VPN Site-to-Site en FortiGate IPsec Wizard

Contexto y objetivo de la configuración

En infraestructuras corporativas que requieren interconectar distintas oficinas o sucursales, la implementación de un túnel VPN IPsec tipo Site-to-Site es fundamental para garantizar la comunicación segura entre redes remotas. La configuración en FortiGate mediante el asistente IPsec Wizard simplifica la creación y el despliegue de estas VPNs, asegurando confidencialidad, integridad y autenticación en el tráfico inter-sedes. El objetivo es establecer un túnel cifrado persistente que permita el flujo transparente entre las distintas subredes con la máxima seguridad.

Arquitectura y flujo de tráfico

La arquitectura basada en túneles VPN Site-to-Site consiste en la conexión punto a punto entre dos dispositivos FortiGate o entre FortiGate y un enrutador compatible (ej. Cisco). Cada extremo actúa como gateway para su red local, encapsulando y cifrando el tráfico hacia la otra sede. El flujo típico inicia cuando un paquete destinado a la red remota es interceptado y enviado a la interfaz virtual del túnel IPsec, donde se aplica cifrado y encapsulación según las políticas definidas. Tras el tránsito seguro por internet o redes públicas, el peer receptor descifra y enruta el paquete a la red local de destino.

Campos principales y parámetros críticos

Al configurar una VPN Site-to-Site con el asistente IPsec Wizard de FortiGate, algunos campos claves son:

• Name: Identificador único para el túnel, útil para su administración y diagnóstico.
• Template Type: Debe estar en Site to Site para crear un túnel entre dos redes.
• Remote Device Type: Seleccionar entre FortiGate o Cisco si el dispositivo remoto es otro firewall Fortinet o un equipo Cisco, respectivamente. Este parámetro adapta automáticamente perfiles y configuraciones.
• NAT Configuration: Define cómo manejar escenarios con NAT. Opciones como “No NAT between sites”, “This site is behind NAT” o “The remote site is behind NAT” permiten que el dispositivo gestione correctamente la traducción de direcciones IP para garantizar que el túnel IPsec establezca conexión en ambientes donde uno o ambos extremos se encuentran tras NAT.

Otros parámetros críticos incluyen los parámetros de autenticación (PSK o certificados) y las políticas de enrutamiento y tráfico que determinan qué subredes están autorizadas a comunicarse a través del túnel.

Compatibilidad de versiones y modelos

El asistente IPsec Wizard está disponible en FortiOS desde versiones relativamente tempranas, con mejoras constantes en soporte y opciones. Es compatible con modelos FortiGate que ejecuten FortiOS 7.4.x,7.6.x en adelante, cubriendo desde dispositivos de gama baja (p.ej. FortiGate 30E,F,G) hasta modelos de alta capacidad para centros de datos y proveedores de servicio.

En cuanto a la interoperabilidad, se recomienda usar esta funcionalidad con FortiGate en ambos extremos para simplicidad, pero también es posible conectar con dispositivos Cisco u otros fabricantes compatibles con IPsec estándar, siempre validando la configuración de parámetros como la fase 1 (IKE) y fase 2 (IPsec SA) para evitar incompatibilidades.

Escenarios de uso recomendados

• Conexión de sedes corporativas que requieren acceso a recursos compartidos sin exponer servicios al internet público.
• Interconexión segura para sucursales con alta sensibilidad en los datos transmitidos, como sector financiero o salud.
• Implementación de comunicación cifrada en entornos de trabajo remoto cuando se dispone de equipo FortiGate en las oficinas y otra red protegida remota.
• Interoperabilidad entre firewalls Fortinet y routers Cisco para integrar plataformas heterogéneas en infraestructura segura.

Riesgos, errores frecuentes y cómo evitarlos

Uno de los errores más comunes es la mala configuración de las opciones NAT, que bloquean el establecimiento del túnel debido a que los paquetes ESP o IKE no llegan correctamente al extremo remoto. Se debe verificar y seleccionar la opción adecuada según la topología NAT real.

Otro riesgo es la incoherencia en los parámetros de autenticación y cifrado entre los extremos, que evita que se forme la asociación de seguridad. Utilizar PSK con caracteres especiales sin el escape adecuado puede causar fallos en la negociación.

Incluso la configuración incorrecta de las políticas de firewall para permitir tráfico UDP 500 (IKE), UDP 4500 (NAT-T) y IP protocol 50 (ESP) es un fallo típico que impide la VPN.

Finalmente, no validar las rutas estáticas o dinámicas que deben existir para dirigir el tráfico hacia el túnel puede ocasionar que, aun con el túnel montado, no fluya tráfico entre las redes.

Comandos de CLI útiles para diagnóstico

A continuación, un ejemplo de configuración parcial y comandos para verificación y diagnóstico en FortiGate:

config vpn ipsec phase1-interface
    edit "to_site_1"
        set interface "wan1"
        set ike-version 2
        set keylife 28800
        set remote-gw 203.0.113.10
        set psksecret ENC AbCdEfGh1234==
    next
end

config vpn ipsec phase2-interface
    edit "to_site_1_ph2"
        set phase1name "to_site_1"
        set proposal aes256-sha256
        set pfs enable
        set keylifeseconds 3600
        set src-subnet 192.168.10.0 255.255.255.0
        set dst-subnet 192.168.20.0 255.255.255.0
    next
end

diagnose vpn tunnel list

get vpn ipsec status

diagnose debug application ike -1
diagnose debug enable

El comando diagnose vpn tunnel list muestra el estado de todos los túneles IPsec con detalles como el tiempo activo, bytes transmitidos y recibido, así como el estado de la fase 1 y 2. El get vpn ipsec status brinda información resumida sobre los túneles establecidos y sus parámetros. Finalmente, habilitar el debug de IKE con los comandos indicados permite observar en tiempo real la negociación y detectar problemas en estos procesos.

Buenas prácticas y checklist final

• Verificar y documentar con precisión las subredes locales y remotas involucradas en el túnel.
• Seleccionar adecuadamente el tipo de dispositivo remoto para aprovechar configuraciones optimizadas (FortiGate vs Cisco).
• Asegurar la correcta configuración de NAT en caso de que un extremo esté detrás de dispositivos que modifiquen las IP o puertos.
• Configurar políticas de firewall para permitir todo el tráfico necesario para IKE y ESP.
• Utilizar mecanismos de autenticación seguros, preferiblemente PSK fuerte o certificados cuando sea posible.
• Implementar propuestas de cifrado robustas y PFS para mantener la confidencialidad e integridad.
• Monitorear regularmente el estado de los túneles con comandos CLI y logs para detectar degradación o fallos.
• Actualizar FortiOS a versiones soportadas que incluyan mejoras y parches de seguridad para IPsec.
• Realizar pruebas de conectividad y rendimiento después del despliegue para validar funcionamiento.