Control de Acceso MAC en FortiGate

En entornos de red donde la seguridad y el control del acceso de dispositivos es crucial, implementar mecanismos basados en la dirección MAC se vuelve una solución efectiva para reforzar la seguridad en la capa de enlace. Esta configuración corresponde a un control de acceso mediante listado y validación de direcciones MAC en dispositivos FortiGate. Permite únicamente que determinados dispositivos con direcciones MAC autorizadas puedan acceder a ciertos recursos o segmentos de la red, bloqueando cualquier intento de acceso desde dispositivos no reconocidos.

Campos principales

• mac-addr-check (enable/disable): Activa o desactiva la verificación de las direcciones MAC en el dispositivo. Al habilitarlo, el firewall procesará las reglas relacionadas para permitir o denegar accesos según la MAC.
• mac-addr-action (allow/deny): Define la acción que se aplicará a las MAC que coincidan en la lista configurada. «Allow» permite el acceso solo si la dirección MAC está listada, mientras que «deny» bloquea el acceso para esas MAC específicas.
• mac-addr-check-rule: Sección donde se definen las reglas específicas de control, cada una con un nombre identificativo, que agrupa una lista de direcciones MAC permitidas o bloqueadas.
• mac-addr-list: Lista concreta de direcciones MAC en formato hexadecimal. Cada una representa un dispositivo autorizado o bloqueado según la regla definida.

Escenarios de uso y recomendaciones

Este tipo de configuración es especialmente útil en redes corporativas o educativas donde se desea limitar el acceso a equipos autorizados, evitando intrusiones físicas o ataques de suplantación desde dispositivos desconocidos. Por ejemplo, en una red WiFi empresarial, aplicar un filtro por MAC impide el acceso a dispositivos no registrados, complementando otras medidas como la autenticación 802.1X.

Un error común es confiar únicamente en el filtrado MAC, ya que estas direcciones pueden ser falsificadas. Por ello, esta configuración debe combinarse con autenticación robusta y monitoreo continuo.

Para garantizar la seguridad, Fortinet recomienda actualizar periódicamente las listas MAC, registrar correctamente los dispositivos autorizados, y combinar esta técnica con políticas complementarias en capa 3 y superior.

Comandos de CLI útiles para diagnóstico

• show full-configuration: Permite visualizar la configuración completa relacionada con las reglas de mac-addr-check y verificar que esté correctamente aplicada.
• diag firewall mac-addr-check list: Comando para listar todas las MAC activas y las reglas que se están aplicando en tiempo real.
• diag debug enable seguido de diag debug flow filter mac <MAC address>: Para activar la depuración y filtrar tráfico asociado a una MAC específica, ayudando a entender cómo se comporta el firewall con ese dispositivo.
• get system performance top: Muestra el uso de recursos y puede ayudar a identificar si la verificación de MAC está generando sobrecarga o impactando rendimiento.

Buenas prácticas de configuración

• Actualizar regularmente la lista de direcciones MAC autorizadas para evitar accesos no deseados.
• Evitar usar únicamente el control por MAC para seguridad crítica; combinar con autenticación de usuarios y segmentación de red.
• Documentar exhaustivamente los dispositivos autorizados y sus direcciones MAC para una gestión óptima.
• Monitorizar y auditar accesos continuamente para detectar intentos de suplantación o accesos no autorizados.
• Configurar correctamente la acción mac-addr-action según la política deseada: por defecto verificar si se permite o se bloquea.
• Realizar pruebas de acceso con diferentes dispositivos para validar que la configuración funciona sin bloquear legítimos ni permitir intrusos.
• Usar nombres descriptivos para las reglas mac-addr-check-rule, facilitando administración y mantenimiento.