Módulo 2 — Implementação e Configuração de Sistema

Módulo 2 — Implementação e Configuração de Sistema

Este módulo cobre o domínio Deployment & System Configuration, o de maior peso no exame FCP — FortiGate 7.6 Administrator (~30%). É aqui que se ganham mais pontos: dominar a configuração inicial do FortiGate, as interfaces, os modos de operação e os serviços de sistema é a base para tudo o resto (firewall policies, VPN, inspeção de conteúdo). Trabalhamos sobre FortiOS 7.6, tanto na GUI como na CLI.

Objetivos de aprendizagem

• Aceder ao FortiGate por GUI, CLI (SSH/Telnet) e consola, e completar a configuração inicial.


• Configurar interfaces, atribuir-lhes roles e organizar a segmentação por zonas.


• Distinguir os modos de operação NAT/Route e Transparent e saber quando usar cada um.


• Definir serviços de sistema: hostname, DNS, NTP e parâmetros de system global.


• Criar administradores e restringir privilégios com accprofiles (RBAC).


• Registar o dispositivo, ativar licenciamento e subscrições FortiGuard.


• Interpretar os dashboards e o FortiView para monitorização.

1. Acesso inicial: GUI, CLI e consola

De fábrica, a porta de gestão (tipicamente port1 ou mgmt) tem o IP 192.168.1.99/24, com HTTPS e SSH ativos. Liga-se um portátil à mesma rede e acede-se à GUI em https://192.168.1.99. As credenciais por defeito são utilizador admin sem palavra-passe — o FortiOS 7.6 obriga a definir uma palavra-passe forte no primeiro login.

Há três vias de administração:

• GUI (web): HTTPS, ideal para configuração visual, dashboards e FortiView.


• CLI: via SSH, ou diretamente na própria GUI através do CLI Console. É onde está o controlo total e a granularidade fina.


• Consola: porta série (RJ-45/USB) — o acesso de recurso quando se perde a rede ou para recuperação.

A CLI organiza-se em árvore: comandos config entram num contexto, edit seleciona um objeto, set define valores, next guarda o objeto e end sai do contexto.

2. Interfaces e zonas

Cada interface física ou lógica tem um role (LAN, WAN, DMZ ou Undefined) que apenas ajusta os valores por defeito apresentados na GUI; tecnicamente, o que importa é o endereçamento e os serviços allowaccess permitidos. Os tipos de acesso administrativo (ping, https, ssh, fgfm, snmp) controlam o que pode tocar a interface.

config system interface

    edit "port1"

        set alias "LAN-Interna"

        set role lan

        set mode static

        set ip 10.10.10.1 255.255.255.0

        set allowaccess ping https ssh fgfm

    next

    edit "port2"

        set alias "WAN-ISP"

        set role wan

        set mode dhcp

        set allowaccess ping

    next

end

As zonas agrupam várias interfaces sob um único nome lógico, simplificando as firewall policies — em vez de criar regras para cada interface, escreve-se uma só para a zona. Por defeito, o tráfego entre interfaces da mesma zona é bloqueado, a menos que se ative intrazone allow.

config system zone

    edit "DMZ"

        set interface "port3" "port4"

        set intrazone deny

    next

end

3. Modos de operação: NAT/Route vs Transparent

O FortiGate opera em um de dois modos (definido por VDOM):

• NAT/Route (modo por defeito): o FortiGate atua como um router de Camada 3. Cada interface tem o seu IP, faz routing entre sub-redes e tipicamente aplica NAT no tráfego de saída. É o modo usado na esmagadora maioria das implementações como gateway de perímetro.


• Transparent: o FortiGate comporta-se como uma bridge de Camada 2 ("bump in the wire"). As interfaces não têm IP próprio de routing; todo o equipamento partilha um único Management IP de gestão. Usa-se para inserir um firewall numa rede existente sem alterar o esquema de endereçamento nem o gateway dos hosts.

config system settings

    set opmode transparent

    set manageip 10.10.10.50 255.255.255.0

    set gateway 10.10.10.254

end

4. Serviços de sistema: hostname, DNS, NTP e system global

Definir o hostname facilita a identificação em fleets geridas por FortiManager. O DNS é essencial para FortiGuard, atualizações e resolução em políticas baseadas em FQDN. O NTP garante a sincronização horária — crítica para logs, certificados e VPN.

