En entornos modernos de redes empresariales, la implementación adecuada de políticas de seguridad en dispositivos Fortinet es clave para garantizar comunicaciones seguras y controladas entre diferentes segmentos de la red. Esta guía aborda una configuración específica de política de firewall FortiGate, enfocada en la conexión remota de usuarios TeleWork y la interacción con un servidor EMS específico, empleando inspección basada en flujo.
Contexto y objetivo de la configuración
La política analizada tiene como objetivo permitir exclusivamente el tráfico autorizado entre un segmento remoto identificado como TeleWork y un servidor EMS designado, delimitando la comunicación para un conjunto concreto de servicios y horarios, y aplicando una inspección de tráfico de tipo flow-based para optimizar rendimiento y seguridad. Se busca mantener disponibilidad y control granular, permitiendo solo el tráfico relevante y autenticado, minimizando la superficie de ataque y riesgos inherentes al acceso remoto.
Arquitectura y flujo de tráfico
La configuración contempla una política de firewall dentro del FortiGate que conecta la interfaz de entrada «TeleWork» (usualmente una VPN o un segmento de usuarios remotos) con la interfaz de salida «Fabric (lan4)», donde reside el servidor EMS representado como «EMS-ADSRV». El flujo se inicia desde el rango definido «TeleWork_range», asegurando que solo estas IP de usuarios remotos puedan alcanzar el destino. El tráfico se permite siempre, ya que la programación está configurada en «always» y la inspección de paquetes es flow-based, con lo que se consigue un equilibrio entre seguridad y desempeño.
Campos principales y parámetros críticos
- Name: Identificador claro de la política, en este caso «EMSConnection», lo que facilita la administración y resultados en logs.
- Incoming Interface (Interfaz de entrada): «TeleWork», que corresponde a la zona o interfaz remota, típicamente una VPN o segmento de usuarios remotos.
- Outgoing Interface (Interfaz de salida): «Fabric (lan4)», que en este contexto representa la red local donde se encuentran los recursos del EMS.
- Source: «TeleWork_range»; objeto que define el rango de IPs permitidas como origen, fundamental para limitar el acceso.
- Destination: «EMS-ADSRV»; objeto que representa el servidor específico al que se quiere acceder, evitando accesos no deseados dentro de la LAN.
- Schedule: «always»; establece que la política esté vigente de forma permanente, sin restricciones horarias.
- Service: «EMSTCP8013»; filtro específico del puerto TCP 8013, lo que delimita aún más el tráfico permitido estrictamente al servicio de EMS.
- Action: «ACCEPT», permitiendo explícitamente este flujo de tráfico.
- Inspection Mode: «Flow-based»; modo que prioriza la inspección eficiente del tráfico, ideal para servicios de alta concurrencia o cuando se requiere menor latencia.
Compatibilidad de versiones y modelos
Esta configuración es válida para dispositivos FortiGate que ejecuten FortiOS 7.4.x,7.7.x en adelante, donde las políticas soportan objetos agrupados de interfaces, direcciones y servicios, así como inspección flow-based sin mayores limitaciones. Es compatible con la mayoría de modelos FortiGate de tamaño medio y Enterprise, especialmente las series FG-60F en adelante. La característica de inspección proxy-based puede requerir hardware con mayor capacidad, pero en este caso se usa flow-based, más generalizado.
Escenarios de uso recomendados
Esta política está diseñada para proteger y controlar accesos remotos a servicios críticos como gestores EMS (Element Management Systems) usados en entornos de telecomunicaciones o IT. Es perfecta en escenarios donde se requiere limitar estrictamente acceso remoto a un solo servidor o servicio, como teletrabajo o acceso corporativo restringido, garantizando continuidad y seguridad. Ideal para cuando se busca un equilibrio entre rendimiento y protección sin inspección profunda proxy-based que puede incrementar latencia.
Riesgos, errores frecuentes y cómo evitarlos
- Error común: Permitir «all» en source o service puede abrir puertas innecesarias, exponiendo recursos sensibles.
- Riesgo: No establecer objetos con direcciones IP correctamente definidos (por ejemplo, que «TeleWork_range» incluya IPs no autorizadas) incrementa superficie de ataque.
- Error frecuente: Olvidar sincronizar servicios con políticas y objetos, lo que puede generar conexiones bloqueadas por falta de coincidencia en el puerto.
- Consejo: Revisar que la programación (schedule) sea la adecuada para el caso, para mitigar ataques fuera de horarios laborales.
- Evitar: Cambiar a modo proxy-based sin validar capacidad del hardware ni impacto en la latencia del servicio.
Comandos de CLI útiles para diagnóstico
config firewall policy
edit 115
set name "EMSConnection"
set srcintf "TeleWork"
set dstintf "Fabric"
set srcaddr "TeleWork_range"
set dstaddr "EMS-ADSRV"
set schedule "always"
set service "EMSTCP8013"
set action accept
set inspection-mode flow-based
next
end
# Mostrar detalles específicos de la política 115
show firewall policy 115
# Verificar sesiones activas para la política
diagnose sys session filter policy 115
diagnose sys session list
# Verificar interfaz y direcciones
show firewall address "TeleWork_range"
show firewall address "EMS-ADSRV"
La salida del comando show firewall policy 115 permite validar que los parámetros estén correctamente aplicados conforme al diseño. Con diagnose sys session filter policy 115 y diagnose sys session list se identifican las conexiones activas que atraviesan esta política, útil para confirmar tráfico relevante y detectar anomalías. Los comandos para direcciones comprueban que las subredes o IPs estén definidas correctamente y coincidan con la realidad de la red.
Buenas prácticas y checklist final
- Definir siempre objetos con alcance lo más restringido posible (rango IPs, servicios específicos).
- Configurar políticas con nombres descriptivos para facilitar auditoría y mantenimiento.
- Utilizar inspección flow-based salvo que se requiera inspección profunda o log detallado de aplicación.
- Monitorear sesiones activas y revisar logs periódicamente para detectar tráfico no autorizado.
- Actualizar FortiOS a versiones compatibles para mejorar rendimiento y resolver vulnerabilidades.
- Probar cambios en entornos controlados antes de aplicar en producción.
Este conjunto garantiza una política robusta, clara y eficiente para proteger el acceso remoto y servicios críticos, manteniendo el equilibrio entre usabilidad y seguridad en redes Fortinet avanzadas.