FortiGate entegrasyonu (FortiOS 7.0–7.4)

Adım adım

1. 1

   LogSpot tarafında NAS kaydını açın

   Panelde Cihazlar & Ağ › RADIUS / NAS altında FortiGate'in IP'sini (örn. 192.168.5.4) ve paylaşılan sırrı tanımlayın. NAS kaydı olmadan FortiGate'ten gelen RADIUS istekleri Access-Reject ile döner ve misafir doğrulaması hiç kurulamaz.

2. 2

   RADIUS sunucusunu tanımlayın

   User & Authentication › RADIUS Servers › Create New: Name Logspot-AAA, Primary Server IP 192.168.5.19, Secret ortak sır, NAS IP FortiGate arayüz IP'si (192.168.5.4). Test Connectivity ve Test User Credentials ile doğrulayın. CLI eşdeğeri: config user radius › edit "Logspot-AAA" › set server "192.168.5.19" › set nas-ip 192.168.5.4 › set auth-type auto.

3. 3

   Kullanıcı grubunu oluşturun

   User & Authentication › User Groups › Create New yolunda Type = Firewall seçin ve grup adını misafir-grup yapın. Remote Groups altında Logspot-AAA RADIUS sunucusunu ekleyin. CLI: config user group › edit "misafir-grup" › set member "Logspot-AAA".

4. 4

   Misafir arayüzünde harici captive portal açın

   Network › Interfaces altında misafir VLAN/SSID arayüzünü düzenleyin: Security mode = Captive Portal, Authentication portal = External ve adres olarak LogSpot portal URL'sini (192.168.5.19) girin; User Groups alanına misafir-grup'u ekleyin. CLI: set security-mode captive-portal, set auth-portal-addr "192.168.5.19", set security-groups "misafir-grup".

5. 5

   Muafiyet (exempt) listesini kurun

   Önce adres nesnelerini oluşturun: logspot-portal (subnet 192.168.5.19/32) ve sms-gw (FQDN: otpsms.postaguvercini.com). Sonra config user security-exempt-list › edit "logspot-wg" altında bir kuralla ikisini dstaddr olarak muaf tutun. sms-gw muafiyette değilse OTP gönderimi başarısız olur — portal ile SMS ağ geçidini daima birlikte muaf edin.

6. 6

   Firewall politikasını NAT açık kurun

   Policy & Objects › Firewall Policy › Create New: Incoming misafir arayüzü, Outgoing WAN, Source içine User Group olarak misafir-grup. NAT = Enable (Use Outgoing Interface Address) mutlaka açık olmalı; kapalıysa giriş başarılı olur ama misafir WAN'a çıkamaz. SSL Inspection olarak certificate-inspection (veya no-inspection) seçin; misafir trafiğinde deep inspection hem gizlilik hem portal XHR açısından sorun çıkarır.

7. 7

   LogSpot için REST API token'ı üretin

   System › Administrators › Create New › REST API Admin ile LogSpot'a özel bir API yöneticisi oluşturun; Trusted Host alanına yalnızca LogSpot IP'sini (192.168.5.19/32) yazın ve üretilen token'ı kopyalayın. Token'ı LogSpot panelinde Cihazlar & Ağ › Cihaz Entegrasyonu altındaki FortiGate cihaz kaydına yapıştırın; LogSpot bu token ile oturum durumunu sorgular ve gerekli durumlarda oturum sonlandırma yapabilir. Token bir kez gösterilir — kaydetmeden ekranı kapatmayın. API yöneticisine atadığınız yönetici profilinde (System › Admin Profiles) izlemek istediğiniz menülere Read izni verin: Security Fabric, FortiView, User & Device, Firewall, Log & Report, Network, System, Security Profile, VPN, WiFi & Switch. Yazma izni gerekmez — LogSpot cihazda hiçbir ayarı değiştirmez. Cihaz Cihaz Entegrasyonu › API İzleme (Canlı) altında varsayılan olarak 60 saniyede bir arka planda sorgulanır (30 sn – 15 dk arasında seçilebilir); ekranda Sistem, Ağ / DHCP, Kullanıcı & Cihaz, VPN, IPsec Kullanıcıları, Firewall, FortiView, Güvenlik Profili, Log & Rapor, WiFi & Switch ve Security Fabric sekmeleri bu izinlerle dolar. Bir tabloda "yetki yok" görürseniz profilde o menünün Read iznini açın.

8. 8

   Uçtan uca doğrulayın

   Misafir cihazı misafir SSID/VLAN'a bağlayın: tarayıcı LogSpot portalına yönlenmeli, SMS OTP gelmeli, doğrulama sonrası bir web sitesi açılabilmeli. LogSpot panelinde Loglar altında giriş olayının kimlikle kaydedildiğini görün. Access-Reject alıyorsanız NAS IP ve sırrın iki tarafta birebir aynı olduğunu kontrol edin.