FortiGate Admin Şifresi Unutuldu: Maintainer Hesabıyla Resmî Sıfırlama

FortiGate firewall’ın admin şifresini unuttuysanız ya da cihazı ikinci el aldığınız için şifreyi bilmiyorsanız, Fortinet bunun için tek ve net bir resmî yol tanımlar: cihazın konsol portuna fiziksel olarak bağlanmak. Bu, kamera kayıt cihazlarındaki “e-posta ile doğrulama” ya da modemlerdeki “reset düğmesi” gibi uzaktan ya da tek tuşla yapılan bir işlem değildir; hangi yöntemin size uygulanacağı cihazın üzerindeki FortiOS sürümüne göre değişir.

Belirtiyi tanıyın

• Web arayüzünde (GUI) ya da SSH ile bağlanırken kullanıcı adı/şifre reddediliyor, kaç kişi denerse denesin doğru şifre bulunamıyor.
• Cihaz kurulumu yapan firmadan ya da önceki yöneticiden devralındı, şifre kimsede yok.
• Konsol kablosuyla bağlanıp cihazı yeniden başlattığınızda ekranda “PASSWORD RECOVERY FUNCTIONALITY IS DISABLED” yazıyor — bu, aşağıdaki maintainer yönteminin bilinçli olarak kapatıldığı anlamına gelir, arıza değildir.

Önce sürümü belirleyin

Hangi yöntemi uygulayacağınız FortiOS sürümüne bağlıdır, bu yüzden atlamadan önce bunu netleştirin:

1. Cihazın etiketindeki model ve seri numarasını not edin (kutunun altında ya da arka panelde).
2. Girişe erişiminiz varsa (ör. salt-okunur bir hesap, ya da destekten aldığınız eski ekran görüntüsü) sürümü Sistem › Firmware bölümünden okuyun.
3. Hiçbir erişiminiz yoksa, aşağıdaki adım 1’i deneyin; cihaz maintainer hesabını kabul etmiyorsa (ya da “disabled” mesajı veriyorsa) doğrudan TFTP kurtarma bölümüne geçin.

Fortinet’in resmî belgesi, maintainer hesabının FortiOS 7.2.4 ve sonraki sürümlerde güvenlik gerekçesiyle tamamen kaldırıldığını açıkça belirtir.

Adım adım çözüm

1. FortiOS 7.2.4 öncesi: maintainer hesabıyla sıfırlama

1. Cihazın konsol portunu, bir konsol kablosuyla (RJ-45 to DB-9/Serial ya da RJ-45 to USB adaptörü, bazı modellerde doğrudan USB) bilgisayarınıza bağlayın.
2. PuTTY, Tera Term gibi bir terminal programı açın; bağlantı türünü Serial seçin, doğru COM portunu belirtin.
3. Cihazı kapatıp açın (soğuk yeniden başlatma). Fortinet’in belgesine göre bu yöntem yalnızca cihaz yeniden başladıktan hemen sonraki kısa bir pencerede çalışır; bazı modellerde bu pencere birkaç on saniye, bazılarında yalnızca birkaç saniyeye kadar kısalabilir. Kullanıcı adını önceden hazır tutup elle hızlıca yazın.
4. Giriş isteminde kullanıcı adı olarak maintainer yazın.
5. Şifre alanına, Fortinet’in belgelediği ve cihazın kendi seri numarasından türetilen özel değeri girin. Bu değer genel/tek bir şifre değildir; her cihaza özeldir ve yalnızca elinizdeki fiziksel cihazın etiketindeki seri numarasıyla hesaplanabilir — bu yüzden yöntem, cihazı elinde tutan kişiden başkasına yaramaz.
6. Giriş başarılıysa CLI’da şu komutlarla admin şifresini değiştirin:

   config system admin
       edit admin
           set password <yeni-şifre>
       end

7. Yeni şifreyle web arayüzünden ya da SSH’tan tekrar giriş yapıp doğrulayın. Fortinet’in belgesine göre bu işlemde mevcut yapılandırma korunur; yalnızca admin şifresi değişir.

