Administrace komentářů

Tikety jsou otevřené a dodavatel to už řeší přes 2 měsíce. Na 5.2.x se mu zatím nechce přecházet dokud jsou tikety otevřené. Je možné, že se u nové řady je to lepší, ale ve verzi 5.0.10 u SSL VPN jde jen nastavit, že ověří certifikátem a poté je nutné vyplnit uživatelské jméno a heslo. Je pravda, že jsme to neměli opřené o RADIUS, ale jen o AD/LDAP. S dodavatelem jsme se postupně dostali do stádia, že VPN jsme schopni budovat pouze pomocí certifikátu, ale jen v režimu IKEv2 VPN s certifikátem stroje, ale někteří poskytovatelé IKEv2 nepropouští (např. ADSL O2). Bohužel oficiální klient nelze použít neb není stabilní a už nemá CLI rozhraní pro automatické budování.

Připadá mi, že firewall nemá rád naši restriktivní politiku spolu s logováním všeho a virtuálním desktopem. Navíc, když pro uživatele je většina věcí zautomatizovaná, že jen vyplní PIN a otisk prstu a o vše se automaticky postaráme bez ohledu kde jsou, takže po chvilce jim jen vyskočí pracovní plocha, kde v klidu mohou pracovat.

Tohle je tedy nyní největší bolístka a už mám připravené další věci k nahlášení, jen to musím ověřit, alespoň zdá se, že FSSO u webproxy trošku selhává, když je člověk přihlášen na více desktopů zároveň různými účty. Pak na vše uplatňuje pravidla dle posledního účtu.

---

Kdyby vše fungovalo jak mělo, pak je řešení dobré. U syslogů pěkně informuje o všem možném, ovládání je celkem rozumné a v dokumentaci se toho najde celkem hodně.

Jen tedy musím upozornit, že pro maily má Fortinet extra krabici a to co je implementované ve FortiGate nejde moc rozumně použít pro filtraci spamu/virů. V tomto ohledu se přikláním spíše ke specializovaným řešením pro jednotlivé části.

Bohužel s bezplatnými variantami nemám zkušenosti, ale obecně bude nejspíše platit, že je to hlavně o rychlosti nalezení signatury a její distribuce.