SUPPRIMER VIP — Correspondance des politiques

Dans FortiOS, les VIP et les objets adresse de pare-feu sont totalement distincts et stockés séparément. Depuis la version 7.2.4, le paramètre match-vip est activé par défaut et permet aux objets adresse de correspondre aussi aux VIP.

Dans l’exemple, la destination de la première politique est all (0.0.0.0/0), ce qui inclut par défaut les adresses externes des VIP : le trafic destiné à la VIP Web_Server correspond donc à cette politique. Pour qu’une première politique bloque tout le trafic entrant sauf celui destiné aux VIP, désactivez match-vip sur cette politique : le FortiGate ne vérifiera alors pas les VIP lors de l’évaluation. Ce paramètre n’est disponible que lorsque l’action de la politique est DENY.