[Fortigate] Fortiview 기능에서 실시간 트래픽이 정확하지 않을 경우

대시보드의 인터페이스 대역폭을 확인하면 90 Mbps, 99 Mbps지만, 막상 Fortiview 기능에서는 매우 적은 트래픽만 집계되어 제대로 확인할 수 없는 경우가 있습니다.

해당 문제는 Fortigate 장비 중 메모리만 있는 모델 (FG-X0. ex) FG-60E, 80E...)을 사용할 경우에 대하여 발생합니다.

따라서, 메모리 모델도 Fortiview 기능을 이용하여 실시간 트래픽을 확인할 수 있는 법에 대하여 공유합니다.

 

먼저, 트래픽을 정확히 확인할 수 없는 이유는 포티넷 장비가 아래와 같이 구성되어 있기 때문입니다.

출처: https://docs.fortinet.com/document/fortigate/6.0.0/hardware-acceleration/854455/fortigate-200e-and-201e-fast-path-architecture

 방화벽에서 최초의 세션은 CPU에서 처리를 진행하나, 이후 처리는 NP6Lite (npu)에서 진행됩니다. 메모리가 있는 모델에서의 Fortiview 기능은 CPU를 통과한 통신들에 (최초 생성되는 세션) 대해서 집계되기 때문에, 결국 기존 세션의 통신은 Fortiview에 집계가 되지 않아 정확하지 않은 문제가 발생합니다.

(패킷 스니핑에서 최초 패킷 이후 통신 패킷이 확인되지 않는 것도 같은 이유입니다)

 

따라서, 아래 해결책을 공유하오니 도움이 되셨으면 좋겠습니다.

(단, 기존 통신 세션이 모두 단절되므로 인터넷이 정말 사용할 수 없을 정도로 심각할 경우 사용하실 것을 권고드립니다.)

 

아래의 명령어를 이용하여 npu를 비활성화 진행합니다.

config system npu
set fastpath disable
end

이후, 아래 명령어를 입력하여 전체 세션을 클리어합니다. (*주의, 기존 세션이 전부 단절되므로 심각할 경우만 사용!)

dia sys session clear

 

이후에 Fortiview에서 트래픽을 확인하면 정상적으로 집계되는 것을 볼 수 있습니다. 

 

원인이 되는 IP를 찾았다면, 아래 명령어를 이용하여 npu 기능을 다시 활성화합니다.

config system npu
set fastpath enable
end

 

제 설명에 틀린 점이나 더 좋은 방법이 있다면 댓글로 피드백을 부탁드립니다.

 

감사합니다.