Flow-based و Proxy-based در FortiGate چه فرقی دارند؟

مروری بر این مقاله

1. Inspection Mode در FortiGate چیست؟
2. Flow-based Inspection چطور کار می‌کند؟
3. Proxy-based Inspection چطور کار می‌کند؟
4. تفاوت Flow و Proxy در عمل
5. اثر Inspection Mode روی مدیریت FortiGate
6. Feature Set در Security Profileها یعنی چه؟
7. چه زمانی Flow-based انتخاب کنیم؟
8. چه زمانی Proxy-based انتخاب کنیم؟
9. طراحی Security Profileها برای Flow و Proxy
10. نمونه کانفیگ GUI و CLI در FortiOS 7.6
11. نکات مهم برای SSL Inspection
12. عیب‌یابی و Audit بعد از تغییر Mode
13. جدول مقایسه نهایی

1. Inspection Mode در FortiGate چیست؟

وقتی روی یک Firewall Policy در FortiGate، Security Profileهایی مثل Antivirus، Web Filter، DNS Filter، Application Control، IPS، DLP یا File Filter فعال می‌کنید، FortiGate باید تصمیم بگیرد ترافیک را به چه روشی بررسی کند. این روش همان Inspection Mode است.

در FortiOS 7.6، دو حالت اصلی وجود دارد:

• Flow-based Inspection
• Proxy-based Inspection

طبق مستندات رسمی Fortinet، FortiOS در Firewall Policy از هر دو حالت پشتیبانی می‌کند. در Flow-based، FortiGate از Packetهای محتوا Snapshot می‌گیرد و با Pattern Matching تهدید را تشخیص می‌دهد. در Proxy-based، محتوا را بازسازی و سپس برای تهدیدهای امنیتی بررسی می‌کند.

2. Flow-based Inspection چطور کار می‌کند؟

در Flow-based، FortiGate ترافیک را در مسیر عبور بررسی می‌کند. یعنی قرار نیست الزاماً کل فایل، کل صفحه وب یا کل Payload را کامل نگه دارد و بعد تصمیم بگیرد. موتورهای امنیتی روی جریان ترافیک کار می‌کنند و با استفاده از Signature، Pattern Matching، Context و Engineهای امنیتی تشخیص می‌دهند که ترافیک مجاز است یا باید Drop/Block شود.

مزیت‌های Flow-based

• سبک‌تر و مناسب‌تر برای ترافیک پرتعداد و پرترافیک است.
• Latency کمتری نسبت به Proxy-based دارد.
• برای Policyهای عمومی مثل اینترنت کاربران، Guest Network و شعب معمولاً انتخاب بهتری است.
• با Security Profileهای رایج مثل IPS، Application Control، DNS Filter، Web Filter و Antivirus قابل استفاده است.
• در FortiGateهای کوچک و محیط‌هایی که منابع محدود است، انتخاب محافظه‌کارانه‌تری محسوب می‌شود.

محدودیت‌های Flow-based

• بعضی قابلیت‌های پیشرفته Security Profile در Flow وجود ندارد یا محدودتر است.
• برای سناریوهایی که نیاز به بازسازی کامل محتوا دارند، همیشه بهترین انتخاب نیست.
• برخی Featureها مثل Web Quota، WAF در FortiGate، Inline CASB یا CDR در Proxy-based معنا پیدا می‌کنند.

3. Proxy-based Inspection چطور کار می‌کند؟

در Proxy-based، FortiGate نقش فعال‌تری در ارتباط می‌گیرد. ترافیک عبوری از Policy را Buffer یا Reconstruct می‌کند، محتوا را کامل‌تر بررسی می‌کند و بعد اجازه عبور یا Block می‌دهد. در مستندات Fortinet توضیح داده شده که در Proxy Mode، Packetهای مربوط به فایل، ایمیل یا صفحه وب می‌توانند نگه داشته شوند تا کل Payload از نظر Virus، Spam یا لینک مخرب بررسی شود.

Client  →  FortiGate Proxy Inspection  →  Server
           Buffer / Reconstruct / Inspect / Forward or Drop

مزیت‌های Proxy-based

• برای بررسی عمیق‌تر محتوا مناسب‌تر است.
• بعضی قابلیت‌ها فقط در Proxy-based در دسترس هستند یا کامل‌تر کار می‌کنند.
• برای سناریوهای محدود و حساس مثل DLP، کنترل فایل، Web Quota، WAF یا Inline Sandbox ارزشمند است.
• در مواردی که لازم است FortiGate پیام جایگزین، Client Comforting یا کنترل دقیق‌تر روی Payload داشته باشد، کاربرد دارد.

