Políticas de firewall FortiGate

Las políticas de firewall en equipos FortiGate son reglas que definen cómo se controla el tráfico entre las distintas interfaces de red. Esta configuración en particular corresponde a una política que regula el flujo de paquetes entre dos VLANs con NAT habilitado, permitiendo un control detallado sobre el origen, destino, y servicios permitidos o denegados. Resuelve el problema de segmentación y control del tráfico en la red, asegurando que solo el tráfico autorizado pueda pasar y aplicando traducción de direcciones para mantener la consistencia de las comunicaciones salientes.

Campos principales

• ID: Identificador único de la política dentro del firewall, útil para administración y referencia rápida.
• Name: Nombre descriptivo para identificar fácilmente la función o segmento que controla la política, en este caso «Demo_Policy».
• Incoming Interface: La interfaz o VLAN desde donde llega el tráfico a evaluar. Aquí se ha configurado «To_vlan20 (wan2)», un punto de entrada específico.
• Outgoing Interface: La interfaz por donde saldrá el tráfico que cumple la regla, en este caso «To_vlan30 (wan1)», el destino final dentro de la red o hacia internet.
• Source: Define las direcciones o grupos de origen permitidos para esta política. El valor «all» indica que se aceptan todas las fuentes.
• Negate Source: Al activarlo, la regla aplica a todo excepto a las fuentes especificadas. Aquí está desactivado para aplicar solo a los indicados.
• Destination: Define las direcciones, rangos, o servicios destino permitidos. Se ha seleccionado un servicio de Internet específico «test-location-isdb-1» para restringir el acceso a destinos concretos.
• Negate Destination: Similar al de origen, permite excluir destinos indicados si se activa. Aquí está desactivado.
• Schedule: Permite definir horarios en los que la política está activa. En este caso se usa «always», es decir, siempre está activa.
• Action: Define la acción al coincidir con la política: «ACCEPT» para permitir el paso, «DENY» para bloquear, y «IPsec» para túneles VPN. Aquí se permite el tráfico.
• Inspection Mode: Determina el método de inspección del tráfico, «Flow-based» es más rápido y eficiente, mientras que «Proxy-based» ofrece mayor capacidad de análisis pero con más consumo de recursos. Está configurado con «Flow-based».
• NAT: Activado para permitir la traducción de direcciones IP, fundamental cuando el tráfico debe salir a redes con diferentes esquemas de direccionamiento.
• IP Pool Configuration: Selecciona la dirección IP usada en la traducción NAT. «Use Outgoing Interface Address» significa que se emplea la IP de la interfaz de salida, simplificando la configuración y gestión.
• Preserve Source Port: Permite conservar el puerto de origen original en la traducción. Está desactivado posiblemente para evitar problemas con algunos protocolos que dependen de la traducción de puertos.
• Protocol Options: Permiten ajustar características del protocolo inspectado, con perfiles específicos para mejorar la seguridad y rendimiento según el tipo de tráfico.

Compatibilidad de versiones y modelos

Las políticas de firewall con estas opciones se encuentran comúnmente en FortiOS desde versiones 6.0 en adelante, con mejoras continuas en 7.4.x,7.6.x, 7.4.x,7.6.x, hasta las actuales 7.x. La interfaz gráfica ha sufrido cambios menores que mejoran la usabilidad y la agregación de servicios de Internet para facilitar la configuración.

Esta configuración es típica en dispositivos FortiGate de gama media a alta, como los modelos de la serie 200E,F,G (incluyendo el 201E), 300E,F,G o superiores, orientados a sucursales y medianas empresas. Modelos más pequeños o antiguos pueden carecer de algunas opciones avanzadas, como listas de servicios predefinidos integradas o perfiles detallados de protocolos.

Limitaciones comunes incluyen la ausencia de NAT avanzado o inspección proxy en versiones muy antiguas o firmware básico, además en modelos pequeños a veces no está disponible la selección de IP pool dinámica. También, algunos parámetros han cambiado de ubicación o nombre con las actualizaciones, por ejemplo, la segmentación entre modos «Flow-based» y «Proxy-based» se ha clarificado en interfaces recientes.

Escenarios de uso y recomendaciones

Esta clase de política es ideal para segmentar segmentos de red internos, filtrando tráfico desde una VLAN hacia otra, o controlar salidas a Internet según servicios permitidos. Por ejemplo, si una sucursal tiene múltiples VLAN, se puede controlar qué VLAN puede acceder a ciertos recursos remotos o servicios de la nube, manteniendo el control y limitando superficies de ataque.

Un mal uso típico es configurar una política demasiado permisiva con «Source» en «all» y un destino amplio o sin NAT, lo que puede provocar brechas de seguridad o pérdida de control sobre la salida de datos. También olvidar activar NAT en salidas hacia Internet podría generar problemas de conexión por direccionamiento inapropiado.

Fortinet recomienda usar siempre nombres descriptivos en las políticas para facilitar gestión y troubleshooting. También validar la necesidad real de NAT y elegir el modo de inspección adecuado según la carga y necesidades de análisis (flow-based para alto rendimiento, proxy para entornos con inspección profunda).

Comandos de CLI útiles para diagnóstico

• show firewall policy id 99 – Muestra la configuración exacta de la política con ID 99 para verificar parámetros desde CLI.
• diag firewall iprope lookup – Permite verificar qué política aplica a un flujo determinado, útil para validar el comportamiento.
• diag debug enable seguido de diag debug application firewall -1 – Activa el debug de firewall para monitorear en tiempo real el tráfico y verificar rechazos o aceptaciones.
• get system performance top – Para revisar el uso de recursos, útil si se usa inspección proxy y se quieren detectar cuellos de botella.
• execute ping-options source más execute ping – Verifica conectividad desde la IP de interfaz configurada en NAT.

Buenas prácticas de configuración

• Utilizar nombres claros y descriptivos en políticas y objetos para facilitar mantenimiento.
• Limitar el origen y destino al mínimo necesario, evitando usar «all» salvo que sea imprescindible.
• Revisar que el NAT esté activado cuando el tráfico salga a una red con esquema IP diferente para evitar problemas de ruteo.
• Elegir el modo de inspección adecuado (flow-based para entornos con alta carga, proxy-based para análisis profundo).
• Actualizar firmware regularmente para aprovechar mejoras y parches de seguridad.
• Evitar la combinación simultánea de negate source y negate destination sin un análisis cuidadoso para no bloquear tráfico legítimo.
• Validar las políticas en entornos de prueba antes de aplicarlas en producción.
• Monitorear logs y estadísticas para detectar patrones inusuales o fallos en la política.