2. Maintainer hesabı ekranda kabul edilmiyor ya da “disabled” yazıyorsa

Bunun iki olası nedeni vardır:

• Cihaz FortiOS 7.2.4 ve sonrasında çalışıyor — bu durumda maintainer hesabı yazılımdan tamamen kaldırılmıştır, bir sonraki başlığa geçin.
• Önceki yönetici bu özelliği bilinçli kapatmış — Fortinet’in belgelediği admin-maintainer ayarı disable konumundaysa konsolda “PASSWORD RECOVERY FUNCTIONALITY IS DISABLED” mesajı görürsünüz. Bu durumda maintainer yöntemi hiçbir şekilde çalışmaz; cihazı yeniden başlatmak ya da beklemek sonucu değiştirmez.

Her iki durumda da bir sonraki adıma, TFTP kurtarmaya geçmeniz gerekir.

3. FortiOS 7.2.4 ve sonrası: TFTP ile firmware kurtarma

Fortinet’in resmî belgesi bu sürümler için şunu açıkça söyler: şifresini kaybeden kullanıcılar, cihaza erişimi yeniden kazanmak için fiziksel erişime ve firmware’in TFTP ile yeniden yüklenmesine ihtiyaç duyar. Bu, maintainer hesabına göre çok daha ağır bir işlemdir:

1. Yine konsol kablosuyla cihaza bağlanın ve bir TFTP sunucu yazılımını, FortiGate’in yönetim arayüzüyle aynı ağdaki bir bilgisayarda çalıştırın.
2. Fortinet’in cihaz modeliniz ve mevcut FortiOS sürümünüzle uyumlu doğru firmware dosyasını, resmî Fortinet indirme merkezinden temin edin (uyumsuz bir dosya cihazı daha zor durumda bırakabilir).
3. Cihazı yeniden başlatıp konsoldan boot menüsüne girin ve firmware’i TFTP üzerinden yükleyen seçeneği izleyin.
4. Fortinet’in belgesine göre bu işlem cihazı fabrika ayarlarına döndürür; mevcut yapılandırmaya (kurallar, VLAN’lar, VPN ayarları vb.) firmware yüklemesi sırasında erişilemez ve işlem sonunda cihaz sıfırdan yapılandırılmalıdır.
5. Elinizde önceden alınmış bir yapılandırma yedeği varsa, firmware kurulumu tamamlandıktan sonra bu yedeği içe aktararak eski ayarlara büyük ölçüde geri dönebilirsiniz. Yedek yoksa firewall kurallarını, VPN’leri ve ağ ayarlarını yeniden kurmanız gerekir.

Sıfırladıktan sonra bir daha yaşamamak için

• Yeni admin şifresini belirledikten hemen sonra yapılandırmayı yedekleyin ve bu yedeği cihazın yanında değil, ayrı ve güvenli bir yerde saklayın.
• Birden fazla yönetici varsa, ayrı bir yönetici hesabı daha tanımlayıp yetkileri paylaştırın; tek şifreye bağımlı kalmayın.
• Kurumsal ağınızda modem ve router gibi başka ağ cihazlarının da benzer bir “şifre unutuldu” sorunu yaşamasını istemiyorsanız modem arayüzü açılmıyor ve TP-Link şifre sıfırlama yazılarımıza da göz atabilirsiniz; bu cihazlarda süreç FortiGate’ten farklı ve daha basittir, ama mantık aynıdır: resmî yol, fiziksel erişim ve doğrulanabilir sahiplik.

Hâlâ çözülmediyse

• Maintainer hesabı kapatılmış ve TFTP için doğru firmware dosyasını bulamıyorsanız: cihazı ve seri numarasını hazır tutarak Fortinet’in yetkili distribütörüne ya da satın aldığınız bayiye başvurun; doğru firmware sürümünü ve yönlendirmeyi onlar sağlar.
• Cihaz ikinci el alındıysa ve sahipliğinizi belgeleyemiyorsanız: Fortinet’in resmî yöntemleri her iki durumda da fiziksel erişim gerektirir, ama kurumsal bir cihazda bu erişimi kimin yapabileceği bir yetki meselesidir. Fatura ya da devir belgesi olmadan üçüncü bir kişinin kurumsal bir firewall’ın şifresini sıfırlamasını önermiyoruz; bu durumda cihazı satın aldığınız firmaya başvurun.
• Konsol portuna hiç sinyal alamıyorsanız (terminal programı hiçbir şey göstermiyorsa) sorun şifre değil donanımdır; kablo, adaptör ya da cihazın konsol portu kontrol edilmelidir — bu noktadan sonrası saha teknik desteği gerektirir.