30 سؤال على FortiOS 7.4 و 7.6: Firewall Policies و NAT و SSL Inspection و Security Profiles و SD-WAN و IPsec و HA والـ Debug، مع شرح كل إجابة.
30سؤال
19موضوع
0تسجيل مطلوب
ابدأ الامتحان
الأسئلة بتتلخبط كل مرة. بعد كل إجابة هيظهرلك الصح وسببه، وفي الآخر هتشوف نتيجتك ونقط ضعفك.
عدد الأسئلة:
Firewall Policies
عندما لا تطابق حركة مرور أي سياسة في جدول السياسات على FortiGate، ما هو رقم السياسة (Policy ID) الذي يظهر في السجلات عند إسقاطها؟
الشرح: الحركة التي لا تطابق أي سياسة تُسقطها سياسة الرفض الضمنية (Implicit Deny) ذات الرقم 0 في نهاية الجدول. تسجيل هذه الحركة معطّل افتراضيًا ويمكن تفعيله عبر خيار Log Violation Traffic.
Firewall Policies
في جدول السياسات، السياسة ذات الـ ID رقم 50 موضوعة فوق السياسة ذات الـ ID رقم 10، وكلتاهما تطابقان الحركة نفسها. أي سياسة ستُطبّق؟
الشرح: يفحص FortiGate السياسات بالتسلسل من الأعلى إلى الأسفل ويطبّق أول سياسة مطابقة، والـ Policy ID مجرد معرّف لا يحدد ترتيب التقييم.
ISDB
ماذا تحتوي إدخالات Internet Service Database (ISDB) المستخدمة في سياسات FortiGate؟
الشرح: كل إدخال ISDB يجمع عناوين IP والبروتوكول والمنافذ لخدمة معروفة (مثل Microsoft-Office365) ويُحدّث من FortiGuard، ويُستخدم كمصدر أو وجهة في السياسة بدلًا من العناوين اليدوية. هو يعمل على مستوى IP/Port وليس على تواقيع التطبيقات.
NAT
بعد تفعيل Central NAT على FortiGate، تريد نشر خادم ويب داخلي عبر DNAT. ما الذي يجب استخدامه كـ Destination في الـ Firewall Policy الواردة؟
الشرح: في وضع Central NAT تُضبط الترجمة في جداول Central SNAT وDNAT/VIP بشكل منفصل، وتُكتب السياسات باستخدام العناوين الحقيقية بعد الترجمة. أما في الوضع الافتراضي (بدون Central NAT) فيُوضع كائن الـ VIP كوجهة في السياسة.
IP Pools
أي نوع من IP Pool يخصص لكل مستخدم داخلي مجموعة (Block) من المنافذ على العنوان العام، مما يقلل حجم سجلات NAT في بيئات CGNAT؟
الشرح: يخصص Port Block Allocation كتلة منافذ بحجم محدد لكل عنوان داخلي، فيُسجّل تخصيص الكتلة بدلًا من كل جلسة. أما One-to-One فيربط كل عنوان داخلي بعنوان خارجي كامل، وFixed Port Range يربط نطاقًا ثابتًا من العناوين الداخلية بنطاق منافذ محدد مسبقًا.
NAT
تم تفعيل NAT في Firewall Policy مع اختيار Use Outgoing Interface Address. ما هو عنوان المصدر الذي ستظهر به الحركة بعد الترجمة؟
الشرح: يقوم الخيار Use Outgoing Interface Address بعمل SNAT بعنوان الواجهة التي ستغادر منها الحركة حسب قرار التوجيه، مع تغيير المنفذ عند الحاجة (Overload).
System Settings
ما وظيفة Trusted Hosts في إعدادات حساب المسؤول (Administrator) على FortiGate؟
الشرح: تقيّد Trusted Hosts مصدر محاولات تسجيل الدخول الإدارية لكل حساب، فيُرفض الدخول من خارجها حتى مع بيانات صحيحة. أما بروتوكولات الإدارة لكل واجهة فتُضبط عبر Administrative Access (allowaccess).
