FortiOS Güncellemesi Nasıl Planlanır? Sürüm Seçimi ve Geri Dönüş Hazırlığı

FortiGate firmware güncellemesi neden planlı yapılmalı?

FortiGate firmware güncellemesi, yani FortiOS işletim sisteminin yeni bir sürüme yükseltilmesi; güvenlik açıklarını kapatmak, hataları gidermek ve yeni özellikler almak için gereklidir, ancak planlanmadan yapıldığında kesintiye ve yapılandırma sorunlarına yol açabilir. Güvenlik duvarı ağın tam ortasında durduğu için, başarısız bir güncelleme tüm kurumun internet, VPN ve şube bağlantısını etkiler.

Güncellemeyi ertelemek de bir risktir. İnternete açık yönetim ve VPN arayüzlerindeki güvenlik açıkları saldırganların sık hedef aldığı noktalardır ve üretici bu açıkları yeni sürümlerle kapatır. Doğru yaklaşım, "güncelleyelim mi?" değil, "nasıl güvenli güncelleriz?" sorusunu sormaktır.

Bu yazıda sürüm seçiminden geri dönüş hazırlığına kadar adım adım bir plan bulacaksınız.

Hangi FortiOS sürümü seçilmeli?

Kısa cevap: en yeni sürüm değil, cihazınız için desteklenen, olgunlaşmış ve ihtiyacınız olan güvenlik düzeltmelerini içeren sürüm seçilmelidir. Sürüm seçerken şu kriterlere bakılır:

• Güvenlik bültenleri: Fortinet'in yayımladığı güvenlik duyurularında, kullandığınız sürümü etkileyen bir açık olup olmadığı ve hangi sürümde giderildiği kontrol edilir.
• Olgunluk durumu: Fortinet, sürümlerini dokümantasyonda yeni özellik içeren sürümler ve daha olgunlaşmış kabul edilen sürümler olarak işaretleyebilmektedir. Üretim ortamında genellikle olgunlaşmış bir dalın güncel yama sürümü tercih edilir.
• Model desteği: Her FortiOS sürümü her modeli desteklemez. Eski donanımlar belirli bir sürümden sonra yeni dallara yükseltilemeyebilir.
• Özellik değişiklikleri: Yeni sürümlerde bazı özellikler kaldırılabilir veya davranışı değişebilir. Örneğin daha yeni FortiOS sürümlerinde bazı modellerde SSL VPN tünel modunun kaldırılması gibi değişiklikler, güncelleme öncesi geçiş planı gerektirir. Ayrıntılar için SSL VPN, IPsec VPN ve ZTNA karşılaştırması yazımıza bakabilirsiniz.
• Bağlı ürünlerle uyumluluk: FortiAnalyzer, FortiManager, FortiClient, FortiAP ve FortiSwitch gibi bağlı ürünlerin hedef sürümle uyumlu olup olmadığı kontrol edilmelidir.

Sürüm notları (release notes) nasıl okunmalı?

Sürüm notları, güncelleme kararının en önemli kaynağıdır ve her hedef sürüm için okunmalıdır. Özellikle şu bölümlere dikkat edin:

• Supported models (desteklenen modeller): Cihazınızın listede olduğundan emin olun.
• Upgrade information (yükseltme bilgisi): Hangi sürümden doğrudan yükseltme yapılabileceği, ara sürüm gerekip gerekmediği ve yükseltme sonrası yapılandırma dönüşümleri burada yer alır.
• Changes in default behavior / CLI (varsayılan davranış değişiklikleri): Kural, profil veya komutlarda değişiklik olup olmadığı burada yazar.
• Known issues (bilinen sorunlar): Kullandığınız özellikleri etkileyen açık bir hata varsa, o sürümü atlamak gerekebilir.
• Resolved issues (giderilen sorunlar): Yaşadığınız bir sorunun çözülüp çözülmediğini kontrol edin.
• Product integration (ürün uyumluluğu): Bağlı Fortinet ürünlerinin desteklenen sürümleri.

Desteklenen yükseltme yolu (upgrade path) nedir?

Desteklenen yükseltme yolu, mevcut sürümden hedef sürüme ulaşmak için hangi ara sürümlerden geçilmesi gerektiğini gösteren sıralamadır. Birkaç ana sürüm geriden gelen bir cihazı doğrudan en yeni sürüme yükseltmek, yapılandırmanın bir kısmının doğru dönüştürülmemesine yol açabilir.

Fortinet, dokümantasyon sitesinde model, mevcut sürüm ve hedef sürüm seçilerek önerilen ara adımların görülebildiği bir yükseltme yolu aracı (Upgrade Path Tool) sunmaktadır. Bu aracın verdiği sıralamaya uyulması ve her ara adımdan sonra cihazın sağlıklı açıldığının kontrol edilmesi önerilir. Araç ve öneriler zaman içinde güncellenebileceği için her planlamada yeniden kontrol edilmelidir.

Firmware dosyalarına erişim ve teknik destek için cihazın kayıtlı ve geçerli bir FortiCare destek sözleşmesine sahip olması genellikle gerekir. Lisans durumunuzla ilgili ayrıntılar için FortiGate lisansı bitince ne olur yazımıza bakabilirsiniz.

