Fortigate 110C unidentified issue.

[ekscalibur_tr]

Hello ; I' m sorry my english is poor. My FG-110C unit basic config; firmware : 4.0 build0099. average ~ 30 users ~ 200-400 sessions ~ %2 - %5 cpu ~ %31 - %34 ram ips/av/app.control/web filter on antispam/data leak. prev. off interface mode running. port1 local network. 192.168.... port7 guests internet access. 10.10... wan2 adsl pppoe client /wan1 g.shdsl static wan failover configured. all clients use wan2 mail serv. use wan1 with policy route. vip for mail serv. if wan2 down , users automatically transfered wan1 ... everything ok. but fortigate unit anytime don' t respond to internal network. anyone can' t ping or access internet. maybe unit locks up / freeze. and i' m try rs232 console cli , unit not freeze. cli command ping www.google.com etc. running. wan1 and wan2 connected and running. but unit can' t ping to networks connected internal ports.. after restart, everyting ok. anytime freeze again. ! my ticket elevated to level 2 now by fortinet support. thanks for replies.

[hidayet]

Slm ekscalibur_tr, System>status>alert message console Fortigate has reached connection limit for ..seconds see??

[ekscalibur_tr]

Slm hidayet. No messages on alert mess. console. Thanks.

[hidayet]

Türkmüsünüz?

[ekscalibur_tr]

Evet te , forumu okuyan diÄŸer arkadaÅŸlar konuya hakim olsun diye ingilizce devam ettim .

[hidayet]

Problem çözüldüğünde onlara özet geçeriz :) Sorununuz ara sıra iç networkten wan' a çıkışta problem yaşamanız sanırım? Restart ettiğinizde düzeliyormuş galiba Size tavsiyem gateway i değiştirerek deneyin.Eğer sistemde spy varsa gateway e sürekli istekte bulunarak fw u kilitliyor olabilir.gateway adresi değişirse istekler hala eski ipye gideceğinden fw a uğramaz.Ayrıca policy de en alta all-all-any-deny bir kural yazın

[ekscalibur_tr]

Sorun tam olarak bu arasıra iç networkten wan' a çıkışlar bloke oluyor. Restart edilince düzeliyor, fakat tekrar ne zaman olacağı belli olmuyor. Bu 1 gün de olabiliyor , birkaç saatte de.. Gateway değiştirerek demişsiniz, pc lerdeki gatewayleri mi kastettiniz ? Bu cihazın linux tabanlı olduğunu düşünerek default policy de en altta göstermese de kendisi all all deny ekliyor diye biliyordum aslında. Daha önceki linux kurulumlarında iptables ta filan hep öyle görüyordum, ama yine de önerinizi yaptım bakalım ne olacak. Desteğiniz için teşekkürler, başka önerileriniz olur ve paylaşırsanız çok memnun olurum. Cihazı pencereden fırlatmama az kaldı da...

[hidayet]

Gateway den kastım fw un ip adresini değiştirmeniz.Tabi ondan sonrada internete çıkmasını istediğiniz pclerin gateway inin değişmesi gerekecek.Networkte dhcp varsa bu birkaç dakikalık bir işlem sadece. Cihaz default olarak deny kural eklemiyor.Sistemi gözlemlemeniz açısından all all deny kural eklemelisiniz.Ayrıca kuralın içinde mutlaka log allowed traffic işaretli olmalı ki gateway gelip access deny alan ipleri görebilirsiniz.Bu sayede sisteminizde spy yada virüs varsa tespit edebilirsiniz.Böyle durumlarda networkteki bir yada birkaç pcden fw a internete çıkmak için sürekli istek gelir,gelen bu isteklerin yoğunluğuna göre fw bir süre sonra isteklere cevap veremez hale gelir.Bu tarz bir sorun yaşıyor olabilirsiniz. Umarım bunlar sizin için çözüm olur. Sorun devam ederse tekrar görüşürüz

[ekscalibur_tr]

Hidayet bey desteğiniz için çok teşekkürler , bugün öğle saatlerinde konuyu çözüme kavuşturduk. Cihazı daha yeni alıp kurmuştuk, eski gateway im pix ve linux box ikilisiydi. Eh yeni cihazın huyuna suyuna alışmak adına iyi deneyim oldu :) Dediğiniz gibi default deny kuralı yokmuş, dün ekledim , log u da açtım. Kendi getirdiği usb memory takan bir arkadaşta worm varmış. İnanılmaz trafik yaratıyordu, log ta farkettik. Cihazda deny kuralı da olmadığı için bi süre sonra bloke ediyormuş networku. Şu an herşey yolunda . Gün geçmiyor ki insan yeni birşeyler öğrenmesin.. Teşekkür eder, iyi çalışmalar dilerim.

[hidayet]

Rica ederim, Probleminizin çözülmüş olmasına sevindim,umarım bir daha yaşamazsınız. Fortigate konusunda aklına takılan herhangi bir şey olursa web sayfamdan bana ulaşabilirsiniz. İyi günler