uvx fortigate-mcp@latest

uvx fortigate-mcp@0.2.1

py -3 -m venv .venv
.\.venv\Scripts\python.exe -m pip install -r requirements.txt
Copy-Item fortigate.config.example.json fortigate.config.json

python -m pip install --upgrade fortigate-mcp

{
  "fortigate": {
    "host": "192.168.1.1",
    "port": 22,
    "username": "admin",
    "password": "change-me",
    "timeout": 15,
    "banner_timeout": 15,
    "auth_timeout": 15,
    "look_for_keys": false,
    "allow_agent": false,
    "disabled_algorithms": {}
  }
}

Hazme un diagnostico basico del Fortigate.

Fortigate FG-80F / FortiOS 7.4.x

Estado general:
- Uptime: 128 dias
- CPU: 4%
- Memoria: 58%
- Sesiones activas: 8.421
- Modo: NAT

Observaciones:
- Rendimiento estable.
- No se observan interfaces fisicas con errores relevantes.
- Hay 2 tuneles IPsec caidos que conviene revisar.

Listame las conexiones IPsec con entidades externas y dime cuales estan caidas.

Tuneles IPsec:

| Nombre              | Peer publico    | Estado | Observacion                  |
|---------------------|-----------------|--------|------------------------------|
| vpn-acme-main       | 203.0.113.10    | UP     | Trafico reciente             |
| vpn-partner-backup  | 198.51.100.25   | DOWN   | Sin fase 2 activa            |
| vpn-datacenter      | 203.0.113.80    | UP     | Estable                      |

Resumen: 2 tuneles activos, 1 tunel caido.

Que usuarios estan conectados ahora por VPN y a que equipos internos acceden?

Usuarios SSL-VPN conectados:

| Usuario       | IP VPN        | Origen publico | Destinos LAN observados       |
|---------------|---------------|----------------|-------------------------------|
| ana.garcia    | 10.212.10.14  | 198.51.100.44  | 10.10.20.15:3389              |
| soporte.n1    | 10.212.10.18  | 203.0.113.52   | 10.10.30.20:443, 10.10.30.5:22 |

Nota: la vista se basa en sesiones activas observadas en el Fortigate.

Muestrame que servicios internos estan publicados hacia Internet.

Exposicion publica detectada:

| VIP              | IP publica     | Destino interno | Servicio |
|------------------|----------------|-----------------|----------|
| vip-portal       | 203.0.113.120  | 10.10.40.10     | HTTPS    |
| vip-rdp-soporte  | 203.0.113.121  | 10.10.50.25     | RDP      |

Recomendacion:
- Revisar si RDP debe seguir expuesto publicamente.
- Aplicar restricciones por origen si el servicio es necesario.

Tenemos ataques de usuario y contrasena contra el Fortigate?

Resumen de autenticacion reciente:

- SSL-VPN: 37 fallos de login en la ultima hora.
- Administracion HTTPS/SSH: sin fallos relevantes.
- IPs con mas intentos:
  - 198.51.100.200: 22 intentos
  - 203.0.113.77: 9 intentos

Posible fuerza bruta contra SSL-VPN.

Busca eventos recientes de VPN con status failure.

Log Search

- Category: event
- Filter: status=failure
- Events parsed: 14

| Date       | Time     | Type  | Subtype | Action | Src          | Status  | Description |
|------------|----------|-------|---------|--------|--------------|---------|-------------|
| 2026-05-01 | 11:42:10 | event | vpn     | tunnel | 203.0.113.10 | failure | IPsec phase 1 negotiation failed |

Mira si hay sesiones desde 10.212.10.14 hacia 10.10.20.15 por RDP.

Session Trace

- Filters: {"src_ip": "10.212.10.14", "dst_ip": "10.10.20.15", "dst_port": 3389, "protocol": 6}
- Sessions found: 2
- Policy IDs: 42

Evidence:
- session info: proto=6 ...
- 10.212.10.14:55122->10.10.20.15:3389 ...
- policy_id=42 ...