FSSO
في نشر FSSO بوضع DC Agent Mode، أين يُثبّت مكوّن DC Agent؟
الشرح: في DC Agent Mode يُثبّت DC Agent على كل Domain Controller لالتقاط أحداث تسجيل الدخول وإرسالها إلى Collector Agent الذي يمررها بدوره إلى FortiGate. هذا يختلف عن Polling Mode الذي لا يحتاج أي مكوّن على الـ DCs.
LDAP
عند إضافة LDAP Server على FortiGate، ما الذي يمثّله الحقل Distinguished Name (DN)؟
الشرح: حقل Distinguished Name يحدد نقطة البداية في شجرة LDAP التي يبحث FortiGate تحتها عن المستخدمين (مثل dc=example,dc=com). أما خاصية اسم الدخول فتُضبط في Common Name Identifier، وحساب الـ Bind يُضبط عند اختيار Bind Type = Regular.
Authentication
تستخدم Firewall Authentication النشطة (Active) بحيث يُطلب من المستخدم تسجيل الدخول عند تصفّح الويب. ما الإعداد الضروري عادةً لكي تظهر صفحة الدخول للمستخدم قبل المصادقة؟
الشرح: لا يستطيع المتصفح بدء جلسة HTTP/HTTPS التي يعترضها FortiGate لعرض صفحة الدخول ما لم يتمكن من حل اسم الموقع أولًا، لذا يجب السماح بـ DNS لمستخدمين غير مصادَق عليهم.
Logging
سياسة جدار حماية مضبوطة على Log Allowed Traffic = Security Events. ما التغيير المطلوب لتسجيل جميع الجلسات المسموح بها عبر هذه السياسة؟
الشرح: خيار Security Events يسجّل فقط الجلسات التي ولّدت حدثًا من Security Profile، بينما All Sessions يسجّل كل جلسة مسموح بها. أما Log Violation Traffic فيخص الحركة المرفوضة.
Logging
ما البروتوكول والمنفذ الذي يستخدمه FortiGate لإرسال السجلات إلى FortiAnalyzer؟
الشرح: يتصل FortiGate بـ FortiAnalyzer عبر بروتوكول OFTP على المنفذ TCP 514. أما Syslog التقليدي فيستخدم عادةً UDP 514 عند الإرسال إلى خوادم Syslog خارجية.
SSL Inspection
عند استخدام ملف SSL Inspection من نوع Certificate Inspection مع حركة HTTPS، أي مما يلي يستطيع FortiGate تنفيذه؟
الشرح: Certificate Inspection لا يفك التشفير، فيرى فقط معلومات المصافحة مثل الـ SNI وحقول الشهادة، فتعمل التصفية على مستوى النطاق فقط. فحص الملفات والمسارات الكاملة ومحتوى الصفحات يتطلب Full SSL (Deep) Inspection.
SSL Inspection
بعد تفعيل Deep Inspection، تظهر للمستخدمين تحذيرات شهادة غير موثوقة في المتصفح. ما السبب الأكثر احتمالًا؟
الشرح: في Deep Inspection يعمل FortiGate كوسيط ويصدر للعميل شهادة موقّعة من CA داخلي (مثل Fortinet_CA_SSL افتراضيًا)، فيجب تثبيت هذه الـ CA كموثوقة على أجهزة المستخدمين أو استخدام CA من البنية المؤسسية (PKI).
Security Profiles
في FortiOS 7.4/7.6 بوضع NGFW Profile-based، أين يُحدد وضع الفحص (Flow-based أو Proxy-based)؟
الشرح: منذ FortiOS 6.2 يُختار وضع الفحص لكل سياسة جدار حماية، فيمكن أن تعمل سياسات بـ Flow-based وأخرى بـ Proxy-based على الجهاز نفسه.
