FortiView — Phân tích Traffic Real-time trên FortiGate

1. Liên hệ thực tế

Sáng thứ Hai, chị Lan nhận được cuộc gọi từ khách hàng: "Internet công ty chậm kinh khủng từ 8h30, mọi người không làm việc được." Đây là tình huống kinh điển mà bất kỳ kỹ sư mạng nào cũng từng gặp — và câu hỏi đầu tiên luôn là: ai, ứng dụng nào, hoặc thiết bị nào đang chiếm băng thông?

Anh Nam đăng nhập GUI FortiGate, mở FortiView > Traffic From LAN/WAN, chọn khoảng thời gian "Last 5 minutes", và chỉ trong vài giây thấy ngay một máy trạm (10.10.20.55) đang chiếm hơn 80% băng thông ra Internet với ứng dụng được nhận diện là "YouTube" và "Windows Update". Anh xác nhận với khách hàng và xử lý ngay — không cần chạy tcpdump hay đọc log thô từng dòng.

Chị Lan giải thích thêm: "FortiView không phải công cụ debug từng gói tin như packet sniffer — nó là bảng điều khiển trực quan, tổng hợp session/log để trả lời nhanh câu hỏi 'chuyện gì đang xảy ra ngay bây giờ' trước khi mình đào sâu bằng các công cụ khác."

2. Kiến thức cốt lõi

2.1 FortiView là gì

FortiView là một tập hợp các dashboard giám sát tích hợp sẵn trong FortiGate, hiển thị dữ liệu traffic, threat, và sự kiện dưới dạng bảng/biểu đồ có thể lọc, sắp xếp, và drill-down (đào sâu) trực tiếp từ GUI — không cần công cụ ngoài.

Có hai nguồn dữ liệu FortiView có thể sử dụng:

• Real-time (thời gian thực): dữ liệu lấy trực tiếp từ bảng session đang hoạt động trên FortiGate. Không cần log lưu trữ, nhưng chỉ phản ánh những gì đang diễn ra tại thời điểm xem — mất đi khi làm mới hoặc khi session kết thúc.
• Historical (lịch sử): dữ liệu tổng hợp từ log đã ghi (yêu cầu FortiGate có ổ đĩa nội bộ, hoặc kết nối tới FortiAnalyzer/FortiAnalyzer Cloud). Cho phép xem lại theo khoảng thời gian tùy chọn (1 giờ, 24 giờ, 7 ngày...).

⚠️ Lưu ý: Trên các model FortiGate không có ổ đĩa nội bộ (SSD/eMMC), chế độ Historical FortiView sẽ không khả dụng trừ khi trỏ log tới FortiAnalyzer. Đây là lý do phần lớn thiết bị entry-level chỉ thấy được dữ liệu Real-time trên GUI local.

2.2 Các dashboard FortiView chính

FortiGate nhóm các view theo nhiều chiều phân tích khác nhau trên cùng một tập session/log:

Mỗi dashboard đều có thể sắp xếp theo Bytes (tổng lưu lượng), Sessions (số phiên), hoặc Bandwidth (băng thông theo thời gian thực), và hỗ trợ chọn khoảng thời gian ở góc trên bên phải.

2.3 Drill-down — đào sâu từ tổng quan đến chi tiết

Điểm mạnh nhất của FortiView không phải là hiển thị số liệu, mà là khả năng click vào một dòng để đào sâu. Ví dụ quy trình thực tế anh Nam hay dùng:

1. Mở FortiView > Sources, thấy IP 10.10.20.55 đứng đầu danh sách theo Bytes.
2. Click vào IP đó → FortiView tự động hiển thị Sessions chi tiết của riêng IP này: nó đang kết nối tới đâu, cổng nào, ứng dụng nào.
3. Từ danh sách session, click phải vào một session cụ thể → có tùy chọn xem chi tiết log, hoặc tạo ngay Firewall Policy chặn nếu cần.

Cách làm này thay thế cho việc phải tự lọc log thủ công — rất hữu ích khi cần phản ứng nhanh trong sự cố đang diễn ra.

2.4 Bật Historical FortiView và Application/Website tracking

Để có dữ liệu lịch sử đầy đủ, cần đảm bảo:

• FortiGate có bật ghi log cục bộ (disk logging) hoặc gửi log tới FortiAnalyzer — xem chi tiết cấu hình ở bài kế tiếp: Log & Report — cấu hình gửi log.
• Trong Firewall Policy áp dụng cho traffic cần theo dõi, đã bật Log Allowed Traffic ở mức All Sessions (mặc định chỉ log Security Events, không đủ dữ liệu cho FortiView traffic theo IP/app).
• Application Control và Web Filter profile được áp vào policy — vì FortiView Applications/Web Sites phụ thuộc vào kết quả nhận diện của các engine này, không tự suy ra từ port/IP.

