Licenze, backup e firmware sembrano separati, ma si incrociano di continuo: senza contratto valido non aggiorni il firmware, l’aggiornamento ti chiede il backup, e il backup è l’unica cosa che ti salva quando il firmware non riparte. Conviene studiarli insieme, perché l’esame li mette insieme.

Registrazione, entitlement e dialogo con FortiGuard

Finché il FortiGate non è registrato su FortiCare, in Dashboard > Status le icone del widget Licenses restano arancioni e i servizi non si attivano. Si registra dalla GUI (System > FortiGuard, Enter Registration Code) con il codice a 12 cifre del documento di servizio, o dal portale FortiCloud.

Da lì la tabella License Information raggruppa i servizi per entitlement: Advanced Malware Protection, Intrusion Prevention, Web Filtering e Firmware & General Updates — la sigla FMWR — che copre application control, Device & OS Identification, Internet Service Database e definizioni PSIRT. Attenzione a una classificazione che inganna: Botnet IPs e Botnet Domains stanno sotto Intrusion Prevention ma contrattualmente sono FMWR.

Il dialogo con la FortiGuard Distribution Network usa per default l’anycast su HTTPS/443; in unicast si torna a update.fortiguard.net per i download e service.fortiguard.net per le query. Il calendario è per default automatic: l’intervallo lo calcola FortiOS dal modello e dalla percentuale di contratti validi, entro l’ora.

config system autoupdate schedule
    set status enable
    set frequency automatic
end

Un dettaglio che sorprende: perché le definizioni antivirus vengano scaricate deve esistere almeno una policy con un profilo antivirus attivo, come per IPS. Se la licenza è valida ma non arriva niente, controlla lì prima del ticket; la raggiungibilità si verifica con execute ping update.fortiguard.net.

Cosa smette davvero di funzionare quando una licenza scade

È la distinzione più redditizia del dominio. Alla scadenza il FortiGate resta un firewall: policy, NAT e routing non si fermano. Cambia il comportamento dei servizi di sicurezza, in due modi opposti.

I servizi che lavorano su un database locale continuano a ispezionare con quello che hanno già: antivirus, IPS, application control e ISDB bloccano ancora, semplicemente non ricevono più firme nuove. I servizi che lavorano su query in tempo reale invece si fermano: filtro web e filtro DNS per categoria, email filter e outbreak prevention non hanno più nessuno a cui chiedere il rating.

La conseguenza che fa male in produzione: senza risposta, per default il traffico web e DNS viene scartato; se invece è attiva l’opzione che consente i siti in caso di rating error, tutto passa senza filtro. Due comportamenti agli antipodi, decisi da un’impostazione che nessuno ricorda di aver toccato. I filtri statici per URL e dominio continuano invece a funzionare.

Backup e restore: cosa salvi e chi può salvarlo

Dalla GUI il backup sta sotto il nome utente in alto a destra, voce Configuration > Backup, verso PC o chiavetta USB. Dalla CLI hai più destinazioni e formati.

execute backup config tftp fgt-prod.conf 172.16.200.55
execute restore config tftp fgt-prod.conf 172.16.200.55

execute backup config salva la configurazione così com’è, full-config include anche i valori di default, e le varianti obfuscated-* sostituiscono password e segreti con FortinetPasswordMask, per quando il file va mandato a terzi. La cifratura usa AES-GCM: senza la password il file non è più ripristinabile.

Tre punti che l’esame ama. Il backup richiede un profilo con permesso System in lettura e scrittura: chi ha la sola lettura non vede il pulsante, e la causa è il profilo, non la licenza. Il restore fa riavviare l’apparato. E Configuration file error significa quasi sempre che il file è di un altro modello o di un’altra versione: la prima riga del file lo dice, perché contiene modello, versione e build.

Sui modelli con almeno 512 MB di flash, o con central management verso FortiManager o FortiGate Cloud, c’è il versionamento: execute revision list config elenca le revisioni, execute restore config flash ne recupera una. Per ripartire da zero i comandi sono due e non equivalenti: execute factoryreset azzera tutto, execute factoryreset2 conserva interfacce, VDOM e l’accesso di gestione.

Aggiornare il firmware senza restare al buio

Per salire di versione serve una licenza FMWR valida, e il controllo non è banale: FortiOS confronta la scadenza del contratto con la data di rilascio GA della prima .0 della major di destinazione. Se è precedente l’upgrade viene rifiutato, in CLI con Firmware update licence is expired. I downgrade fra major invece non sono bloccati.

Ogni immagine porta un livello di maturità: Feature introduce nuove funzionalità, Mature solo correzioni e patch di sicurezza. Lo leggi da get system status, dove la versione termina in (GA.F) o (GA.M); passando da mature a feature FortiOS chiede conferma esplicita.

Nel wizard di System > Firmware & Registration, se la versione scelta è distante, scegli Follow upgrade path: FortiOS installa le intermedie con i riavvii. L’aggiornamento diretto avvisa del rischio di perdere configurazione, e non è cortesia. La nuova immagine inoltre sostituisce le definizioni antivirus e IPS con quelle del pacchetto: subito dopo l’upgrade vanno riaggiornate.

Se invece l’apparato non riparte o entra in reboot continuo, l’unica via è il ripristino da boot menu, via console e TFTP: dopo execute reboot hai tre secondi per premere un tasto, poi il menu offre C per i parametri TFTP e T per avviare il trasferimento. È anche la sola procedura quando la password è persa — e siccome riporta l’apparato ai default di fabbrica, quanto sia valso il backup lo scopri lì.