Web Filtering بدون مراجعه به FortiGuard در FortiOS8.0؛ دسته‌های Local و External، کانفیگ و ملاحظات فنی

نسخه مبنا: FortiOS 8.0.0. تاریخ بررسی منابع: ۹ اکتبر ۲۰۲۶.منابع اصلی، New Features، Administration Guide و CLI Reference رسمی همین نسخه هستند. نام منوها و رفتار Patchها ممکن است متفاوت باشد؛ این مقاله تأیید آخرین نسخه مناسب Production یا مسیر ارتقای یک مدل مشخص نیست.

مروری بر این مقاله

1. پاسخ کوتاه: FortiGuard-free دقیقاً به چه معنی است؟
2. قبل از کانفیگ، چهار مفهوم را از هم جدا کنیم
3. دامنه پشتیبانی: نسخه، دیوایس و حالت‌های کاری
4. مسیر پردازش: چه چیزی محلی است و چه چیزی نیست؟
5. پیش‌نیازها و دسترسی‌های لازم
6. سناریوی آزمایش: یک دسته محلی و یک Feed اختصاصی
7. ساخت Local Category در GUI و CLI
8. ساخت External Category Feed؛ TLS و Refresh را جدی بگیرید
9. Profile Mode: Web Filter فقط با Local و Remote Categories
10. Policy Mode: Category در Security Policy، نه صرفاً در Profile
11. SSL Exemption: کاربرد درست و هزینه امنیتی آن
12. آزمون صحت: فقط دیدن Block Page کافی نیست
13. لاگ و Diagnostics: شواهدی که باید نگه دارید
14. سناریوهای مناسب، مزایا و محدودیت‌ها
15. خطاهای رایج و مسیر Troubleshooting
16. Best Practice و چک‌لیست اجرای کنترل‌شده
17. جمع‌بندی: چه زمانی این Feature ارزش استفاده دارد؟
18. سوالات متداول

1. پاسخ کوتاه: FortiGuard-free دقیقاً به چه معنی است؟

در FortiOS8.0.0تشخیص Category در Flow Inspection می‌تواند بدون تماس با سرورهای Rating فورتی‌گارد انجام شود؛ به شرط آنکه دسته‌های مورد استفاده در مسیر مربوطه فقط Local یا External Threat Feed باشند. این پشتیبانی برای Web Filter Profile در NGFW Profile Mode، سیاست‌های URL Category در NGFW Policy Mode و SSL Exemption معرفی شده است.

در مثال رسمی، FortiGate نه لایسنس معتبر Web Filter دارد و نه سرور قابل استفاده برای Web Filter Rating؛ با این حال دسته محلی و دسته دریافت‌شده از Feed تشخیص داده می‌شوند، Action تنظیم‌شده اعمال می‌شود و UTM Log تولید می‌شود. بنابراین موضوع، حذف وابستگی غیرضروری به Rating بیرونی برای دسته‌های تحت کنترل خود ادمین است، نه ارائه رایگان پایگاه دسته‌بندی عمومی FortiGuard.

برای دیدن همه ستون‌ها، جدول را افقی پیمایش کنید.

2. قبل از کانفیگ، چهار مفهوم را از هم جدا کنیم

Category یک برچسب برای URL است؛ Action تصمیمی است که پس از تشخیص آن برچسب اجرا می‌شود. Rating Server یکی از منابع تولید Category است، نه خودِ تصمیم امنیتی. External Feed هم منبع دریافت فهرست URLهاست و با Rating Server عمومی FortiGuard یکسان نیست.

برای دیدن همه ستون‌ها، جدول را افقی پیمایش کنید.

نام «FortiGuard Category» در External Connector نباید گمراه‌کننده باشد: این نام، نوع اتصال برای واردکردن URLها به گروه Remote Categories است؛ فایل را می‌توانید روی سرور تحت کنترل سازمان میزبانی کنید. Category External Feed به‌صورت دوره‌ای دریافت می‌شود و هر دسته سفارشی خارجی با Feed مجزا ساخته می‌شود.

