Políticas IPv4 en Fortinet FortiGate

Contexto y objetivo de la configuración

En infraestructuras de redes empresariales, las políticas de firewall de FortiGate juegan un papel fundamental para permitir o denegar el tráfico entre interfaces internas y externas, así como para aplicar controles de seguridad granulares. La configuración que se detalla a continuación busca establecer una política IPv4 que permita el tráfico desde la red LAN hacia el perímetro externo del dispositivo (denominado aquí como «int-root1»), con la intención de habilitar el acceso a Internet para todas las fuentes y destinos, sin aplicar NAT. El objetivo es describir cómo implementar esta política de forma eficiente y segura, comprender su impacto en el flujo de datos y cómo diagnosticar posibles problemas.

Arquitectura y flujo de tráfico

El flujo de tráfico considerado es típico en escenarios donde la LAN es la zona confiable que genera comunicaciones hacia una interfaz externa, generalmente conectada al proveedor de servicios de Internet o a una red perimetral. En este caso, el tráfico entra por la interfaz lan y sale por int-root1. La política es explícita permitiendo «todo» el tráfico IPv4 entre estas interfaces, sin restricción de origen ni destino, y sin limitaciones temporales ya que la programación es «always» (siempre activa). La inspección usada es de tipo flow-based, lo que significa que el firewall inspecciona paquetes mientras fluyen, optimizando rendimiento sobre inspección profunda por proxy.

Campos principales y parámetros críticos

• Nombre: «internet», para identificación rápida de la política.
• Incoming Interface (lan): interfaz de entrada desde donde proviene el tráfico confiable.
• Outgoing Interface (int-root1): interfaz de salida hacia destino externo.
• Source y Destination: definidos como «all», permitiendo cualquier IP o subnet en ambos sentidos, opción que debe considerarse con cuidado por su amplia permisividad.
• Schedule: «always», política siempre activa sin restricciones horarias.
• Service: «ALL», abarca todos los servicios y protocolos (TCP, UDP, ICMP, etc.).
• Action: «ACCEPT», indica que se permite el paso del tráfico que cumpla con esta política.
• Inspection Mode: «Flow-based», modo recomendado para balance entre rendimiento y seguridad en políticas generales.
• NAT: deshabilitado (off), implicando que no hay traducción de IP de origen en este flujo.

Compatibilidad de versiones y modelos

Esta configuración es compatible con la mayoría de modelos FortiGate que ejecutan FortiOS 7.4.x,7.7.x en adelante, aunque se recomienda FortiOS 6.0 y superiores para optimizaciones en rendimiento y mayor estabilidad de inspección flow-based. Modelos de la serie FortiGate Enterprise y Next Generation Firewall soportan esta configuración estándar de políticas IPv4. La interfaz int-root1 puede corresponder a interfaces físicas o virtuales (vdoms o agregados). Algunas versiones antiguas pueden presentar diferencias en nomenclatura o en opciones avanzadas como proxy-based inspection.

Escenarios de uso recomendados

• Permitir acceso general y sin restricciones desde la red interna LAN hacia Internet o DMZ externa.
• Escenarios donde se cuenta con políticas específicas de filtrado superiores o complementarias para segmentar tráfico.
• Redes donde la NAT se habilita por separado o en otras políticas para casos específicos.
• Implementaciones donde el rendimiento es crítico y se prioriza inspección flow-based sobre inspección proxy.

Riesgos, errores frecuentes y cómo evitarlos

• Política muy permisiva: Permitir cualquier origen, destino y servicio sin NAT puede exponer la red interna. Se recomienda limitar en la medida de lo posible el rango de IPs y servicios.
• Falta de NAT: En la mayoría de escenarios de salida a Internet se requiere NAT para evitar problemas de ruteo. No habilitar NAT en esta política puede generar fallos de conectividad o problemas de seguridad.
• Confusión entre modos de inspección: La inspección proxy-based agrega más seguridad pero menor rendimiento; usar flow-based sin evaluar las necesidades puede exponer vulnerabilidades.
• Orden de políticas: Verificar que la política esté en posición correcta para evitar que políticas previas la bloqueen o neutralicen.
• Configuración inconsistente de interfaces: Revisar que las interfaces asignadas correspondan correctamente a zonas y segmentos físicos/virtuales reales.

Comandos de CLI útiles para diagnóstico

A continuación se presenta un bloque de configuración de ejemplo en CLI para replicar esta política, y comandos útiles para diagnóstico del tráfico y estado de la política.

config firewall policy
    edit 1
        set name "internet"
        set srcintf "lan"
        set dstintf "int-root1"
        set srcaddr "all"
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "ALL"
        set inspection-mode flow
        set nat disable
    next
end

# Mostrar políticas activas y sus estados
diagnose firewall policy list

# Ver tráfico que coincide con política 1
diagnose firewall iprope lookup 10.0.0.5 172.217.22.142 12345 80 tcp

# Mostrar estadísticas de sesiones
diagnose sys session list | grep policyid=1

# Mostrar logs de eventos de políticas
execute log filter policy 1
execute log display

Interpretar esta salida permite validar si la política está siendo aplicada correctamente, verificar la existencia de sesiones activas que coinciden con la política, y detectar posibles bloqueos o problemas de resolución. El comando «diagnose firewall policy list» es fundamental para confirmar la configuración y estado actual. Los filtros de logs permiten identificar eventos relevantes de aceptación o denegación vinculados a la política.

Buenas prácticas y checklist final

• Limitar siempre el rango de orígenes y destinos a lo estrictamente necesario en la política.
• Evaluar la necesidad real de NAT en función de la arquitectura de red para evitar conflictos.
• Confirmar el modo de inspección adecuado según el caso: flow-based para rendimiento, proxy-based para revisiones profundas.
• Ubicar esta política correctamente en la lista de políticas para priorizar su aplicación.
• Utilizar direcciones IP y objetos de servicio definidos para mayor claridad y control.
• Monitorizar el tráfico y logs regularmente para detectar anomalías o patrones sospechosos.
• Actualizar FortiOS y firmware para asegurar compatibilidad y parches de seguridad.