Contexto y objetivo de la configuración
La configuración de una VPN IPsec Site-to-Site en dispositivos Fortinet FortiGate permite interconectar redes remotas de manera segura a través de Internet, como en el caso típico de conectar dos sedes de una organización. El objetivo es cifrar el tráfico entre ambas redes para garantizar la confidencialidad, integridad y autenticidad de los datos intercambiados, facilitando además el acceso transparente y eficiente a recursos y servicios locales de cada sitio.
Arquitectura y flujo de tráfico
En esta arquitectura, cada FortiGate actúa como endpoint del túnel VPN IPsec. El tráfico originado en la subred local de un sitio (ejemplo 10.0.1.0/24) que se dirige a la subred remota (10.0.2.0/24) se encapsula y cifra en el túnel, es transmitido sobre Internet y descifrado al llegar al FortiGate remoto, permitiendo la comunicación segura entre ambas redes. El FortiGate también controla las políticas de seguridad y el routing para asegurar que solo el tráfico autorizado pase a través del túnel.
Campos principales y parámetros críticos
- Local Interface: interfaz física o virtual donde se origina el tráfico que saldrá hacia el túnel VPN, habitualmente la que conecta a la subred local interna. Ejemplo: LAN SITE 1 (port4).
- Local Subnets: redes internas protegidas por el túnel en el sitio local. Ejemplo: 10.0.1.0/24.
- Remote Subnets: redes dentro del otro sitio que estarán accesibles a través del túnel VPN. Ejemplo: 10.0.2.0/24.
- Internet Access: define la política sobre qué tráfico o interfaces pueden utilizar el acceso a internet común o compartido, opciones: None, Share Local, Use Remote. En conexiones Site-to-Site tradicionales, normalmente se mantiene en None para evitar el bridging no deseado.
Compatibilidad de versiones y modelos
Las VPN IPsec Site-to-Site son compatibles prácticamente con todas las plataformas FortiGate que ejecutan FortiOS 7.4.x,7.6.x en adelante, con mejoras constantes en versiones recientes hasta FortiOS 7.x y 8.x. Modelos desde dispositivos de gama baja (como FortiGate 30E,F,G) hasta dispositivos de alto rendimiento (FortiGate 6000F) soportan esta funcionalidad. Importante verificar que la versión de FortiOS soporte las características avanzadas de cifrado y autenticación seleccionadas para garantizar interoperabilidad y rendimiento óptimo.
Escenarios de uso recomendados
- Interconexión segura entre sedes de una empresa o entre oficinas remotas.
- Conexión de infraestructuras en cloud con la red corporativa on-premises de forma cifrada.
- Acceso entre datacenters para replicación de datos y sincronización segura.
- Implementación rápida de VPN con configuración asistida mediante el IPsec Wizard de FortiGate para despliegues estándar.
Riesgos, errores frecuentes y cómo evitarlos
- Conflicto de subredes: Utilizar subredes locales y remotas que se solapen genera problemas de routing y fallo en el establecimiento o funcionalidad del túnel. Evitar siempre superposiciones.
- Configuración errónea de policy routing o ACLs: Asegurarse de que las políticas de firewall permiten el tráfico IPsec entre las subredes indicadas y que la política fuente/destino aplica correctamente.
- Uso inadecuado de «Internet Access»: seleccionar opciones erróneas que pueden exponer el tráfico o desviar rutas hacia Internet innecesariamente.
- Desajustes en fases 1 o 2 de IPsec: Cifrado, autenticación, lifetimes o modos mal configurados impedirán la conexión o causarán desconexiones intermitentes.
- Fallo en autenticación: Claves precompartidas o certificados incorrectos son fuente recurrente de fallo, verificar con la CLI o logs.
Comandos de CLI útiles para diagnóstico
config vpn ipsec phase1-interface
edit "to_site_2"
set interface "port4"
set local-gw 10.0.1.1
set remote-gw x.x.x.x
set psksecret yourPSK
set proposal aes256-sha256
next
end
config vpn ipsec phase2-interface
edit "to_site_2_phase2"
set phase1name "to_site_2"
set src-subnet 10.0.1.0 255.255.255.0
set dst-subnet 10.0.2.0 255.255.255.0
set proposal aes256-sha256
next
end
diagnose vpn tunnel list
get vpn ipsec tunnel summary
diagnose vpn ike gateway list
diagnose debug enable
diagnose debug application ike -1
El comando diagnose vpn tunnel list muestra todos los túneles configurados y su estado actual, permitiendo identificar si el túnel está activo o presenta errores. get vpn ipsec tunnel summary ofrece un resumen condensado de la sesión IPsec. Con diagnose vpn ike gateway list podemos analizar el estado de la fase 1 (IKE). Por último, activar debug con diagnose debug enable y diagnose debug application ike -1 permite seguir en tiempo real los intentos de establecimiento y los posibles errores para una resolución más profunda.
Buenas prácticas y checklist final
- Verificar la correcta asignación de subredes locales y remotas sin traslapos para evitar problemas de routing.
- Utilizar la CLI y el asistente IPsec Wizard para configurar y validar fases 1 y 2 consistentemente.
- Definir políticas de firewall estrictas que permitan solo el tráfico necesario entre las subredes protegidas.
- Revisar la versión de FortiOS y aplicar actualizaciones para tener soporte y corrección de bugs importantes en IPsec.
- Implementar monitoreo y logs activos para detectar y diagnosticar incidencias en la VPN.
- Probar la conectividad cruzada y realizar pruebas de rendimiento para garantizar estabilidad y disponibilidad.
- Documentar las claves, configuraciones y cambios realizados para futuras referencias y auditorías.