Web Filter
أي إجراء (Action) لفئات FortiGuard في Web Filter يعرض صفحة تنبيه للمستخدم ويسمح له بالمتابعة إلى الموقع إذا اختار ذلك؟
الشرح: إجراء Warning يعرض صفحة تحذير مع خيار المتابعة لمدة محددة. أما Monitor فيسمح بالوصول ويسجّله دون إظهار أي صفحة، وBlock يمنع الوصول نهائيًا.
Web Filter
أُضيف موقع إلى Static URL Filter بإجراء Allow، لكن فئة FortiGuard الخاصة به مضبوطة على Block في نفس الـ Web Filter Profile. ما النتيجة؟
الشرح: يُفحص Static URL Filter أولًا، والإجراء Allow يمرر الحركة إلى بقية فحوص الـ Web Filter ومنها فئات FortiGuard فيُحظر الموقع. لتجاوز فحص الفئات يجب استخدام الإجراء Exempt.
Application Control
أي Security Profile يتعرّف على تطبيقات مثل Facebook_Video أو BitTorrent باستخدام تواقيع، بغض النظر عن رقم المنفذ المستخدم؟
الشرح: يعتمد Application Control على تواقيع تفحص سلوك الحركة ومحتواها، لذا يكتشف التطبيق حتى لو استخدم منفذًا غير قياسي. بعض التطبيقات المشفّرة تحتاج Deep Inspection لاكتشاف تفاصيلها.
IPS
في IPS Sensor، ماذا يعني اختيار الإجراء Default لمجموعة تواقيع؟
الشرح: كل توقيع IPS يحمل إجراءً موصى به (Pass أو Block مثلًا) يحدده FortiGuard، والخيار Default يطبّق هذا الإجراء لكل توقيع على حدة بدلًا من فرض إجراء موحّد.
Routing
يوجد مساران افتراضيان ثابتان (Static Default Routes) عبر واجهتين مختلفتين، كلاهما بـ Distance 10، والأول بـ Priority 5 والثاني بـ Priority 10. ما النتيجة؟
الشرح: عند تساوي الـ Distance يدخل المساران جدول التوجيه، ويُستخدم الـ Priority كمعيار تفضيل حيث القيمة الأقل هي المفضلة. ولو اختلفت الـ Distance لدخل المسار ذو القيمة الأقل فقط.
Routing
عند اتخاذ قرار التوجيه على FortiGate، أي مما يلي يُفحص قبل جدول التوجيه العادي (Routing Table)؟
الشرح: تُقيَّم Policy Routes أولًا (وقواعد SD-WAN تُنفّذ كـ Policy Routes أيضًا)، فإذا لم تطابق أي منها يُستخدم جدول التوجيه العادي الذي يحتوي المسارات الثابتة والديناميكية.
Routing
يظهر في مخرجات diagnose debug flow الرسالة: reverse path check fail, drop. ما السبب؟
الشرح: يُجري FortiGate فحص RPF (Anti-spoofing) عند أول حزمة في الجلسة، فإن لم يجد مسارًا نشطًا نحو عنوان المصدر عبر الواجهة التي وصلت منها الحزمة يُسقطها. أما غياب السياسة فيظهر كرفض من policy 0.
SD-WAN
ما المقاييس التي يمكن ضبطها كأهداف (SLA Targets) في Performance SLA على FortiGate SD-WAN؟
الشرح: تقيس الـ Performance SLA جودة كل عضو باستخدام Probes (مثل Ping أو HTTP أو DNS) وتقارن النتائج بحدود Latency وJitter وPacket Loss لتحديد ما إذا كان العضو يحقق الـ SLA.
SD-WAN
أي استراتيجية في قواعد SD-WAN تختار العضو الذي يحقق الـ SLA ويكون الأفضل في ترتيب التفضيل/التكلفة؟
الشرح: تختار Lowest Cost (SLA) أول عضو يحقق أهداف الـ SLA وفق التكلفة وترتيب الأعضاء. أما Best Quality فتختار العضو ذا أفضل قيمة للمقياس المحدد بغض النظر عن التكلفة، وMaximize Bandwidth توزّع الحركة على جميع الأعضاء المحققين للـ SLA.