Busca logs de trafico recientes hacia 79.148.246.79.

Log Search

- Category: traffic
- Filter: dstip=79.148.246.79
- Events parsed: 5

| Date       | Time     | Action | Src        | Dst          | Description       |
|------------|----------|--------|------------|--------------|-------------------|
| 2026-05-01 | 21:47:09 | close  | 10.0.0.106 | 79.148.246.79|                   |

Haz una captura de 5 paquetes para host 10.0.0.57 y puerto 22.

Fortigate Command Result

- Command: diagnose sniffer packet any 'host 10.0.0.57 and port 22' 4 5 a

2026-05-01 19:47:30 ssl.root in 10.212.134.100.22467 -> 10.0.0.57.22

Por donde saldria el Fortigate para llegar a 10.20.30.40?

Route Lookup

| Network       | Interface | Gateway     | Code | Distance | Metric |
|---------------|-----------|-------------|------|----------|--------|
| 10.20.30.0/24 | ipsec-acme| -           | S    | 10       | 0      |

Revisa si hay policy routes o NAT que puedan afectar al trafico.

Policy routes:
- config router policy / end

NAT Overview:
- VIP objects: 73
- NAT policies: 67
- Central SNAT: sin entradas

Comprueba si proxy, perfiles de seguridad, DoS o shapers pueden afectar al trafico.

Proxy Policy Overview:
- proxy-policy ZTNA_ALLOW
- access-proxy RDP

Security Profiles Overview:
- Politicas con AV/IPS/WebFilter/AppCtrl/SSL inspection

Traffic Controls:
- DoS-policy
- traffic-shaper
- per-ip-shaper

Dime que errores recientes ves en el Fortigate.

Recent Errors

- Events scanned: 50
- Error-like events: 10

| Date       | Time     | Subtype | Level   | Status          | Src/Peer    | Message             |
|------------|----------|---------|---------|-----------------|-------------|---------------------|
| 2026-05-01 | 21:34:07 | vpn     | error   | negotiate_error | 80.58.157.1 | IPsec phase 1 error |
| 2026-05-01 | 21:34:02 | endpoint| warning |                 |             | EMS certificate error |

Que politicas podrian permitir 10.212.10.14 hacia 10.0.0.57 por SSH?

Policy Lookup For Flow

- Flow: 10.212.10.14 -> 10.0.0.57 protocol 6 dst_port 22
- Best route interface: internal
- Candidate policies: 2

| ID | Name      | Src Intf | Dst Intf | Src Match          | Dst Match   | Service |
|----|-----------|----------|----------|--------------------|-------------|---------|
| 2  | VPN->LAN  | ssl.root | internal | SSLVPN_TUNNEL_ADDR | 10.0.0.0/24 | ALL     |

Explica el flujo 10.212.134.100 hacia 10.0.0.57 por TCP/22.

Flow Explanation

- Destination route: 10.0.0.0/24 via internal
- Candidate policies: 2
- Active sessions: 1
- Traffic log matches: 0

Candidate Policies:
- policy 63 VPN-NUNSYS --> LAN
- policy 2 VPN --> LAN

Active Session Evidence:
- policy_id=2
- 10.212.134.100:32889 -> 10.0.0.57:22

Audita como se administra el Fortigate y si hay accesos peligrosos.

Admin Access Surface

| Interface | IP             | Allowaccess | WAN-like | Risky |
|-----------|----------------|-------------|----------|-------|
| wan1      | 192.0.2.10/24  | ping, fgfm  | yes      | -     |

| Admin  | Profile     | No Trusthost | 2FA |
|--------|-------------|--------------|-----|
| claude | SoloLectura | yes          | -   |

Resume todo lo expuesto hacia fuera en el Fortigate.