در همان شاخه8.0قابلیت جداگانه‌ای برای اتصال جدول URL Filter به Custom FortiGuard Category معرفی شده است. این ابزار ساخت دسته محلی را ساده‌تر می‌کند؛ اما «ساخت دسته با جدول URL» و «تشخیص دسته بدون تماس با FortiGuard» دو تغییر مرتبط و مستقل‌اند.

3. دامنه پشتیبانی: نسخه، دیوایس و حالت‌های کاری

مبنای این مقاله سند New Features نسخه8.0.0است. سند این قابلیت، فهرست اختصاصی مدل، حداقل RAM یا SKU جداگانه‌ای ارائه نمی‌کند؛ در نتیجه نمی‌توان از آن پشتیبانی تمام مدل‌های FortiGate از Firmware8.0.0را نتیجه گرفت. پشتیبانی مدل/VM از Firmware مقصد و محدودیت‌های پلتفرم باید در Release Notes و اسناد همان دستگاه بررسی شود. همچنین این مقاله وجود همین تغییر را در نسخه‌های قبل از8.0.0تأیید نمی‌کند.

برای دیدن همه ستون‌ها، جدول را افقی پیمایش کنید.

NGFW Policy Mode در سطح VDOM تنظیم می‌شود و Flow-based است. در این حالت Central NAT همواره فعال است و SSL Inspection & Authentication Policy قبل از Security Policy در مسیر بررسی قرار می‌گیرد. برای استفاده از قابلیت این مقاله، ضرورتی ندارد VDOM فعلی را به Policy Mode تبدیل کنید؛ Profile Mode نیز پشتیبانی شده است.

4. مسیر پردازش: چه چیزی محلی است و چه چیزی نیست؟

مدل ذهنی مناسب برای طراحی، جداکردن دریافت داده از ارزیابی ترافیک است. مراحل زیر توضیح عملیاتی این مقاله بر مبنای نقش دسته‌هاست، نه ادعای جزئیات داخلی تمام پیاده‌سازی‌های Engine

• ادمین Local Category را می‌سازد یا Connector، فایل External Feed را وارد می‌کند.
• ترافیک در Policy و حالت Inspection موردنظر قرار می‌گیرد؛ Profile و Scope صحیح باید واقعاً Match شوند.
• دسته مربوط به URL با داده Local/External شناسایی می‌شود؛ در شرایط اعلام‌شده تماس با Rating Server لازم نیست.
• Action مانند Block یا Monitor، یا SSL Exemption اجرا می‌شود.
• با فعال‌بودن Logging مناسب، نتیجه به شکل UTM Log قابل بررسی است.

Fortinet کاهش ترافیک Rating غیرضروری و بهبود Performance را از مزایا می‌داند؛ اما برای این Feature درصد کاهش Latency، افزایش Throughput یا مقدار مشخص CPU ارائه نکرده است. عددهایی مانند «۳۰ درصد سریع‌تر» بدون Benchmark معتبر همان محیط قابل دفاع نیستند.

5. پیش‌نیازها و دسترسی‌های لازم

برای دیدن همه ستون‌ها، جدول را افقی پیمایش کنید.

مستندات مورد استفاده برای این Feature یک Admin Profile آماده با نام مشخص به‌عنوان الزام معرفی نکرده‌اند؛ بنابراین الزام «حتماً Super Admin» از این سند نتیجه نمی‌شود. تعیین مجوز واقعی حساب را با نقش سازمانی، VDOM و قابلیت ویرایش اشیای لازم انجام دهید. نمونه رسمیِ کارکرد بدون Web Filter License نیز مجوز نادیده‌گرفتن License سایر Security Services نیست.

