Ce guide prépare les notions du parcours NSE 4 FortiOS 7.6. Les réglages disponibles dépendent du modèle, des licences et de la version exacte ; adaptez les exemples à un laboratoire autorisé.
Distinguer traduction de source et de destination
Le SNAT change l’adresse source utilisée vers la destination ; le DNAT change l’adresse de destination du paquet. Pour une sortie Internet, on étudie généralement la source présentée vers l’extérieur. Pour publier un serveur derrière le firewall, on étudie l’adresse externe qui sera associée à son adresse interne.
Dessinez les deux communications séparément. Le retour doit rejoindre le contexte qui connaît la session et sa traduction. Ajouter du NAT ne crée pas à lui seul une route ni une autorisation : les trois éléments doivent être cohérents.
Exemple de publication TCP, hors Central NAT : le client vise 198.51.100.20:443 ; la VIP traduit cette destination vers 192.0.2.20:8443. L’extrait CLI du guide décrit cette même correspondance. La source peut être conservée ou traduite selon la politique. Le retour doit retrouver le contexte de session ; route, autorisation et réception de l’adresse externe restent nécessaires.
Télécharger le schéma en SVG · version claireSources : Fortinet, Dynamic SNAT ; Fortinet, Central SNAT ; Fortinet, Static virtual IPs ; Fortinet, Firewall policy.
Choisir le contexte de SNAT
Sans Central NAT, une politique IPv4 peut activer le SNAT avec l’adresse de l’interface sortante ou un IP pool. Un pool définit les adresses utilisées pour les sessions ; son type influence le partage d’adresse et les ports. Il ne faut pas déduire son comportement du seul nombre d’adresses dans la plage.
Avec Central NAT, le SNAT est défini dans central-snat-map. Fortinet précise que l’option NAT des politiques IPv4 est alors ignorée et que les règles centrales sont examinées de haut en bas. Vérifiez ce mode avant de chercher une traduction uniquement dans la politique de sécurité.
| Élément | Rôle ou observation | Point de vigilance |
|---|---|---|
| SNAT | Change la source | Adresse de sortie ou IP pool |
| DNAT / VIP | Change la destination | Objet, port et politique |
| Central SNAT | Table séparée des politiques IPv4 | Ordre de règles et mode actif |
| Chemin retour | Rejoint le contexte de session | Vérifier les routes du serveur |
Sources : Fortinet, Dynamic SNAT ; Fortinet, Central SNAT ; Fortinet, Static virtual IPs ; Fortinet, Firewall policy.
Comprendre la VIP comme objet de publication
Dans l’exemple du schéma, un client externe vise 198.51.100.20:443. La VIP publiée sur wan1 traduit cette destination en 192.0.2.20:8443. Le serveur de lab doit donc écouter sur TCP 8443. Ces adresses et le nom d’interface sont à remplacer ; ce scénario suppose Central NAT désactivé.
La configuration ci-dessous crée uniquement la VIP avec sa redirection de port. Elle ne crée ni route ni politique de sécurité. Il reste à vérifier l’interface d’entrée, la réception de l’adresse externe, l’autorisation et le chemin retour.
Avec arp-reply actif, des VIP et IP pools peuvent être considérés comme des adresses locales, même inutilisés dans une règle. Un ancien objet peut donc affecter le résultat ; examinez les objets existants avant de conclure à un problème de routage.
config firewall vip
edit "LAB_WEB_VIP"
set extip 198.51.100.20
set extintf "wan1"
set mappedip "192.0.2.20"
set portforward enable
set protocol tcp
set extport 443
set mappedport 8443
next
endSources : Fortinet, Dynamic SNAT ; Fortinet, Central SNAT ; Fortinet, Static virtual IPs ; Fortinet, Firewall policy ; Fortinet — syadav, VIP avec ports externe et interne différents ; Fortinet, config firewall vip.
Établir une recette avec les bonnes adresses
Pour cette publication, relevez le flux à deux endroits : côté client, destination 198.51.100.20:443 ; côté serveur, destination 192.0.2.20:8443. Vérifiez ensuite que le serveur répond et que le retour rejoint FortiGate. Ne supposez pas la source observée sur le serveur : le SNAT éventuel est une décision distincte.
Dans le scénario VIP hors Central NAT décrit par Fortinet, le service de la politique doit correspondre au port interne après traduction, ici TCP 8443. Une autorisation limitée au port externe 443 peut donc ne pas correspondre. Confrontez ce résultat aux règles réellement examinées et au mode de votre version.
Sources : Fortinet, Dynamic SNAT ; Fortinet, Central SNAT ; Fortinet, Static virtual IPs ; Fortinet, Firewall policy ; Fortinet — syadav, VIP avec ports externe et interne différents.
Mettre la notion en pratique
La VIP existe, mais la publication ne répond pas. Procédez avec un nouveau flux identifiable : arrive-t-il sur l’interface attendue, la destination est-elle traduite, une politique l’autorise-t-elle, le serveur écoute-t-il sur TCP 8443 et sa réponse revient-elle ?
Un SYN reçu côté serveur sans réponse n’appelle pas le même diagnostic qu’un refus de politique. Notez le premier point où l’observation diffère de votre prédiction ; vérifiez séparément une sortie Internet pour travailler le SNAT.
Sources : Fortinet, Dynamic SNAT ; Fortinet, Central SNAT ; Fortinet, Static virtual IPs ; Fortinet, Firewall policy.
Sources et portée
Les dates de consultation et les versions applicables sont précisées pour chaque référence ci-dessous. Les exemples utilisent des noms et adresses de documentation à remplacer. Les commandes de lecture affichent l’existant ; les captures et requêtes de diagnostic sont à limiter au périmètre autorisé.
- Fortinet — Dynamic SNAT · FortiOS 7.6.0 · consulté le 3 octobre 2026.
- Fortinet — Central SNAT · FortiOS 7.6.0 · consulté le 3 octobre 2026.
- Fortinet — Static virtual IPs · FortiOS 7.6.0 · consulté le 3 octobre 2026.
- Fortinet — Firewall policy · FortiOS 7.6.0 · consulté le 3 octobre 2026.
- Fortinet — syadav — VIP avec ports externe et interne différents · FortiOS v5.6 et ultérieur ; portée indiquée par l’auteur · consulté le 12 octobre 2026.
- Fortinet — config firewall vip · FortiOS 7.6.0 — CLI Reference · consulté le 12 octobre 2026.
Retrouver le parcours de lecture Fortinet NSE 4
Continuer le parcours Fortinet
Retrouver les 18 guides du parcours NSE 4
- FortiGate : configuration initiale, sauvegarde et mise à jour
- FortiGate : comprendre les logs et l’intégration FortiAnalyzer
- FortiGate : comprendre FGCP, l’élection HA et session pickup
- FortiGate : diagnostiquer avec sniffer, debug flow et conserve mode
Explorer les autres parcours Fortinet · Découvrir l’expertise Fortinet de Samhan