External Attack Surface

- WAN-like interfaces con allowaccess
- VIPs/DNAT publicados y politicas asociadas
- SSL-VPN: puerto, interfaces, origenes y pools
- IPsec peers y remote gateways
- Proxy/ZTNA publicado
- Local-in policy

Resume las politicas amplias o con logging mejorable.

Policy Risk Summary

- Policies parsed: 143
- Policies with findings: 126

| ID | Name      | Src Addr | Dst Addr | Service | Issues                         |
|----|-----------|----------|----------|---------|--------------------------------|
| 4  | LAN->WAN  | all      | all      | ALL     | srcaddr all; dstaddr all; service ALL |

Revisa el estado de SD-WAN y sus SLA.

SD-WAN Status

- Health-checks: alive/dead, packet-loss, latency, jitter y SLA map.
- Services: miembros seleccionados por regla SD-WAN.
- Configuracion: miembros, gateways, health-checks y servicios.

Compara el snapshot inicial con el ultimo y dime que ha cambiado.

Snapshot Comparison

- Changed sections: 4

| Section              | Added | Removed |
|----------------------|-------|---------|
| ipsec_tunnel_summary | 3     | 3       |
| ssl_vpn_monitor      | 2     | 6       |

Haz una auditoria de seguridad del Fortigate y prioriza los hallazgos.

Hallazgos prioritarios:

1. Firmware pendiente de revision
   - Version observada: FortiOS 7.4.x
   - Accion: comparar con el ultimo release recomendado por Fortinet.

2. Servicios publicados hacia Internet
   - Detectados VIPs con HTTPS y RDP.
   - Accion: validar necesidad, origenes permitidos y logging.

3. Tuneles VPN caidos
   - 1 tunel IPsec sin fase 2 activa.
   - Accion: revisar propuestas y conectividad con el peer.

4. SSL-VPN
   - Usuarios conectados y sesiones LAN activas.
   - Accion: revisar MFA, grupos permitidos y politicas asociadas.

{
  "mcpServers": {
    "fortigate": {
      "command": "uvx",
      "args": [
        "fortigate-mcp@latest"
      ],
      "env": {
        "FORTIGATE_MCP_CONFIG": "C:\\ruta\\segura\\fortigate.config.json"
      }
    }
  }
}

{
  "mcpServers": {
    "fortigate": {
      "command": "C:\\ruta\\al\\proyecto\\.venv\\Scripts\\python.exe",
      "args": [
        "C:\\ruta\\al\\proyecto\\server.py"
      ],
      "env": {
        "FORTIGATE_MCP_CONFIG": "C:\\ruta\\segura\\fortigate.config.json"
      }
    }
  }
}

[mcp_servers.fortigate]
command = 'uvx'
args = ['fortigate-mcp@latest']

[mcp_servers.fortigate.env]
FORTIGATE_MCP_CONFIG = 'C:\ruta\segura\fortigate.config.json'

{
  "mcpServers": {
    "fortigate": {
      "command": "uvx",
      "args": [
        "fortigate-mcp@latest"
      ],
      "env": {
        "FORTIGATE_MCP_CONFIG": "C:\\ruta\\segura\\fortigate.config.json"
      }
    }
  }
}

{
  "servers": {
    "fortigate": {
      "type": "stdio",
      "command": "uvx",
      "args": [
        "fortigate-mcp@latest"
      ],
      "env": {
        "FORTIGATE_MCP_CONFIG": "C:\\ruta\\segura\\fortigate.config.json"
      }
    }
  }
}

{
  "servers": {
    "fortigate": {
      "type": "stdio",
      "command": "uvx",
      "args": [
        "fortigate-mcp@latest"
      ],
      "env": {
        "FORTIGATE_MCP_CONFIG": "C:\\ruta\\segura\\fortigate.config.json"
      }
    }
  }
}

.\.venv\Scripts\python.exe -m py_compile server.py

npx @modelcontextprotocol/inspector uvx fortigate-mcp@latest