La inspección profunda de SSL (deep–inspection) es un componente vital para garantizar la seguridad en redes modernas donde el tráfico cifrado representa la mayoría de la comunicación. En dispositivos Fortinet FortiGate, el modo de inspección SSL combinado con un firewall de próxima generación (NGFW) orientado a políticas y basado en flujos permite un análisis detallado y en tiempo real sin sacrificar rendimiento. Esta guía técnica aborda a fondo la configuración, diagnósticos y mejores prácticas.
Contexto y objetivo de la configuración
El objetivo principal de implementar una inspección SSL deep-inspection en un FortiGate es permitir que el firewall examine el contenido cifrado SSL/TLS para detectar amenazas ocultas, aplicar políticas de seguridad basadas en contenido y ofrecer un control granular sobre el tráfico HTTPS y SSH. La configuración está orientada a entornos con tráfico cifrado predominante, donde el análisis tradicional de paquetes sería insuficiente y evitar el “blindaje” del tráfico es crítico para mitigar riesgos como malware, fugas de datos o ataques dirigidos.
Arquitectura y flujo de tráfico
En esta configuración, el modo de inspección Flow-based se usa para procesar el tráfico en línea a alta velocidad sin interrumpir la conexión. A diferencia del modo Proxy, que puede generar latencias mayores, Flow-based permite una inspección casi transparente, ideal para despliegues en redes de producción con altos volúmenes.
En el corazón de la arquitectura, la función NGFW trabaja con un enfoque Policy-based, aplicando reglas definidas por el administrador que identifican, autentican y controlan las aplicaciones y usuarios específicos. El tráfico SSL es interceptado, se realiza una decripción temporal (man-in-the-middle), inspeccionando a profundidad con las firmas y heurísticas de seguridad, para luego volver a cifrar antes de enviarlo a destino.
Campos principales y parámetros críticos
- Inspection Mode (Flow-based): Permite inspección sin proxy para menor latencia. Seleccionado para equilibrar rendimiento y seguridad.
- NGFW Mode (Policy-based): Control granular con configuración basada en políticas de seguridad, usuarios y aplicaciones.
- SSL/SSH Inspection (deep-inspection): Técnica que realiza inspección completa del contenido SSL/SSH en lugar de solo metadata o heurística básica. Es más intensiva pero mejora detección.
- Certificados CA locales: Requeridos para interceptar y re-firmar conexiones SSL, deben estar correctamente instalados en los dispositivos de usuario final.
- Lista de exclusiones SSL: Para evitar problemas en sitios que no permiten inspección (por ejemplo, bancos o servicios de confianza).
- Políticas de seguridad: Bien definidas, con perfiles UTM, antivirus, IPS y Web Filtering aplicados para la inspección efectiva.
Compatibilidad de versiones y modelos
El modo deep-inspection para SSL está disponible en FortiOS a partir de la versión 6.0 en la mayoría de líneas FortiGate con soporte NGFW. Sin embargo, el rendimiento y algunos parámetros pueden variar según la serie del dispositivo (60E,F,G, 100F, 300D,F,G, etc.). Es esencial garantizar que el firmware esté actualizado a una versión estable que soporte las funcionalidades de inspección avanzada sin degradar el rendimiento ni la estabilidad.
Para modelos de gama baja o entornos con limitaciones de recursos, es posible que sea necesario ajustar parámetros o considerar el modo proxy, aunque con mayor impacto en la latencia.
Escenarios de uso recomendados
- Empresas con alta proporción de tráfico cifrado HTTPS/SSH donde la inspección superficial deja ventanas para amenazas.
- Organizaciones reguladas que requieren cumplimiento normativo con control detallado y registro de actividad en tráfico cifrado.
- Redes con políticas estrictas sobre acceso a aplicaciones web y detección de amenazas avanzadas (APT, malware cifrado).
- Implementaciones de seguridad perimetral donde el balance entre rendimiento y profundidad de análisis es crítico.
Riesgos, errores frecuentes y cómo evitarlos
- Problemas de certificación CA: La falta de distribución e instalación correcta del certificado CA del FortiGate en dispositivos clientes puede generar errores SSL (como certificados no válidos o advertencias). Se debe asegurar la correcta publicación y actualización de esta CA.
- Exclusiones insuficientes: No configurar adecuadamente listas para sitios sensibles puede causar fallas en acceso a portales críticos o aplicaciones que no permiten sniffing SSL.
- Impacto en el rendimiento: Deep-inspection es intensivo en CPU. En dispositivos sin suficiente capacidad puede impactar el throughput. Se recomienda monitorizar constantemente y dimensionar correctamente el hardware.
- Configuración errónea de políticas: Políticas demasiado abiertas o mal ordenadas pueden provocar bypass del análisis o bloqueos incorrectos.
- Errores de versión: Usar versiones de FortiOS con bugs conocidos en SSL puede causar caídas o pérdidas de inspección.
Comandos de CLI útiles para diagnóstico
Un bloque de configuración típico para la inspección deep-inspection en modo flow-based con políticas sería:
config firewall profile-protocol-options
edit "default"
set ssl-allow-version tlsv1-2
set ssl-client-fallback disable
next
end
config firewall ssl-ssh-profile
edit "deep-inspection"
set name "deep-inspection"
config ssl
set inspection-mode deep-inspection
set status enable
end
next
end
config firewall policy
edit 1
set name "policy-deep-inspection"
set srcintf "port1"
set dstintf "port2"
set srcaddr "all"
set dstaddr "all"
set action accept
set schedule "always"
set service "ALL"
set ssl-ssh-profile "deep-inspection"
set inspection-mode flow
set logtraffic all
next
end
Para diagnóstico y visualización del estado, se pueden usar comandos fundamentales:
diagnose debug enable
diagnose debug application sslvpn -1
diagnose sys session list | grep ssl
diagnose firewall ssl-ssh profiles
diagnose debug disable
La salida de diagnose sys session list | grep ssl muestra sesiones activas con inspección SSL aplicadas, permitiendo validar que las políticas y perfiles se apliquen correctamente. Los logs y debug del módulo sslvpn dan detalles sobre la negociación SSL y problemas posibles. Esta información es imprescindible para identificar fallos en la inspección, como errores de certificado o incompatibilidades.
Buenas prácticas y checklist final
- Instalar y distribuir adecuadamente certificados CA generados por FortiGate para evitar errores SSL en clientes.
- Configurar adecuadamente exclusiones para sitios sensibles que no permiten inspección deep-inspection.
- Monitorear el consumo de CPU y throughput tras activar deep-inspection para evitar cuellos de botella.
- Usar políticas claramente definidas y ordenadas para aplicar inspección solo al tráfico necesario, reduciendo carga.
- Actualizar FortiOS a versiones estables y certificados para mejorar compatibilidad y reducir bugs.
- Hacer pruebas de conectividad y tráfico tras configuraciones para validar implementación antes de producción.
- Documentar la configuración y cambios, facilitando futuras auditorías y mantenimiento.