Différences

Ci-dessous, les différences entre deux révisions de la page.

--- fortigate_cli_cheatsheet [2025/12/16 17:17] – [Filtrage] superadmin
+++ fortigate_cli_cheatsheet [2025/12/16 18:35] (Version actuelle) – [Routage] superadmin
@@ Ligne 1: / Ligne 1: @@
 ====== Fortigate CLI Cheatsheet ======
-====== Filtrage ======
+===== Général =====
+Obtenir les informations générales sur l'équipement :
+<code>get system status</code>
+Redémarrer l'équipement :
+<code>exec reboot</code>
+Afficher la configuration complète de l'équipement :
+<code>show full-configuration</code>
+===== HA =====
+Afficher la conf HA d'un équipement :
+<code>show sys ha</code>
+Etat actuel et informations sur la HA :
+<code>get sys ha status</code>
+Configurer/reconfigurer la HA en mode actif-passif (à faire sur les 2 équipements, attention la priorité ne doit pas être la même sur les 2) :
+<code>config system ha
+    set group-id 61
+    set group-name "HA_CLUSTER"
+    set mode a-p
+    set password admin123
+    set hbdev "ha1" 45 "ha2" 45
+    set session-pickup enable
+    set override enable
+    set priority 130
+end
+</code>
+Vérifier le checksum du cluster :
+<code>diag sys ha checksum cluster</code>
+Recalculer le checksum du cluster sur un équipement :
+<code>diag sys ha checksum recalculate</code>
+Activer/désactiver la synchro de configuration entre membre d'un cluster :
+<code>exec ha synchronize <start|stop></code>
+===== Interfaces ====
+Afficher la configuration des interfaces :
+<code>show sys interface</code>
+Afficher l'état des interfaces physiques :
+<code>get sys interface physical</code>
+Entrer dans le mode configuration des interfaces :
+<code>config sys interface</code>
+Configurer une interface physique (avec les accès de mgmt sur cette interface) :
+<code>        edit "wan1"
+        set vdom "root"
+        set ip 10.1.1.1 255.255.255.0
+        set allowaccess ping https ssh snmp fgfm fabric
+        set ident-accept enable
+        set type physical
+        set description "admin-external"
+        set alias "z-untrust"
+        set role wan
+        set snmp-index 3
+    next</code>
+Désactiver une interface dans sa configuration :
+<code>set status down</code>
+Sortir de la configuration des interfaces :
+<code>end</code>
+===== Routage =====
+Afficher la configuration des routes statiques :
+<code>show router static</code>
+Entrer en mode configuration du routage statique :
+<code>config router static</code>
+Ajouter une route :
+<code>    edit 1
+        set dst 10.2.0.0. 255.255.0.0
+        set device "wan1"
+        set gateway "10.1.1.254"
+    next </code>
+Sortir de la configuration :
+<code>end</code>
+===== Objets =====
+Afficher les adresses IPv4 enregistrées dans la base de données de l'équipement :
+<code>show firewall address</code>
+Afficher les adresses IPv6 enregistrées dans la base de données de l'équipement :
+<code>show firewall address6</code>
+Afficher les groupes d'adresses enregistrées dans la base de données de l'équipement :
+<code>show firewall addrgrp</code>
+Afficher les wildcard FQDN enregistrées dans la base de données de l'équipement :
+<code>show firewall wildcard fqdn <custom|group></code>
+===== Filtrage =====
+Afficher les règles de filtrage configurées dans l'ordre :
+<code>show firewall policy</code>
+Afficher les "local-in policies" configurées dans l'ordre :
+<code>show firewall local-in-policy</code>
 Entrer en mode configuration du pare-feu :
@@ Ligne 8: / Ligne 139: @@
 Créer une règle de filtrage :
-<code>   edit 1
+<code>    edit 1
-        set uuid 9744c788-da98-51f0-efc7-02762ceb336f
         set srcintf "any"
         set dstintf "any"
@@ Ligne 19: / Ligne 149: @@
     next
 </code>
+Déplacer une règle après une autre dans l'ordre d'execution (mettre la règle 1 après la 2 par exemple) :
+<code>move 1 after 2</code>
+Déplacer une règle avant une autre dans l'ordre d'execution (mettre la règle 3 avant la 1 par exemple) :
+<code>move 3 before 1</code>
 Sortir du mode configuration :
 <code>end</code>
+===== Débug / troubleshooting =====
+Afficher les erreurs générales au démarrage de l'équipement (problèmes d'interprétation de conf par ex) :
+<code>diagnose debug config-error-log</code>
+Lancer un ping :
+<code>exec ping 1.1.1.1</code>
+Lancer un traceroute :
+<code>exec traceroute 1.1.1.1</code>
+==== Prendre des traces / voir le traffic ====
+Configurer un filtre pour prendre des traces de flux ("clear" pour remettre à zéro le filtre) :
+<code>diagnose debug flow <filter|filter6> <port|sport|dport|addr|saddr|daddr|proto|clear> <valeur></code>
+Afficher l'heure dans les traces :
+<code>diagnose debug console timestamp enable</code>
+Remettre à zéro les paramètres des traces :
+<code>diagnose debug reset</code>
+Activer/désactiver l'affichage des traces de flux dans la console :
+<code>diagnose <debug enable|disable> </code>