Récupération d’accès sur un FortiGate : que faire en cas de perte du mot de passe administrateur

Les firewalls FortiGate, basés sur FortiOS, sont massivement déployés dans les entreprises. Si le mot de passe administrateur est perdu et qu’aucun autre compte ne permet l’accès, il existe une procédure de password recovery prévue par Fortinet. Ce guide présente les grandes étapes à suivre.

1. Pré-requis

• Accès console physique via câble série (ou console VM si appliance virtuelle).
• Logiciel terminal (PuTTY, TeraTerm, minicom).
• Fenêtre de maintenance validée (le redémarrage est requis).
• Numéro de série de l’équipement (visible via étiquette ou CLI si encore accessible).

2. Étapes de récupération

   Étape 1 – Connexion console et redémarrage

1. Branchez le câble console et ouvrez votre session terminal. 2. Redémarrez le FortiGate. 3. Interrompez le boot si nécessaire pour accéder au menu.

   Étape 2 – Mode spécial de reset

Le FortiGate propose un mode de réinitialisation du mot de passe administrateur basé sur le numéro de série de l’appliance :

• À l’invite de login, entrez maintainer comme utilisateur.
• Comme mot de passe, saisissez : bcpb<numéro_de_série> (en respectant la casse).
• Accédez à l’interface CLI en administrateur temporaire.

   Étape 3 – Réinitialisation du mot de passe admin

Une fois connecté en maintainer :

config system admin
edit admin
set password MonNouveauMotDePasse123
next
end

   Étape 4 – Validation

Déconnectez la session maintainer puis reconnectez-vous avec l’utilisateur admin et le nouveau mot de passe. Sauvegardez la configuration :

execute backup config tftp backup.conf 192.168.x.x

3. Bonnes pratiques post-récupération

• Configurer plusieurs comptes administrateurs avec rôles distincts.
• Activer l’authentification externe (LDAP, RADIUS, FortiAuthenticator).
• Sauvegarder régulièrement la configuration et stocker les identifiants dans un coffre-fort sécurisé.
• Activer le MFA (double authentification) si disponible.

Conclusion

La perte d’un mot de passe sur un FortiGate n’est pas irréversible. Grâce au compte spécial maintainer et au numéro de série de l’équipement, il est possible de réinitialiser l’accès administrateur. Toutefois, il est recommandé d’appliquer de bonnes pratiques de gestion des accès pour éviter de dépendre d’un seul compte. Note : Cette procédure doit être réalisée uniquement par un administrateur autorisé. N’appliquez jamais ces étapes sur un système qui ne vous appartient pas ou sans autorisation explicite.