Come risolvere gli errori di connessione IP in FortiGate - 6 consigli per la risoluzione dei problemi di rete

Stai vedendo un errore di connessione IP in FortiGate? Che si tratti di un errore di deny, accept o unreachable, di solito significa che il tuo firewall sta avendo problemi a gestire il traffico basato su IP tra i dispositivi.

In questa guida, analizzeremo cosa significa “IP-Conn” in FortiGate, perché si verificano questi errori e come risolverli passo dopo passo, in modo da poter ripristinare rapidamente la normale connettività.

Cosa sono gli errori di connessione IP in FortiGate

Gli errori di connessione IP, come i messaggi IP-Conn nei firewall FortiGate, in genere segnalano problemi di comunicazione all’interno della rete. Ciò significa che due computer o server non sono in grado di contattarsi.

Questi errori vengono registrati quando si verifica un problema nello stabilire o mantenere connessioni tramite l’Internet Protocol (IP), che è l’insieme principale di regole per l’inoltro di pacchetti (piccole quantità) di dati attraverso i confini di rete.

Tipi di errori di connessione IP in FortiGate

• Errore di connessione IP Accept: si verifica quando il firewall accetta una richiesta di connessione ma non riceve risposta dall’host di destinazione, probabilmente perché l’host non risponde.
• Errore di connessione IP Deny: si verifica quando il firewall rileva un’anomalia nel pacchetto di risposta, portando alla negazione della connessione, spesso a causa di pacchetti malformati o violazioni della sicurezza.
• Errore formato indirizzo IP non valido: attivato quando l’indirizzo IP è formattato in modo errato, impedendo al firewall di riconoscerlo.
• Errore di conflitto indirizzo IP: si verifica quando due dispositivi condividono lo stesso indirizzo IP, causando un conflitto.
• Errore impossibile raggiungere l’IP di destinazione: appare quando il firewall non riesce a connettersi a un IP di destinazione, spesso a causa di problemi di routing o configurazione.
• Errore indirizzo IP di origine non valido: si verifica quando l’indirizzo IP di origine non è valido o irraggiungibile, portando al rifiuto della connessione.

Dopo aver compreso questi errori, approfondiamo le loro cause comuni e le relative implicazioni.

Cosa causa gli errori di connessione IP in FortiGate?

Ci sono alcune cause comuni alla base dell’errore di connessione IP di FortiGate. Cerchiamo di capirle nel dettaglio:

• Query DNS errata: un “errore DNS deny” si verifica quando una query del Domain Name System si risolve in un host sconosciuto. Il DNS è l’elenco telefonico di Internet, che traduce i nomi di dominio in indirizzi IP. Gli errori in questo caso potrebbero essere dovuti a nomi di dominio errati o problemi al server DNS.
• Host non raggiungibile: un “errore di connessione IP” in questo contesto indica indirizzi IP di destinazione non raggiungibili. Ciò potrebbe essere dovuto a problemi di routing di rete, tempi di inattività del server o regole del firewall che bloccano la connessione.
• Terminazione anomala della connessione TCP: un errore di timeout in questo caso indica una connessione TCP (Transmission Control Protocol) terminata prematuramente. Il TCP è un protocollo fondamentale della Internet Protocol Suite, responsabile della gestione dello scambio di dati tra computer. Di solito si verifica a causa della congestione della rete o di problemi hardware.
• Errore HTTP: gli errori del protocollo Hypertext Transfer Protocol con codici superiori a 400 vengono registrati come “closed“. HTTP è la base della comunicazione dati per il World Wide Web. Questi errori in genere indicano problemi a livello applicativo, come una configurazione errata del server. In questo caso, osserverai FortiGate negare “errore di connessione ip” con “https” evidenziato.

Tenendo presenti queste cause, esploriamo come risolvere efficacemente questi errori.

Come correggere gli errori di connessione IP di FortiGate

Pre-verifiche

Prima di iniziare, assicurati che:

• Il firmware sia aggiornato
• Tutti gli IP siano univoci e validi
• Le regole del firewall siano riviste trimestralmente
• Le impostazioni DNS siano convalidate
• Le acquisizioni di pacchetti siano testate mensilmente

Puoi eliminare facilmente gli errori di connessione IP di FortiGate individuando il problema, analizzando la causa e quindi risolvendo il problema sottostante.

Dovresti utilizzare un sistema o percorso appropriato per identificare e affrontare la situazione. Ti aiuterà a sezionare rapidamente il problema ed evitare inutili tentativi di risoluzione.

Ecco una guida passo passo che puoi seguire per rendere il processo più agevole.

Passaggio 1: Identifica l’errore

Per identificare il tipo di errore di connessione IP, analizza i log del firewall. Accedi ai log tramite la dashboard di FortiGate, concentrandoti sulle voci etichettate con “accept“, “deny“, “DNS error” o “HTTP error“. Cerca schemi o problemi ricorrenti.

Passaggio 2: Analizza la causa

Dopo aver identificato il tipo di errore, analizza la causa potenziale. Esamina la natura del traffico e la risposta dal server di destinazione. Usa comandi come tracert o ping per verificare connettività e risoluzione DNS. Inoltre, puoi usare il comando nslookup o dig per informazioni dettagliate.

Passaggio 3: Acquisizione dei pacchetti

L’acquisizione dei pacchetti è cruciale per diagnosticare gli errori di connessione IP. In FortiGate, accedi a questa funzionalità tramite l’interfaccia web o la CLI. Definisci i filtri in base agli indirizzi IP di origine e destinazione e analizza i pacchetti acquisiti utilizzando strumenti come Wireshark.

