Políticas de firewall en FortiGate

En el entorno de las redes corporativas, las políticas de firewall son esenciales para controlar el tráfico entre diferentes segmentos de red y garantizar la seguridad perimetral. En FortiGate, la creación de una política de firewall que incluya interfaces específicas, fuentes, destinos, servicios y acciones, permite definir con precisión qué tráfico está autorizado y bajo qué condiciones. Esta configuración resuelve la necesidad de administrar accesos basados en usuarios o grupos, asegurando que solo el tráfico legítimo circule de una interfaz de entrada a otra de salida, aportando visibilidad y control granular en la red.

Campos principales

Cada campo dentro de la configuración tiene una función puntual para definir la política de firewall:

• ID: Es el identificador interno de la política, usualmente asignado automáticamente. Facilita la referencia y orden dentro del listado de políticas.
• Name: Nombre descriptivo de la política para fácil reconocimiento, muy útil en entornos con múltiples políticas.
• Incoming Interface: Especifica la interfaz de red donde ingresa el tráfico que será evaluado contra esta política. Por ejemplo, port1 puede ser una interfaz LAN o de un segmento confiable.
• Outgoing Interface: Define hacia dónde se dirige el tráfico que cumple con la política, aquí port2 podría representar la conexión hacia otra VLAN, DMZ o WAN.
• Source (Fuente): Es uno de los elementos más importantes, donde se indican los orígenes del tráfico permitidos. En este caso, puede incluir desde todas las direcciones (all) hasta grupos específicos de usuarios o identidades como FSSO-CPPM, empleado para integrar usuarios autenticados mediante Fortinet Single Sign-On (FSSO).
• Negate Source: Si está activado, la política aplicaría a todo excepto a las fuentes definidas. Aquí está desactivado, por lo que solo las fuentes listadas son permitidas.
• Destination (Destino): Define las direcciones o grupos hacia donde se permite el tráfico. En este ejemplo es all, permitiendo acceso a cualquier destino.
• Negate Destination: Similar al anterior, invierte la definición de destino. Aquí está desactivado.
• Schedule (Horario): Establece cuándo la política está activa. La opción always significa que la regla siempre está vigente.
• Service: Define los tipos de servicios o puertos permitidos, en este caso ALL, lo que implica todos los servicios y protocolos.
• Action (Acción): Determina si el tráfico que coincide se acepta (ACCEPT), se rechaza (DENY) o usa IPsec para VPN. Aquí está en modo aceptar.
• Inspection Mode (Modo de inspección): Puede ser Flow-based (basado en flujo) o Proxy-based (basado en proxy). La opción flow-based es más ligera y eficiente en el procesamiento del tráfico.
• NAT: Indica si se aplica traducción de direcciones (Network Address Translation) a los paquetes que pasan por la política. Está activado para usar la dirección de la interfaz de salida.
• IP Pool Configuration: Define la dirección IP que se usará en el NAT. En este caso, se usa la dirección de la interfaz saliente (outgoing).
• Preserve Source Port: Mantiene el puerto origen original. Aquí está desactivado, permitiendo al firewall cambiar puertos si es necesario.
• Protocol Options: Permite ajustar configuraciones de protocolos específicos para esta política, con la opción por defecto seleccionada.

Compatibilidad de versiones y modelos

Las políticas de firewall con funcionalidades de usuario integrado, como la inclusión de grupos FSSO, están disponibles principalmente a partir de FortiOS 5.x y mejoradas en versiones posteriores como la 6.0, 7.4.x,7.6.x, 7.4.x,7.6.x y las series 7.x. Estas versiones incorporan soporte completo para el Single Sign-On de Fortinet, perfiles de inspección avanzados y opciones flexibles para NAT y programación.

Generalmente, todos los modelos FortiGate de gama media y alta soportan estas configuraciones, incluyendo las series de appliances para datacenter y sucursales con capacidades suficientes para manejar inspección profunda y autenticación integrada. Los modelos más pequeños o domésticos pueden carecer de soporte para FSSO o servicios de inspección proxy avanzados.

En versiones muy antiguas, la interfaz gráfica para la gestión de políticas puede variar significativamente, con campos distribuidos de forma diferente y menos opciones para agrupamiento de usuarios o integración con fuentes externas de autenticación. Algunos parámetros han cambiado de nombre o fueron mejorados para facilitar la administración y el rendimiento.

Escenarios de uso y recomendaciones

Este tipo de política se utiliza en escenarios donde es fundamental garantizar el control del acceso basado en usuarios o grupos. Por ejemplo, en una red corporativa donde se quiere permitir el acceso desde una VLAN interna a la WAN pero solo para usuarios autenticados mediante FSSO, asegurando que solo quienes hayan ingresado con credenciales corporativas puedan navegar.

Si la política se configura incorrectamente —por ejemplo, usando ‘all’ en la fuente sin restricciones, o negando un grupo crítico por error— se podría permitir acceso no deseado o bloquear tráfico legítimo, generando brechas de seguridad o problemas operativos.

Fortinet recomienda segmentar cuidadosamente los grupos y no usar rangos demasiado amplios en el origen cuando se trabaja con autenticación para mantener la visibilidad y control eficiente. También sugiere activar los logs de tráfico y alertas para detectar anomalías y ajustar la política rápidamente en caso de incidentes.

Comandos de CLI útiles para diagnóstico

• show firewall policy: Muestra todas las políticas configuradas, permitiendo verificar parámetros y secuencia de evaluación.
• diagnose firewall iprope lookup : Permite simular y verificar qué política aplicaría a un paquete específico, útil para debugging de tráfico.
• diagnose debug enable y diagnose debug application fnbamd -1: Activan el debug del daemon de autenticación para ver eventos relacionados con FSSO y usuarios.
• get user group: Muestra información sobre los grupos de usuarios configurados y miembros conectados.
• diagnose debug flow filter add junto con diagnose debug flow show console enable: Para seguir el flujo de tráfico enfocado en un usuario o IP específica.

Buenas prácticas de configuración

• Limitar al máximo posible el alcance de la fuente para minimizar acceso innecesario y riesgos.
• Evitar usar ‘all’ en el campo fuente cuando se emplean grupos de usuarios autenticados, para no perder control.
• Documentar cada política detalladamente en el campo nombre y comentarios para facilitar mantenimiento.
• Activar registros (logging) con nivel adecuado para auditorías y resolución de problemas.
• Probar las políticas iterativamente en un entorno controlado antes de aplicarlas en producción.
• Actualizar firmware para aprovechar mejoras en autenticación y procesamiento de tráfico.
• Asegurarse de que las interfaces y zonas definidas estén correctamente asociadas y en funcionamiento.
• Considerar la inspección proxy para aplicaciones críticas con necesidad de inspección profunda, aunque se incremente la carga.