====== Fortigate CLI Cheatsheet ======

===== Général =====

Obtenir les informations générales sur l'équipement :

<code>get system status</code>

Redémarrer l'équipement :

<code>exec reboot</code>

Afficher la configuration complète de l'équipement :
<code>show full-configuration</code>

===== HA =====

Afficher la conf HA d'un équipement :

<code>show sys ha</code>

Etat actuel et informations sur la HA :

<code>get sys ha status</code>

Configurer/reconfigurer la HA en mode actif-passif (à faire sur les 2 équipements, attention la priorité ne doit pas être la même sur les 2) :

<code>config system ha
    set group-id 61
    set group-name "HA_CLUSTER"
    set mode a-p
    set password admin123
    set hbdev "ha1" 45 "ha2" 45
    set session-pickup enable
    set override enable
    set priority 130
end
</code>

Vérifier le checksum du cluster :

<code>diag sys ha checksum cluster</code>

Recalculer le checksum du cluster sur un équipement :
<code>diag sys ha checksum recalculate</code>

Activer/désactiver la synchro de configuration entre membre d'un cluster :

<code>exec ha synchronize <start|stop></code>

===== Interfaces ====

Afficher la configuration des interfaces :

<code>show sys interface</code>

Afficher l'état des interfaces physiques :

<code>get sys interface physical</code>

Entrer dans le mode configuration des interfaces :

<code>config sys interface</code>

Configurer une interface physique (avec les accès de mgmt sur cette interface) :

<code>        edit "wan1"
        set vdom "root"
        set ip 10.1.1.1 255.255.255.0
        set allowaccess ping https ssh snmp fgfm fabric
        set ident-accept enable
        set type physical
        set description "admin-external"
        set alias "z-untrust"
        set role wan
        set snmp-index 3
    next</code>
    
Désactiver une interface dans sa configuration :

<code>set status down</code>
    
Sortir de la configuration des interfaces :
<code>end</code>

===== Routage =====

Afficher la configuration des routes statiques :

<code>show router static</code>

Entrer en mode configuration du routage statique :

<code>config router static</code>

Ajouter une route : 

<code>    edit 1
        set dst 10.2.0.0. 255.255.0.0
        set device "wan1"
        set gateway "10.1.1.254"
    next </code>

Sortir de la configuration :
<code>end</code>

===== Objets =====

Afficher les adresses IPv4 enregistrées dans la base de données de l'équipement :

<code>show firewall address</code>

Afficher les adresses IPv6 enregistrées dans la base de données de l'équipement :

<code>show firewall address6</code>

Afficher les groupes d'adresses enregistrées dans la base de données de l'équipement :

<code>show firewall addrgrp</code>

Afficher les wildcard FQDN enregistrées dans la base de données de l'équipement :

<code>show firewall wildcard fqdn <custom|group></code>


===== Filtrage =====

Afficher les règles de filtrage configurées dans l'ordre :

<code>show firewall policy</code>

Afficher les "local-in policies" configurées dans l'ordre :

<code>show firewall local-in-policy</code>

Entrer en mode configuration du pare-feu :

<code>config firewall policy</code>

Créer une règle de filtrage :
<code>    edit 1
        set srcintf "any"
        set dstintf "any"
        set action accept
        set srcaddr "all"
        set dstaddr "all"
        set schedule "always"
        set service "ALL"
    next
</code>

Déplacer une règle après une autre dans l'ordre d'execution (mettre la règle 1 après la 2 par exemple) :

<code>move 1 after 2</code>

Déplacer une règle avant une autre dans l'ordre d'execution (mettre la règle 3 avant la 1 par exemple) :

<code>move 3 before 1</code>

Sortir du mode configuration :
<code>end</code>

===== Débug / troubleshooting =====

Afficher les erreurs générales au démarrage de l'équipement (problèmes d'interprétation de conf par ex) :

<code>diagnose debug config-error-log</code>

Lancer un ping : 

<code>exec ping 1.1.1.1</code>

Lancer un traceroute :

<code>exec traceroute 1.1.1.1</code>


==== Prendre des traces / voir le traffic ====

Configurer un filtre pour prendre des traces de flux ("clear" pour remettre à zéro le filtre) :

<code>diagnose debug flow <filter|filter6> <port|sport|dport|addr|saddr|daddr|proto|clear> <valeur></code>

Afficher l'heure dans les traces :

<code>diagnose debug console timestamp enable</code>

Remettre à zéro les paramètres des traces :

<code>diagnose debug reset</code>

Activer/désactiver l'affichage des traces de flux dans la console :

<code>diagnose <debug enable|disable> </code>