Esempio:

Se riscontri un “errore di connessione IP deny”, imposta un’acquisizione di pacchetti per gli indirizzi IP coinvolti. Analizza i dati acquisiti per le richieste in uscita e le risposte in arrivo per individuare la posizione del problema.

Passaggio 4: Analizza i criteri e le regole del firewall

Per garantire che i criteri del firewall non contribuiscano agli errori di connessione IP di FortiGate, dovresti condurre una revisione dettagliata.

In FortiGate, puoi seguire i passaggi seguenti:

• Accedi alla sezione ‘Policy & Objects‘.
• Esamina attentamente ogni criterio che governa il flusso di traffico degli indirizzi IP interessati.
• Verifica la presenza di regole che potrebbero bloccare o limitare il traffico. Nel frattempo, presta particolare attenzione a eventuali modifiche o aggiornamenti recenti che potrebbero aver inavvertitamente influenzato il traffico.

Passaggio 5: Analizza il percorso di rete

L’analisi del percorso di rete è fondamentale per identificare i segmenti problematici nel percorso dati. Di conseguenza, puoi individuare la causa dell’errore di connessione IP di FortiGate. Ecco come puoi eseguirla:

• Usa traceroute dall’indirizzo IP di origine a quello di destinazione per mappare il percorso che i pacchetti seguono.
• Analizza l’output per eventuali casi di perdita di pacchetti o latenza insolitamente elevata, che potrebbero indicare un problema in quel particolare nodo di rete.
• Se il problema sembra essere al di fuori della tua rete immediata, prendi in considerazione l’idea di contattare il tuo ISP o l’amministratore della rete esterna per ulteriori indagini.

Passaggio 6: Collabora con entità esterne

Quando sono coinvolti host o servizi esterni, una comunicazione efficace è fondamentale:

• Contatta gli amministratori dei sistemi esterni per discutere i problemi di connessione.
• Condividi i tuoi risultati, inclusi i log del firewall e i dati di acquisizione dei pacchetti. Li aiuterebbe a capire il problema dalla tua prospettiva.
• Collaborate per identificare se il problema potrebbe essere dalla loro parte, come configurazioni errate del server, problemi di routing o altre anomalie di rete.

Ora applichiamo questi passaggi a uno scenario reale per una comprensione più chiara.

Immagina di dover affrontare diversi “errori di connessione IP deny” relativi a un indirizzo IP interno che tenta di accedere a un server web esterno.

Ecco come puoi risolvere il problema.

Passaggi per la risoluzione:

• Analisi dei log: Esamina i log del firewall per messaggi di errore specifici relativi all’indirizzo IP interno e al server web esterno.
• Acquisizione dei pacchetti: Usa la funzionalità di acquisizione pacchetti di FortiGate per monitorare il traffico. Imposta i filtri per acquisire solo il traffico rilevante.
• Interpretazione dei dati: Esamina i dati acquisiti. Se il server esterno risponde costantemente con un errore HTTP 404, indica un problema con il server o la risorsa richiesta.
• Risoluzione del problema: Contatta l’amministratore del server esterno per affrontare il problema con la pagina web o la risorsa.

Seguendo questo sistema di risoluzione dei problemi puoi identificare e risolvere senza sforzo gli errori di connessione IP in FortiGate.

Ora, vediamo come puoi ridurre al minimo la possibilità di tali errori in futuro.

Metodi preventivi per evitare errori di connessione IP

Puoi ridurre significativamente il verificarsi di errori di connessione IP implementando alcune misure preventive. Ciò garantisce che il tuo sistema funzioni in condizioni ottimali.

Ecco cosa puoi fare:

Aggiornamenti e patch regolari

• Assicurati che il tuo firewall FortiGate e tutti i dispositivi di rete siano regolarmente aggiornati con il firmware e le patch di sicurezza più recenti. Questi aggiornamenti di solito correggono vulnerabilità critiche nell’applicazione di FortiGate riducendo la probabilità di attacchi esterni.
• Pianifica questi aggiornamenti durante le ore di minor traffico per ridurre al minimo i disagi.

Monitoraggio di rete di routine

• Implementa strumenti di monitoraggio continuo per tenere d’occhio il traffico di rete.
• Imposta avvisi per attività insolite, come picchi improvvisi di traffico o rifiuti inspiegabili da parte del firewall.

Controllo delle regole del firewall

• Conduci controlli periodici delle regole del tuo firewall.
• Rimuovi qualsiasi regola obsoleta o non necessaria che potrebbe complicare il flusso del traffico di rete o bloccare inavvertitamente il traffico legittimo.
• Documenta qualsiasi modifica apportata per riferimento futuro e responsabilità.

Seguendo questi passaggi puoi evitare errori da parte tua e saresti in grado di analizzarne uno nuovo, se presente, senza sforzo.

Letture correlate

• Risolto: Scaricare e installare FortiClient VPN Offline Installer
• Oltre 10 statistiche sulla quota di mercato di Fortinet che mostrano la sua influenza nel 2024

Conclusione

Gestire efficacemente gli errori di connessione IP nei firewall FortiGate richiede una combinazione di conoscenze tecniche approfondite, capacità analitiche e un approccio proattivo alla gestione della rete.

Seguendo i passaggi dettagliati delineati in questa guida e aderendo alle migliori pratiche per la manutenzione preventiva, puoi garantire un ambiente di rete più sicuro, efficiente e affidabile.