Dans ce tutoriel, nous allons utiliser un script avec expect pour automatiser la sauvegarde de la configuration de notre firewall Fortigate vers un serveur TFTP. En route!

Gamme Fortinet

Avant de commencer voici une petite présentation : Fortinet est une entreprise américaine qui construit du matériel de télécommunications. Elle est spécialisée dans les solutions de sécurité pour les réseaux et les ordinateurs.

Fortinet dispose de 8 certifications ICSA (Parefeux, Antivirus, Antispam, IDS/IPS, Filtrage URL,Vpn SSL, Vpn IPSEC), Certification FIPS-2, 100% virus Bulletin. Fortinet est un des rares acteur de la sécurité à en disposer d’autant. Il maitrise l’ensemble des technologies proposées matérielles et logicielles.

Mise en place d’une sauvegarde avec Expect

Maintenant que les présentations sont faites, vous aurez besoin d’un :

Voici le script de backup :

#!/usr/bin/expect -f
set timeout 60
spawn ssh admin@adresse_ip_fortigate
sleep 5
expect {
"password:" {send "mot_de_passen"}
}
sleep 5
send "execute backup full-config tftp conf_fortigate_r378.cfg 1.10.8.37n"
sleep 10
send "exitn"
interact

La commande nécessaire pour la sauvegarde du fortigate est :

execute backup full-config tftp nom_du_fichier_sauvegarde adresse_ip_serveur_tftp

La commande set timeout 60, initialise un compteur, si au bout de 60 secondes rien ne se passe, le script est arrêté. Cette commande évite de laisser tourner le script en cas d’erreur.

La commande sleep permet d’attendre entre chaque saisie pour éviter de remplir le buffer de la machine et reproduire la saisie humaine.

Comme vous pouvez le voir dans la copie d’écran ci-dessus, la configuration est bien copiée sur le serveur TFTP, sans intervention humaine. Attention au niveau sécurité, le mot de passe pour se connecter à l’équipement est affiché en clair dans le script.

Pour que le script se connecte directement à l’équipement, il est nécessaire de se connecter au moins une fois sur celui-ci avec la commande suivante, pour générer les clés :

linux# ssh admin@adresse_ip_fortigate

Sinon vous aurez ce message et le script sera bloqué :

Une fois la connexion réalisé au moins une fois, plus de souci les clés sont enregistrées sur votre machine à condition de répondre yes à la question.

Un autre problème se pose. Lorsque vous relancez le script et s’il existe déjà une sauvegarde de la configuration le script génère une erreur Error code 2: Access violation.

Il faut supprimer la dernière configuration avant de procéder à la nouvelle sauvegarde, seulement avec EXPECT s’est impossible.

Tout problème à sa solution, nous allons donc modifier notre script de départ en intégrant une commande BASH, afin de supprimer la dernière sauvegarde.

Voici le script :

#!/bin/bash
rm /tftpboot/conf_fortigate_r378.cfg

VAR=$(expect -c "
spawn ssh admin@192.168.120.4
sleep 5
expect {
"password:" {send "mot_de_passe"}
}
sleep 5
send "execute backup full-config tftp conf_fortigate_r378.cfg 1.10.8.37n"
sleep 10
send "exitn"
interact
")
echo "==============="
echo "$VAR"

Tout d’abord il est imperatif de modifier le shebang et mettre #!/bin/bash .

Ensuite nous reprenons notre script EXPECT que nous encapsulons dans une variable, ici VAR. Il faut rajouter expect -c pour exécuter le script EXPECT dans un script BASH. Puis très important (sinon votre script ne fonctionnera pas) pour les commandes expect et send il faut rajouter un sleep avant et après  le contenu de la commande.

Avant :

send execute backup full-config tftp conf_fortigate_r378.cfg 1.10.8.37n

Après :

send execute backup full-config tftp conf_fortigate_r378.cfg 1.10.8.37n

Avec ce dernier script aucun problème, la dernière sauvegarde sera supprimée avant l’exécution du script.

Bien entendu vous pouvez modifier ces scripts comme bon vous semble, notamment pour les plus expérimentés d’entre vous, il faudrait implémenter la possibilité de sauvegarder plusieurs Fortigate.

Si vous modifier le script merci de me le joindre au format zip à partir du formulaire de contact ici pour que je le publie sur le blog.