🔄 Khác biệt version FortiOS: Từ FortiOS 7.2 trở đi, giao diện FortiView được tinh gọn và một số dashboard (như Threats) được tích hợp sâu hơn vào Security Fabric > Security Rating. Về nguyên lý dữ liệu và cách drill-down, hành vi cơ bản không đổi so với 7.0.

2.5 Giới hạn cần biết

• FortiView không thay thế cho công cụ debug từng gói tin (diagnose sniffer packet) hay debug flow — nó cho biết "cái gì" đang xảy ra ở mức tổng hợp, không cho biết "tại sao" một kết nối cụ thể bị rớt hay bị chặn.
• Real-time FortiView tiêu tốn tài nguyên CPU/memory khi refresh liên tục trên thiết bị có lượng session lớn — không nên để mở liên tục nhiều tab trên thiết bị production tải cao.
• Dữ liệu Historical phụ thuộc hoàn toàn vào log — nếu policy không log, hoặc log bị giới hạn dung lượng disk và bị xoay vòng (log rotation), dữ liệu cũ sẽ không còn để xem lại.

3. Hỏi & Đáp

FortiView Real-time và Historical khác nhau ở điểm nào khi troubleshoot sự cố đang diễn ra?

Real-time lấy trực tiếp từ bảng session hiện tại nên luôn phản ánh đúng traffic ngay lúc xem, phù hợp khi sự cố đang xảy ra (như tình huống chậm mạng ở phần Liên hệ thực tế). Historical dùng để phân tích xu hướng theo thời gian hoặc điều tra lại sự cố đã xảy ra trước đó, nhưng cần log đã được ghi lại đầy đủ.

Vì sao FortiView Applications của tôi không hiển thị tên ứng dụng cụ thể mà chỉ thấy "Unknown" hoặc số cổng?

Khả năng cao là Firewall Policy đang xử lý traffic đó chưa áp Application Control profile, hoặc traffic được mã hóa mà chưa bật SSL Inspection nên engine không giải mã được để nhận diện ứng dụng. Cần kiểm tra lại profile trên policy tương ứng.

FortiView có thể dùng để chặn trực tiếp một nguồn traffic đáng ngờ không?

Có. Từ dashboard Sources hoặc Threats, click phải vào một mục và chọn tùy chọn tạo Address/Policy chặn nhanh (tùy version GUI). Tuy nhiên nên xác minh kỹ trước khi chặn diện rộng, vì thao tác nhanh này có thể vô tình chặn nhầm dịch vụ hợp lệ.

4. Quiz

Câu 1: FortiView Historical hoạt động dựa trên nguồn dữ liệu nào?

• A. Bảng session đang hoạt động trên FortiGate tại thời điểm xem
• B. Log đã ghi lại (disk nội bộ hoặc FortiAnalyzer)
• C. Cấu hình Firewall Policy hiện tại
• D. Bảng định tuyến (routing table)

Câu 2: Điều kiện nào KHÔNG bắt buộc để FortiView Applications hiển thị đúng tên ứng dụng?

• A. Firewall Policy có áp Application Control profile
• B. Traffic HTTPS cần bật SSL Inspection để giải mã nhận diện
• C. Policy phải log ở mức All Sessions
• D. FortiGate phải bật chế độ Transparent mode

Câu 3: Trên model FortiGate không có ổ đĩa nội bộ, muốn dùng Historical FortiView cần làm gì?

• A. Không thể dùng trong mọi trường hợp
• B. Gửi log tới FortiAnalyzer hoặc FortiAnalyzer Cloud
• C. Tăng RAM cho thiết bị
• D. Bật chế độ conserve mode

Câu 4: Khi cần điều tra vì sao một kết nối cụ thể bị FortiGate chặn, công cụ phù hợp nhất là gì?

• A. FortiView Sources
• B. FortiView Web Sites
• C. Debug Flow / Policy Lookup
• D. FortiView Applications

👉 Đáp án

Câu 1: B Historical FortiView tổng hợp từ log đã lưu trữ, không phải từ session đang chạy.

Câu 2: D Transparent mode (Virtual Wire Pair) không liên quan tới việc nhận diện ứng dụng — điều kiện là Application Control profile và SSL Inspection cho traffic mã hóa.

Câu 3: B Thiết bị không disk nội bộ phải trỏ log tới FortiAnalyzer để có dữ liệu lịch sử.

Câu 4: C FortiView cho biết tổng quan "cái gì", còn lý do một session cụ thể bị chặn cần công cụ debug flow hoặc Policy Lookup — sẽ học chi tiết ở Debug Flow & Flow Trace.

📚 Bài viết thuộc khóa học FortiGate của VNExperts

🧭 Điều hướng