Guía completa para configurar VPN IPsec con Fortinet FortiGate paso a paso

Contexto y objetivo de la configuración

En entornos corporativos y redes distribuidas, garantizar una comunicación segura entre sedes o usuarios remotos es fundamental. La configuración de un túnel VPN IPsec en dispositivos Fortinet FortiGate permite cifrar el tráfico entre puntos remotos, asegurando confidencialidad, integridad y autenticación mutua. El objetivo principal es establecer una conexión VPN fiable usando métodos robustos y simples, como la autenticación mediante clave precompartida (Pre-shared Key), optimizando así la seguridad y el rendimiento para conexiones punto a punto.

Arquitectura y flujo de tráfico

Un túnel VPN IPsec en FortiGate actúa encapsulando y cifrando paquetes entre dispositivos remotos a través de Internet u otra red pública. En la arquitectura, cada FortiGate se configura con una IP pública o nombre dinámico que identifica la otra punta del túnel. El tráfico que coincide con las políticas de seguridad configuradas se redirige y cifra mediante el túnel, manteniendo la comunicación como si fuese directa y privada. El dispositivo local encapsula el paquete original y, tras el proceso de cifrado y autenticación, envía por la interfaz saliente designada (por ejemplo port2).

Campos principales y parámetros críticos

Estos son los parámetros clave para configurar y asegurar el túnel:

  • IP Address: Dirección IP pública o dinámica del dispositivo remoto que será el otro extremo del VPN.
  • Outgoing Interface: Interfaz local del FortiGate que se usará para enviar el tráfico cifrado. Debe estar conectada a la red pública que intermedia.
  • Authentication Method: El método de autenticación, comúnmente “Pre-shared Key” o certificado digital. La clave debe ser segura y compartida previamente.
  • Pre-shared Key: Clave secreta que autentica ambos extremos, esencial para evitar accesos no autorizados.

Estos parámetros influyen directamente en la fase 1 (IKE) y fase 2 (IPsec) para establecer y mantener el túnel.

Compatibilidad de versiones y modelos

Las configuraciones estándar de VPN IPsec con Pre-shared Key son ampliamente soportadas en la mayoría de modelos FortiGate y versiones FortiOS, especialmente desde la rama 5.x en adelante, hasta las versiones más recientes 7.x y 8.x. Las mejoras en FortiOS han agregado opciones avanzadas y mejor manejo de protocolos, pero el flujo básico de configuración y los comandos CLI indicados funcionan sin problemas en modelos como FortiGate 60E,F,G, 100F, 200F y superiores. Se recomienda revisar las notas de versión para compatibilidad específica en dispositivos muy antiguos o con firmware personalizado.

Escenarios de uso recomendados

  • Conexión segura entre sedes remotas en distintas ubicaciones geográficas.
  • Acceso remoto para empleados mediante túneles VPN IPsec con autenticación por clave precompartida.
  • Integración entre FortiGate y dispositivos de terceros que soporten IPsec estándar, utilizando clave precompartida para simplificar la autenticación.
  • Escenarios donde no se requiera una infraestructura PKI compleja y se prefiera la simplicidad de la autenticación mediante clave compartida.

Riesgos, errores frecuentes y cómo evitarlos

Entre los fallos más comunes destacan:

  • Clave precompartida incorrecta o insegura: Asegurar claves robustas y coincidentes en ambos extremos, evitando claves predeterminadas o cortas.
  • Configuración errónea de la interfaz de salida: Debe estar correctamente señalada la interfaz física o virtual que conecta a la red pública.
  • IPs remotas incorrectas o no alcanzables: Comprobar conectividad IP previa y que la dirección apuntada sea la correcta.
  • Políticas o rutas ausentes: Validar que existan políticas de firewall y rutas estáticas que permitan el tráfico VPN.
  • Versión de firmware incompatible o bugs: Mantener el FortiGate actualizado a versiones estables para evitar problemas conocidos.

Comandos de CLI útiles para diagnóstico

config vpn ipsec phase1-interface
    edit "VPN-Remote"
        set interface "port2"
        set peertype any
        set net-device disable
        set remote-gw 190.204.108.1
        set psksecret ENC ENCRYPTED_KEY
        set dpd enable
        set authmethod psk
    next
end

config vpn ipsec phase2-interface
    edit "VPN-Remote-p2"
        set phase1name "VPN-Remote"
        set proposal aes256-sha1
        set pfs enable
        set replay enable
    next
end
diagnose vpn ike gateway list
diagnose vpn tunnel list
get system performance top
get system interface physical

El primer bloque muestra un ejemplo válido de configuración básica para una interfaz VPN IPsec en FortiOS CLI, estableciendo la IP del gateway remoto, la interfaz de salida, autenticación mediante clave precompartida y parámetros de dead peer detection. El segundo bloque contiene comandos para listar gateways IKE activos, túneles IPsec configurados y estado general del sistema para identificar problemas de rendimiento o interfaces físicas vinculadas.

Buenas prácticas y checklist final

  • Utilizar claves precompartidas robustas, preferiblemente de más de 20 caracteres con combinaciones alfanuméricas y símbolos.
  • Verificar la correspondencia exacta de parámetros entre ambos extremos de la VPN para evitar errores de fase 1.
  • Configurar políticas de firewall específicas que permitan tráfico UDP 500, UDP 4500 (NAT-T) y ESP para el túnel IPsec.
  • Activar DPD (Dead Peer Detection) para detectar rápidamente fallas y reconectar automáticamente el túnel.
  • Monitorear regularmente el estado de la VPN mediante CLI y GUI para detectar desconexiones o errores.
  • Documentar claramente las configuraciones y claves para evitar problemas durante actualizaciones o mantenimiento.
  • Realizar pruebas de funcionalidad tras la configuración para asegurar que el tráfico deseado se cifra correctamente y pasa a través del túnel.
  • Actualizar firmware FortiOS para beneficiarse de mejoras en estabilidad y seguridad.