Contexto y objetivo de la configuración
En entornos de Fortinet FortiGate, la gestión eficiente y segura de los administradores es fundamental para mantener el control y la integridad del sistema. El objetivo principal de esta configuración es crear usuarios administrativos locales que permitan controlar el acceso al firewall, asignar perfiles adecuados de permisos y definir el ámbito de acción mediante dominios virtuales (VDOMs). Esto asegura que solo personal autorizado pueda modificar configuraciones críticas, auditando además acciones según perfiles predefinidos.
Arquitectura y flujo de tráfico
La administración en FortiGate no afecta directamente al flujo de tráfico de red, pero es crítica para la gestión del dispositivo. El acceso administrativo puede realizarse vía GUI, CLI o API, y se rige por políticas internas de acceso y perfiles. El usuario administrador configura y supervisa los parámetros que afectan al encaminamiento, seguridad y servicios del firewall. Por ello, una correcta configuración administrativa impacta en la estabilidad y seguridad del tráfico procesado por el dispositivo.
Campos principales y parámetros críticos
Al crear un administrador local en FortiGate, los campos clave incluyen:
- Username: Identificador único del usuario administrador.
- Type: Tipo de administrador, por ejemplo Local User, integración con servidor remoto, o uso de infraestructura PKI.
- Password y Confirm Password: Credenciales para autenticación; deben ser seguras y cumplir políticas de complejidad.
- Administrator Profile: Perfil predefinido que delimita los permisos administrativos (por ejemplo, prof_admin, perfil de solo lectura, etc.).
- Virtual Domains (VDOMs): Define el ámbito del usuario, restringiéndolo a uno o más VDOMs asignados para administrar distintas particiones virtuales del firewall.
- Comments: Campo opcional para notas descriptivas de uso interno.
Compatibilidad de versiones y modelos
Esta configuración aplica a modelos desde FortiGate 40F hacia arriba, incluyendo FortiGate 50E,F,G y superiores, soportados en FortiOS 6.0 en adelante. En versiones anteriores, la gestión de administradores locales y VDOMs puede variar levemente. Es fundamental verificar la versión FortiOS para confirmar que las opciones de perfiles, autenticación integrada y gestión de VDOM estén disponibles y se comporten según la documentación actualizada del fabricante.
Escenarios de uso recomendados
Implementar administradores locales con perfiles y VDOM asignados es esencial en:
- Entornos multi-administrador donde se debe limitar permisos según roles.
- Organizaciones con múltiples departamentos que gestionan distintas zonas de red mediante VDOMs.
- Situaciones donde no se dispone de un servidor de autenticación centralizado y es necesaria gestión local.
- Casos de auditoría donde se requiere trazabilidad y segregación de funciones administrativas.
Riesgos, errores frecuentes y cómo evitarlos
Uno de los errores más comunes es conceder permisos excesivos con perfiles administrativos demasiado amplios, lo que deja vulnerabilidades ante errores humanos o ataques internos. Otro riesgo está en gestionar múltiples administradores sin distinguir correctamente los VDOMs, lo que puede causar cambios no autorizados en dominios erróneos.
Para evitar estos problemas, se recomienda:
- Asignar perfiles mínimos necesarios y revisar periódicamente permisos.
- Configurar VDOMs específicos para limitar ámbito de acción del administrador.
- Utilizar contraseñas robustas y habilitar autenticación de dos factores si es posible.
- Evitar usar nombres genéricos o de usuario compartido (por ejemplo, evitar crear múltiples con el mismo propósito).
- Registrar auditorías y revisar logs con frecuencia para detectar accesos indebidos.
Comandos de CLI útiles para diagnóstico
La CLI de FortiGate permite gestionar y depurar la configuración de administradores fácilmente. A continuación, se muestra el bloque clásico para configurar un administrador local junto con comandos para verificar configuraciones y sesiones activas.
config system admin
edit "root_admin"
set password Som3$ecur3Pass
set accprofile "prof_admin"
set vdom root
next
end
get system admin
get system admin root_admin
diagnose sys admin list
Estos comandos permiten listar todos los administradores configurados, inspeccionar detalles específicos de un usuario y verificar sesiones activas. El comando diagnose sys admin list es especialmente útil para identificar quién está conectado, su VDOM asignado y nivel de perfil. Revisar esta información es clave para auditorías y respuesta ante incidentes de administración.
Buenas prácticas y checklist final
- Documentar claramente cada usuario administrador, su perfil y alcance de VDOM.
- Utilizar perfiles administrativos adaptados al rol para minimizar riesgos.
- Asignar contraseñas robustas y rotarlas periódicamente.
- Implementar autenticación multifactor cuando sea posible.
- Limitar el número total de administradores a lo estrictamente necesario.
- Monitorear el acceso administrativo y revisar logs con frecuencia.
- Testear el acceso y permisos tras cada cambio para evitar errores de configuración.
- Actualizar FortiOS regularmente para aprovechar mejoras de seguridad y nuevas funcionalidades.