La configuración del Security Fabric en dispositivos FortiGate es una función clave para crear una red segura y unificada en entornos empresariales que cuentan con múltiples firewalls o nodos FortiGate distribuidos. Esta configuración permite interconectar varios FortiGate para que trabajen coordinadamente, compartiendo información de seguridad, detección de amenazas y políticas, ofreciendo una defensa coordinada y simplificada frente a ataques o brechas potenciales.
La integración de un nuevo FortiGate dentro de un Security Fabric existente se realiza a través de un proceso de autorización que garantiza que solo dispositivos autorizados puedan unirse y comunicarse en la red. Esto resuelve problemas frecuentes como la falta de visibilidad centralizada, la dificultad para coordinar políticas entre sedes o sucursales y la protección contra accesos no autorizados a la infraestructura de seguridad.
Campos principales
- Upstream FortiGate: Indica la IP y nombre del FortiGate raíz o principal al que se intenta conectar el nuevo dispositivo. Este campo es fundamental ya que define el nodo maestro del Security Fabric con el que se establecerá la conexión y coordinación.
- Join Existing Fabric (Unirse a un Fabric Existente): Esta opción es un interruptor que, al activarse, habilita la participación del dispositivo en el Security Fabric detectado. Si está desactivada, el dispositivo funciona como una instancia independiente fuera del Fabric.
- Estado de autorización: Muestra si el dispositivo ha sido autorizado correctamente para unirse al Security Fabric. En el caso de “Device not authorized” (dispositivo no autorizado), indica que el nodo raíz aún no ha aprobado la incorporación, lo que bloquea la unión directa y asegura que un dispositivo no pueda integrarse sin control previo.
- Botón «Review authorization on root FortiGate»: Permite redirigir o recordar al administrador que debe revisar y autorizar la incorporación desde el nodo raíz de FortiGate. Es un paso de seguridad adicional para validar manualmente los dispositivos que entran al Fabric.
- Botones «Review Fabric Settings» y «Later»: Facilitan acceder a la configuración detallada del Security Fabric o posponer la configuración para más adelante. Desde esa interfaz se pueden ajustar parámetros finos, como nodos, sensores y reglas específicas de la red Fabric.
Compatibilidad de versiones y modelos
La funcionalidad de Security Fabric está disponible en FortiOS a partir de la versión 7.4.x,7.7.x y ha recibido ampliaciones significativas en versiones posteriores como 6.0, 7.4.x,7.6.x, 7.4.x,7.6.x, 7.0 y 7.2. Es especialmente robusta y recomendable utilizarla en versiones recientes (7.0 en adelante) para sacar provecho de mejoras en integración, gestión y soporte de nuevos dispositivos.
Esta configuración suele encontrarse en equipos FortiGate de gama media y alta orientados a sucursales, oficinas centrales o datacenters complejos, donde la escalabilidad y la visibilidad unificada son esenciales. Algunos modelos de gama baja o entry-level pueden presentar limitaciones, como menor capacidad para manejar múltiples dispositivos conectados al Fabric, o ausencia de ciertas funciones automatizadas de gestión centralizada.
Algunas versiones antiguas tienen diferencias en la gestión visual y en los nombres de parámetros de autorización o en los métodos disponibles para establecer la comunicación entre nodos, por lo que es común que los administradores deban revisar guías específicas por versión para evitar errores de configuración o incompatibilidades.
Escenarios de uso y recomendaciones
Este tipo de configuración es ideal cuando una empresa necesita integrar múltiples FortiGate y centralizar la protección, administración y respuesta frente a incidentes. Por ejemplo, una red multisede donde cada sucursal tiene un FortiGate autónomo, pero toda la organización quiere visibilidad y control global mediante el Security Fabric.
Si esta autorización no se realiza correctamente, el nuevo FortiGate no podrá comunicarse ni compartir información con el Fabric raíz, lo que genera un aislamiento que dificulta la gestión y reduce la eficacia del conjunto de seguridad. Además, si se permite la unión sin autorización, puede haber riesgos de integración de dispositivos no confiables o mal configurados.
El fabricante recomienda revisar frecuentemente el estado de autorización, mantener actualizados los firmwares para evitar vulnerabilidades y cumplir con políticas estrictas para aceptar nuevos nodos, como utilizar credenciales seguras y revisiones manuales por parte de administradores de red.
Comandos de CLI útiles para diagnóstico
get system firmware: Verifica la versión de FortiOS actual para asegurar compatibilidad.diagnose dvm device list: Muestra los dispositivos que forman parte del Security Fabric y su estado de conexión.diagnose debug enableseguido dediagnose debug application dvm -1: Activa debug para el proceso de Fabric Device Manager, útil para detectar problemas de autorización o conexión.config system fabricyshow: Para verificar los parámetros configurados del Fabric y el estado general.diagnose log display: Inspecciona eventos y registros relacionados con la integración y autorización del dispositivo.
Buenas prácticas de configuración
- Siempre confirmar que el FortiGate que sirve como raíz tiene la última versión estable del firmware para evitar problemas de compatibilidad.
- Realizar autorizaciones manuales y no automatizar la incorporación para evitar que dispositivos no autorizados se unan al Fabric.
- Documentar los dispositivos autorizados y sus IPs para auditorías y seguimiento.
- Configurar alertas o notificaciones ante intentos fallidos de unión para detectar posibles ataques o errores de configuración.
- Probar la conectividad y sincronización después de la unión para confirmar un correcto funcionamiento del Fabric.
- Evitar múltiples cambios simultáneos en la configuración del Fabric para prevenir conflictos o caídas en la red de seguridad.
- Mantener roles y permisos estrictos para quienes gestionan la autorización en el nodo raíz, garantizando un control adecuado.