Autorización de dispositivos en FortiGate Security Fabric

La autorización de dispositivos en FortiGate Security Fabric es una configuración esencial que permite gestionar y controlar qué dispositivos pueden integrarse y operar dentro del entorno de seguridad fabricado. Esta funcionalidad es clave para proteger la red de accesos no autorizados y garantizar la integridad del ecosistema interconectado mediante Fortinet Security Fabric.

Campos principales

• Device/Serial: Este campo es utilizado para ingresar el número de serie único del dispositivo que se desea autorizar. Es fundamental que este dato sea exacto para no permitir accesos no deseados.
• Authorization type: Define el método de autorización que se empleará para validar al dispositivo. Las opciones comunes incluyen el número de serie o un certificado digital. La elección impacta directamente en el nivel de seguridad y facilidad de gestión.
• Certificate: En caso de elegir la autorización por certificado, aquí se carga el archivo PEM correspondiente. Los certificados proporcionan autenticación criptográfica robusta, asegurando la identidad genuina del dispositivo.
• Action: Determina la acción que se realizará tras la evaluación del dispositivo: aceptar (Accept) o denegar (Deny) el acceso a la red fabric. Esta selección es crítica para controlar la inscripción y mantener la seguridad.

Compatibilidad de versiones y modelos

La autorización de dispositivos mediante número de serie o certificados está disponible generalmente a partir de FortiOS 7.4.x,7.6.x, siendo una función consolidada y mejorada en versiones posteriores como 7.4.x,7.6.x, 7.0 y 7.2. Este tipo de configuración es habitual en FortiGate de gama media y alta, incluyendo modelos desplegados en centros de datos y sucursales, pero puede tener limitaciones en modelos de menor capacidad o muy antiguos.

En modelos pequeños o con versiones anteriores a 7.4.x,7.6.x, la interfaz para administrar dispositivos autorizados puede no estar presente o carecer de soporte para la autorización basada en certificados, limitándose a métodos más básicos. Además, ciertos campos o parámetros pueden haber cambiado de nombre o ubicación en el firmware debido a actualizaciones en la interfaz gráfica o CLI.

Escenarios de uso y recomendaciones

• Integración de múltiples dispositivos FortiGate en un Security Fabric: Mediante la autorización por número de serie o certificado, se asegura que sólo los dispositivos preaprobados puedan conectarse y compartir información de seguridad.
• Control estricto en redes con alta sensibilidad: En entornos donde la seguridad es prioritaria, la autorización por certificados garantiza autenticación criptográfica, dificultando la suplantación de dispositivos.
• Evitar accesos no autorizados: Si la configuración se implementa de forma incorrecta —por ejemplo, aceptando dispositivos sin una verificación adecuada— puede comprometer la seguridad general del fabric y exponer la red a brechas.
• Recomendaciones del fabricante: Fortinet sugiere mantener actualizados los certificados, gestionar cuidadosamente los dispositivos autorizados y usar certificados firmados por una autoridad certificadora confiable para un entorno seguro.

Comandos de CLI útiles para diagnóstico

• diagnose debug application fnsysctl -1: Permite observar la actividad del sistema relacionada con Security Fabric.
• show system security-fabric device-authorization: Visualiza la lista de dispositivos autorizados y sus detalles.
• execute security-fabric device authorize certificate : Autoriza un dispositivo vía CLI introduciendo su número de serie y certificado.
• diagnose debug enable seguido de diagnose debug disable: Útiles para activar y desactivar el modo debug y revisar logs relacionados con la autenticación y autorización de dispositivos.

Buenas prácticas de configuración

• Verificar que el número de serie y el certificado sean los correctos para evitar autorizaciones indebidas.
• Actualizar regularmente los certificados y reemplazarlos antes de su expiración.
• Utilizar certificados firmados por una autoridad certificadora reconocida para asegurar la validez.
• Limitar el acceso a la interfaz de administración de Security Fabric a personal autorizado.
• Documentar cada dispositivo autorizado y mantener un registro de cambios para auditorías futuras.
• Testear periódicamente la comunicación y autorización de dispositivos para detectar fallos o intentos de acceso no autorizados.
• Evitar acciones de «Accept» sin una verificación previa adecuada; para dispositivos desconocidos, usar denegación o cuarentena hasta validar.