Zonas SD-WAN en FortiGate para optimizar redes WAN

La configuración de zonas SD-WAN en equipos FortiGate es una estrategia avanzada que permite optimizar el tráfico en redes WAN a través del balanceo de enlaces, priorización y monitoreo continuo del rendimiento. Esta funcionalidad se utiliza para combinar múltiples conexiones de internet o WAN en una sola zona lógica, facilitando una mejor administración y redundancia, así como una respuesta adaptativa en caso de fallos o degradación de uno de los enlaces.

Campos principales

Al configurar una zona SD-WAN, es importante entender los distintos parámetros que componen esta entidad y su impacto:

• Nombre de la zona (ej. virtual-wan-link): Identifica la zona SD-WAN en la configuración del FortiGate. Es el punto lógico al que se asignan las interfaces físicas que conformarán el conjunto de enlaces.
• Tipo (SD-WAN Zone): Define la naturaleza del objeto, en este caso una agrupación lógica para gestionar múltiples enlaces WAN.
• Interfaces miembros (ej. port2): Las interfaces físicas o virtuales que forman parte de la zona SD-WAN. El tráfico saliente podrá utilizar cualquiera de estas según la política de enrutamiento y reglas de desempeño configuradas.
• Estado del enlace: Indica si la interfaz está activa y operativa dentro de la zona, determinando si puede participar en el enrutamiento y balanceo.

Activar la configuración correcta de estas zonas permite un failover automático, mejor utilización de ancho de banda y un mejor rendimiento general en las conexiones WAN.

Compatibilidad de versiones y modelos

La funcionalidad SD-WAN está disponible en FortiOS empezando aproximadamente desde la versión 7.4.x,7.6.x, con mejoras significativas en 7.4.x,7.6.x y versiones posteriores como 7.0 y 7.2. Los equipos de gama media a alta suelen soportar esta característica sin limitaciones relevantes, mientras que algunos modelos muy antiguos o de gama baja podrían no ofrecer soporte o tener restricciones en la capacidad de gestión de múltiples enlaces.

En FortiOS, la interfaz gráfica (GUI) y CLI para la configuración de zonas SD-WAN ha ido evolucionando. Por ejemplo, parámetros y nomenclatura pueden variar entre versiones 7.x y 7.x, requiriendo adaptación en scripts o documentación. Los modelos FortiGate orientados a sucursales y data centers son los que más se benefician de SD-WAN, ya que disponen de múltiples puertos físicos y mayor capacidad de procesamiento.

Limitaciones comunes incluyen menor número de rutas manejables en modelos compactos y ausencia de funciones avanzadas como monitorización profunda o reglas específicas de aplicación. Es recomendable confirmar la compatibilidad en las notas de versión específicas del modelo y firmware utilizado.

Escenarios de uso y recomendaciones

Este tipo de configuración es ideal para organizaciones que disponen de varias conexiones WAN (por ejemplo, internet por fibra y enlace 4G/5G) y desean asegurar disponibilidad continua y optimización del rendimiento. En un entorno corporativo, permite balancear el tráfico crítico, priorizando servicios como voz o videoconferencia, y automatizar la conmutación ante caídas de enlaces.

Si esta configuración se realiza incorrectamente, puede generar problemas como loops de red, caída del servicio por mal manejo de rutas o utilización ineficiente del ancho de banda, afectando la productividad y la experiencia del usuario final.

Fortinet recomienda definir claramente las prioridades de enlace, establecer políticas basadas en rendimiento y utilizar los sensores integrados para monitorear latencia, jitter y pérdida de paquetes para tomar decisiones de enrutamiento informadas. También es esencial probar exhaustivamente la resiliencia de la configuración en ambientes de laboratorio o controlados antes de su despliegue en producción.

Comandos de CLI útiles para diagnóstico

• diagnose sys sdwan health-check: Permite verificar el estado actual y resultados de los chequeos de salud de los enlaces SD-WAN configurados.
• show full-configuration firewall sdwan: Muestra toda la configuración definida para las zonas SD-WAN y sus reglas asociadas.
• get router info routing-table sdwan: Consulta la tabla de enrutamiento específica para SD-WAN para confirmar qué rutas están activas y hacia qué interfaces se está enviando tráfico.
• diagnose debug enable y diagnose debug application sdwan -1: Para activar la depuración detallada de la funcionalidad SD-WAN y captar eventos y anomalías.
• execute ping-options source <interface> y execute ping <IP_destino>: Sirve para validar conectividad desde las interfaces miembros de la zona SD-WAN.

Buenas prácticas de configuración

• Verificar la capacidad y rendimiento máximo de cada enlace antes de añadirlo a la zona SD-WAN.
• Configurar correctamente la monitorización del estado de enlace (latencia, estado, jitter) para garantizar decisiones dinámicas efectivas.
• Evitar la superposición de subredes en interfaces que pertenezcan a la misma zona para impedir conflictos de enrutamiento.
• Implementar políticas de failover claras y definir prioridades para el uso de enlaces en situaciones de degradación.
• Realizar pruebas integrales simulando fallos para validar el comportamiento esperado del entorno SD-WAN.
• Actualizar regularmente el firmware a versiones compatibles y estables para contar con mejoras y correcciones de seguridad.
• Documentar la configuración y mantener respaldos para facilitar restauraciones rápidas ante fallos.
• Monitorear de forma continua el desempeño y ajustar parámetros según el comportamiento real de la red.
• Evitar configuraciones manuales complejas en entornos dinámicos, utilizar el asistente y plantillas de FortiGate cuando sea posible.