Configuración y optimización de Overlay Controller VPN en FortiGate

La configuración del Overlay Controller VPN en dispositivos FortiGate es una solución avanzada que permite gestionar y optimizar conexiones VPN tipo overlay, específicamente para arquitecturas de red que requieren alta escalabilidad y flexibilidad como las topologías hub-and-spoke o full mesh. Esta funcionalidad resuelve problemas relacionados con la complejidad y la gestión masiva de túneles VPN, facilitando el despliegue de redes privadas distribuidas mediante el servicio OCVPN (Overlay Controller VPN) que utiliza la infraestructura de FortiCloud para la coordinación y administración centralizada.

Campos principales

  • FortiCare support: Indica si el dispositivo posee soporte activo con FortiCare, necesario para garantizar actualizaciones y acceso a servicios gestionados.
  • OCVPN service: Activa o desactiva la funcionalidad Overlay Controller VPN, habilitando la comunicación basada en túneles configurados a través de FortiCloud.
  • Status: Muestra si el servicio OCVPN está habilitado o no. Habilitarlo es obligatorio para que el rol seleccionado pueda participar en la VPN overlay.
  • Role: Determina el rol del dispositivo en la topología VPN. Puede ser Primary Hub (nodo central principal), Secondary Hub (nodo secundario de respaldo) o Spoke (nodos remotos). La correcta asignación es crucial para el correcto enrutamiento y distribución del tráfico.
  • WAN interface: Especifica la interfaz de salida por la que se establecerán los túneles VPN. Normalmente se selecciona la interfaz con salida a internet pública.
  • Tunnel IP allocation block: Define el rango o bloque de direcciones IP privadas asignadas para los túneles overlay. Es indispensable que sea un rango no utilizado en la red local para evitar conflictos de routing.
  • Auto-discovery shortcuts: Función deshabilitada en la configuración mostrada. Al activarla, permite que los dispositivos descubran automáticamente accesos directos para optimizar la conectividad de túneles.
  • Add OCVPN tunnels to SD-WAN: Permite incluir los túneles VPN overlay dentro de una configuración SD-WAN para balanceo de carga o redundancia. Está desactivado en este caso.
  • Overlays: Lista de configuraciones específicas de subredes locales y sus interfaces asociadas que participan en el overlay. Aquí aparece un overlay llamado «RandD» con la subred 10.140.113.0/24, indicando qué segmentos de red están disponibles para acceso a través de la VPN.
  • FortiClient Access: Opción para permitir el acceso de clientes FortiClient a la VPN overlay, desactivada en esta configuración, lo que restringe el acceso remoto a clientes específicos.

Compatibilidad de versiones y modelos

La funcionalidad Overlay Controller VPN generalmente está disponible en FortiOS a partir de la versión 7.4.x,7.6.x en adelante, con mejoras y nuevos parámetros introducidos en versiones 7.4.x,7.6.x, 7.0 y posteriores. Esto se debe a la continua evolución de la arquitectura cloud integrada y al soporte para VPNs SD-WAN avanzadas.

Está orientado a modelos FortiGate de gama media y alta que cuentan con la capacidad suficiente para manejar múltiples túneles VPN y alta concurrencia, incluyendo equipos de sucursales y data centers que requieren conectividad distribuida mediante topologías overlay. Los modelos de menor capacidad o aquellos con firmware muy antiguos pueden no disponer de esta función o tener limitaciones en la cantidad de túneles soportados y la integración con FortiCloud.

El interfaz gráfico puede cambiar entre versiones, moviendo filtros o renombrando parámetros. Por ejemplo, el bloque de direcciones IP para túneles y los roles pueden tener opciones adicionales o ajustes finos en versiones recientes, así como la integración con SD-WAN mejora en FortiOS 7.x. Es importante revisar la versión específica para entender las capacidades exactas disponibles y adaptar la configuración en consecuencia.

Escenarios de uso y recomendaciones

  • Conectividad entre oficinas distribuidas: Una empresa con múltiples sucursales puede usar esta configuración para interconectar todas sus redes locales a través de túneles seguros y gestionados centralizadamente, con el hub principal asignado a la sede central y las sucursales como spokes.
  • Seguridad y aislamiento de subredes: Al definir las subredes locales y limitar las interfaces que participan, se protege la red de accesos no autorizados y se controla el tráfico entre ubicaciones.
  • Optimización del tráfico con SD-WAN: Añadir los túneles a la SD-WAN permite balancear el tráfico de red por múltiples enlaces WAN, aumentando la alta disponibilidad y eficiencia.
  • Backup y redundancia: Asignar roles de Primary Hub y Secondary Hub permite configurar una arquitectura tolerante a fallos que garantiza continuidad ante caídas de enlaces o equipos.
  • Riesgo de configuración errónea: Asignar un bloque IP para túneles que coincida con una subred local puede generar conflictos graves de routing y pérdida de conectividad. Además, habilitar mal los servicios o interfaces puede afectar la seguridad o la disponibilidad.
  • Recomendación del fabricante: Se aconseja mantener siempre actualizado el firmware para aprovechar las últimas mejoras, configurar correctamente los roles y segmentos IP, habilitar autenticación fuerte y control preciso de accesos mediante políticas complementarias.

Comandos de CLI útiles para diagnóstico

  • get system performance status: Para verificar el uso general del dispositivo y asegurarse que la VPN overlay no esté afectando recursos.
  • diagnose vpn overlay-control show: Muestra el estado actual del controlador overlay, incluyendo miembros y túneles establecidos.
  • diagnose debug application overlay-control -1: Activa la depuración para la función overlay control y ayuda a diagnosticar problemas de conexión entre nodos.
  • get system interface: Para revisar las interfaces activas y confirmar que la interfaz WAN configurada esté activa y correctamente asignada.
  • show vpn overlay: Presenta la configuración actual del overlay VPN para verificar parámetros configurados.
  • execute log filter category vpn seguido de execute log display: Para revisar logs específicos relacionados con la VPN overlay y detectar errores o rechazos.

Buenas prácticas de configuración

  • Asignar bloques IP para túneles overlay que no interfieran con subredes internas o públicas para evitar conflictos de ruta y problemas de comunicación.
  • Mantener roles bien definidos y documentados (Primary Hub, Secondary Hub, Spoke) para evitar malfuncionamientos en la topología.
  • Integrar con políticas de firewall estrictas para limitar accesos en la VPN y segmentar tráfico según necesidades de seguridad.
  • Actualizar FortiOS regularmente para incorporar mejoras, nuevas características y correcciones de seguridad.
  • Validar con comandos CLI y monitoreo continuo el estado de los túneles overlay, detectando problemas antes que impacten al negocio.
  • En ambientes con SD-WAN, verificar la correcta inclusión de los túneles OCVPN para que el tráfico pueda balancearse eficientemente.
  • Evitar activar funciones automáticas sin entender su impacto, como el auto-discovery shortcuts, que pueden generar rutas inesperadas o comportamientos no deseados.