はい。
もう1月末ですが新年あけましておめでとうございます。
年末から年始にかけて、今も続いていますが資格更新ラッシュで全然記事が書けませんでした。
色々ネタは思いついているのですが検証する間もなく更新試験の勉強を進めています。
更新試験の勉強は実りも多いのでそちらを記事にしても良いのですが、あまり時間もないためとりあえず日々の業務で気になったことを記事にします。

FortiGate 7.2.1から自動ファームウェア更新機能が実装された

12月25日に色々あってそれまで放置していたFortiGateのライセンスを更新しました。
元々バージョンが7.0.6だったのですが、順繰りにバージョンアップを行い現在は7.4.7になっています。

ファームウェアバージョン7.0シリーズからこの7.4シリーズにアップグレードする前に、7.2シリーズへまずはアップグレードをする手順なのですが、この7.2.1で以下のように本記事の主題である自動ファームウェア更新機能が実装されています。
公式URLは以下の通りです。
https://docs.fortinet.com/document/fortigate/7.2.0/new-features/369092/enable-automatic-firmware-updates-7-2-1
はい。
これはこれで喜ばしいですね。
便利そうな機能です。

FortiGate 7.2.6から自動ファームウェア更新機能が有効になっている

ファームアップを行ったきっかけとは全く関係なのですが、偶然他の案件でも話題になった自動ファームウェア更新機能が勝手に有効になっていました。

https://docs.fortinet.com/document/fortigate/7.2.6/fortios-release-notes/230510/changes-in-default-behavior
こちらの公式URLに詳細が載っていますが、

auto-firmware-upgrade

というコマンドが

enable

だった場合、自動でファームウェアを更新してくれます。
実際の設定値でいうと以下の図の赤枠内ですね。

デフォルト値だと毎日ファームウェアの更新をチェックし、新しいファームウェアが見つかったら3日後(Delay 3)にファームアップしてくれるみたいですね。
自動更新、便利ですが勝手に再起動がかかります。

HA組んでればネットワーク切断は避けられるかもしれませんが、シングル構成だと夜間バッチやなんかでネットワーク切断してはいけないタイミングで切断されたら困りますね。

自動更新を無効化するにはどうしたら良いの？

手元の60FではGUIでこのパラメーターを変更する画面は見つかりませんでした。
なのでコマンドでしか無理なようですね。
先ほどの公式URLにもありますが、

enable

を

diable

に変更するだけです。
まずはコンソール画面をGUIから開いて現在の設定値を確認します。

config system fortiguard
show full-configuration

と実行すると

FortiGate-60F # config system fortiguard 

FortiGate-60F (fortiguard) # show full-configuration 
config system fortiguard
    set fortiguard-anycast enable
    set fortiguard-anycast-source fortinet
    set protocol https
    set port 443
    set load-balance-servers 1
    set auto-join-forticloud enable
    set update-server-location automatic
    set sandbox-region "Japan"
    set sandbox-inline-scan disable
    set update-ffdb enable
    set update-uwdb enable
    set update-dldb enable
    set update-extdb enable
    set update-build-proxy enable
    set vdom ''
    set auto-firmware-upgrade enable
    unset auto-firmware-upgrade-day
    set auto-firmware-upgrade-delay 3
    set auto-firmware-upgrade-start-hour 1
    set auto-firmware-upgrade-end-hour 4
    set FDS-license-expiring-days 15
    set antispam-force-off disable
    set antispam-cache enable
    set antispam-cache-ttl 1800
    set antispam-cache-mpermille 1
    set antispam-timeout 7
    set outbreak-prevention-force-off disable
    set outbreak-prevention-cache enable
    set outbreak-prevention-cache-ttl 300
    set outbreak-prevention-cache-mpermille 1
    set outbreak-prevention-timeout 7
    set webfilter-force-off disable
    set webfilter-cache enable
--More--

こんな感じで出てきます。
先ほどの画像では最初の行は見切れていますが、内容は同じですね。

で、

set auto-firmware-upgrade disable

と叩き再度

show full-configuration

で確認すると

画像の通りちゃんと無効化されていますね。
このあと

end

でこのconfig system fortiguardから抜けて設定完了です。
私の環境ではしばらく有効にして勝手にファームが上がるか確認してみます。

追記

ついでに新しいファームウェアを見つけてすぐにアップグレードにする設定、コマンドで言うと

set auto-firmware-upgrade-delay 0

にしたら以下の注意書きが出てきました。

auto-firmware-upgrade-delay is turned off, setting auto-firmware-upgrade-day to "saturday sunday" for automatic patch-level firmware upgrade from FortiGuard.

翻訳
auto-firmware-upgra-delay がオフになり、FortiGuard からのパッチレベルのファームウェアの自動アップグレードのために auto-firmware-upgrade-day を「saturday sunday」に設定します。
他の部分もコマンド変わったっぽいですね。

赤枠部分ですが。

set auto-firmware-upgrade-day sunday saturday

が追記された部分ですね。
実際に設定変更したのはその下の行なんですが、その反射効としてこの行が変更かかる仕様ですね。
意味的には、ファームのアップグレードを日曜日と土曜日に行う、という挙動になるようです。
平日避けてるやん！
素敵やん！
ということなのですが、とりあえず管理者の知らないところで自動アップデートされると困ることもあるかと思うので、お客様とも相談しながらケースバイケースで自動ファームウェア更新機能の有効化/無効化は判断しましょう。

本日はここまで。