6. سناریوی آزمایش: یک دسته محلی و یک Feed اختصاصی

مثال رسمی از www.sfu.ca برای Local و www.ubc.ca برای Remote استفاده می‌کند. برای Runbook این مقاله، به‌جای Block کردن سایت‌های عمومی، از دامنه‌های آزمایشگاهی زیر استفاده می‌کنیم. دامنه‌های .example در DNS آزمایشگاه باید به وب‌سرور تحت کنترل شما Resolve شوند؛ برای آزمون HTTPS نیز Certificate و Trust مناسب لازم است. این دامنه‌ها سرویس واقعی آماده روی اینترنت نیستند.

برای دیدن همه ستون‌ها، جدول را افقی پیمایش کنید.

7. ساخت Local Category در GUI و CLI

روش GUI با جدول URL

دسته LAB-LOCAL را بسازید، URL Filter را فعال کنید و URL آزمایشگاهی را در جدول آن اضافه کنید. در این قابلیت، جدول URL از نوع category است؛ چنین جدولی هم‌زمان نمی‌تواند نقش جدول URL Filter معمولی از نوع profile را داشته باشد.

CLI نمونه: جدول مستقل متصل به دسته محلی

config webfilter urlfilter edit 901 set name "LAB-LOCAL-URLS" set type category config entries edit 1 set url "local-block.lab.example" set type simple set status enable next end next end config webfilter ftgd-local-cat edit "LAB-LOCAL" set id 142 set urlfilter-table 901 next end

این روش از قابلیت «Local URL filtering with custom FortiGuard categories» استفاده می‌کند. IDهای 901 و 142 انتخاب نمونه مقاله‌اند؛ جدول متصل باید وجود داشته باشد و دسته در VDOM هدف ساخته شود.

روش دیگر: Local Rating صریح برای URL

CLI نسخه8.0.0امکان Local Rating را نیز نشان می‌دهد. اگر از دسته محلی موجود استفاده می‌کنید، می‌توان URL را مستقیماً به آن Rating مرتبط کرد. مثال زیر جایگزین روش جدول است، نه گام اجباری بعد از آن؛ برای Lab یکی از دو روش را آگاهانه انتخاب کنید.

config webfilter ftgd-local-rating edit "local-block.lab.example" set rating 142 set status enable set comment "Lab local category test" next end

8. ساخت External Category Feed؛ TLS و Refresh را جدی بگیرید

محتوای فایل Feed

فایل متنی باید یک URL در هر خط داشته باشد. برای این Lab، وب‌سرور Feed فایل زیر را ارائه کند. این نمونه برای درخواست HTTPS مشخص تعریف شده است؛ پوشش HTTP، Hostهای جایگزین و Pathهای متفاوت را با تست مستقل بررسی کنید و از یک نتیجه، پوشش تمام شکل‌های URL را فرض نکنید.

https://remote-block.lab.example/

نوع FortiGuard Category را انتخاب کنید، نام LAB-REMOTE، Update Method از نوع External Feed و URL فایل را وارد کنید. Refresh Rate برحسب دقیقه است؛ بازه مستند 1 تا 43200 و مقدار پیش‌فرض 5 دقیقه است. محدوده شناسه Category خارجی در سند تنظیم Feed برابر 192 تا 221 است.

config system external-resource edit "LAB-REMOTE" set status enable set type category set update-method feed set category 192 set resource "https://feeds.lab.example/web-category.txt" set server-identity-check full set refresh-rate 5 next end

بعد از ذخیره، Connector را باز و View Entries را بررسی کنید؛ وجود URL داخل فایل روی سرور کافی نیست، باید ورود موفق آن به FortiGate اثبات شود. اسناد، فعال‌کردن بررسی Certificate در حالت basic یا full را توصیه می‌کنند؛ مقدار پیش‌فرض این گزینه none است. در این Runbook عمداً full انتخاب شده تا Feed با هویت معتبر سرور مصرف شود.