Güncelleme öncesi kontrol listesi

Güncelleme gününden önce aşağıdaki maddelerin tamamlanmış olması gerekir:

• [ ] Mevcut sürüm, model ve donanım bilgisi kayıt altına alındı
• [ ] Hedef sürüm ve ara sürümler yükseltme yolu aracına göre belirlendi
• [ ] Her sürümün release notes belgesi okundu, bilinen sorunlar değerlendirildi
• [ ] Mevcut yapılandırmanın tam yedeği alındı ve cihaz dışında güvenli bir yerde saklandı
• [ ] Mevcut sürümün firmware dosyası geri dönüş için hazırda tutuluyor
• [ ] Yönetici hesapları, VPN tünelleri, kritik kurallar ve rota tablosunun ekran görüntüsü veya çıktısı alındı
• [ ] Konsol kablosu ve konsol erişimi test edildi
• [ ] Bağlı ürünlerin (FortiAnalyzer, FortiManager, FortiClient, FortiAP, FortiSwitch) uyumluluğu kontrol edildi
• [ ] Bakım penceresi belirlendi ve kullanıcılar bilgilendirildi
• [ ] Güncelleme sonrası test listesi hazırlandı
• [ ] Geri dönüş kararını kimin vereceği ve hangi koşulda verileceği belirlendi

Bakım penceresi nasıl planlanır?

Bakım penceresi, kurumun en az etkileneceği ve gerektiğinde geri dönüş için yeterli zamanın kalacağı bir aralıkta seçilmelidir. Güncellemenin kendisi kısa sürebilir, ancak ara sürümler, testler ve olası geri dönüş için pencere geniş tutulmalıdır.

Planlamada dikkat edilecekler:

• Mesai dışı bir zaman seçilir; vardiyalı çalışan üretim veya lojistik tesislerinde operasyonun en sakin olduğu saat belirlenir.
• Kullanıcılara, şubelere ve uzaktan çalışanlara önceden bilgi verilir.
• Pencere boyunca karar verici ve teknik ekip ulaşılabilir olur.
• Birden fazla cihaz varsa önce kritikliği düşük olan (ör. test ortamı veya küçük bir şube) güncellenir, sonuçlar gözlenir.

HA kümesinde güncelleme sırası nasıl olmalı?

HA kümesindeki FortiGate cihazlarında FortiOS, kesintiyi azaltmak için genellikle önce yedek (secondary) üyeleri yükseltir, ardından trafiği yükseltilmiş üyeye devredip birincil cihazı yükseltir. Bu davranış, kesintisiz yükseltme (uninterruptible upgrade) ayarına ve sürüme bağlıdır; kendi yapılandırmanızda kontrol edilmelidir.

HA'da dikkat edilecek noktalar:

• Güncelleme öncesi küme üyelerinin senkronize ve sağlıklı olduğu doğrulanır.
• Geçiş anında bazı oturumlar yeniden kurulabilir; kısa bir etki olabileceği hesaba katılır.
• Güncelleme sonrası tüm üyelerin aynı sürümde olduğu ve kümenin yeniden senkronize olduğu kontrol edilir.
• Farklı sürümlerde kalmış bir küme, beklenmedik davranışlara yol açabilir.

HA modları ve kurulum ön koşulları için FortiGate HA nedir yazımıza bakabilirsiniz.

Güncelleme sonrası neler test edilmeli?

Güncelleme tamamlandıktan sonra, kullanıcılar sorun bildirmeden önce temel işlevlerin çalıştığı doğrulanmalıdır:

Geri dönüş (rollback) nasıl hazırlanır?

Geri dönüş planı, güncelleme başarısız olduğunda cihazı bilinen son çalışır duruma döndürmenin yoludur ve güncellemeden önce hazırlanmalıdır. Temel ilke şudur: eski sürüme dönülecekse, o sürümde alınmış yapılandırma yedeği de geri yüklenmelidir; yeni sürümde dönüştürülmüş yapılandırma eski sürümde doğru çalışmayabilir.

Geri dönüş seçenekleri modele ve duruma göre değişir:

• Eski firmware'i yeniden yüklemek ve yedeği geri yüklemek: En yaygın ve öngörülebilir yöntemdir.
• Alternatif bölümden açmak: Birçok FortiGate modeli iki firmware bölümü tutar ve konsol üzerinden önceki bölümden açılabilir. Bu seçeneğin kullanılabilirliği modele bağlıdır ve yapılandırma uyumu yine kontrol edilmelidir.
• Geri dönüş kriteri: Hangi koşulda (ör. VPN tünellerinin belirli süre içinde ayağa kalkmaması) geri dönüleceği önceden yazılı olarak belirlenir; böylece pencere sırasında tartışmayla zaman kaybedilmez.

Kimler için profesyonel destek uygun?

Tek cihazlı ve sade yapılandırmalı küçük ofisler, iyi bir hazırlıkla güncellemeyi kendi ekipleriyle yapabilir. Şu durumlarda ise uzman desteği süreci güvenli hale getirir:

• Cihaz birkaç ana sürüm geride kalmışsa ve ara sürümler gerekiyorsa
• HA kümesi, çok sayıda VPN tüneli veya SD-WAN yapılandırması varsa
• SSL VPN gibi kaldırılan veya değişen özellikler kullanılıyorsa
• BT ekibi düzenli güncelleme takvimi yürütecek zamana sahip değilse

Düzenli firmware takibi, güncelleme planlaması ve uygulaması güvenlik altyapısı bakım ve destek hizmetimizin kapsamında yer alır.

Sonuç

FortiGate firmware güncellemesi; doğru sürümü seçmek, release notes ve yükseltme yolunu kontrol etmek, yedek almak, bakım penceresi planlamak ve geri dönüşü önceden hazırlamaktan oluşan bir süreçtir. HA kümelerinde güncelleme sırası, tüm yapılarda ise güncelleme sonrası testler atlanmamalıdır.

FortiOS güncellemelerinizi planlı ve düzenli yürütmek için bakım ve destek teklifi isteyebilirsiniz.