Manual de Configuração - Fortigate (VLAN ou Hardware Switching)

Pré Requisitos:

Foritgate com versão de FortiOS 7.2.9. Acima desta versão entre em contato com o nosso suporte!

Acesso ao Fortigate com permissões de admin ou super usuário.

Configuração dos Servidores Radius:

Acesse o Fortigate com seu usuário e senha

No canto superior direito acesse a função CLI Console

No terminal copie e cole o script abaixo:

## CRIAÇÃO DO RADIUS PRIMÁRIO ##

config user radius
edit ThinkDigital-Radius-Pri
set server 52.73.98.38
set secret zoox@zoox**
set radius-port 1812
config accounting-server
edit 1
set status enable
set server 52.73.98.38
set secret zoox@zoox**
set port 1813
next
end
next
end

## CRIAÇÃO DO RADIUS SECUNDÁRIO ##

config user radius
edit ThinkDigital-Radius-Sec
set server 50.16.222.31
set secret zoox@zoox**
set radius-port 1812
config accounting-server
edit 1
set status enable
set server 50.16.222.31
set secret zoox@zoox**
set port 1813
next
end
next
end

## CRIAÇÃO DO USER GROUP ##

config user group
edit ThinkDigital-Group-Radius
set member "ThinkDigital-Radius-Pri" "ThinkDigital-Radius-Sec"
next
end

Liberação dos Ip's e URL's no Walled Garden:

Ainda no Terminal CLI copie e cole o Script abaixo:

## SCRIPT PARA CRIAÇÃO DOS IP'S E URL'S EM FIREWALL ADDRESS ##

config firewall address
edit "Think-Radius-Pri"
set subnet 52.73.98.38 255.255.255.255
next
edit "Think-Radius-Sec"
set subnet 50.16.222.31 255.255.255.255
next
edit "Think-Portal"
set type fqdn
set fqdn "thinkdigital.portal.zooxwifi.com"
set cache-ttl 600
next
edit "Think-CDN"
set type fqdn
set fqdn "cdn.zooxwifi.com"
set cache-ttl 600
next
edit "Think-Amazon"
set type fqdn
set fqdn "amazonaws.com"
set cache-ttl 600
next
edit "Think-Social-Auth"
set type fqdn
set fqdn "auth.zooxsmart.com"
set cache-ttl 600
next
edit "Think-Facebook-Auth"
set type fqdn
set fqdn "*.facebook.com"
set cache-ttl 600
next
edit "Think-Facebook-CDN"
set type fqdn
set fqdn "*.fbcdn.net"
set cache-ttl 600
next
edit "Think-Twitter-Auth"
set type fqdn
set fqdn "*.twiter.com"
set cache-ttl 600
next
edit "Think-Twitter-CDN"
set type fqdn
set fqdn "*.twimg.com"
set cache-ttl 600
next
edit "Think-Linkedin-Auth"
set type fqdn
set fqdn "*.linkedin.com"
set cache-ttl 600
next
edit "Think-Linkedin-CDN"
set type fqdn
set fqdn "*.licdn.com"
set cache-ttl 600
next
end

## SCRIPT PARA CRIAÇÃO DO GRUPO INSERINDO OS IP'S E URL'S ##

config firewall addrgrp
edit "Think Digital Domains"
set member "Think-Radius-Pri" "Think-Radius-Sec" "Think-Portal" "Think-CDN" "Think-Amazon" "Think-Social-Auth" "Think-Facebook-Auth" "Think-Facebook-CDN" "Think-Twitter-Auth" "Think-Twitter-CDN" "Think-Linkedin-Auth" "Think-Linkedin-CDN"
next
end

Configuração das Interfaces:

Acesse o menu Network e na sequência Interfaces

Selecione a interface que deseja configurar, aqui pode ser definido uma porta ou vlan.

Após selecionar a interface que deseja configurar adicione um nome para identificação da Interface escolhida, em Address adicione um IP que será utilizado como Gateway e Habilite as seguintes funções no Administrative Access: HTTPS, HTTP, PING e Radius Accounting.

Continuando a configuração, escolha o seu range de DHCP ( Adapte conforme sua política de rede )

Configuração do Captive Portal

Ainda dentro da Configuração da interface escolhida, vamos configurar os parâmetros do captive portal

Em Admisison Control na seção de Security Mode, escolha Captive Portal

Em Authentication Portal Selecione a Opção External e Adicione a URL abaixo

Em Redirect After Captive portal, pode inserir qualquer URL da sua escolha, neste exemplo vamos inserir o nosso site

Na seção de user group Adicione o Grupo Criado anteriormente via Script "ThinkDigital-Group-Radius"

Em Exempt Sources e Exempt Destination adicione o grupo de Ip's e URL's "Think Digital Domains"

Clique em OK para salvar as configurações da interface.

Liberação de Tráfego na Interface:

Abra o menu vá em Policy & Objects > Firewall Policy e Clique em Create New
Crie uma Policy chamada ThinkDigital-Internet e adicione a interface escolhida no passo anterior como Incoming Interface e a sua WAN como Outgoing Interface. Escolha Source, Destination e Service em ALL e salve a Regra.



Após finalizar essas configurações precisamos testar a solução.