IPsec VPN
عند اكتشاف جهاز NAT بين نظيري IPsec، ما المنفذ الذي تنتقل إليه حركة IKE وESP المغلّفة بفضل NAT Traversal؟
الشرح: يبدأ IKE على UDP 500، وعند اكتشاف NAT ينتقل التفاوض إلى UDP 4500 وتُغلّف حزم ESP داخل UDP 4500 لأن ESP (البروتوكول 50) لا يحتوي منافذ يمكن ترجمتها.
IPsec VPN
في IPsec VPN من نوع Route-based (Interface mode) على FortiGate، نجح Phase 1 وPhase 2 لكن الحركة لا تمر. ما الإعداد الذي يُرجّح أنه ناقص؟
الشرح: في وضع Interface mode يُنشأ النفق كواجهة افتراضية، ويجب توجيه الحركة إليها عبر Static Route (أو توجيه ديناميكي) وإنشاء Firewall Policies بين الواجهة الداخلية وواجهة النفق. نجاح Phase 1 وPhase 2 يدل على سلامة المفتاح وإعدادات التفاوض.
HA
في FGCP مع تعطيل override (الوضع الافتراضي)، ما المعيار الذي يُقيّم مباشرة بعد عدد الواجهات المراقبة المتصلة (Monitored Interfaces) عند انتخاب الـ Primary؟
الشرح: الترتيب مع override معطّل: Monitored Interfaces ثم HA Uptime ثم Priority ثم Serial Number، ويُعتبر فرق الـ Uptime فقط إذا تجاوز هامشًا محددًا (5 دقائق افتراضيًا). عند تفعيل override يتقدّم الـ Priority على الـ Uptime.
HA
في مجموعة FGCP بالإعدادات الافتراضية، ماذا يحدث لجلسات TCP القائمة عند حدوث Failover؟
الشرح: مزامنة الجلسات بين أعضاء الـ Cluster تتطلب تفعيل set session-pickup enable، وهي معطّلة افتراضيًا. بدونها يفقد الـ Primary الجديد جلسات TCP القائمة.
Diagnostics
بعد ضبط الأوامر:
diagnose debug flow filter addr 10.1.1.10
diagnose debug flow trace start 20
لم تظهر أي مخرجات على الشاشة. ما الأمر الناقص؟
الشرح: أوامر debug flow تجهّز الفلتر وعدد الحزم المطلوب تتبعها، لكن عرض مخرجات أي Debug على الـ Console يتطلب الأمر diagnose debug enable. أما diagnose debug reset فيمسح إعدادات الـ Debug.
Diagnostics
في الأمر diagnose sniffer packet any 'host 10.1.1.10' <verbose>، أي مستوى Verbose يعرض رؤوس الحزم (Headers) مع اسم الواجهة؟
الشرح: المستوى 1 يعرض الرؤوس فقط، و3 يضيف البيانات مع رأس Ethernet، و4 يعرض الرؤوس مع اسم الواجهة، و6 يعرض البيانات كاملة مع رأس Ethernet واسم الواجهة.
عن الامتحان التجريبي
شهادة NSE 4 القديمة بقى اسمها دلوقتي FCP – FortiGate Administrator، وهي جزء من شهادة Fortinet Certified Professional – Network Security. الأسئلة هنا مبنية على FortiOS 7.4 و 7.6 وبتغطي الحاجات اللي هتقابلها في الشغل الحقيقي: ترتيب البوليسي، والـ Central NAT، والـ IP Pools، وفحص الـ SSL، وبروفايلات الحماية، والـ SD-WAN، والـ IPsec، والـ HA، وأوامر الـ Debug.
من FortiOS 7.6.3 اتشال SSL VPN Tunnel Mode، عشان كده مفيش أسئلة عليه. الطريقة المعتمدة دلوقتي هي IPsec بـ FortiClient، وهنشرحها بالتفصيل في سلسلة دروس فورتي جيت.
