Rutas Estáticas en Fortinet FortiGate

Contexto y objetivo de la configuración

La configuración de rutas estáticas en Fortinet FortiGate es una práctica esencial para definir y controlar el encaminamiento del tráfico IP dentro de una red segmentada o hacia redes externas. El objetivo principal de esta configuración es asegurar que el tráfico dirigido a una subred específica utilice un camino determinado, optimizando la conectividad, mejorando la seguridad y facilitando la gestión del tráfico en entornos donde el direccionamiento dinámico no es viable o se desea prioridad en ciertos enlaces.

Arquitectura y flujo de tráfico

En una arquitectura típica de FortiGate, las rutas estáticas actúan como tablas de decisiones a nivel de capa 3 para encaminamiento IP. Cuando un paquete llega, el dispositivo verifica la tabla de enrutamiento para determinar la ruta más adecuada hacia el destino final. Si existe una ruta estática definida para la subred destino, el tráfico se direcciona por la interfaz y gateway definidos, ignorando protocolos de enrutamiento dinámico en esta instancia. Esto resulta especialmente útil para redes internas, VPNs o conexiones segmentadas.

Campos principales y parámetros críticos

• Destination (Destino): Define la subred o IP específica a la cual se aplicará la ruta estática. En la configuración proporcionada, se usa 192.168.3.0/24.
• Gateway Address (Gateway): Es la dirección IP del siguiente salto o router al que se dirige el tráfico para alcanzar la subred destino, en este caso 192.168.1.2.
• Interface (Interfaz): La interfaz física o virtual del FortiGate por la cual se enviarán los paquetes. Aquí se selecciona «internal», indicando la red interna del dispositivo.
• Administrative Distance (Distancia Administrativa): Valor numérico que determina la preferencia de esta ruta respecto a otras. Un valor menor indica mayor prioridad. El valor estándar es 10, que es común en rutas estáticas.
• Status (Estado): Permite habilitar o deshabilitar la ruta estática sin eliminarla.

Compatibilidad de versiones y modelos

La configuración de rutas estáticas descrita es compatible con los dispositivos FortiGate bajo FortiOS a partir de la versión 5.0 en adelante, incluyendo modelos desde la serie 30 hasta las series más avanzadas 3000 y superiores. Las opciones de rutas estáticas pueden variar levemente en interfaces o funcionalidades específicas en versiones más antiguas, por lo que siempre se recomienda validar en la documentación oficial de Fortinet para versiones específicas del firmware.

Escenarios de uso recomendados

• Redes con múltiples segmentos internos donde se requiere direccionamiento fijo hacia ciertas VLAN o subredes.
• Implementación de rutas para sitios remotos donde no se usan protocolos dinámicos como BGP o OSPF.
• Redundancia y control de rutas cuando se busca override de rutas aprendidas dinámicamente.
• Casos donde es necesario integrar FortiGate en redes con elementos no compatibles con protocolos dinámicos.

Riesgos, errores frecuentes y cómo evitarlos

• Conflicto de rutas: Configurar rutas con la misma distancia administrativa pero diferente path puede generar incertidumbre en el ruteo. Evitar rutas conflictivas o garantizar la correcta distancia administrativa.
• Interfaz incorrecta: Seleccionar una interfaz equivocada puede provocar pérdida de conectividad o bucles de tráfico. Siempre comprobar la topología física y lógica antes de aplicar la ruta.
• Gateway inaccesible: Si la IP de gateway no está accesible por la interfaz, la ruta no funcionará correctamente. Validar conectividad previa con ping o traceroute.
• Omisión de rutas dinámicas: Al usar rutas estáticas con distancia administrativa demasiado baja, podrían ignorarse rutas dinámicas necesarias para otros destinos. Ajustar las distancias para coexistencia.

Comandos de CLI útiles para diagnóstico

config router static
    edit 1
        set dst 192.168.3.0 255.255.255.0
        set gateway 192.168.1.2
        set device internal
        set distance 10
        set status enable
    next
end

get router info routing-table all
execute ping 192.168.3.1
execute traceroute 192.168.3.1

El primer bloque de comandos muestra cómo crear una ruta estática desde la CLI, incluyendo destino, gateway, interfaz, distancia administrativa y estado. El segundo bloque permite diagnosticar la tabla de enrutamiento en su totalidad para confirmar que la ruta está presente y luego pruebas de conectividad contra hosts dentro de la subred destino para validar el flujo de tráfico. Interpretar correctamente la tabla es crucial: buscar la entrada para 192.168.3.0/24 con el gateway definido y el dispositivo correcto; si no aparece, la ruta está mal aplicada o deshabilitada.

Buenas prácticas y checklist final

• Documentar cada ruta estática con comentarios claros sobre su función y origen para evitar confusión en el futuro.
• Validar que el gateway esté dentro de la misma subred que la interfaz seleccionada para evitar rutas inválidas.
• Evitar distancias administrativas demasiado bajas que puedan interferir con protocolos dinámicos.
• Realizar pruebas de conectividad cuando se añade o modifica rutas estáticas (ping, traceroute).
• Monitorear la tabla de enrutamiento periódicamente para detectar rutas obsoletas o incorrectas.
• Configurar alertas para cambios en la configuración de rutas que puedan impactar la red.