איך זה עובד
FortiGate משיב על חיבור בשלושה שלבים, והסדר לא משתנה: קודם נתיב — האם יש לאן לשלוח את החבילה; אחר כך מדיניות — האם החיבור מותר; ולבסוף הדרך חזרה — האם התשובה תגיע ללקוח. טעות בשלב הראשון הופכת את השניים הבאים חסרי משמעות, ולכן בודקים בדיוק לפי הסדר הזה.
- נתיב. בלי default route התעבורה לא תצא החוצה, גם אם המדיניות מתירה הכול.
- מדיניות. FortiGate בודק מלמעלה למטה ועוצר בהתאמה הראשונה; אין התאמה — implicit deny.
- SNAT. לתעבורה החוצה מדליקים NAT בכלל: השרת משיב לכתובת הממשק, כך שהתשובה חוזרת. בלי NAT השרת משיב לכתובת פנימית שאין לו אליה נתיב.
NAT מופעל בכלל מדיניות בנפרד. תעבורה בתוך הארגון (LAN → DMZ) לא צריכה אותו: הכתובת של הלקוח זמינה לשרת ממילא.