Die Kombination aus Fortigate Firewall und Checkmk ermöglicht ein sehr transparentes Monitoring von Netzwerk‑Security – ohne Agent, rein über SNMP. In diesem Beitrag zeige ich, wie Sie Ihre Fortigate sauber an Checkmk anbinden, welche Kennzahlen Sie erhalten und worauf Sie beim Troubleshooting achten sollten.

Voraussetzungen auf der Fortigate

Damit Checkmk die Firewall abfragen kann, muss der SNMP‑Agent auf der Fortigate aktiviert und korrekt konfiguriert sein. Arbeiten Sie in produktiven Netzen nach Möglichkeit mit SNMP v2c oder v3 und beschränken Sie den Zugriff auf die IP‑Adresse Ihres Monitoring‑Servers.

SNMP-Agent und Community einrichten

Über das Web‑GUI gehen Sie typischerweise wie folgt vor:

• Unter „System → SNMP“ den SNMP Agent aktivieren und eine aussagekräftige Bezeichnung, Standort und Kontakt hinterlegen.
• Im Bereich SNMP v1/v2c eine neue Community anlegen, z.B. monitoring, und die IP‑Adresse Ihres Checkmk‑Servers als „Host“ hinzufügen.

Die Konfiguration lässt sich alternativ auch per CLI durchführen:

config system snmp community
  edit 1
    set name "monitoring"
    config hosts
      edit 1
        set ip 10.0.10.50 255.255.255.255
        set host-type query
      next
    end
  next
end

Wichtig: Aktivieren Sie SNMP explizit auf den Interfaces, über die Checkmk die Firewall erreichen soll („Network → Interfaces → Edit → Administrative Access → SNMP“).

Erreichbarkeit und Firewall-Regeln

SNMP nutzt standardmäßig UDP Port 161, daher müssen passende Firewall‑Policies zwischen Monitoring‑Server und Fortigate existieren. In vielen Installationen ist zusätzlich eine bidirektionale Regel sinnvoll, da UDP zustandslos ist und Antworten nicht automatisch erlaubt sind.

Fortigate als Host in Checkmk anlegen

Checkmk unterstützt SNMP‑Monitoring von Netzwerk‑Devices out of the box und bringt eigene Checks für Fortigate‑Systeme mit. Die grundlegende Einrichtung erfolgt in wenigen Schritten:

1. In Checkmk unter „Setup → Hosts“ einen neuen Host anlegen, DNS‑Namen oder IP der Fortigate eintragen.
2. Als Agent‑Typ „No agent“ wählen und SNMP aktivieren, üblicherweise mit SNMP v2c.
3. Unter „SNMP credentials“ die zuvor konfigurierte Community (monitoring) hinterlegen.
4. Host speichern und die Verbindung testen; Checkmk führt dabei eine SNMP‑Abfrage durch.
5. Anschließend „Save & go to service configuration“ wählen und eine Service‑Discovery starten; alle gefundenen Services können per „Accept all“ übernommen werden.

Danach aktivieren Sie wie gewohnt die Änderungen in Checkmk, damit das Monitoring live geht.

Typische Metriken und Services

Über SNMP erhält Checkmk eine Vielzahl von Kennzahlen Ihrer Fortigate, ohne dass Sie eigene OIDs pflegen müssen. Dazu gehören unter anderem:

• CPU‑Auslastung, Speicherauslastung und Uptime der Appliance.
• Status und Durchsatz der Netzwerk‑Interfaces (LAN, WAN, DMZ, IPsec‑Tunnel).
• Informationen zu Antivirus-, IPS‑ und Signatur‑Status, sofern die Funktionen lizenziert sind.

In dem Screenshot sehen Sie beispielhaft die in Checkmk entdeckten Services einer Fortigate – von Interface‑Checks über CPU‑Usage bis hin zu VPN‑Informationen.

Troubleshooting bei SNMP-Problemen

Wenn Checkmk beim Discovery oder beim regulären Check „SNMP error“ oder Timeouts meldet, liegt dies häufig an Zugriffsproblemen.

• Prüfen Sie Community‑String, SNMP‑Version und erlaubte Host‑IP in der Fortigate‑SNMP‑Konfiguration.
• Stellen Sie sicher, dass SNMP auf dem betreffenden Interface aktiviert ist und Firewall‑Regeln UDP 161 zulassen.
• Testen Sie die Verbindung direkt vom Checkmk‑Server per snmpwalk -v2c -c monitoring <Fortigate-IP>, um Konfigurationsfehler zu isolieren.
• In Checkmk hilft cmk -Iivv <hostname> dabei, SNMP‑Time­outs und fehlende OIDs detailliert zu diagnostizieren.

Gerade bei größeren Umgebungen lohnt es sich zudem, über Regeln wie „Disabled or enabled sections (SNMP)“ nicht benötigte SNMP‑Sektionen von der Discovery auszuschließen, um das Monitoring zu beschleunigen.

Fazit und nächste Schritte

Mit einer sauber konfigurierten SNMP‑Community auf der Fortigate und wenigen Klicks in Checkmk erhalten Sie ein sehr detailliertes, automatisiertes Monitoring Ihrer Firewall‑Infrastruktur. So lassen sich Engpässe und Probleme frühzeitig erkennen, bevor sie sich auf die Verfügbarkeit Ihrer Dienste auswirken.

Wenn Sie Unterstützung bei der Einrichtung von Checkmk‑Monitoring für Ihre Fortigate‑Umgebung benötigen, unterstützen wir Sie gerne – von Architektur‑Design bis Betrieb.
Besuchen Sie unseren Blog unter https://blog.admin-intelligence.de für weitere Praxisartikel rund um Checkmk, oder kontaktieren Sie uns direkt für ein unverbindliches Beratungsgespräch.