برای Feed احرازهویت‌شده، تنظیم Username/Password و گزینه Client Certificate Authentication در مرجع رسمی وجود دارد. Credential را در مقاله، Ticket عمومی یا URL به صورت آشکار قرار ندهید؛ دسترسی فایل، حساب سرویس و Secret را جداگانه مدیریت کنید.

9. Profile Mode: Web Filter فقط با Local و Remote Categories

Profile آزمایشگاهی جدید بسازید، Flow Feature Set را نگه دارید، FortiGuard Category Based Filter را فعال کنید و برای LAB-LOCAL و LAB-REMOTE عمل Block را تعیین کنید. هدف این Runbook وجود فقط همین دو Category Filter است؛ Profile پیش‌فرض یا Cloneشده ممکن است فیلترهای Built-in دیگری داشته باشد، پس جدول واقعی را بررسی کنید.

config webfilter profile edit "LAB-LOCAL-REMOTE-ONLY" set feature-set flow config ftgd-wf unset options config filters edit 1 set category 142 set action block set log enable next edit 2 set category 192 set action block set log enable next end end next end

در مثال رسمی Custom Category نیز unset options دیده می‌شود. در CLI Reference، مقدار پیش‌فرض options برابر ftgd-disable است؛ بنابراین ساخت دسته و روشن‌کردن مسیر Category Filtering را با غیرفعال‌کردن آن اشتباه نگیرید. همچنین error-allow گزینه‌ای برای عبور صفحات دارای Rating Error است؛ فعال‌کردن آن «روش فعال‌سازی FortiGuard-free» نیست.

Profile را به Policy اختصاصی کلاینت Lab متصل کنید و Flow-based بودن Inspection Policy را بررسی کنید. Log Allowed Traffic را برای مشاهده آزمون‌های مجاز/Monitor فعال کنید. ترتیب Policy، Source، Destination، Service و NAT باید طبق معماری همان Lab تنظیم باشند؛ این مقاله عمداً Policy گسترده all-to-all برای Production ارائه نمی‌کند.

Allow با Monitor فرق دارد

راهنمای External Feed صریحاً می‌گوید Allow به معنی «بدون فیلتر» است، نه اجازه اجباری به دسته. برای Remote Category توصیه می‌کند از Allow استفاده نکنید، چون Action اصلی FortiGuard Category Based Filter را Override نمی‌کند؛ Monitor و Block می‌توانند آن Action را Override کنند. برای ثبت دسترسی بدون Block، Monitor انتخاب روشن‌تری است. این قاعده در کانفیگ ترکیبی هم مهم است، ولی چنین ترکیبی خارج از تضمین only-local/external این Feature قرار می‌گیرد.

10. Policy Mode: Category در Security Policy، نه صرفاً در Profile

در NGFW Policy Mode، URL Category مستقیماً در Security Policy قرار می‌گیرد؛ Actionهای قابل انتخاب Accept یا Deny هستند. SSL Inspection & Authentication Policy مرحله Pre-match است و Security Policy تصمیم دسته/برنامه را اجرا می‌کند. یک Allow گسترده بالاتر از Rule هدف یا انتخاب Category اشتباه، می‌تواند نتیجه Lab را تغییر دهد.

برای آزمایش، یک Rule محدود به کلاینت و مقصدهای Lab بسازید، فقط دسته‌های LAB-LOCAL و LAB-REMOTE را انتخاب کنید، Action را Deny و Logging را فعال کنید. Rule باید پیش از سیاست پذیرش گسترده مرتبط قرار گیرد. CLI زیر فقط فیلد Category را روی یک Security Policy ازقبل‌ساخته‌شده تغییر می‌دهد؛ Rule کامل ایجاد نمی‌کند.

config firewall security-policy edit  set url-category 142 192 next end

عبارت داخل <...> Placeholder است و باید با ID واقعی سیاست آزمایش جایگزین شود. نام فرمان و تنظیم url-category از مثال رسمی Local Category گرفته شده است. در آن مثال، Categoryهای 52 و 142 کنار هم آمده‌اند؛ این مقاله عمداً 52 را کپی نکرده، چون برای آزمون FortiGuard-free باید شرط فقط Local/External رعایت شود.

