Contexto y objetivo de la configuración
En entornos donde la segmentación y la administración independiente de políticas de seguridad son cruciales, los Virtual Domains (VDOMs) permiten a los administradores de Fortinet dividir un único dispositivo FortiGate en múltiples instancias lógicas. Esta configuración hace posible la gestión aislada, ideal para organizaciones con múltiples departamentos, clientes o proyectos. El objetivo central de esta configuración es implementar un VDOM que utilice el modo de inspección Flow-based combinado con la modalidad NGFW Profile-based, optimizando el rendimiento del firewall sin sacrificar la profundidad en la inspección de paquetes ni la aplicación de perfiles de seguridad predefinidos.
Arquitectura y flujo de tráfico
Cuando se habilita un VDOM en modo Flow-based Inspection, el tráfico pasa por el motor de firewall directamente, utilizando el flujo de paquetes en tiempo real para la inspección y acción. Esto garantiza baja latencia y un rendimiento optimizado, especialmente para redes que requieren alta velocidad de procesamiento de tráfico.
La modalidad NGFW Profile-based permite aplicar perfiles de seguridad previamente definidos, como antivirus, IPS, filtrado web y aplicación, de forma dinámica sobre el flujo inspeccionado. La combinación entre ambos modos asegura que el tráfico sea procesado ágilmente, mientras se mantienen las capacidades de seguridad propias de un firewall de próxima generación.
Campos principales y parámetros críticos
- Virtual Domain: Nombre identificador que representa la instancia lógica. Debe ser único dentro del dispositivo.
- Inspection Mode: Selección entre Flow-based o Proxy-based. En este caso, se opta por Flow-based para maximizar rendimiento.
- NGFW Mode: Configure si el firewall utiliza políticas Policy-based o inspección mediante Profile-based. Se selecciona Profile-based para aplicar perfiles específicos a nivel de sesión.
- Comments: Campo opcional para describir el propósito o detalles adicionales del VDOM.
Cada parámetro impacta directamente en el comportamiento del dispositivo, por lo que se recomienda definirlos cuidadosamente para alinear la configuración con los objetivos de seguridad y rendimiento.
Compatibilidad de versiones y modelos
La funcionalidad de Virtual Domains con modos de inspección flow-based y perfiles NGFW Profile-based está disponible en FortiOS a partir de la versión 7.4.x,7.6.x y superiores. Se deben confirmar las capacidades específicas de acuerdo con el modelo FortiGate empleado, ya que dispositivos de gama baja pueden tener limitaciones en el número máximo de VDOMs soportados, procesamiento simultáneo o recursos para NGFW. Modelos más recientes y de gama alta permiten un manejo más ágil y robusto de múltiples VDOMs manteniendo el rendimiento esperado.
Escenarios de uso recomendados
- Proveedores de servicios: Donde se ofrece firewall y seguridad a múltiples clientes independientes, cada uno con su VDOM para administración separada.
- Departamentos grandes en corporativos: Para segmentar tráfico y políticas de seguridad sin necesidad de hardware dedicado.
- Laboratorios y entornos de pruebas: Permite implementar configuraciones aisladas que no afectan al entorno productivo principal.
- Entornos que requieren alto rendimiento: Aprovechando el modo flow-based para minimizar latencias.
Riesgos, errores frecuentes y cómo evitarlos
- Errores en asignación de VDOM: Aplicar interfaces o políticas de forma errónea a VDOM incorrectos puede provocar cortes o vulnerabilidades. Es crítico verificar asignaciones.
- Configuración incompleta de perfiles NGFW: No definir o habilitar perfiles dentro de Profile-based puede generar políticas sin inspección adecuada.
- Exceso de VDOMs en dispositivos limitados: Puede llevar a degradación de rendimiento. Planear el número máximo y dimensionar acorde.
- Confusión entre modos flow-based y proxy-based: Eligiendo proxy-based se incrementa la latencia, pero se mejora inspección profunda. Entender las implicaciones es clave.
- Falta de documentación y comentarios: Puede complicar la gestión y troubleshooting. Siempre usar comentarios claros en cada VDOM.
Comandos de CLI útiles para diagnóstico
A continuación, ejemplo de cómo configurar un VDOM con modo flow-based y NGFW profile-based en CLI, seguido de comandos para diagnosticar el estado y la configuración.
config vdom
edit Prueba
set inspection-mode flow
set ngfw-mode profile-based
# Comentarios opcionales
set description "VDOM para entorno prueba con flow y profile-based"
next
end
# Mostrar configuración activa de VDOM
get system vdom
# Mostrar interfaces asignadas a cada VDOM
config system interface
show
end
# Diagnóstico: estado de los VDOMs activos
diagnose vdom list
# Mostrar sesiones activas en un VDOM específico
diagnose sys session list | grep -i Prueba
La salida del comando diagnose vdom list ofrece un resumen del estado de cada VDOM definido, permitiendo verificar si están activos y funcionando correctamente. Revisar la asignación de interfaces y sesiones activas garantiza que el tráfico fluya adecuadamente dentro del contexto del VDOM configurado.
Buenas prácticas y checklist final
- Planificar la cantidad y propósito de cada VDOM antes de implementarlos.
- Usar nombres descriptivos y comentarios detallados para facilitar la administración.
- Seleccionar inspection-mode y NGFW mode acorde a requisitos de rendimiento y seguridad.
- Monitorear regularmente el uso de recursos para evitar saturación.
- Verificar asignación correcta de interfaces y políticas a cada VDOM.
- Actualizar FortiOS para aprovechar mejoras en VDOMs y seguridad.
- Documentar toda configuración y cambios realizados para soporte futuro.