【Fortigate】FortiOS 7.2.6で有効化された自動アップデート

FortiOS 7.2.6のリリースノート

こちらのリリースノートで自動アップデートがDefaultで有効になったことが通知されています。
対象は以下のモデルです。ざっくりFortigate100F以上のモデルは対象外になっています。

主要モデル	派生モデル	FortiWiFiモデル	産業用モデル
FGT-40F	FGT-40F-3G4G	FWF-40F FWF-40F-3G4G	-
FGT-60E	FGT-60E-DSL FGT-60E-DSLJ FGT-60E-POE FGT-61E	FWF-60E FWF-60E-DSL FWF-60E-DSLJ FWF-61E	-
FGT-80E	FGT-80E-POE FGT-81E FGT-81E-POE	-	-
FGT-90E	FGT-91E	-	-
FGT-60F	FGT-61F	FWF-60F FWF-61F	FGR-60F FGR-60F-3G4G
FGT-70F	FGT-71F	-	FGR-70F FGR-70F-3G4G
FGT-80F	FGT-80F-BP FGT-80F-POE FGT-81F FGT-81F-POE	FWF-80F-2R FWF-81F-2R FWF-81F-2R-3G4G-POE FWF-81F-2R-POE	-

*ただし、FortiManagerの管理下にある場合は対象外となるようです。(未検証)

わかってる人用メモ

Fortigate60E OS 7.2.6【無効化】

■ 設定コマンド（VDOM無効の場合）
config system fortiguard
    set auto-firmware-upgrade disable
end

■ 設定コマンド（Multi-VDOM構成）
config system global
config system fortiguard
    set auto-firmware-upgrade disable
end
end

自動アップデートの問題点

リリースノートにあるように、自動アップデートはリリースを検知してから3日後に実行されるようです。
(Default=3,0-14で設定可能)

the installation is scheduled after the upgrade delay in days (0-14, default = 3) between the firmware upgrade time interval.

他にも、設定値を確認する限り、AM2時-4時の間に実行されるように見受けられます。

Fortigate60E OS 7.2.6 Default-Config（Multi-VDOM）

config system global
config system fortiguard
    set auto-firmware-upgrade enable
    unset auto-firmware-upgrade-day
    set auto-firmware-upgrade-delay 3
    set auto-firmware-upgrade-start-hour 2
    set auto-firmware-upgrade-end-hour 4
end
end

アップデート実施時には再起動が発生しますので、通信断が発生します。

HA構成であれば1秒あるかないか程度のわずかな断時間で済みますが、シングル構成では起動までそれなりに時間がかかります。
許容できるかは要件次第ですが、受け入れられない要件にも関わらず気付かず納入してしまうことは避けましょう。

公式Administration Guideを参照したチューニング

http://docs.fortinet.com/document/fortigate/7.2.6/administration-guide/369092/enabling-automatic-firmware-updates
automatic firmware updatesに関連する設定のガイドがこちらです。

（内容確認してまた追記します。）

参考リンク

■ FortiOS 7.2.6 における自動アップグレード設定の意図しない変更について
[日立ソリューションズ]
https://csps.hitachi-solutions.co.jp/fortinet/data/info_20231013-1.pdf

■