Guía Completa para Configurar VPN Site-to-Site en Fortinet FortiGate

Las soluciones VPN (Virtual Private Network) son fundamentales para conectar de forma segura dos o más redes de área local a través de Internet. En el ecosistema Fortinet FortiGate, la configuración de una VPN site-to-site permite un enlace seguro entre sucursales o datacenters, garantizando confidencialidad, integridad y disponibilidad del tráfico de red. Esta guía técnica ofrece un recurso integral para ingenieros de redes y seguridad que busquen implementar, diagnosticar y optimizar túneles VPN IPsec en dispositivos FortiGate.

Contexto y objetivo de la configuración

El propósito principal de la configuración VPN site-to-site es establecer un túnel cifrado entre dos dispositivos FortiGate ubicados en diferentes sitios físicos. Este túnel protege el tráfico que viaja por Internet, simulando una conexión directa y privada entre las redes remotas. La configuración incluye la creación de interfaces VPN, definición de grupos de direcciones locales y remotas, políticas de firewall específicas para tráfico cifrado y estática de rutas para direccionar el tráfico adecuado a través del túnel.

Arquitectura y flujo de tráfico

La arquitectura típica de un túnel VPN IPsec en FortiGate consta de dos fases principales: Phase 1 (IKE) y Phase 2 (IPsec). En Phase 1, se establece el canal seguro donde se negocian parámetros de autenticación y cifrado. En Phase 2 se configura la encriptación del tráfico real que será enviado por el túnel.

El flujo de tráfico se inicia en la red local, pasando por las políticas de firewall establecidas desde la interface local hacia la interface virtual del túnel VPN (Phase 2 Interface). El tráfico se cifra, se envía por Internet y se descifra al llegar a la contraparte. Las rutas estáticas aseguran que solo el tráfico destinado a la red remota utilice el túnel, mientras que la configuración de Blackhole Route es esencial para evitar bucles o tráfico no deseado.

Campos principales y parámetros críticos

  • Phase 1 Interface: Identificador lógico del túnel de fase 1 (ejemplo: to_site_2), donde se definen parámetros como autenticación, IKE version, y cifrado.
  • Local Address Group: Colección de subredes o direcciones IP locales que estarán protegidas y visibles a través del túnel.
  • Remote Address Group: Direcciones IP o rangos del sitio remoto a los que se tendrá acceso una vez establecida la VPN.
  • Phase 2 Interface: Interface lógica que representa la fase 2 IPsec y donde se definen algoritmos de cifrado y autenticación de datos.
  • Static Route: Ruta estática que enruta tráfico hacia el túnel VPN para que llegue a las redes remotas.
  • Blackhole Route: Ruta especial que previene el enrutamiento erróneo o bucles en caso que el túnel caiga.
  • Local to Remote Policy y Remote to Local Policy: Políticas de firewall que determinan qué tráfico está permitido entrar y salir por el túnel, asegurando control granular.

Compatibilidad de versiones y modelos

Las configuraciones VPN site-to-site son soportadas por la gran mayoría de dispositivos FortiGate con FortiOS versión 7.4.x,7.6.x en adelante. Sin embargo, algunas funcionalidades específicas o mejoras de IKEv2 puede requerir versiones más recientes, preferiblemente 7.x o superiores. Modelos desde las gamas FortiGate 60F hasta la serie FortiGate 3000 y superiores soportan múltiples túneles VPN y tienen suficiente capacidad de procesamiento para manejar cifrado avanzado.

Es recomendable validar la compatibilidad de algoritmos y métodos de autenticación (certificados vs PSK) entre pares para evitar incompatibilidades en el establecimiento del túnel.

Escenarios de uso recomendados

  • Conexión segura entre sedes corporativas para intercambio de datos sensibles.
  • Implementación de infraestructura híbrida, integrando redes on-premise con entornos cloud protegidos mediante túneles VPN.
  • Acceso remoto seguro para sucursales con ancho de banda limitado, evitando enlaces dedicados más costosos.
  • Redundancia de conexiones, implementando múltiples túneles con diferentes ISP para alta disponibilidad.

