■FortigateのGeoIPで日本のアドレスオブジェクトを使用する。 $ get system status | grep ^Ver Version: FortiGate-60C v5.2.4,build0688,150722 (GA) ■パケットキャプチャで監視しているログを見ると、 海外からのSSLクライアントの接続失敗ログが多い。 逆に国内からの接続失敗ログは無い。 少なくとも、SSLv2にもTLSv1は対応していない。 $ for list in ssh_20160228_*.pcap;do tshark -r "$list" -n -nn -d "tcp.port==443,ssl"; done | \ awk '/SSLv2/{print $(NF-3),$(NF-2),$(NF-1),$NF}' SSLv2 345 Client Hello SSLv2 345 Client Hello $ for list in ssh_20160228_*.pcap;do tshark -r "$list" -n -nn -d "tcp.port==443,ssl"; done | \ awk '/TLSv1/{print $(NF-3),$(NF-2),$(NF-1),$NF}' Fatal, Description: Unexpected Message) Fatal, Description: Unexpected Message) Fatal, Description: Unexpected Message) ■アクセス元やアクセス先がある国に限定されることが 分かっている場合に便利なので、設定してみる。 ■日本のアドレスオブジェクトを作成。 $ show firewall address Japan config firewall address edit "Japan" set type geography set country "JP" next end ■アプリケーションコントロールでも制御出来るのでポリシーを作成して追加。 $ show firewall policy 10 config firewall policy edit 10 set srcintf "wan1" set dstintf "dmz" set srcaddr "Japan" set dstaddr "VWAN-SSL" set action accept set schedule "always" set service "HTTPS" set utm-status enable set logtraffic all set application-list "remote-ssl" set profile-protocol-options "default" set nat enable next end ■2554種類のアドレス帯が確認出来る。 $ diagnose firewall ipgeo country-list Total countries loaded:1 JP $ diagnose firewall ipgeo ip-list JP | grep JP Country name:JP Total IP Range:2554 ■24bitマスクのIPアドレスを探して、前後でチェック 含まれて入れば、「is in」で、 含まれていなければ、「is not in」と出る。 外部からアクセスする場合は、自身のアクセス元IPが 「kernel ip-country DB」に含まれているか確認しておく。 $ diagnose firewall ipgeo ip-list JP | grep 202.173.5. 202.173.5.0 - 202.173.5.255 $ diagnose firewall ipgeo ip-list JP | grep 202.173. 202.173.5.0 - 202.173.5.255 202.173.96.0 - 202.173.111.255 $ diagnose firewall ipgeo ip2country 202.173.5.0 202.173.5.0 is in country:JP $ diagnose firewall ipgeo ip2country 202.173.6.0 202.173.6.0 is not in kernel ip-country DB ■「IP Geography DB」のアップデート $ execute update-geo-ip $ diagnose autoupdate versions | grep -A 5 Geo IP Geography DB --------- Version: 1.047 Contract Expiry Date: N/A Last Update Date: Sat Mar 5 05:51:45 2016