11. SSL Exemption: کاربرد درست و هزینه امنیتی آن

External Category می‌تواند در SSL/SSH Profile با Full SSL Inspection برای استثناکردن URLهای مشخص از Deep Inspection استفاده شود. برای مثال، فهرست بسیار محدود مقصدهایی که طبق سیاست سازمان نباید TLS آن‌ها رمزگشایی شود. قابلیت مورد بحث اجازه می‌دهد Category محلی/خارجی این Exemption نیز در شرایط اعلام‌شده بدون Rating Server تشخیص داده شود.

Log SSL exemptions را فعال کنید. در Profile Mode، SSL Profile را در Firewall Policy هدف قرار دهید؛ در Policy Mode، جایگاه آن را در SSL Inspection & Authentication Policy بررسی کنید. برای آزمون، از Profile اختصاصی Lab یا Clone کنترل‌شده استفاده کنید، نه تغییر مستقیم استثناهای مشترک Production.

در CLI Reference نیز ssl-exemption-log و فهرست ssl-exempt با نوع fortiguard-category وجود دارند. از آنجا که ساخت Profile کامل TLS به CA، تنظیم Protocolها و الزامات محیط وابسته است، این مقاله کانفیگ ناقص «Deep Inspection آماده» ارائه نمی‌کند.

آزمون Block و آزمون Exemption را در دو مرحله یا Policy مجزا انجام دهید. اگر همان Category هم‌زمان در Web Filter مسدود باشد، دیدن Block نتیجه طبیعی آن کنترل است و به‌تنهایی وضعیت Exemption را مشخص نمی‌کند. برای آزمون مستقل Exemption، دسترسی پایه را در Rule محدود Lab مجاز و Log SSL Exemption را بررسی کنید.

12. آزمون صحت: فقط دیدن Block Page کافی نیست

هدف تست، اثبات سه چیز جداست: تشخیص دسته صحیح، اجرای Action صحیح و عدم وابستگی این Rating به FortiGuard در شرایط Feature. صفحه Block به‌تنهایی کافی نیست؛ ممکن است درخواست به دلیل Policy دیگر، Static URL Filter، DNS Filter یا کنترل متفاوت رد شده باشد.

برای دیدن همه ستون‌ها، جدول را افقی پیمایش کنید.

مثال رسمی نبود License معتبر و نبود Rating Server قابل استفاده را نشان می‌دهد. برای بازتولید، از Lab دارای شرایط مجاز و Scope محدود استفاده کنید؛ Subscription عملیاتی را دست‌کاری نکنید و دسترسی تمام FortiGuard Services را در Production نبندید. قطع مسیر Rating با قطع DNS، مقصد کاربر، Feed، AV/IPS Update یا سرویس‌های دیگر یکسان نیست.

برای اثبات نبود Rating Request مربوط به آزمون، زمان و کلاینت را مشخص کنید، وضعیت/آمار Rating را قبل و بعد بررسی کنید و در صورت نیاز از Capture محدود متناسب با مسیر واقعی Rating استفاده کنید. وجود ترافیک FortiGuard مربوط به سرویس‌های دیگر، تناقض با این Feature نیست؛ و نبود ترافیک در یک تست مبتنی بر Cache هم به‌تنهایی اثبات شرط Feature نیست. این روش اعتبارسنجی، توصیه عملیاتی مقاله است.

13. لاگ و Diagnostics: شواهدی که باید نگه دارید

در نمونه اصلی Fortinet، GUI مسدودشدن www.sfu.ca در Local Category و www.ubc.ca در Remote Category را نشان می‌دهد؛ در Screenshot مربوط به Remote، Category ID برابر 193 است. در مثال مستقل External Feed از 192 استفاده شده است. پس 192 عدد ثابت همه Feedها نیست؛ Category ID واقعی Connector را با Log تطبیق دهید.

