Configuración avanzada de VPN en Fortinet: Política, Routing y Acceso a Internet

Contexto y objetivo de la configuración

En entornos corporativos modernos, la interconexión segura entre distintas sedes o segmentos de red es fundamental para mantener la integridad y confidencialidad de la información. Fortinet, a través de su plataforma FortiGate, facilita la creación de VPNs robustas y escalables. El objetivo principal de esta configuración es establecer un túnel VPN entre dos subredes específicas, definiendo las políticas de routing y control de acceso a Internet durante la conexión.

Arquitectura y flujo de tráfico

La arquitectura implementa un túnel VPN IPsec entre una interfaz local (port4) y una red remota definida por el rango 10.0.1.0/24. El tráfico generado desde la subred local 10.0.2.0/24 se enruta a través de este túnel hacia la subred remota. Dada la selección de la opción «Internet Access» como «None», todo el tráfico está restringido a transitar únicamente dentro de las redes privadas, evitando el acceso a Internet durante la sesión VPN. Esto es esencial para limitar la salida a Internet y reforzar la seguridad del túnel.

Campos principales y parámetros críticos

  • Local Interface: En este caso, port4 actúa como la interfaz por la que se establecerá la conexión VPN, debe tener conectividad física y lógica hacia la red local y, de ser necesario, acceso hacia el gateway remoto.
  • Local Subnets (10.0.2.0/24): Define los rangos de IPs internos que se identificarán y permitirán pasar a través del túnel. Es esencial que coincidan con las configuraciones de routing para evitar pérdidas de tráfico.
  • Remote Subnets (10.0.1.0/24): Establece el segmento remoto al que se puede acceder mediante la VPN, garantizando que sólo el tráfico hacia esas IPs se encapsule por el túnel.
  • Internet Access: Tres opciones cruciales: None bloquea todo acceso a Internet, Share Local permite que el dispositivo VPN comparta su conexión local a Internet, y Use Remote fuerza que el tráfico de Internet pase por la conexión remota. En esta configuración, la opción None proporciona mayor seguridad al impedir fugas de tráfico hacia Internet.

Compatibilidad de versiones y modelos

Esta configuración es compatible con FortiGate corriendo FortiOS 6.0 en adelante, dado que a partir de estas versiones se mejora notablemente la gestión de políticas y routing dinámico. Modelos desde FortiGate 30E,F,G hasta las series 6000 soportan plenamente esta arquitectura, siempre considerando la capacidad de procesamiento y el throughput necesarios para el volumen de tráfico esperado. Modelos de menor capacidad pueden presentar limitaciones en el cifrado o en la gestión simultánea de múltiples túneles VPN.

Escenarios de uso recomendados

  • Conexión segura entre oficinas remotas que requieren segmentación de tráfico estricta sin acceso a Internet compartido.
  • Implementaciones de VPN site-to-site para interconexión de redes privadas con control granular sobre rutas y accesos.
  • Entornos donde la seguridad demanda evitar cualquier acceso no autorizado a la red externa mediante el VPN, asegurando que las políticas de tráfico se respeten al pie de la letra.
  • Casos donde la interfaz física de salida debe definirse explícitamente para optimización o segregación de tráfico.

Riesgos, errores frecuentes y cómo evitarlos

  • Configuración incorrecta de subredes: Que las subredes local y remota no coincidan con rutas existentes o estén mal definidas, provoca que el túnel no enrute el tráfico. Siempre verificar con get router info routing-table all.
  • Interfaz mal asignada: Elegir una interfaz sin conectividad real o que no forme parte del camino esperado para el tráfico puede provocar fallos en el establecimiento del túnel.
  • Error en la política de acceso: Olvidar permitir tráfico entre las subredes VPN en las políticas de firewall bloquea el tráfico incluso con un túnel activo.
  • Selección incorrecta de «Internet Access»: Usar «Use Remote» cuando la red remota no ofrece salida a Internet puede provocar pérdida de conectividad externa.

Comandos de CLI útiles para diagnóstico

config vpn ipsec phase1-interface
    edit <nombre_tunel>
        set interface port4
        set local-gw <ip_local>
        set remote-gw <ip_remota>
        set mode main
        set proposal aes256-sha256
        set dpd on-idle
    next
end

config vpn ipsec phase2-interface
    edit <nombre_tunel_phase2>
        set phase1name <nombre_tunel>
        set local-subnet 10.0.2.0 255.255.255.0
        set remote-subnet 10.0.1.0 255.255.255.0
        set pfs disable
    next
end
diagnose vpn tunnel list
get router info routing-table vpn
diagnose debug application ike -1
diagnose vpn ike gateway list
diagnose vpn tunnel stats <nombre_tunel>

Estos comandos permiten revisar la configuración activa del túnel IPsec, comprobar el estado de la comunicación IKE y analizar la tabla de rutas específicas para VPN. Por ejemplo, diagnose vpn tunnel list muestra todos los túneles activos y su estado, útil para identificar problemas de conexión; mientras que get router info routing-table vpn verifica que las rutas hacia las subredes VPN estén presentes y sean correctas.

Buenas prácticas y checklist final

  • Verificar que la versión del FortiOS soporte completamente las funciones VPN y routing necesarias.
  • Confirmar que las interfaces físicas especificadas tienen conectividad y correctas políticas de seguridad y NAT.
  • Definir con precisión las subredes locales y remotas para evitar conflictos o solapamientos.
  • Seleccionar adecuadamente la opción «Internet Access» para evitar problemas de salida no deseados.
  • Aplicar siempre políticas de firewall explícitas que permitan el tráfico entre las subredes definidas.
  • Monitorizar activamente los túneles con comandos de diagnóstico para identificar fallos tempranamente.
  • Guardar y documentar todas las configuraciones y cambios realizados para futuras referencias y auditorías.