Fortigate 100E no me permite loguarme en sitios web

[cristianfontenla]

Buenos dias, soy nuevo en esto y necesito si pueden ayudarme.
En la empresa donde trabajo teniamos un Forti 100C con el firmware V4.0 y podiamos conectarnos desde la LAN hacia internet a diferentes accesos Web para ver las camaras DVR de otros lugares. El problema es que ahora tenemos un Fortigate 100E con firmware v5.6 y nos encontramos que no podemos entrar a varias de las paginas que antes podiamos. ( El acceso es http://IP_Publica:1999 )

Llegamos a acceder a la interfaz web de los DVR y hasta carga la pagina de logueo, pero luego de escribir el usuario y clave ya no avanza, no deja validarse (como si el nuevo forti no me dejara enviar el login...)

Como son 60 DVR que debemos acceder, estuve probando y probando hasta descubrir que en "algunos" DVR que tenian su Firmware desactualizado No me dejaba loguearme, mientras que en el mismo modelo, pero con el Firmware actualizado si pude entrar...
EL problema que tengo es que otros equipos DVR son de otras marcas y no disponen de actualizacion de firmware

Por lo que entiendo de alguna manera la nueva version de forti bloquea el login por http pero necesitaria saber si existe alguna forma de excepturarlo o crear algun tipo de regla que me permita saltear eso.??

[makco10]

Hola,

Intenta crear una politica libre como origen tu pc y destino all, sin ningun tipo de proteccion UTM habilitado, solamente para validar que realmente el fortigate es quien limita el logueo.

Tambien puedes revisar los logs de trafico, si el fortigate bloquea dicha conexion tiene que brindarte un mensaje con detalles.

Saludos.

[cristianfontenla]

Gracias por responder tan rapido.
Te comento que no tengo restricciones en el forti, es nuevo y aun tiene navegacion libre.
Ademas te comento que si conecto la misma PC pero directamente a internet (sin pasar por el forti) puedo acceder sin problema a todos los sitios web de los DVR y loguerame en cada uno de ellos.
En cambio estando detras del Forti solo me deja loguearme a aquellos DVR que tienen actualizado su Firmware, y a los que tienen una version anterior solo puedo acceder a la interfaz web pero no paso del login.
Y lo mas raro es que no manifiesta ningun mensaje de bloqueo en los log del forti.

Tengo conocidos que tambien trabajan con forti y les pedi que accedan a la misma web para ver si podian llegar a loguearse y ellos tampoco pueden con la nueva version 5.6 del FortiOS en adelante (incluso con la 6)

Sospecho que el forti bloquea a bajo nivel la forma como estas paginas envian el logueo sin encriptar como una forma de prevencion.. pero no estoy seguro y por ello acudo a ustedes..
Habra alguna forma de corregir esto o debo reemplazar mas de 50 equipos DVR ??

[gabyrossi]

hola, que puertos usa ese dvr ? por lo que tengo entendido usan varios puertos para conexion... sabes cuales son?
puede que estes intentando usar algun port que el fortigate usa para otra finalidad propia.
saludos

[cristianfontenla]

Hola Gabyrossi,
Para conectarme a los DVR (porque son varios y de diferentes marcas) usamos el puerto 1999.
Pero solo me deja conectarme en aquellos DVR que estan con su firmware actualizado, asi que supongo que no debe ser un impedimento del puerto que uso.
Lo que me ocurre "solo en los DVR que no tienen el ultimo Firmware" es que entro a su sitio web y llego hasta donde debo loguearme, pero mas de ahi no paso... es como si el Forti me impidiera enviar los datos de logueo, porque solo recibo un time out.

Si pueden ayudarme se los agradezco nuevamente.

[gabyrossi]

mmm no... eso es raro ...
probaste de acceder por fuera del fortigate? una ves logueado te re-direcciona a otra web en otro port?

saludos

[cristianfontenla]

Te doy mas info quizas me puedan ayudar.
En el log de traficlog dentro de forticloud veo mas informacion que desde el mismo forti no veia.
resulta que al ingresar con el navegador al sitio web del DRV se utiliza el puerto 1999 pero en el log veo que tambien intenta comunicarse por el 2000 y quizas sea ese el que este bloqueado ???
Tengo alguna forma de saber si el forti por defecto bloquea ese puerto?

Firewall Action close
Policy ID 1

Application Type unscanned
Protocol 6
Service SCCP

[gabyrossi]

el prot 2000 no es un puerto utilizado por el fortigate

[Debes identificarte para poder ver enlaces.]