گزیده واقعی از لاگِ مثال مستند External Feed

type="utm" subtype="webfilter" eventtype="ftgd_blk" action="blocked" profile="default" cat=192 catdesc="Custom-Remote-FGD" msg="URL belongs to a denied category in policy"

گزیده لاگ SSL Exemption از همان راهنما

type="utm" subtype="ssl" eventtype="ssl-exempt" action="exempt" eventsubtype="user-category" cat=192 catdesc="Custom-Remote-FGD" msg="SSL connection is exempted based on user category rating."

این دو گزیده از خروجی مستند رسمی هستند، نه خروجی اجرای Lab این مقاله. در محیط خود، زمان، Hostname/URL، Policy ID، Profile، VDOM و Category را نیز نگه دارید؛ Message مشابه بدون این Context برای نتیجه‌گیری کافی نیست.

فرمان‌های مشاهده وضعیت؛ نه تغییر کانفیگ

diagnose debug rating diagnose webfilter fortiguard statistics diagnose autoupdate status diagnose autoupdate versions

Cheat Sheet رسمی، فرمان اول را برای اطلاعات Web Filter Rating Server، فرمان دوم را برای آمار Cache/Daemon و دو فرمان آخر را برای اطلاعات License معرفی می‌کند. این دستورات به‌تنهایی Capture شبکه نیستند و عدم ارسال Request مربوط به هر Session را قطعی اثبات نمی‌کنند.

14. سناریوهای مناسب، مزایا و محدودیت‌ها

برای دیدن همه ستون‌ها، جدول را افقی پیمایش کنید.

مزایا

• کاهش تماس غیرضروری با Rating Server و وابستگی بیرونی برای دسته‌های اختصاصی؛ این مزیت در سند رسمی تصریح شده است.
• امکان کنترل دقیق داده دسته‌بندی توسط سازمان و اتصال آن به Policyهای موجود.
• حفظ قابلیت بررسی از طریق UTM Logs در سناریوی رسمی نبود Rating قابل استفاده.
• قابلیت کاربرد در هر دو معماری NGFW Profile و Policy، بدون الزام مهاجرت همه محیط به یک Mode.

محدودیت‌ها و هزینه‌های طراحی

• پوشش اعلام‌شده Flow Inspection است، نه تضمین یکسان برای Proxy-based.
• فهرست اختصاصی فقط URLهایی را پوشش می‌دهد که درست و به‌موقع وارد شده‌اند؛ سایت‌های جدید بیرون از فهرست به‌طور خودکار دسته تهدید سازمانی نمی‌گیرند.
• External Feed وابستگی مستقل به سلامت سرور، TLS، Authentication و Refresh دارد.
• کیفیت URL Matching، Host/Path و دید موردنیاز روی HTTPS باید در همان محیط تست شود؛ این Feature همه محدودیت‌های مشاهده ترافیک را برطرف نمی‌کند.
• SSL Exemption کنترل کاهش دید است؛ انتخاب اشتباه آن می‌تواند با هدف امنیتی اولیه در تضاد باشد.
• سند هیچ SLA، عدد Performance یا تضمین رفتار تمام حالت‌های Feed منقضی را برای این Feature ارائه نمی‌کند.

15. خطاهای رایج و مسیر Troubleshooting

برای دیدن همه ستون‌ها، جدول را افقی پیمایش کنید.

برای حل مشکل، error-allow را بدون ارزیابی ریسک فعال نکنید؛ این گزینه عبور در Rating Error را تغییر می‌دهد و می‌تواند ظاهراً اختلال را رفع کند، بدون اینکه Category یا Policy درست شده باشد. همچنین غیرفعال‌کردن کل FortiGuard Scanning یا TLS Validation راه‌حل این Feature نیست.

