Un FortiGate appena tolto dalla scatola non è una lavagna bianca: ha già un indirizzo IP, un’interfaccia da cui lo raggiungi, un account amministrativo e — sui modelli entry-level — un server DHCP acceso. All’esame questo blocco arriva come scenario: l’amministratore collega il portatile e non vede la GUI, oppure ti mettono davanti un estratto di configurazione da correggere.

Cosa è già configurato alla prima accensione

L’accesso iniziale è HTTPS su 192.168.1.99, utente admin, password vuota; il PC di gestione deve stare nella 192.168.1.0/24. Quale interfaccia porti quell’indirizzo dipende dal modello, ed è la trappola più frequente: dove la porta dedicata è una si chiama MGMT, dove sono due MGMT1 e MGMT2, e sui modelli che non ne hanno — tipicamente i desktop — si usa port1, che può anche stare dentro un virtual switch internal o lan.

Sul lato WAN, i modelli con interfacce dedicate le hanno già in DHCP client: se a monte c’è un server DHCP che distribuisce anche il gateway giusto, esci in Internet senza configurare nulla. Altrimenti, dopo aver collegato il cavo non hai connettività e devi mettere a mano indirizzo e rotta di default.

Sui modelli entry-level è già attivo anche un server DHCP su internal: range 192.168.1.110-192.168.1.210, gateway e DNS 192.168.1.99, lease di 7 giorni. È tarato su quell’indirizzo: se cambi l’IP dell’interfaccia e dimentichi il DHCP, i client ricevono un gateway che non esiste più.

Mettere la password ad admin, infine, non è consigliato: è obbligatorio. FortiOS la chiede al primo login, dopo un factory reset e dopo l’installazione di una nuova immagine. Cambiarne il nome richiede invece un secondo account, perché uno in uso non si rinomina.

Da dove si entra: allowaccess, porte e certificato

L’accesso amministrativo si abilita per interfaccia, non globalmente. I valori di allowaccess sono ping, https, ssh, http, snmp, telnet, fgfm, radius-acct, probe-response, fabric e ftm. Due dettagli che cadono spesso: HTTP si può abilitare solo se HTTPS è già abilitato, e su un’interfaccia WAN la raccomandazione è lasciare solo PING.

config system interface
    edit "port2"
        set ip 203.0.113.99 255.255.255.0
        set allowaccess ping
    next
end

Le porte di ascolto sono invece globali: 443 per HTTPS (admin-sport), 22 per SSH (admin-ssh-port), 80 per HTTP, 23 per Telnet, con admin-https-redirect attivo di default. Il certificato della GUI è Fortinet_GUI_Server, firmato dalla CA interna Fortinet_CA_SSL: il suo SAN si rigenera da solo con gli IP delle interfacce su cui HTTPS è attivo, quindi l’avviso del browser si toglie installando Fortinet_CA_SSL sul PC, non cambiando certificato.

Resta la console seriale: 9600 bps, 8 bit di dati, nessuna parità, 1 bit di stop, nessun controllo di flusso. È l’unica via quando la rete non c’è ancora, e l’unica per interrompere il boot.

Chi entra: profili, trusted host e i timer

L’account admin usa il profilo super_admin, che ha accesso a tutto e non si può cancellare né modificare. I profili personalizzati si costruiscono con config system accprofile assegnando none, read o read-write ai gruppi (fwgrp, netgrp, loggrp, utmgrp, sysgrp) e abilitando esplicitamente i comandi CLI: cli-diagnose, cli-get, cli-show, cli-exec e cli-config sono disabilitati per default. Tienine a mente una conseguenza che tornerà: un profilo con System in sola lettura non può fare backup né restore della configurazione.

I trusted host limitano da dove un amministratore si può collegare: fino a dieci indirizzi o subnet per account. Quando tutti gli amministratori ne hanno uno definito, l’accesso amministrativo su ogni interfaccia risulta ristretto a quegli host — con un’eccezione che confonde in diagnosi: il ping continua a rispondere se è abilitato sull’interfaccia.

I default temporali sono tre: sessione GUI inattiva 5 minuti (admintimeout, da 1 a 480, ma sopra i 15 peggiora il punteggio del Security Rating), tre tentativi di password falliti e blocco di 60 secondi. Se attivi la MFA (FortiToken, email o SMS) crea prima un secondo account amministrativo: è la via di rientro se il token smette di funzionare.

Il FortiGate come server DHCP

Il server DHCP si configura per interfaccia, in GUI da Network > Interfaces. Ogni server accetta fino a dieci range; se non ne specifichi uno, FortiOS lo deriva dall’indirizzo dell’interfaccia. Gateway e DNS si ereditano dall’interfaccia o si specificano, il lease va da 300 a 8.640.000 secondi.

config system dhcp server
    edit 1
        set interface "port1"
        set netmask 255.255.255.0
        set default-gateway 192.168.10.99
        set dns-service default
        config ip-range
            edit 1
                set start-ip 192.168.10.20
                set end-ip 192.168.10.254
            next
        end
    next
end

Per togliere indirizzi dal pool usa config exclude-range invece di spezzare il range in due, e per legare un indirizzo a un MAC usa config reserved-address. Le opzioni DHCP (codice da 1 a 255, utili per il PXE boot) sono al massimo trenta per server e non sono disponibili in transparent mode.

La stessa interfaccia può invece fare da relay: si abilita dhcp-relay-service e si punta dhcp-relay-ip al server vero. Lì il FortiGate non assegna niente, inoltra e basta — e il server remoto deve avere una rotta di ritorno verso i client, altrimenti le risposte non tornano indietro.

Per verificare, la GUI ha il widget DHCP in Dashboard > Network, da cui si revocano i lease e si creano le riserve; dalla CLI, execute dhcp lease-list. Guarda lì prima di sospettare il cavo: pool esaurito e relay senza rotta di ritorno danno lo stesso sintomo, ma solo il primo lascia traccia.