Interfaz Switch Interno en Fortinet FortiGate

La configuración eficiente y segura de interfaces en dispositivos Fortinet FortiGate es fundamental para garantizar el correcto funcionamiento y segmentación del tráfico en redes corporativas. En particular, el uso de interfaces tipo Hardware Switch permite consolidar múltiples interfaces físicas en un solo dominio de broadcast, facilitando la administración y permaneciendo eficiente en recursos.

Contexto y objetivo de la configuración

El objetivo principal de esta configuración es crear una interfaz lógica denominada internal que actúe como un switch interno consolidado, donde múltiples interfaces físicas (internal1, internal2, internal3 y internal4) se agrupan para formar una sola entidad lógica con una dirección IP única. Esto está orientado a ambientes LAN donde se requiere un dominio de broadcast unificado y gestión simplificada de las políticas de seguridad y enrutamiento.

Arquitectura y flujo de tráfico

La interfaz tipo Hardware Switch funciona como un switch L2 basado en hardware dentro del dispositivo FortiGate, en donde el tráfico entre los puertos miembros ocurre internamente sin necesidad de procesarse a nivel de capa 3, a menos que sea destinado a otra VLAN o red. Esto optimiza el rendimiento y reduce la carga de CPU. El flujo de tráfico dentro del switch es transparente para las interfaces físicas, mientras que la IP asignada a la interfaz internal permite la gestión y el enrutamiento hacia otras interfaces o subredes.

Campos principales y parámetros críticos

• Name: Identificador asignado a la interfaz switch. En este caso internal.
• Type (Hardware Switch): Define que se trata de un agrupamiento de interfaces físicas en un switch lógico interno.
• Interface members: Interfaces físicas que componen el switch (internal1, internal2, internal3, internal4).
• VRF ID: Valor que asocia la interfaz a un router virtual concreto, permitiendo múltiples tablas de enrutamiento. Aquí está asignado a 0, la tabla por defecto.
• Role: Rol lógico asignado para políticas y funcionalidades predefinidas, en este caso LAN para tráfico interno.
• Addressing mode: Establecido como Manual para asignar una IP fija, esencial para evitación de conflictos y administración centralizada.
• IP/Netmask: Dirección IP de la interfaz y máscara de subred. Aquí 192.168.1.1/255.255.255.0 es típico para puertas de enlace LAN.
• Create address object matching subnet: Desactivado para evitar la creación automática de un objeto de dirección en el firewall.
• Secondary IP address: No configurado, aunque puede usarse para múltiples subredes en la misma interfaz física.

Compatibilidad de versiones y modelos

La función de Hardware Switch está soportada en la mayoría de modelos FortiGate empresariales y de gama media, especialmente aquellos orientados a despliegues internos LAN. Es compatible con FortiOS desde versiones 5.x en adelante, con mejoras en la interfaz gráfica y opciones de administración en versiones recientes 7.x y 7.x. Sin embargo, algunos modelos de alta gama o aquellos optimizados para routing puro pueden preferir interfaces de tipo VLAN o física debido a la segmentación avanzada y requisitos de rendimiento.

Escenarios de uso recomendados

• Redes internas que necesitan consolidar múltiples puertos físicos bajo un único dominio broadcast sin segmentar VLANs.
• Ambientes donde se desea simplificar la política de seguridad LAN estableciendo reglas sobre una única interfaz lógica.
• Infraestructuras de pequeñas y medianas empresas que desean maximizar el uso de interfaces físicas sin complicar la configuración.
• Entornos que requieren administración centralizada y una IP de puerta de enlace común para todo el segmento LAN.

Riesgos, errores frecuentes y cómo evitarlos

• Confusión en las interfaces físicas: No agregar todas las interfaces físicas necesarias al switch puede generar inconsistencias en el flujo de tráfico y segmentación incorrecta.
• IP duplicada o conflicto de subred: Asignar una IP manual que coincida con otra interfaz o dispositivo externo puede provocar problemas graves de conectividad.
• Desconocimiento del rol asignado: Algunos administradores desconocen que el parámetro Role afecta la aplicación de políticas de seguridad y puede cambiar comportamiento esperado.
• Olvidar actualizar objetos de dirección: No crear o sincronizar objetos de dirección para este segmento puede dificultar la administración de políticas.
• Uso incorrecto con VRF: Asignar un VRF distinto en escenarios erróneos puede derivar en fallas de enrutamiento y aislamiento no deseado.

Comandos de CLI útiles para diagnóstico

config system interface
    edit internal
        set type hardware-switch
        set interface-member internal1
        set interface-member internal2
        set interface-member internal3
        set interface-member internal4
        set ip 192.168.1.1 255.255.255.0
        set allowaccess ping https ssh
        set role lan
    next
end

get system interface physical
get system interface
diag hardware deviceinfo nic internal

Con los comandos anteriores, podemos verificar la configuración completa de la interfaz switch, confirmar que las interfaces físicas estén correctamente agregadas, observar las IPs asignadas y validar accesos permitidos como ping y SSH. Además, el comando diag hardware deviceinfo nic internal muestra estadísticas de la interfaz switch, permite identificar problemas de conectividad a nivel físico y verificar el estado operativa del switch interno.

Buenas prácticas y checklist final

• Verificar siempre que todos los miembros físicos que forman el hardware-switch pertenezcan a la misma VLAN o segmento físico planeado.
• Asignar una dirección IP estática y válida dentro del plan de direcciones para la interfaz switch que actuará como puerta de enlace.
• Configurar adecuadamente el Role para que las políticas de seguridad se apliquen correctamente sobre la interfaz.
• Evitar activar opciones automáticas para creación de objetos de dirección si se prefiere control manual y mayor claridad en la administración.
• Utilizar comandos CLI para validar la integración y salud de la interfaz periódicamente.
• Documentar la configuración junto con otros dispositivos de red para facilitar el mantenimiento y resoluciones de incidencias.