Riesgos, errores frecuentes y cómo evitarlos

  • Errores en las políticas de firewall: No definir correctamente las políticas para permitir el tráfico VPN es la causa más común de fallos. Siempre verificar que ambas direcciones local y remota están permitidas y que los servicios IPsec/IKE estén habilitados.
  • Problemas de enrutamiento: Rutas estáticas incorrectas o ausencia de Blackhole Routes puede generar tráfico perdido o bucles. Revisar siempre la tabla de rutas tras configurar.
  • Incompatibilidad de algoritmos: Discrepancias en los parámetros como cifrado, hash, DH-group en Phase 1 y Phase 2 causan fallos en negociación. Confirmar estos valores con el equipo remoto.
  • Fallo en la autenticación: Uso incorrecto o diferente pre-shared keys, certificados expirados o mal importados evita el establecimiento del túnel.
  • Configuración duplicada o superpuesta: Nombres de interfaces o grupos de direcciones duplicados pueden crear conflictos. Mantener nomenclatura ordenada.

Comandos de CLI útiles para diagnóstico

A continuación se ejemplifica la configuración base y comandos para diagnosticar un túnel VPN site-to-site:

config vpn ipsec phase1-interface
    edit "to_site_2"
        set interface "wan1"
        set peertype any
        set proposal aes256-sha256
        set dpd on-idle
        set remote-gw 198.51.100.2
        set psksecret ENC xxxx1234
    next
end

config vpn ipsec phase2-interface
    edit "to_site_2"
        set phase1name "to_site_2"
        set proposal aes256-sha1
        set pfs disable
        set src-subnet 10.10.1.0 255.255.255.0
        set dst-subnet 10.10.2.0 255.255.255.0
    next
end

config router static
    edit 1
        set device "to_site_2"
        set dst 10.10.2.0 255.255.255.0
        set gateway 0.0.0.0
    next
    edit 2
        set device "blackhole"
        set dst 0.0.0.0 0.0.0.0
    next
end

config firewall policy
    edit 10
        set srcintf "internal"
        set dstintf "to_site_2"
        set srcaddr "to_site_2_local"
        set dstaddr "to_site_2_remote"
        set action accept
        set schedule "always"
        set service "ALL"
        set logtraffic all
    next
    edit 11
        set srcintf "to_site_2"
        set dstintf "internal"
        set srcaddr "to_site_2_remote"
        set dstaddr "to_site_2_local"
        set action accept
        set schedule "always"
        set service "ALL"
        set logtraffic all
    next
end

diagnose vpn tunnel list
diagnose vpn ike status
diagnose debug enable
diagnose debug application ike -1
diagnose debug reset

El comando diagnose vpn tunnel list muestra el estado actual de todos los túneles IPsec configurados, facilitando detectar si el túnel está establecido. diagnose vpn ike status permite verificar el estado de las negociaciones IKE Phase 1 para identificar posibles errores en autenticación o negociación. Activar diagnose debug para la aplicación IKE ayuda a visualizar en tiempo real el proceso de establecimiento y resolver fallos.

Buenas prácticas y checklist final

  • Validar parámetros criptográficos primando algoritmos fuertes (ej. AES256, SHA256) y uso de Perfect Forward Secrecy (PFS) cuando sea posible.
  • Utilizar nombres descriptivos y uniformes para interfaces, grupos de direcciones y políticas para facilitar gestión y auditorías.
  • Implementar Dead Peer Detection (DPD) para detectar fallos del túnel y permitir reconexión automática.
  • Configurar logging detallado para tráfico VPN, facilitando análisis de fallos o anomalías.
  • Probar el establecimiento del túnel en espacios de mantenimiento o ambiente controlado antes de producción.
  • Documentar siempre la configuración, versiones y cambios aplicados, garantizando trazabilidad y soporte técnico eficiente.
  • Monitorear el desempeño y escalabilidad del túnel para dimensionar adecuadamente los recursos del dispositivo FortiGate.