config system global

    set hostname "FGT-Sede-Luanda"

    set timezone 33

    set admin-sport 8443

    set admintimeout 15

    set gui-theme jade

end



config system dns

    set primary 8.8.8.8

    set secondary 1.1.1.1

end



config system ntp

    set ntpsync enable

    set type custom

    set syncinterval 60

    config ntpserver

        edit 1

            set server "pool.ntp.org"

        next

    end

end

Em system global ficam parâmetros transversais como a porta HTTPS de gestão (admin-sport), o timeout de inatividade da sessão admin (admintimeout) e o fuso horário.

5. Administradores e accprofiles (RBAC)

O acesso administrativo deve seguir o princípio do menor privilégio. Um accprofile define que secções o admin pode ver e com que permissão (none, read ou read-write). O perfil super_admin tem controlo total e não deve ser distribuído.

config system accprofile

    edit "operador-readonly"

        set fwgrp read

        set loggrp read

        set sysgrp read

        set netgrp read

    next

end



config system admin

    edit "joao.tecnico"

        set accprofile "operador-readonly"

        set vdom "root"

        set trusthost1 10.10.10.0 255.255.255.0

        set password ENC_AQUI

    next

end

O campo trusthost restringe a origem das ligações administrativas — uma das melhores práticas de segurança mais cobradas no exame. Sem trusthosts, o admin pode ligar-se de qualquer rede que tenha allowaccess ativo.

6. Registo, licenciamento e FortiGuard

Após a configuração base, o FortiGate deve ser registado no FortiCloud para validar a garantia e ativar as subscrições. As subscrições FortiGuard alimentam os serviços de inspeção: AntiVirus, IPS, Web Filtering, Application Control, Anti-Spam e DNS Filter. Sem subscrição válida, esses motores não recebem assinaturas atualizadas.

config system fortiguard

    set protocol https

    set port 443

    set fortiguard-anycast enable

    set update-server-location any

    set antispam-cache enable

    set webfilter-cache enable

end

Verificação de estado e licenças via CLI:

FGT-Sede-Luanda # get system status

Version: FortiGate-VM64 v7.6.0,build3401,...

Serial-Number: FGVMxxxxxxxxxxxx

Operation Mode: NAT

Current HA mode: standalone

System time: Sat Jun 20 14:32:10 2026



FGT-Sede-Luanda # diagnose autoupdate versions

AV Engine: contract valid

IPS Definitions: contract valid

Web Filtering: contract valid

7. Dashboards e FortiView

A GUI do FortiOS 7.6 oferece dashboards personalizáveis (widgets de System Information, Licenses, Security Fabric, CPU/Memória, Sessions) e o FortiView, uma ferramenta de visualização de tráfego em tempo real e histórico. O FortiView mostra Sources, Destinations, Applications, Policies e Threats, permitindo fazer drill-down de um host até à sessão individual.

Importante: o FortiView depende de logging ativo. Para dados históricos é preciso uma fonte de logs (disco local, FortiAnalyzer ou FortiCloud). Sem logging, o FortiView só apresenta tráfego em tempo real.

Resumo

• O acesso faz-se por GUI, CLI e consola; a CLI dá controlo total em árvore config/edit/set/next/end.


• Interfaces têm roles e allowaccess; as zonas agrupam interfaces para simplificar policies.


• NAT/Route = router L3 (defeito); Transparent = bridge L2 com um Management IP.


• Hostname, DNS e NTP são serviços-base; system global guarda os parâmetros transversais.


• Menor privilégio via accprofile + trusthost; nunca distribuir super_admin.


• Registar no FortiCloud e manter subscrições FortiGuard válidas para a inspeção de conteúdo funcionar.

Labs associados

Pratica a implementação inicial do FortiGate (acesso, interfaces, modo de operação, serviços de sistema e administradores):

🧪 Abrir este Lab na plataforma LAB
Abre com sessão automática (SSO). Incluído no curso — sem custo de créditos.

Pratica o registo, licenciamento e configuração FortiGuard, e a verificação de estado das subscrições:

🧪 Abrir este Lab na plataforma LAB
Abre com sessão automática (SSO). Incluído no curso — sem custo de créditos.