1) Vì sao nên nắm CLI FortiGate?

Trong vận hành thực tế, nhiều lỗi “nhìn GUI thấy đúng” nhưng hệ thống vẫn không chạy như kỳ vọng: policy không match, NAT giữ session cũ, routing đi sai đường, VPN lên mà không thông, DNS chập chờn... Lúc đó, CLI giúp bạn kiểm chứng theo kiểu có số liệu, có bảng trạng thái, có bằng chứng gói tin.

2) Flow troubleshoot “chuẩn ops” (đi đúng thứ tự sẽ nhanh hơn)

3) Bảng đối chiếu nhanh lệnh Cisco ↔ FortiGate

Nếu bạn quen vận hành Cisco, bảng dưới giúp “dịch” nhanh các lệnh tương đương trên FortiGate.

4) Quy tắc thoát cấu hình: end và abort

Trong CLI FortiGate, thoát cấu hình đúng cách là cực kỳ quan trọng:

5) Bật/tắt debug đúng cách (tránh “treo debug”)

Nhiều thao tác chẩn đoán cần debug (đặc biệt debug flow / debug application). Hãy luôn reset trước và tắt sau khi xong để tránh nhiễu và tăng tải.

diagnose debug reset
diagnose debug enable
diagnose debug disable
diagnose debug duration N

6) Kiểm tra trạng thái hệ thống

Trước khi nghi ngờ routing/policy/VPN, hãy xác định thiết bị có đang “khỏe” không: firmware, phần cứng, CPU/RAM, số session, tiến trình ngốn tài nguyên, lỗi apply cấu hình...

get hardware status
get system status
get system performance status
diagnose debug config-error-log read
diagnose hardware sysinfo memory
diagnose sys top-mem
diagnose sys session stat

7) Kiểm tra thời gian & NTP

Thời gian lệch gây lệch log, ảnh hưởng xác thực và khiến VPN/IKE khó đối soát. Nhóm lệnh dưới giúp bạn kiểm tra cấu hình NTP và trạng thái đồng bộ thực tế.

get system ntp
execute time
diagnose sys ntp status

8) Interface & ARP

Khi nghi ngờ lỗi L2/L3 (mất link, speed/duplex, mapping ARP sai), hãy kiểm tra trạng thái vật lý interface, cấu hình interface, và bảng ARP.

get system interface physical

config system interface
show
end

get system arp
execute clear system arp table

9) Routing (Static/OSPF/BGP) – gốc rễ của nhiều sự cố

Các tình huống “đi được mạng này nhưng không đi mạng kia”, “VPN lên nhưng không thông”, hoặc “đổi line Internet không failover như kỳ vọng” thường quay về routing. Đừng đoán, hãy để bảng định tuyến trả lời.

9.1 Routing table & static route

get router info routing-table all
get router info routing-table detail
show router static

config router static
show
end

9.2 OSPF

show router ospf
get router info ospf status
get router info ospf neighbor
get router info ospf routing-table

9.3 BGP

show router bgp
get router info bgp neighbor
get router info bgp summary
get router info bgp route
get router info bgp advertised-routes

10) Firewall Policy – xem rule & rule hit

Khi cần rà soát rule, hãy bắt đầu bằng việc xem policy hiện tại, rồi xác định policy nào đang được hit thực tế. Với hệ thống nhiều rule giống nhau, policy lookup giúp chốt luồng traffic sẽ match policy nào.

show firewall policy

config firewall policy
show
end

diagnose firewall policy list
diagnose firewall iprope lookup

11) Session & NAT – chìa khóa để hiểu traffic thực tế

Session cho bạn biết policy match, NAT, route, UTM... của từng luồng traffic. Với hệ thống nhiều session, hãy lọc trước khi list để tránh dữ liệu khổng lồ.

diagnose system session list
diagnose sys session filter
diagnose sys session stat

12) VPN IPsec – kiểm tra tunnel & IKE gateway

Với IPsec, bắt đầu từ summary để xem tunnel up/down, sau đó kiểm tra IKE gateway theo tên tunnel để soi trạng thái đàm phán.

get vpn ipsec tunnel summary
diagnose vpn ike gateway list name

13) HA (High Availability) – role, cluster, đồng bộ

Khi nghi failover, split brain hoặc lệch đồng bộ, nhóm lệnh dưới là tối thiểu để xác định trạng thái HA hiện tại.

get system ha status
get system ha
show system ha

14) Execute – test kết nối & thao tác nhanh

Nhóm execute giúp bạn test trực tiếp từ FortiGate ra ngoài, tách bạch lỗi nằm ở client hay nằm trên firewall/uplink.

execute ping 192.168.0.1
execute traceroute 192.168.1.1

execute telnet 192.168.0.10
execute telnet 192.168.0.1 22

execute ssh user@192.168.0.10
execute ssh user@192.168.0.10 23

15) Packet Sniffer – chốt bằng chứng gói tin

Khi cần câu trả lời dứt khoát: “gói có vào không”, “reply có quay về không”, “DNS có ra ngoài không”, packet sniffer là bước chốt để khoanh vùng.

diagnose sniffer packet port15
diagnose sniffer packet any 'host xx.xx.xx.xx'
diagnose sniffer packet port15 'host xx.xx.xx.xx'
diagnose sniffer packet any 'host xx.xx.xx.xx or host yy.yy.yy.yy'
diagnose sniffer packet any 'udp port 53 or tcp port 53'

16) Backup cấu hình (backup config)

Backup cấu hình là thói quen bắt buộc trước khi thay đổi trên production. Dưới đây là ví dụ backup qua TFTP và lệnh backup tổng quát. Nếu yêu cầu bảo mật cao hơn, có thể bật SCP để backup/restore.

exec backup config tftp conf/test-fw-01_20180913.conf 192.168.0.10
execute backup config

config system global
set admin-scp enable
end

17) Mẫu cấu hình nhanh cho 1 port (đặt IP tĩnh + allowaccess)

Khi mới nhận thiết bị hoặc cần dựng nhanh cổng quản trị, block cấu hình dưới giúp đặt IP tĩnh cho port và bật quyền truy cập quản trị cần thiết.

config system interface
edit port1
set mode static
set ip 192.168.1.99 255.255.255.0
set allowaccess ping http https telnet ssh
end

18) Lỗi thường gặp khi chạy lệnh (đọc để tránh mất thời gian)

diagnose sys session filter
diagnose system session list

diagnose sniffer packet any 'host xx.xx.xx.xx'
diagnose sniffer packet any 'udp port 53 or tcp port 53'

diagnose debug reset
diagnose debug duration N
diagnose debug enable
diagnose debug disable

diagnose firewall policy list
diagnose firewall iprope lookup

19) Kết luận

Với FortiGate, troubleshoot hiệu quả không nằm ở việc nhớ thật nhiều lệnh, mà ở việc đặt đúng câu hỏi và kiểm tra đúng thứ tự. Khi GUI không còn cho bạn câu trả lời rõ ràng, CLI là nơi FortiGate thể hiện chính xác nó đang xử lý traffic như thế nào.

Gợi ý vận hành: nếu cần làm SOP nội bộ, hãy gắn flow troubleshoot ở đầu bài và yêu cầu kỹ thuật đi theo flow để giảm sai sót.