محدودیت‌های Proxy-based

• مصرف CPU/RAM بیشتری دارد.
• ممکن است Latency را افزایش دهد.
• عیب‌یابی آن سخت‌تر است، چون FortiGate در مسیر ارتباط نقش Proxy فعال‌تری دارد.
• روی بعضی مدل‌های کوچک یا مدل‌های دارای RAM محدود، برخی قابلیت‌های Proxy پشتیبانی نمی‌شوند.
• اگر روی همه Policyها بدون طراحی فعال شود، می‌تواند مدیریت، Upgrade و Troubleshooting را پیچیده کند.

4. تفاوت Flow و Proxy در عمل

5. اثر Inspection Mode روی مدیریت FortiGate

انتخاب Inspection Mode فقط روی امنیت اثر ندارد؛ روی مدیریت روزمره FortiGate هم تأثیر جدی دارد.

• ممکن است بعضی تنظیمات Security Profile در GUI فقط وقتی دیده شوند که Feature Set درست انتخاب شده باشد.
• برخی UTM Profileها در GUI مخفی‌اند و فقط از CLI قابل تنظیم هستند؛ برای اعمال آن‌ها روی Policy باید utm-status فعال باشد.
• در بعضی Profileها، Featureها بین Flow و Proxy فرق دارند؛ مثلاً Web Filter، Antivirus، Email Filter و DLP رفتار و قابلیت‌های متفاوتی دارند.
• روی مدل‌های دارای RAM محدود، بعضی Proxy-related features پشتیبانی نمی‌شوند.
• بعد از Upgrade باید بررسی شود Policyها، Profileها و Featureهای وابسته به Proxy همچنان درست هستند.

6. Feature Set در Security Profileها یعنی چه؟

در FortiGate بعضی Security Profileها می‌توانند Feature Set مربوط به Flow یا Proxy داشته باشند. یعنی ممکن است خود Firewall Policy روی یک Inspection Mode باشد، اما Profile هم تنظیمات متفاوتی برای حالت Flow یا Proxy نشان دهد. Fortinet در مستندات Feature Comparison توضیح می‌دهد که بعضی Profileها از نظر Feature بین Flow و Proxy تفاوت دارند و از GUI و CLI می‌توان Feature Set را روی Flow-based یا Proxy-based گذاشت تا فقط تنظیمات همان Mode نمایش داده شود.

این موضوع مخصوصاً برای این Profileها مهم است:

• Antivirus
• Web Filter
• Email Filter
• DLP
• File Filter

7. چه زمانی Flow-based انتخاب کنیم؟

در FortiOS 7.6، برای بیشتر سناریوهای عمومی، Flow-based انتخاب منطقی‌تری است. مخصوصاً وقتی هدف اصلی این است که ترافیک کاربران با Security Profileهای رایج بررسی شود اما Performance و پایداری هم مهم باشد.

سناریوهای مناسب Flow-based

• Policy اینترنت کاربران سازمان
• Guest Network
• شعب سازمانی با منابع محدود
• Policyهای پرترافیک
• ترافیک عمومی با IPS، Application Control، DNS Filter و Web Filter
• محیط‌هایی که Latency پایین مهم است
• FortiGateهای کوچک یا مدل‌هایی که Proxy Feature محدود دارند

نمونه طراحی برای کاربران

8. چه زمانی Proxy-based انتخاب کنیم؟

Proxy-based زمانی ارزش دارد که کنترل عمیق‌تر محتوا از Performance مهم‌تر باشد یا Feature خاصی نیاز داشته باشید که در Flow پشتیبانی نمی‌شود یا محدود است. Fortinet در مستندات Proxy Mode نمونه‌هایی مثل Video Filter، Inline CASB، Web Application Firewall، Content Disarm and Reconstruction، Web Quota و Sandbox Inline Scanning را به‌عنوان قابلیت‌هایی معرفی می‌کند که در Proxy نسبت به Flow در دسترس‌اند.

سناریوهای مناسب Proxy-based

• واحدهای حساس مثل مالی، منابع انسانی یا تیم‌های دارای داده محرمانه
• Policyهایی که DLP یا کنترل فایل برایشان مهم است
• سناریوهای Web Quota یا کنترل دقیق‌تر Web Filter
• جایی که CDR یا Sandbox Inline Scanning واقعاً نیاز است
• Policyهای محدود با ترافیک قابل پیش‌بینی، نه کل اینترنت سازمان
• سناریوهایی که FortiGate قرار است به‌عنوان Explicit Proxy یا ZTNA Gateway استفاده شود

9. طراحی Security Profileها برای Flow و Proxy

یکی از اشتباهات رایج این است که ادمین یک Profile عمومی می‌سازد و آن را روی همه Policyها می‌گذارد. در FortiGate بهتر است Profileها بر اساس نوع کاربر، نوع ترافیک، حساسیت سرویس و Inspection Mode جدا شوند.

