Políticas Firewall IPv6 con geolocalización en FortiGate 60E,F,G

En entornos de red modernos, donde la adopción del protocolo IPv6 es cada vez más importante, disponer de políticas de firewall que incluyan reglas específicas para tráfico IPv6 y funcionalidades avanzadas como la geolocalización, resulta fundamental para incrementar la seguridad y optimizar el control del acceso a la red. Esta configuración corresponde a una política de firewall que utiliza direcciones IPv6 y emplea un objeto de ubicación geográfica para filtrar tráfico de una región específica (en este caso, Canadá). Esta técnica contribuye a restringir o permitir el tráfico basado en la ubicación geográfica, mejorando la capacidad de defensa contra accesos no autorizados o ataques dirigidos desde regiones específicas.

Campos principales

• Nombre (Name): Identifica la política para facilitar su administración. Aquí se muestra como «test-policy6-1». Un nombre claro ayuda a reconocer rápidamente la función y destino de la regla.
• Origen (Source): Define la interfaz o grupo de interfaces de donde proviene el tráfico. En este caso, «all» indica que la política aplica para todo el tráfico entrante sin restricción de origen.
• Destino (Destination): Utiliza un objeto denominado «test-ipv6-geoip» que representa una dirección o rango IPv6 asociado a una ubicación geográfica específica, en este caso Canadá. La geolocalización funciona mediante bases de datos que correlacionan rangos IP con regiones o países.
• Horario (Schedule): Establece cuándo está activa la política, aquí configurada como «always», es decir siempre activa, para asegurar que la regla se aplica en todo momento.
• Servicio (Service): Define el tipo de tráfico permitido o bloqueado basado en protocolos y puertos. En este ejemplo es «ALL», permitiendo todo tipo de servicios o protocolos.
• Acción (Action): La política tiene la acción «ACCEPT», lo que significa que permitirá el paso del tráfico que cumpla las condiciones de origen, destino y servicio.
• NAT (Network Address Translation): Está habilitado. Esto transforma las direcciones de origen o destino cuando el paquete atraviesa el firewall, facilitando el acceso a recursos internos o externos, y es común en escenarios de salida a Internet.
• Perfiles de Seguridad (Security Profiles): Aquí se indica «no-inspection», lo que significa que el tráfico que pasa por esta política no será inspeccionado por mecanismos de seguridad adicionales, como antivirus o detección de intrusos. Puede ser útil para tráfico confiable o para evitar impacto en rendimiento.
• Registro (Log): Indicado como «UTM», lo que sugiere que se guardan registros de tráfico según las políticas de gestión unificada de amenazas, permitiendo análisis y auditoría posterior.

Compatibilidad de versiones y modelos

La funcionalidad de políticas de firewall con soporte para IPv6 y geolocalización está disponible en versiones modernas del sistema operativo FortiOS, típicamente a partir de FortiOS 7.4.x,7.6.x en adelante, con ampliaciones y mejoras notables en versiones 7.4.x,7.6.x, 7.0 y 7.2. La base de datos de geolocalización puede actualizarse periódicamente para mantener precisión. En equipos de gama media como el FortiGate 60E,F,G empleado en la configuración, esta funcionalidad está plenamente soportada, facilitando la gestión para entornos de sucursales o medianas empresas.

Modelos más pequeños o muy antiguos podrían no soportar integraciones con geolocalización o tener limitaciones en la interfaz gráfica para gestión avanzada. Asimismo, en versiones antiguas de FortiOS es posible que algunos nombres de parámetros o métodos para definir geografías hayan cambiado, por lo que es necesario revisar la documentación oficial para migraciones o actualizaciones. Equipos de alta gama en datacenters tienen capacidades extendidas, incluyendo mayor rendimiento en inspección profunda y políticas más complejas, pero la base para reglas con IPv6 y geolocalización es común.

Escenarios de uso y recomendaciones

Una política que combine IPv6 con geolocalización es especialmente útil para:

• Permitir o denegar tráfico procedente de o hacia ciertas regiones geográficas, por ejemplo para restricciones de cumplimiento normativo o para evitar accesos no deseados desde áreas no confiables.
• Controlar el tráfico saliente hacia destinos específicos para evitar comunicaciones con regiones de alto riesgo o no autorizadas.
• Integración con entornos dual-stack que requieren control granular del tráfico IPv6, algo crucial en la implementación gradual de IPv6 en redes corporativas.

Si la configuración es errónea, por ejemplo si la geolocalización no está actualizada o si se configura una política con reglas demasiado permisivas, se puede generar acceso no deseado o bloquear tráfico legítimo. El fabricante recomienda mantener actualizada la base de datos geográfica, realizar pruebas controladas y habilitar registros para auditar el tráfico filtrado por políticas con geolocalización.

Comandos de CLI útiles para diagnóstico

• show firewall policy: Muestra la configuración completa de las políticas activas, útil para verificar parámetros de origen, destino y servicios.
• diagnose firewall policy list: Lista las políticas actuales y estadísticas del tráfico que pasa por ellas en tiempo real.
• execute log filter category 0 y execute log filter clear: Para filtrar y limpiar logs, permitiendo analizar registros relacionados con la política.
• get system geoip-override: Comando que muestra la configuración y estado de la base de datos geográfica usada para geolocalización.
• diagnose debug flow filter y diagnose debug flow trace start 100: Permiten activar debug para analizar el flujo de paquetes que coinciden con la política específica para verificar comportamiento y detección.

Buenas prácticas de configuración

• Nombrar claramente las políticas para facilitar la identificación y mantenimiento.
• Mantener actualizada la base de datos de geolocalización para evitar falsos positivos o negativos en el filtrado.
• Evitar usar reglas «ALL» o demasiado abiertas sin necesidad para minimizar riesgos de seguridad.
• Habilitar logs y revisarlos periódicamente para detectar patrones sospechosos o incidencias.
• Realizar pruebas en entornos controlados antes de aplicar políticas en producción.
• Configurar horarios de vigencia adecuados para reducir exposición fuera de horas normales de operación si es posible.
• Combinar políticas de firewall con perfiles de seguridad para inspección profunda en tráfico sensible.