Política de Firewall en FortiGate: Guía y Buenas Prácticas

La configuración de políticas de firewall en dispositivos FortiGate es fundamental para proteger la red de accesos no autorizados y controlar el tráfico que atraviesa el firewall. En este artículo se analizará una política de firewall dentro de FortiOS, abordando sus campos principales, compatibilidad, escenarios de uso, comandos útiles y recomendaciones esenciales para una configuración segura y eficiente.

Campos principales

Una política de firewall en FortiGate define reglas específicas que permiten o bloquean el tráfico entre interfaces o zonas, filtrando el acceso y aplicando distintos perfiles de seguridad. A continuación, se describen los campos clave presentes en la configuración típica de una política:

• Policy ID: Identificador único de la política, útil para administración y trazabilidad.
• Source Interface/Zone: Especifica la interfaz o grupo de interfaces desde donde proviene el tráfico que será evaluado por la política.
• Destination Interface/Zone: Define hacia dónde va dirigido el tráfico, pudiendo ser otra interfaz física, virtual o un grupo.
• Source Address: Define las direcciones IP o rangos de origen permitidos o denegados.
• Destination Address: Define los objetivos IP o servicios de destino.
• Service: Especifica los protocolos o puertos que la política regula, por ejemplo HTTP, HTTPS, o cualquier otro servicio personalizado.
• Action: Puede ser ‘accept’, ‘deny’ o ‘ipsec’, determinando qué hacer con el tráfico que coincida con la regla.
• Schedule: Establece cuándo la política está activa (por ejemplo, siempre o en horarios específicos).
• Log Allowed Traffic: Activar esta opción permite registrar eventos de tráfico que cumplan con la política, facilitando el monitoreo y auditoría.
• Policy Type: Puede ser «flow» o «proxy». Las políticas flow son rápidas y eficaces para la mayoría de casos, mientras que las proxy permiten aplicar perfiles de seguridad avanzados pero suelen ser más costosas en rendimiento.
• Security Profiles: Se agregan filtros como antivirus, IPS, filtrado web, control de aplicaciones, que analizan el tráfico para mitigar amenazas. Importante notar que los perfiles proxy no están soportados en políticas tipo flow, lo que implica diseñar correctamente el tipo de política para aplicar las protecciones deseadas.

Compatibilidad de versiones y modelos

La configuración de políticas de firewall está disponible en prácticamente todas las versiones de FortiOS a partir de la 5.x y ha evolucionado para incorporar nuevas funcionalidades en versiones recientes como 7.4.x,7.6.x, 7.4.x,7.6.x, 7.0 y superiores. Sin embargo, algunas características, como la integración avanzada de perfiles de seguridad o el manejo detallado de políticas proxy, pueden variar:

• Versiones recientes (7.0+): Mejor integración con Security Fabric, perfiles de seguridad más robustos, y mejoras en la interfaz gráfica. Cambios en la nomenclatura y la disposición de parámetros facilitan la administración.
• Modelos compatibles: Desde FortiGate de gama media a alta, incluyendo equipos de sucursal y datacenter, soportan políticas de firewall completas. Modelos de rango bajo pueden no soportar funcionalidades avanzadas como inspección profunda en políticas proxy.
• Limitaciones comunes: Equipos con hardware limitado tienen menor capacidad para procesar perfiles proxy debido a la carga adicional. En versiones muy antiguas, ciertos parámetros de políticas pueden tener diferente sintaxis o carecer de soporte para perfiles de seguridad combinados.

Escenarios de uso y recomendaciones

Las políticas de firewall se utilizan principalmente para:

• Controlar el tráfico entre redes, por ejemplo, segmentar redes internas de producción y administración.
• Permitir acceso a Internet solo a servicios autorizados, aplicando políticas por horario.
• Implementar ambientes seguros para acceso remoto o VPN.

Una configuración incorrecta puede provocar brechas de seguridad, como permitir tráfico no autorizado, o afectar la conectividad legítima, bloqueando servicios esenciales. Por ejemplo, usar una política tipo flow con perfiles proxy asignados resultará en fallas en la aplicación de esos perfiles, según limitación técnica, generando falsas impresiones de protección o fallas de inspección.

Fortinet recomienda:

• Seleccionar cuidadosamente el tipo de política (flow o proxy), conforme a las necesidades y rendimiento requerido.
• Activar logs para tener visibilidad de eventos y facilitar la resolución de problemas.
• Actualizar firmware regularmente para contar con las últimas funcionalidades y parches de seguridad.

Comandos de CLI útiles para diagnóstico

• show firewall policy: Para listar las políticas configuradas y sus parámetros.
• diagnose firewall policy list: Muestra detalles extendidos del estado y configuración de las políticas.
• diagnose debug flow filter addr <IP> y diagnose debug flow trace start 100: Para trazar el paso del tráfico y diagnosticar bloqueos o permisos erróneos.
• execute log filter category 3 seguido de execute log display: Muestra logs relacionados con tráfico filtrado por firewall.
• diagnose sniff packet any "host <IP>" 4: Permite capturar paquetes para analizar tráfico en tránsito y verificar políticas.

Buenas prácticas de configuración

• Implementar políticas explícitas: evitar la regla implícita «deny» para todo, especificando reglas claras y ordenadas.
• Ordenar las políticas de forma lógica, ya que la evaluación se realiza de arriba hacia abajo, deteniendo en la primera coincidencia.
• Usar perfiles de seguridad acordes al tipo de política; no mezclar perfiles proxy en políticas flow.
• Habilitar registro de tráfico permitido para auditoría y detección de anomalías.
• Revisar regularmente las políticas y eliminar reglas obsoletas para mantener la configuración limpia y eficiente.
• Documentar cada política con descripciones claras indicando su propósito y alcance.
• Probar cambios en entornos controlados y usar comandos de CLI para validar el comportamiento antes de aplicar en producción.