグのエスカレーションされる前にバグ出ししてくれるのだったら
乗り換えるぞ。

>>744
えと、build314のファームの事であれば、サポートは受けれるはずです。
Fortinet Japanと販社からはその様に確約を取り付けてます。
ので、自己責任と言う事はないかと・・・。

>>746
情報ありがとうございます。
build314ではなく316のファームをいただいています。
314でも私の症状は解決できていないと聞いています。

実際に314のファームで動かしている方はいるのかな？
316でなおっているといいんですが、電源off/onしてから
299のファームでも今のところ異常は出ていませんが、突然ですからね。
とりあえず316を今週末に入れる予定です。
もし、すでに導入済みで直っていないという情報があれば教えてください。

>>741
私はFG関係の人じゃありません、ただのユーザです
サポートサイトの方に新機種名が出ていたのであくまで近いうちに出てくるんだろうという憶測です

ところで、2.8って正式リリースされたんでしょうか？
前に問題あるからベータファーム頂けませんってサポートにメールしたら無視されたんだよねぇ〜

ImpressにFortiGate-Aシリーズなるものがちょっと載ってましたよ。
実機らしき画像も。

>>742
やったことないなぁ。
実機はここにあるけど・・・

>>749
これですね
http://enterprise.watch.impress.co.jp/cda/topic/2004/10/25/3694.html
上に乗ってるのは何だろ？
下はLCDとか付いている所を見ると、FG-300Aあたりですかね

そういえば、サポートの方にはAシリーズ用のファームも上がっていました
リリースノートを少し見てみたところ、パフォーマンスアップとポートを増やしたって書いてありました

画像拡大したら、FG-100AとFG-300Aって書いてありましね

ベンダーに2.8はサポート外だって言われたよ。

>>753
まだ、サポート外なんですか、、、

http://www.fortinet.com/にFG-Aのプレスリリース・カタログ等が掲載されましたね
受注開始してて、11月中旬から出荷開始とのこと

気になる仕様だけど200Aを見てみると、インターフェース周りが結構増えてますね
4 port switch/2 DMZ ports/2 WAN ports(ISPのクラスタリング･冗長構成)/2 USB ports/LCD+Keypad
200だと標準装備だったHDDがオプションになってます

スループットの方は、Firewall throughput (Mbps)が、150(200A)/120(200)で1.25倍
168-bit Triple-DES throughput (Mbps)が、70/50で1.4倍
Antivirus throughput (Mbps)が32となってますね

>>754
さすがに2倍!とは行きませんか。やっぱり。
FortinetのマイナーチェンジはAとかBとか付けていくんですかね？
分かり易いような分かり難いような・・・

v2.8ってサポート対象外だったんだ。知らなかったorz

プレスリリース読むとAｼﾘｰｽﾞは最初から2.8が載ってるっぽいようなこと書いてありますね
これでサポート外ってことはないでしょう？

>>756
2.8正式サポートのタイミングがAシリーズ発売ということでは？

>>747
build314だったら、うちで稼動中です。
適用してから2週間近く経っていますが、特に問題ないです。
>723の問題が出て、サポートに依頼して出てきたのがbuild314でした。

>>753
2.8に関しては、うちの場合はサポート外以前に、「日本では存在していないない事
になっている」と言われました。
担当曰く、「確かにfortinet.comからダウンロードは可能な様だが、Fortinet Japan
から渡されていないので、こちらもお渡しできない」と言う旨の返事をもらってます。

ので、「日本国内の販社ではサポートが開始されていない」と言う事ではないかと。
2.8自体が今現在どういう位置付けなのかも、本家のサポートページが見れないの
で分からないわけですが・・・。

>> 754
MR4の時点では販社に問い合わせたら「サポート外」との返答でした。

>> 757
最初から載っていたらサポートするしかないですからね。

>> 758
> 2.8に関しては、うちの場合はサポート外以前に、「日本では存在していないない事
になっている」と言われました。

MR4が出ていた時点では、Fortinetの日本法人がサポートしてくれないのでサポート外と言われました。
MR5が出てからは聞いていませんが、Fortinetの日本語ページにも2.8のリリースの件は書かれていますからどうなんでしょう？

Fortinet、パフォーマンスを大幅強化した「FortiGate Aシリーズ」発表
http://www.itmedia.co.jp/enterprise/articles/0410/26/news102.html

特徴は、従来機種に比べ2倍以上という高いパフォーマンスを実現すること。
これにより、VoIPやWebアプリケーションなど、
遅延に厳しいアプリケーションについても安全かつリアルタイムに処理を行えるという。

また新ファームウェアの「FortiOS 2.8」では、
未知のウイルスに対処すべくヒューリスティック技術がサポートされたほか、
アンチスパム機能が搭載されている。

ヒューリスティック技術ってノートン使ってていままで活躍したことないんだよなぁ
たいていそのまま感染しちゃう

>> 761
NOD32のはちゃんと機能しましたよ。

>>758
販社に聞いたら、今度出るA付きモデルからは2.8が載ってしまうので、2.8も現時点でサポート対象との事です。
ただ問題がある事と、回答などのレスポンスが鈍いという事は言われました。