FortiProxy ve FortiGate

FortiProxy, giden oturumların şifresini uç noktalarınızın güvendiği Fortinet sertifika otoritesiyle zaten çözer. Bu yordam CID222'yi bir denetim hizmeti olarak ekler, başka hiçbir şeyin şifresi çözülmesin diye onu sağlayıcı ana bilgisayar adlarıyla sınırlar ve hem bir istemin hem de bir görsel yüklemesinin ağdan çıkmadan maskelendiğini kanıtlar.

FortiProxy'yi yapılandırın

Bu ayarların birkaçı yalnızca komut satırında bulunur ve bunlardan biri, başka türlü doğru olan bir yapılandırmanın hiçbir şeyi denetlememesinin en yaygın nedenidir.

config system interface
    edit "port1"
        set explicit-web-proxy enable
    next
end

config system settings
    set gui-icap enable
end

config firewall address
    edit "ai-chatgpt"        set type fqdn  set fqdn "chatgpt.com"                next
    edit "ai-openai"         set type fqdn  set fqdn "chat.openai.com"            next
    edit "ai-openai-cdn"     set type fqdn  set fqdn "*.oaiusercontent.com"       next
    edit "ai-claude"         set type fqdn  set fqdn "claude.ai"                  next
    edit "ai-gemini"         set type fqdn  set fqdn "gemini.google.com"          next
    edit "ai-gemini-upl"     set type fqdn  set fqdn "push.clients6.google.com"   next
    edit "ai-aistudio"       set type fqdn  set fqdn "aistudio.google.com"        next
    edit "ai-google-content" set type fqdn  set fqdn "content.googleapis.com"     next
end

config firewall ssl-ssh-profile
    clone deep-inspection to cid222-deep-inspection
    edit cid222-deep-inspection
        config ssl-exempt
            show
            delete <id-of-the-googleapis-entry>
        end
    next
end

config firewall proxy-policy
    edit <policy-id>
        set dstaddr "ai-websites"
        set ssl-ssh-profile "cid222-deep-inspection"
        set icap-profile "cid222-icap"
        set utm-status enable
    next
end

Doğrulama

1. Vekilin arkasındaki bir iş istasyonundan ChatGPT'ye bir test tanımlayıcısı içeren bir istem gönderin. Model değeri maskelenmiş alır ve CID222 MESSAGE_MASKED kaydeder.
2. Bir kimlik belgesinin görselini yükleyin ve modelden numarayı okumasını isteyin. Model alanları karartılmış olarak bildirir; CID222 bir *.oaiusercontent.com ana bilgisayarı için FILE_UPLOAD_REDACTED kaydeder. Kanıt, modelin söyledikleridir — tarayıcıdaki küçük resim her zaman sizin yerel özgününüzdür.
3. Kişisel veri içermeyen bir istem gönderin. Değiştirilmeden iletilir ve hiçbir engelleme görünmez.
4. Grubun dışındaki bir siteye göz atın — bir banka, bir haber sitesi. Tarayıcının bildirdiği sertifika Fortinet'in değil gerçek olanıdır; bu da o sitenin şifresinin çözülmediğini kanıtlar.
5. Tespit ve Filtreleme → Tarayıcı Denetimi ekranında FortiProxy, bağlı kaynaklar tablosunda yakın bir zaman damgasıyla görünür.

Başarısız olursa

• execute telnet 1344'e erişemiyor → dinleyici yayımlanmamıştır, araya bir güvenlik duvarı girmiştir ya da cihazın eş listesi FortiProxy'nin adresini kabul etmiyordur.
• Gruba eklediğiniz bir ana bilgisayar hiç denetim trafiği üretmiyor → denetim profilinin muafiyet listesindeki bir girdiyle çakışıyordur. En yaygın neden budur ve tarayıcı çalışmayı sürdürdüğü için politika uygulanmıyormuş gibi görünür; oysa gerçekte muafiyet politikayı geçersiz kılar.
• Yalnızca sağlayıcı ana bilgisayarlarında, bir CID222 yeniden başlatmasından sonra yaklaşık on saniye boyunca hata görünüyor → beklenen durumdur; bağlantı havuzu, döngüye girene kadar bayat soketleri tutar. Bu kesintinin görünmemesi gerekiyorsa profilin arıza davranışını atlama olarak ayarlayın.
• Metin maskeleniyor ama görseller maskelenmiyor → yükleme ana bilgisayarı grupta yoktur, profilin yöntem kümesi yükleme yöntemini dışarıda bırakıyordur ya da akış içeriği atlaması etkindir.
• Yapay zeka dışındaki siteler Fortinet sertifikasını gösteriyor → yakalayıcı politika yoktur, yapay zeka politikasının üstünde duruyordur ya da derin denetim profilini kullanıyordur.
• FortiProxy'nin cihazın ana makinesinde bir sanal makine olduğu bir laboratuvarda eş listesinin hiçbir etkisi yok gibi görünüyor → Her ICAP çağıranı aynı docker köprü adresiyle geliyor.

Bu yoldaki bilinen sınırlar

• WEBP görsel biçimindeki yüklemeler maskelenmez, engellenir. Maskeleme görseli özgününden büyük olacak biçimde yeniden kodlar, yüklemenin bildirdiği boyut artık uyuşmaz ve CID222, sağlayıcının reddedeceği baytları göndermek yerine reddeder. JPEG ve PNG etkilenmez.
• Parçalanmış yüklemeler reddedilir. Google'ın sürdürülebilir yükleme protokolü tek bir dosyayı birçok isteğe böler; bir parça tek başına denetlenemez, bu yüzden engellenir ve kullanıcı başarısız bir yükleme görür.
• Yanıt tarafı denetimi istek tarafına göre daha gürültülüdür. İlk dağıtımda kapalı bırakın.
• Sertifika sabitleyen mobil uygulamalar, yönetilmeyen cihazlar, HTTP/3 ve cihaz üzerindeki modeller her türlü ağ katmanı denetiminin dışındadır. Bkz. Yakalama topolojileri.

Sonraki adımlar

• ICAP ve üçüncü taraf ağ geçitleri — bu yordamın arkasındaki eş listesi, arıza duruşu ve hat sözleşmesi.
• Yakalama topolojileri — bu dağıtımın neyi göremediği.