FortiGate : filtrage web, catégories et modes flow/proxy

Le filtrage web applique une décision à une navigation ou à une ressource web. Pour un scénario utile, indiquez le groupe de clients, les sites ou catégories concernés et le comportement attendu. Un objectif clair permet ensuite de choisir entre catégorie FortiGuard, filtre URL ou combinaison justifiée.

Distinguez le service réseau de la ressource web. Autoriser HTTPS dans une politique permet un traitement de communication ; cela ne décide pas, à lui seul, quelles catégories de sites seront permises. Le profil web apporte cette dimension lorsqu’il est effectivement associé à la politique.

Les catégories FortiGuard regroupent les sites évalués par le service. Un filtre URL décrit une correspondance configurée localement avec une action. Les deux mécanismes ne constituent pas deux noms pour la même liste : l’un exploite une classification, l’autre un critère défini dans le profil.

Avant de conclure à une erreur de catégorie, retrouvez la classification observée et les éventuelles entrées locales. Vérifiez les accès et licences nécessaires au service FortiGuard. Une exception large peut rendre le profil peu représentatif du besoin de sécurité initial.

FortiOS propose des profils web avec feature set flow ou proxy. La documentation demande que ce feature set corresponde au mode d’inspection de la politique associée. Choisir un profil sur le seul critère de son nom peut donc produire une configuration incohérente.

Pour HTTPS, étudiez aussi le profil SSL/SSH. L’inspection de certificat et l’inspection complète ne rendent pas accessibles les mêmes informations. La fiche officielle de configuration web prévoit l’association des profils SSL et web ; votre recette doit relever ces deux choix.

Pour un site autorisé puis un site bloqué en laboratoire, recherchez la politique, le profil, la catégorie ou le critère URL et l’action. Vérifiez les événements avec la même adresse client et le même intervalle horaire. Une page de blocage seule ne décrit pas toute la décision.

En cas de résultat inattendu, examinez d’abord la règle choisie, la visibilité TLS, le feature set et les entrées du profil. Le diagnostic gagne en précision lorsqu’une hypothèse est testée à la fois. Conservez enfin les exceptions avec leur justification et une recette permettant de les revoir.

Préparer deux cas de navigation, l’un autorisé et l’autre bloqué. Justifier le profil, noter le résultat attendu et rechercher l’événement qui explique la décision.

Pour terminer, formulez votre résultat attendu, les observations relevées et une hypothèse alternative si le résultat diffère. Conservez la version du produit et le contexte de test avec vos notes de laboratoire.