Interfaces VLAN en FortiGate FortiOS

En entornos de redes empresariales, la segmentación de tráfico y la gestión eficiente de interfaces es fundamental para mantener la seguridad y optimizar el rendimiento. La configuración de interfaces VLAN en dispositivos FortiGate es una técnica común para separar dominios de broadcast, garantizar aislamiento entre zonas y mejorar la administración del tráfico. Este tipo de configuración permite asignar subredes específicas a interfaces virtuales asociadas a puertos físicos del firewall, facilitando así la segmentación de la red sin necesidad de multiples dispositivos físicos.

La configuración VLAN en FortiGate resuelve problemas relacionados con la gestión de redes complejas, mejora la seguridad al limitar el ámbito de las comunicaciones y permite aplicar políticas de firewall diferenciadas para cada segmento. Además, incluir opciones como administración remota segura (HTTPS, SSH) y servicios de monitoreo (SNMP) asegura un control exhaustivo de cada segmento.

Campos principales

• Name: Identificador de la interfaz VLAN. Se utiliza para referenciar la interfaz en políticas y configuraciones. En este caso, se denomina VLAN103 (test_interface), lo que indica que es una VLAN de prueba asociada al puerto físico port3.
• VRF (Virtual Routing and Forwarding): Valor asignado que indica tablas de enrutamiento separadas dentro del mismo dispositivo. El valor 14 indica que esta interfaz usa la tabla de enrutamiento número 14, aislando su tráfico de otras VRFs.
• Type: Define que es una VLAN, es decir, una interfaz virtual creada sobre una interfaz física para segmentar tráfico.
• Members: Interfaz física a la que está asociada la VLAN. Aquí es port3, puerto físico del firewall que sirve de troncal para esta VLAN.
• IP/Netmask: La dirección IP y máscara asignada a la VLAN para gestión y enrutamiento. La IP 10.1.22.1/255.255.255.0 indica que la VLAN tiene su propio segmento de red.
• Transceiver(s): Permite ver, en modelos compatibles, el estado y tipo de transceptor físico si aplica, aunque para VLAN puede estar vacío o no relevante.
• Administrative Access: Define los métodos permitidos para administrar esta interfaz de forma remota o local. En este caso, se permiten PING (pruebas ICMP), HTTPS (acceso web seguro), SSH (línea de comandos segura) y SNMP (monitoreo de red). Activar estas opciones implica permitir acceso administrativo limitado a estos protocolos.
• DHCP Clients: Número de clientes DHCP conectados a esta interfaz. Aparece vacío en este ejemplo, lo que podría significar que no se han conectado todavía dispositivos o que DHCP no está activo en la interfaz.
• DHCP Ranges: Rango de direcciones IP que el servidor DHCP puede asignar a clientes en esta VLAN. En el ejemplo, abarca desde 10.1.22.2 hasta 10.1.22.254, cubriendo prácticamente toda la subred.

Compatibilidad de versiones y modelos

La funcionalidad de interfaces VLAN está disponible en la gran mayoría de versiones de FortiOS desde las series 5.x en adelante, con mejoras y cambios en la interfaz gráfica y CLI en versiones más recientes como 7.4.x,7.6.x, 7.0 y 7.2. FortiOS continua optimizando estas configuraciones para facilitar la gestión y agregar nuevas características como soporte para VRF, mejora en SNMP y administración segura.

Esta configuración es común en modelos FortiGate de gama media y alta, como las series 100E,F,G, 200F, 300E,F,G y superiores, que soportan múltiples interfaces físicas y virtuales para entornos empresariales complejos. Modelos más pequeños o antiguos pueden tener limitaciones en la creación de VLANs múltiples o en adquirir características avanzadas como VRF o soporte robusto para SNMP.

En versiones antiguas o en modelos más reducidos, algunas opciones pueden cambiar de nombre o estar ausentes. Por ejemplo, el parámetro de acceso administrativo ha tenido modificaciones en la nomenclatura, y la capacidad de gestión remota vía HTTPS y SSH podría verse limitada o requerir actualización del firmware. Además, en algunos dispositivos las VLANs pueden estar limitadas en número o las tablas VRF no estar disponibles o tener funcionalidad parcial.

Escenarios de uso y recomendaciones

Las VLANs en FortiGate se emplean para segmentar claramente áreas de la red como DMZ, redes de usuarios, redes de invitados o áreas administrativas, manteniendo controles diferenciados para cada segmento. Por ejemplo, separar tráfico entre VLANs reduce el riesgo de accesos no autorizados y permite aplicar políticas de firewall más estrictas.

Un escenario típico es asignar una VLAN específica para servidores de prueba o desarrollo, evitando que ese tráfico impacte la red principal o que usuarios sin permisos accedan a esos recursos. Adicionalmente, la asignación de rango DHCP y administración vía SSH o HTTPS en la VLAN permite al equipo de redes gestionar la interfaz de forma segura.

Si se configura incorrectamente, como asignar un rango DHCP fuera de la subred o habilitar acceso administrativo sin restricciones, se pueden generar vulnerabilidades o problemas de conectividad. El acceso administrativo debe restringirse a rangos IP seguros y preferiblemente habilitar autenticación multifactor para dispositivos críticos.

Fortinet recomienda siempre mantener firmwares actualizados, documentar cada VLAN con sus propósitos y limitar accesos administrativos sólo a lo imprescindible, usando HTTPS y SSH con certificados y claves robustas.

Comandos de CLI útiles para diagnóstico

• show system interface: Lista todas las interfaces configuradas con detalles de IP, tipo y miembros.
• diagnose hardware deviceinfo nic port3: Muestra detalles del hardware asociado a la interfaz física port3.
• get system dhcp server: Muestra los servidores DHCP configurados, útil para verificar rangos asignados a VLANs.
• execute ping 10.1.22.2: Prueba conectividad dentro de la VLAN asignada.
• diagnose debug enable y diagnose debug application ssh -1: Acciones para diagnosticar fallos en acceso SSH a la interfaz.
• config system interface
edit VLAN103
show: Permite revisar la configuración específica de la interfaz VLAN.

Buenas prácticas de configuración

• Asignar nombres descriptivos y documentar el propósito de cada VLAN para facilitar mantenimiento.
• Usar VRF para segmentar rutas cuando sea necesario, evitando conflictos de enrutamiento.
• Limitar acceso administrativo a direcciones IP confiables y usar siempre HTTPS y SSH para administración remota.
• Configurar rangos DHCP que coincidan con las subredes asignadas para evitar conflictos de IP.
• Actualizar el firmware para aprovechar mejoras en seguridad y nuevas funcionalidades.
• Evitar habilitar en interfaces VLAN servicios innecesarios que puedan aumentar la superficie de ataque.
• Realizar pruebas periódicas de conectividad y acceso para asegurar que la configuración cumpla con las políticas de red y seguridad.
• Monitorear tráfico mediante SNMP para detectar anomalías y mantener la salud de la red.