Guía definitiva para configurar VPN site-to-site en Fortinet FortiGate

La implementación de VPNs site-to-site en dispositivos Fortinet FortiGate es una práctica esencial para conectar redes separadas geográficamente, garantizando comunicación segura y cifrada entre ellas. Este artículo desarrolla a fondo los elementos claves para configurar, administrar y diagnosticar una VPN site-to-site empleando FortiOS, con especial atención a la configuración del túnel, políticas de seguridad, rutas y parámetros críticos.

Contexto y objetivo de la configuración

El objetivo primordial de la configuración es establecer un canal privado y cifrado entre dos redes remotas usando un túnel VPN IPsec del tipo site-to-site. Esto permite que usuarios y servicios de ambas redes intercambien datos de forma segura, como si estuvieran en la misma LAN. Fortinet FortiGate proporciona asistentes y opciones para simplificar esta implementación, cubriendo la fase 1 (negociación IKE) y fase 2 (establecimiento del túnel IPsec), además de políticas de tráfico y rutas necesarias para que el enrutamiento funcione adecuadamente.

Arquitectura y flujo de tráfico

La arquitectura general consiste en dos FortiGate o dispositivos compatibles que actúan como gateways VPN. Cada extremo posee interfaces físicas o virtuales asignadas exclusivamente para la conexión VPN (ej. to_site_1). El tráfico que aplica a las subredes declaradas como locales y remotas es cifrado y enviado a través del túnel. El flujo sigue esta trayectoria:

  • El tráfico originado en la red local que coincide con la política local hacia remota es dirigido hacia la interfaz VPN.
  • Se procesa la encapsulación IPsec bajo la fase 2 acordada tras la autenticación en fase 1.
  • El paquete cifrado atraviesa la red pública (Internet) hasta el peer remoto.
  • Al llegar, se descifra y se envía al destino interno remoto.

Para asegurar esta correcta transferencia, se configuran rutas estáticas que redirigen el tráfico correspondiente al túnel, además de políticas de firewall específicas que garantizan el paso seguro y adecuado del tráfico VPN.

Campos principales y parámetros críticos

Los elementos fundamentales en la configuración comprenden:

  • Phase 1 Interface: Interface lógica que representa la conexión IKE para establecer el túnel.
  • Local Address Group: Conjunto de direcciones o subredes locales definidas para aplicar en las políticas.
  • Remote Address Group: Contraparte del local, representa las direcciones remotas accesibles a través del túnel.
  • Phase 2 Interface: Corresponde al túnel IPsec propiamente dicho, definida sobre Phase 1.
  • Static Route: Ruta estática que direcciona el tráfico hacia la interfaz de túnel, imprescindible para encaminar correctamente los paquetes hacia el sitio remoto.
  • Blackhole Route: Ruta tipo «blackhole» usada para bloquear o descartar tráfico no deseado o en caso de fallos.
  • Local to Remote y Remote to Local Policy: Políticas de firewall que permiten el tráfico dentro del túnel, garantizando que los paquetes estén autorizados para atravesar la VPN.

Una atención detallada debe prestarse a las configuraciones IKE Phase 1 (como modos agresivo o main, autenticación, algoritmo de cifrado) y Phase 2 (selectores de tráfico, algoritmos ESP), así como a la sincronización de las políticas y grupos de direcciones para evitar discrepancias.

Compatibilidad de versiones y modelos

Esta configuración es compatible con FortiGate funcionando en FortiOS 7.4.x,7.7.x en adelante, incluyendo las ramas 7.x y 7.x. Modelos desde FortiGate 60F hasta las series más altas como 5000 y 7000 soportan estas funcionalidades VPN. Las diferencias radican muchas veces en límites de número de túneles o velocidad de cifrado, pero la arquitectura y CLI se mantienen consistentes.

Escenarios de uso recomendados

Los escenarios ideales para esta configuración incluyen:

  • Interconexión de sedes corporativas con diferentes rangos de IP.
  • Provisión de acceso seguro a oficinas remotas y trabajo remoto.
  • Implementación de redes híbridas que incluyen infraestructuras on-premise y cloud.
  • Creación de túneles redundantes para asegurar continuidad de negocio.

Riesgos, errores frecuentes y cómo evitarlos

Algunos problemas comunes que se deben cuidar son:

  • Desajuste en los parámetros de fase 1 y 2: Usar diferentes algoritmos, claves o modos hace que el túnel no se establezca. Verificar ambos lados con comandos CLI como diagnose vpn ike gateway.
  • Configuración inconsistente en grupos de direcciones: Las políticas VPN deben coincidir estrictamente con las subredes usadas en las fases. Evitar solapamientos o errores en rangos.
  • Rutas estáticas mal configuradas: Sin ruta hacia la VPN Phase 2 Interface, el tráfico no se dirigirá al túnel.
  • Políticas de firewall restrictivas: Olvidar permitir tráfico entre zonas VPN impide la comunicación, revisar siempre reglas de local hacia remoto y viceversa.
  • Falta de monitoreo: No habilitar logs o no revisar estados del túnel dificulta la resolución de fallas.

Comandos de CLI útiles para diagnóstico

config vpn ipsec phase1-interface
    edit "to_site_1"
        set interface "wan1"
        set ike-version 2
        set peertype any
        set net-device disable
        set mode main
        set local-gw 203.0.113.1
        set remote-gw 198.51.100.1
        set psksecret ENC abc123
    next
end

config vpn ipsec phase2-interface
    edit "to_site_1"
        set phase1name "to_site_1"
        set proposal aes256-sha256
        set pfs disable
        set encapsulation tunnel
        set src-subnet 10.10.1.0 255.255.255.0
        set dst-subnet 10.20.1.0 255.255.255.0
    next
end

config router static
    edit 1
        set device "to_site_1"
        set dst 10.20.1.0 255.255.255.0
        set gateway 0.0.0.0
    next
end

config firewall policy
    edit 1
        set srcintf "internal"
        set dstintf "to_site_1"
        set srcaddr "to_site_1_local"
        set dstaddr "to_site_1_remote"
        set action accept
        set schedule "always"
        set service "ALL"
        set logtraffic all
    next
    edit 2
        set srcintf "to_site_1"
        set dstintf "internal"
        set srcaddr "to_site_1_remote"
        set dstaddr "to_site_1_local"
        set action accept
        set schedule "always"
        set service "ALL"
        set logtraffic all
    next
end

diagnose vpn tunnel list
get vpn ipsec tunnel summary
diagnose debug application ike -1
diagnose debug enable

Estos comandos permiten listar los túneles activos, ver estadísticas resumidas de IPsec, y habilitar depuración avanzada para la negociación IKE, respectivamente. Analizando esta información se puede identificar si el túnel está establecido, cuáles fases están fallando y si hay problemas en la negociación de parámetros.

Buenas prácticas y checklist final

  • Verificar uniformidad en algoritmos criptográficos y claves compartidas en ambos extremos.
  • Documentar claramente las subredes locales y remotas y aplicarlas sin solapamientos.
  • Configurar rutas estáticas específicas que apunten a la interfaz Phase 2 del túnel.
  • Definir políticas de firewall con permisos explícitos para tráfico VPN, habilitando logs para auditoría.
  • Monitorear estados de túnel periódicamente usando CLI y GUI.
  • Evitar usar configuraciones por defecto sin adaptación a la topología de red propia.
  • Habilitar mecanismos de failover o rutas alternativas si la continuidad es crítica.
  • Actualizar el firmware para solucionar bugs conocidos y aprovechar mejoras de seguridad.