笨笨龍的網誌

# Fortigate 200E v6.2.3 Ref: https://forum.fortinet.com/tm.aspx?m=157745 https://forum.fortinet.com/tm.aspx?m=171015 https://kb.fortinet.com/kb/documentLink.do?externalID=FD40845 在官網的手冊中，使用『Virtual IPs』時，NAT 會優先使用 VIP 關聯的 IP 當作對外IP， 但我在使用時，好像沒有？不知道是不是 WAN Port 我沒有將該 IP 設到 [Secondary IP address]中，待測.... 在 Fortigate  Firewall，我們想某個內部 Interface 出去(NAT)時，使用指定的 IP， 可以使用 IP Pools來達成。最常使用的情境式 Mail Server(SMTP)。 但當使用 SD-WAN + IP Pools 時，會使得該 Policy 連線異常或中斷。 #.1 當 『SD-WAN Rules』使用『 Load Balancing Algorithm』(cli: set load-balance-mode) 預設【Source IP】時，不會有問題，或是問題不明顯，原因/理論 不明白？ → 2020/04/27，不是不會有問題，而是機率是 1/WAN數量。也就是對外越多條，可用機率越低。 #.2 承 #.1，在 Fortigate 200D(v5.6.12) 時，使用預設值(沒設定  cli: set load-balance-mode) 也沒問題。 → 2020/04/27，翻以前的文章 v5.6.12v5.6.12時，我就遇過同樣問題，也有修正 Orz。 #.3  承 #.1，在 Fortigate 200B(v5.2.15) 時，沒使用 SD-WAN 做多 WAN時，也沒問題。 可能原因： 當 SD-WAN 搭配 IP Pools 時，SD-WAN 不知道使用到的 IP Poolsools是屬於哪一條 WAN(Interface)。所以可能牽錯紅線，A IP 走 B WAN 的情況，因而對外連線異常(時好時壞)。 為解決...

Ref:  http://woshub.com/rdp-session-shadow-to-windows-10-user/ Ref:  http://microsoftplatform.blogspot.com/2013/06/what-new-in-windows-server-2012-r2.html Ref:  http://woshub.com/rds-shadow-how-to-connect-to-a-user-session-in-windows-server-2012-r2/ 👀 2022/03/04 補充說明，此方式一樣適用於非 Server 環境，如 Win10 (專業版以上才有支援 RDP)  Windows 2012 R2 以後的版本，管理者可以 檢視/操作 RDS 中的 Session。 用 GPO 來決定，管理者 檢視/操作 時，需不需要 session 使用者的同意： 電腦原則 → 原則 → 系統管理範本 → Windows 元件 → 遠端桌面服務 → 連線 → 為遠端桌面服務使用者階段的遠端控制設定原則(Computer Configuration -> Policies -> Administrative Templates -> Windows components -> Remote Desktop Services -> Remote Session Host -> Connections and called Set rules for remote control of Remote Desktop Services user sessions) 如果您啟用這個原則設定，系統管理員可以根據選取的選項，與使用者的遠端桌面服務工作階段互動。從選項清單選取所需的控制等級與權限: 不允許遠端控制: 不允許系統管理員使用遠端控制或檢視遠端使用者工作階段。 使用者授與 [完全控制] 權限: 允許系統管理員在使用者的同意下與工作階段互動。 不需使用者授與即可完全控制: 允許系統管理員不需使用者的同意即可與工作階段互動。 使用者授與 [檢視工作階段] 權限: 允許系統管理員在使用...

#Fortigate 200E、Windows 2012 R2、FortiOS 5.6.11 !! Chrome 58 以後，憑證如果沒有 SAN( subjectAlternativeName)屬性，一樣會被判定不安全的連線， 參考說明 。 本文在說明如何在  Windows 2012 R2 CA 下，申請 SubCA ubCA 以使 Fortigate  SSL inspection 運作時，不會出現憑證錯誤和不安全的連線訊息。 # 如何延長 Windows CA 所發憑證預設的有效期，請參考 這裡。 登入到 Fortigate GUI >> System >> Certificates >> Generate 填入憑證所需相關資料，請務必確認【Subject Alternative Name】欄位有正確填寫。 【Subject Alternative Name】欄位格式，並以逗號分隔多項： #超過 60 character ，必須使用 CLI ，請參考： Generate CSR via CLI when Subject Alternative Name field is long (FortiOS 5.0) Email: email:admin@ companyname .com IP Address: IP:1.1.1.1 URL: URI:https:// companyname .com DNS Name: DNS:www. companyname .com 下載所建立的憑證申請檔 到 Windows CA 網頁，申請憑證： 選擇【進階憑證要求】 填入剛剛的申請檔內容，並選擇憑證範本【附屬憑證授權單位/SubCA】 下載所申請到的憑證 在 Fortigate 中匯入憑證 (System >> Certificates >> Import >> Local Certificate) 可以看到剛剛的申請已有相關憑證資訊 另外要記得將上層 CA Server 的憑證匯入  (System >> Certificates >> Import >> CA Certific...

# 2019/09/17 # Windows 2012 R2 Ref`:  如何延長Windows CA 所發放的憑證的有效年限 、 How to change the expiration date of certificates that are issued by a Windows Server 2003 or a Windows 2000 Server Certificate Authority 修改 Windows CA Server 主機上的註冊機碼，延長預設有效期限，位置如下： HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\CertSvc\Configuration\<CAName> 有效期限單位改為【Years】 (年) 、數值改為【10】 (年) [ValidityPeriod] → Years (Days/Weeks/Months/Years) [ValidityPeriodUnits ] → 10 重啟 Certsrv 服務 ， 並確認 CA Server 本身憑證有效日期超過欲發的憑證期限 在『憑證授權單位』管理介面，開啟【憑證範本】管理介面： 建立新的憑證範本 (複製自【附屬憑證授權單位】) 記得修改有效期間 !! 相容性設定，代表【certificate template schema version】， !! 版本3以上無法用網頁方式申請憑證，須改用【certreq.exe］。 設定憑證發佈的信任及屬性 選擇要啟用的憑證範本

IRF 4 member by HPE 1950 on 2018/05/17 IRF 配置 目標：將四台 HPE 1950 12XGT 以 IRF 採 Ring Topology 堆疊 建議準備工作： 將系統版本升級到同一個版本 display version 清除所有設定 reset saved-configuration 決定 domain id、priority(master/standby)、member id 步驟： assign IRF Domain ID assign IRF Member ID assign priority number (0~32; large is high priority) review irf configuration shutdown IRF member interface assign interface to logical IRF port plug the LAN Cable undo shutdown IRF member interface save configuration and reboot activate the pending IRF configuration Device 1 Device 2 Device 3 Device4 <Device-1>system view [Device-1] irf doamin 1031254 [Device-1] irf member 1 renumber 1 [Device-1] irf member 1 priority 32 [Device-1] display irf [Device-1] save [Device-1] reboot <Device-2>system view [Device-2] irf doamin 1031254 [Device-2] irf member 1 renumber 2 [Device-2] display irf [Device-2] save [Device-2] reb...