Esta guía describe un ejemplo de configuración de un firewall FortiGate para exportar NetFlow a un puerto de monitoreo de Trout Access Gate.
Al finalizar este procedimiento:
- Su FortiGate exportará NetFlow para las interfaces seleccionadas.
- Trout Access Gate ingerirá esos flujos en su puerto de monitoreo.
- Verá actividad de flujos y puertos en tiempo real dentro de la pestaña Monitoring de Trout.
Este documento asume un FortiGate con FortiOS 7.2.x (por ejemplo, un FortiGate 100F con 7.2.12) y un Trout Access Gate ya desplegado en el mismo sitio.
Descripción general de la arquitectura
En esta configuración, Trout no está en línea y no reemplaza al FortiGate. El FortiGate continúa enrutando y filtrando el tráfico con normalidad. Trout simplemente recibe metadatos NetFlow del FortiGate a través de una conexión Ethernet independiente.
La configuración es la siguiente:
- El FortiGate es el router/firewall principal del sitio.
- Trout Access Gate tiene un puerto de monitoreo dedicado, conectado por cable a un puerto libre del FortiGate o del mismo switch.
- El FortiGate envía registros NetFlow (UDP) a la dirección IP del puerto de monitoreo de Trout.
- Trout ingiere esos flujos y los convierte en visibilidad e inteligencia en la pestaña Monitoring.
- Ningún tráfico de producción pasa por el puerto de monitoreo de Trout; este solo recibe telemetría NetFlow.
Requisitos previos
Antes de comenzar, debe contar con:
- Una dirección IP asignada al puerto de monitoreo de Trout (por ejemplo, 192.168.253.10).
- Conectividad IP entre el FortiGate y esta IP de monitoreo (misma subred o enrutada).
- Una decisión sobre qué interfaces del FortiGate desea observar (por ejemplo, port2 para LAN, port3 para red OT).
Habilitar la ingestión de NetFlow en Trout Access Gate
Primero, asegúrese de que Trout esté listo para aceptar NetFlow antes de configurar el FortiGate.
- Inicie sesión en la interfaz de usuario de Trout Access Gate.
- Navegue a Settings → Device Port Configuration y configure qué puerto ejecutará el servicio Monitor.
- Vaya a la página Monitor y haga clic en "configure Netflow".
- Establezca su IP de escucha y puerto UDP (por ejemplo, 2055).
- Guarde y aplique los cambios.
Configurar la exportación de NetFlow en el FortiGate
Ahora configurará el FortiGate para exportar registros NetFlow al Access Gate en interfaces específicas.
Los comandos exactos pueden variar ligeramente según el modelo, pero para FortiOS 7.2.x la estructura es la que se muestra a continuación.
En este ejemplo:
- IP de monitoreo de Trout: 192.168.253.10
- IP de interfaz del FortiGate (misma subred, usada como origen): 192.168.253.1
- Puerto UDP de NetFlow: 2055
- Interfaces monitoreadas: port2 y port3
Definir el colector de NetFlow
Conéctese a la CLI del FortiGate (SSH o consola) y ejecute:
config system netflow
config collectors
edit 1
set collector-ip "192.168.253.10" # Trout monitoring port IP
set collector-port 2055 # Must match Trout listener
set source-ip "192.168.253.1" # FortiGate IP appearing as exporter
set interface-select-method auto
next
end
end
Habilitar NetFlow en las interfaces seleccionadas
Definir un colector no es suficiente; debe habilitar explícitamente el muestreo en cada interfaz cuyo tráfico desee resumir y exportar.
Por ejemplo, para habilitar NetFlow en port2 y port3:
config system interface
edit "port2"
set netflow-sampler both
next
edit "port3"
set netflow-sampler both
next
end
Se está configurando port2 y port3 para exportar registros NetFlow del tráfico entrante y saliente al Access Gate.
Una vez aplicado, el FortiGate comenzará a exportar NetFlow v9 al Trout Access Gate.
Verificar que NetFlow llega a Trout
Tras la configuración, es importante verificar que el tráfico fluye realmente desde el FortiGate hacia Trout y está siendo ingerido.
Verificar en el FortiGate
Use el comando de diagnóstico integrado:
diagnose test application netflowd 3
Esto debería mostrar el colector configurado, junto con contadores que indican cuántos flujos y paquetes se han enviado. Si el colector no aparece, probablemente haya un problema de configuración en el bloque config system netflow.
Verificar en Trout
En el Trout Access Gate:
- Abra la pestaña Monitor
- Los datos deberían aparecer
Puede tardar hasta un minuto en aparecer los primeros flujos, dependiendo del volumen de tráfico en las interfaces monitoreadas.
Resumen
Se definió un colector de NetFlow apuntando a la IP de monitoreo del Access Gate, se habilitó el muestreo en las interfaces del FortiGate seleccionadas y se confirmó la exportación con diagnose test application netflowd 3.
Recurra a esta configuración cuando el FortiGate sea el router del sitio y desee que el Access Gate obtenga visibilidad de flujos mediante telemetría NetFlow v9 sin necesidad de estar en línea.