نام‌گذاری پیشنهادی

WF-Users-Flow
AV-Users-Flow
IPS-Users-Flow
APP-Users-Flow
DNS-Users

WF-Finance-Proxy
AV-Finance-Proxy
DLP-Finance-Proxy
SSL-Deep-Finance

پروفایل کاربران عادی

• Policy Mode: Flow-based
• DNS Filter: فعال و سخت‌گیرانه برای دسته‌های مخرب
• Web Filter: دسته‌بندی‌های سازمانی و Static URL طبق نیاز
• Application Control: کنترل Proxy، VPN، Remote Access و DoH
• IPS: Client Protection یا Profile سفارشی سبک
• AV: Flow-based

پروفایل سرورها

• برای Server VLAN معمولاً Flow-based کافی است، مگر نیاز مشخص به Proxy وجود داشته باشد.
• ابتدا Monitor کنید و سپس Block را مرحله‌ای اعمال کنید.
• IPS را متناسب با سرویس واقعی سرور تنظیم کنید، نه یک Profile عمومی سنگین.
• DNS/Web Filter خروجی سرورها را برای Repository، Update Server و Vendorها با Allow List مستند کنید.

پروفایل واحدهای حساس

• اگر نیاز به DLP، CDR یا کنترل فایل دقیق دارید، Proxy-based را فقط روی همان Policy محدود بررسی کنید.
• Deep Inspection را عمومی فعال نکنید؛ Scope را محدود کنید.
• Log کامل به FortiAnalyzer ارسال شود.
• قبل از Block نهایی، چند روز Monitor و Exceptionها مستند شوند.

10. نمونه کانفیگ GUI و CLI در FortiOS 7.6

تغییر Inspection Mode در GUI

در GUI، هنگام ساخت یا ویرایش Firewall Policy، در بخش Security Profiles یا Advanced Settings، گزینه Inspection Mode را بررسی کنید. مسیر کلی:

سپس بسته به سناریو یکی از این دو گزینه را انتخاب کنید:

نمونه Policy با Flow-based

config firewall policy
    edit 101
        set name "Users-to-Internet-Flow"
        set srcintf "Users-VLAN"
        set dstintf "wan1"
        set srcaddr "all"
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "ALL"
        set nat enable
        set inspection-mode flow
        set utm-status enable
        set ssl-ssh-profile "certificate-inspection"
        set webfilter-profile "WF-Users-Flow"
        set dnsfilter-profile "DNS-Users"
        set application-list "APP-Users-Flow"
        set ips-sensor "IPS-Users-Flow"
        set av-profile "AV-Users-Flow"
        set logtraffic all
    next
end

نمونه Policy با Proxy-based

config firewall policy
    edit 201
        set name "Finance-to-Internet-Proxy"
        set srcintf "Finance-VLAN"
        set dstintf "wan1"
        set srcaddr "all"
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "ALL"
        set nat enable
        set inspection-mode proxy
        set utm-status enable
        set ssl-ssh-profile "SSL-Deep-Finance"
        set webfilter-profile "WF-Finance-Proxy"
        set av-profile "AV-Finance-Proxy"
        set dlp-profile "DLP-Finance-Proxy"
        set logtraffic all
    next
end

11. نکات مهم برای SSL Inspection

Flow یا Proxy هر دو می‌توانند با SSL Inspection درگیر شوند، اما هرچه Inspection عمیق‌تر باشد، ریسک اختلال و مصرف منابع بیشتر می‌شود. بنابراین SSL Inspection باید جداگانه طراحی شود، نه اینکه فقط به‌خاطر انتخاب Proxy، همه ترافیک را Deep Inspect کنید.

12. عیب‌یابی و Audit بعد از تغییر Mode

بعد از تغییر Inspection Mode یا Profileها، فقط باز شدن سایت‌ها کافی نیست. باید Policy Hit، Log، Security Event و رفتار Profileها بررسی شود.

دستورهای مفید

show firewall policy
show firewall policy 101
show webfilter profile
show antivirus profile
show firewall ssl-ssh-profile

get system status
get hardware status

برای بررسی Flow Debug:

diagnose debug reset
diagnose debug flow filter addr <client-or-server-ip>
diagnose debug flow show function-name enable
diagnose debug enable
diagnose debug flow trace start 50

بعد از تست:

diagnose debug disable
diagnose debug reset

مواردی که باید Audit شوند

• آیا Policy واقعاً روی Mode موردنظر است؟
• آیا utm-status فعال است؟
• آیا Profileهایی که انتخاب شده‌اند با همان Mode سازگارند؟
• آیا Logهای UTM در FortiAnalyzer دیده می‌شوند؟
• آیا بعد از Upgrade، Profile یا Feature حذف یا غیرفعال نشده است؟
• آیا مدل FortiGate برای Proxy Featureهای موردنیاز منابع کافی دارد؟

13. جدول مقایسه نهایی

14. چک‌لیست پیشنهادی برای ادمین‌ها