16. Best Practice و چک‌لیست اجرای کنترل‌شده

حاکمیت Feed و دسته‌ها

• برای هر Category مالک، هدف، مصرف‌کننده‌های Policy و مدت بازبینی تعیین کنید.
• Feedهای Block و Feedهای SSL Exemption را جدا نگه دارید؛ یک لیست تهدید نباید تصادفاً لیست دورزدن Deep Inspection شود.
• روی Feed Server، تغییر فایل را محدود و ثبت کنید؛ مصرف‌کننده Feed صرفاً Reader باشد.
• TLS Validation را فعال کنید؛ قبل از کاهش کنترل هویت سرور، خطای CA/Hostname را رفع کنید.
• تغییرات بزرگ را با Monitor یا Lab محدود و معیار پذیرش بررسی کنید؛ سپس Block را مطابق سیاست سازمان اعمال کنید.
• از دسته مشترکِ پرمصرف برای آزمون استفاده نکنید؛ اثر تغییر روی تمام Profileها و Policyهای ارجاع‌دهنده را بررسی کنید.

چک‌لیست قبل و بعد از Change

• نسخه، Build، مدل/VM، VDOM، NGFW Mode و Inspection Mode ثبت شده‌اند.
• Backup و Scope آزمایش، دسترسی مدیریتی و معیار Rollback آماده‌اند.
• Category IDها و Table ID نمونه با اشیای موجود تداخل ندارند.
• Profile آزمایش فقط Local/External موردنظر را دارد؛ Built-in Category ناخواسته وجود ندارد.
• Feed با TLS معتبر دریافت شده و URLها در View Entries دیده می‌شوند.
• Policy/Profile صحیح به کلاینت Lab تعلق دارد و Logging فعال است.
• آزمون Local، Remote، URL کنترل و Exemption مستقل انجام و شواهد ثبت شده‌اند.
• عدم وابستگی Rating در Lab بررسی شده، بدون قطع خدمات امنیتی مستقل Production.
• پس از آزمون، اشیای Lab طبق فرآیند تغییر حذف یا غیرفعال شده‌اند و ارجاع‌ها کنترل شده‌اند.
• محدودیت‌ها، موارد خارج از Scope و مسئول نگهداری Feed به تیم عملیات تحویل داده شده‌اند.

برای Rollback، ابتدا اتصال Profile یا تغییر Rule آزمایشگاهی را به وضعیت ثبت‌شده برگردانید، سپس با بررسی Referenceها اشیای جدید را جمع کنید. حذف مستقیم Category یا Connector مورد استفاده سایر Policyها، Rollback کم‌ریسک محسوب نمی‌شود. این ترتیب، توصیه اجرایی مقاله است؛ دستور عمومی حذف برای همه محیط‌ها ارائه نشده است.

17. جمع‌بندی: چه زمانی این Feature ارزش استفاده دارد؟

FortiGuard-free rating در FortiOS8.0.0برای سازمانی ارزش دارد که دسته‌های اختصاصی Local یا External را در Flow Inspection مصرف می‌کند و نمی‌خواهد تشخیص آن‌ها به Rating Server عمومی وابسته باشد. سند رسمی حتی نمونه بدون Web Filter License معتبر و بدون Rating Server قابل استفاده را نشان می‌دهد؛ Action و UTM Logging در سناریوهای اعلام‌شده همچنان برقرارند.

اما نتیجه صحیح، «Web Security رایگان و کامل» نیست. این Feature پوشش تهدید، کیفیت Feed، TLS Inspection، نگهداری دسته‌ها، License سایر سرویس‌ها یا طراحی Policy را به‌جای شما انجام نمی‌دهد. تصمیم خوب، استفاده محدود و آزموده برای هدف مشخص است: دسته‌های درست، Rule درست، Feed معتبر و شواهد قابل بازبینی.

برای ارزیابی پایداری، امنیت و نگهداری این زیرساخت، راهنمای پشتیبانی شبکه را نیز مطالعه کنید.