Guía completa para configurar túneles VPN IPsec site-to-site en FortiGate

Contexto y objetivo de la configuración

Los túneles VPN IPsec site-to-site en dispositivos FortiGate permiten interconectar redes remotas de forma segura a través de internet o redes no confiables. El objetivo principal de esta configuración es establecer un túnel cifrado entre dos FortiGate, facilitando la comunicación privada y protegida entre oficinas o sucursales. Esto es clave para mantener la integridad, confidencialidad y autenticidad del tráfico de datos sin que terceros puedan interceptar o modificar la información transmitida.

Arquitectura y flujo de tráfico

La arquitectura típica involucra dos dispositivos FortiGate ubicados en redes geográficamente diferentes, cada uno con su propia interfaz WAN conectada a internet. Mediante un túnel IPsec, se crea un canal cifrado punto a punto entre ambas redes. El tráfico de la red interna que debe llegar a la red remota se encapsula dentro del túnel IPsec, asegurando confidencialidad y autenticidad mediante algoritmos criptográficos y mecanismos de autenticación basados en pre-shared key o certificados digitales.

El flujo de tráfico es el siguiente: los dispositivos FortiGate negocian el túnel mediante IKE (Internet Key Exchange), establecen asociaciones de seguridad (SA) y luego enrutan el tráfico autorizado por las políticas de firewall y rutas estáticas o dinámicas hacia el túnel. Los paquetes se cifran en un extremo, viajan por internet y se descifran al llegar al destino final, siendo entregados a la red remota como si estuvieran localmente conectados.

Campos principales y parámetros críticos

  • Dirección IP remota: IP pública del FortiGate remoto, es el endpoint con el que se establecerá el túnel.
  • Interfaz saliente: Interfaz local que se usará para la conexión saliente (normalmente la interfaz WAN).
  • Método de autenticación: Pre-shared key o certificado. En esta configuración se usa pre-shared key, donde ambas partes conocen una clave secreta compartida para autenticar la sesión.
  • Clave precompartida (Pre-shared Key): contraseña secreta que debe coincidir exactamente en ambos extremos para validar el túnel.
  • Fases de IKE: negociación fase 1 (IKE SA) y fase 2 (IPsec SA), las cuales definen algoritmos de cifrado, integridad y tiempo de vida.
  • Políticas de firewall: reglas en ambos FortiGate deberán permitir tráfico entre las redes internas enlazadas, así como entre las interfaces WAN para la negociación IKE.
  • Políticas de enrutamiento: rutas estáticas o dinámicas para dirigir tráfico hacia la red remota a través del túnel IPsec.

Compatibilidad de versiones y modelos

Los túneles IPsec site-to-site son compatibles con prácticamente todos los modelos FortiGate que soportan FortiOS a partir de versiones 7.4.x,7.6.x en adelante. Sin embargo, la interfaz gráfica y comandos CLI pueden variar ligeramente según la versión y el modelo (hardware o VM). Se recomienda validar que ambos extremos posean versiones compatibles para evitar problemas en la negociación IKE y configuraciones avanzadas de cifrado o autenticación.

Los dispositivos FortiGate VM (virtualizados) también soportan esta configuración, siendo ideal para entornos cloud o hiperconvergentes donde se necesita interconectar oficinas con centros de datos o nubes privadas.

Escenarios de uso recomendados

  • Interconexión segura entre sedes corporativas que comparten recursos internos, como servidores y servicios internos.
  • Acceso remoto desde sitios temporales o sucursales que requieren conectividad rápida y encriptada sin vulnerar la seguridad.
  • Integración de entornos híbridos, por ejemplo, centros de datos on-premise con plataformas cloud privadas.
  • Implementaciones de alta disponibilidad y redundancia que requieren túneles IPsec activos entre FortiGate para garantizar continuidad del negocio.

Riesgos, errores frecuentes y cómo evitarlos

  • Clave precompartida incorrecta: causa fallo en la autenticación IKE y evita la creación del túnel. Revisar tipografías exactas y codificación.
  • IPs o interfaces mal configuradas: usar IP errónea o interfaz equivocada puede bloquear la negociación o el tráfico.
  • Políticas de firewall restrictivas: no permitir tráfico UDP 500 y 4500 (IKE, NAT-T) al tunel IPsec puede impedir la creación y mantenimiento del túnel.
  • Incompatibilidad de versiones o algoritmos: al usar configuraciones distintas en cifrado o fase 1/2, se produce error de negociación.
  • Falta de rutas adecuadas: sin rutas que direccionen al túnel, el tráfico no se enviará correctamente.
  • Problemas de MTU/MSS: pueden generar fragmentaciones o caídas de conexión, ajustar MTU en interfaces puede ser necesario.

Comandos de CLI útiles para diagnóstico

config vpn ipsec phase1-interface
    edit "to_site_2"
        set interface "wan1"
        set remote-gw 190.204.108.2
        set psksecret 
        set authmethod psk
        set ike-version 2
        set mode main
        set dpd on-idle
        set proposal aes256-sha256
    next
end

config vpn ipsec phase2-interface
    edit "to_site_2_phase2"
        set phase1name "to_site_2"
        set proposal aes256-sha256
        set pfs enable
        set replay enable
        set keepalive enable
        set encapsulation tunnel-mode
    next
end

diagnose vpn tunnel list
get vpn ipsec tunnel summary
diagnose debug enable
diagnose debug application ike -1

Estos comandos permiten configurar y mostrar el estado del túnel IPsec. El bloque de configuración muestra cómo definir interfaces de fase 1 y fase 2, con parámetros críticos como clave precompartida, interfaz WAN, dirección IP remota, y métodos de cifrado robustos (AES-256, SHA-256). Los comandos de diagnóstico permiten listar túneles activos y recopilar trazas detalladas del proceso de negociación IKE. Interpretar correctamente estos resultados permite identificar rápidamente problemas en la autenticación, establecimiento o mantenimiento del túnel.

Buenas prácticas y checklist final

  • Verificar que las claves precompartidas coinciden y son suficientemente complejas.
  • Asegurar que las interfaces WAN están configuradas correctamente y con IP pública válida.
  • Permitir tráfico UDP 500 y 4500 en ambas direcciones en las políticas de firewall.
  • Usar cifrados y autenticación actualizados y recomendados (por ejemplo, AES 256, SHA-256, IKEv2).
  • Configurar DPD (Dead Peer Detection) para detección y reconexión automática de túneles caídos.
  • Definir rutas estáticas o políticas de enrutamiento adecuadas para el tráfico entre redes enlazadas.
  • Probar y monitorear el túnel regularmente con comandos CLI y logs para anticipar fallos.
  • Documentar la configuración y mantener las versiones de firmware actualizadas para aprovechar mejoras de seguridad y funcionalidades.