Guía Completa para Configurar Interfaces WAN con DHCP en Fortinet FortiGate

Contexto y objetivo de la configuración

La configuración de interfaces WAN en un dispositivo Fortinet FortiGate es fundamental para garantizar la conectividad segura y eficiente hacia redes externas, generalmente Internet. En entornos donde la asignación de dirección IP es dinámica, mediante DHCP, es necesario configurar correctamente dicha interfaz para obtener automáticamente la IP, máscara, gateway y DNS proporcionados por el proveedor de servicios o red upstream. Este artículo técnico se enfoca en detallar la configuración de una interfaz física WAN con modo de direccionamiento DHCP, explicando sus componentes, recomendaciones y posibles problemas, para que un ingeniero de redes pueda implementar y diagnosticar esta configuración con precisión.

Arquitectura y flujo de tráfico

La interfaz WAN configurada en modo DHCP actúa como punto de entrada y salida para todo el tráfico hacia y desde Internet. El FortiGate recibe una dirección IP pública o privada dinámica asignada por el servidor DHCP del ISP, incluyendo parámetros esenciales como gateway predeterminado y servidores DNS. El tráfico generado por usuarios internos o políticas de firewall se enruta hacia esta interfaz para salir a la red externa, mientras que las respuestas y nuevas conexiones externas entran por aquí si están permitidas por las políticas. Técnicamente, la interfaz funciona como puerta de enlace de enlace de capa 3 que aprende su configuración automáticamente, minimizando necesidades de intervención manual y facilitando cambios en la topología WAN.

Campos principales y parámetros críticos

  • Interface Name: Identificador físico o virtual de la interfaz; en este caso se trata del puerto físico WAN1.
  • Role: Define la función de la interfaz, que puede ser WAN, LAN, DMZ, etc. Marcado como WAN para políticas y características específicas.
  • Addressing mode: Modo de asignación de IP; disponible Manual (estática), DHCP o PPPoE. En este escenario se utiliza DHCP para asignación dinámica.
  • Obtained IP/Netmask: Dirección IP y máscara de red asignadas automáticamente por el servidor DHCP remoto.
  • Default Gateway: Puerta de enlace predeterminada obtenida del DHCP, utilizada para enrutar tráfico fuera de la red local.
  • Acquired DNS: Servidores DNS asignados junto con la IP para resolución de nombres.
  • Retrieve default gateway from server: Permite que FortiGate obtenga automáticamente la gateway del DHCP; deshabilitar si se desea configurar gateway manualmente.
  • Distance: Métrica de preferencia para rutas estáticas u obtenidas, donde menor valor tiene mayor prioridad.

Compatibilidad de versiones y modelos

La configuración mediante GUI y CLI del modo DHCP en interfaces WAN es compatible con la mayoría de modelos FortiGate que manejan FortiOS versión 7.4.x,7.7.x en adelante. Aunque las versiones modernas (FortiOS 7.x y 7.x) ofrecen mejoras en la interfaz gráfica y funcionalidades avanzadas (como soporte mejorado para DHCPv6, link monitoring dinámico y failover), la base de comandos para asignación DHCP se mantiene consistente. Para modelos entry level (por ejemplo FortiGate 30/40F) y mid-range (FortiGate 60F a 200E,F,G) esta configuración es estándar y soportada ampliamente, mientras que en modelos de data center se puede combinar con interfaces agregadas y virtual domains para segmentaciones más complejas.

Escenarios de uso recomendados

  • Conexión a ISP con IP dinámica: Entornos residenciales o pequeñas empresas que no requieren IP estática asignada.
  • Failover WAN: Configurar una interfaz secundaria con DHCP para respaldo o balanceo de carga automático.
  • Pruebas y despliegues rápidos: Cuando no es viable o necesario definir IP fija manualmente durante la etapa de implementación.
  • Remote office o sucursales: Lugares donde la red WAN es controlada por un ISP o administrador externo que entrega DHCP.

Riesgos, errores frecuentes y cómo evitarlos

  • Conflictos por IP duplicada: Ocurre cuando el DHCP asigna una IP ya utilizada en la red. Evitar usando reservas en el servidor DHCP o monitorización del espacio IP asignado.
  • Gateway no obtenido: Puede causar pérdida de conectividad a Internet. Verificar que la opción «Retrieve default gateway from server» está habilitada y que el servidor DHCP esté respondiendo correctamente.
  • DNS incorrectos: Impactan en la resolución de nombres. Validar los DNS asignados y configurar manualmente si es necesario para evitar resoluciones erróneas.
  • Políticas y rutas incompatibles: No añadir reglas adecuadas para tráfico saliente o no ajustar rutas puede provocar bloqueo o pérdida de servicios.
  • Distancia de ruta mal configurada: Puede causar problemas en entornos multihoming, estableciendo rutas subóptimas o pérdida de failover.

Comandos de CLI útiles para diagnóstico

config system interface
    edit wan1
        set mode dhcp
        set role wan
        set distance 5
    next
end

diagnose ip address list
get system interface wan1
execute ping 8.8.8.8
diagnose debug enable
diagnose debug console timestamp enable
diagnose debug application dhcpd 255
diagnose debug disable

Estos comandos permiten configurar rápidamente la interfaz WAN para DHCP, verificar las direcciones IP asignadas, realizar pruebas de conectividad con ping y activar el modo debug específicamente para el proceso DHCP del FortiGate. La salida del comando diagnose ip address list muestra las IPs activas en interfaces, get system interface wan1 confirma valores actuales, y el debug específico DHCP permite detectar negociaciones y errores en la obtención de parámetros. Interpretar los logs de debug ayudará a identificar fallos en la comunicación con el servidor DHCP, tiempos de lease o errores de protocolo.

Buenas prácticas y checklist final

  • Verificar que la interfaz física esté habilitada y conectada correctamente.
  • Confirmar que el rol de la interfaz esté configurado como WAN para aplicar políticas de seguridad adecuadas.
  • Habilitar la opción “Retrieve default gateway from server” salvo que se requiera configuración estática.
  • Establecer una distancia de ruta apropiada para ambientes multihoming y failover.
  • Monitorear la duración y renovación del lease DHCP para evitar interrupciones.
  • Configurar alertas o monitoreo en caso de pérdida de conectividad o cambios en la IP asignada.
  • Documentar cambios y mantener respaldos de la configuración CLI.
  • Validar las políticas de seguridad y reglas de firewall asociadas a la interfaz WAN para evitar accesos no deseados.