Implementar Access Gate con Fortinet FortiGate

En un FortiGate, conectas Access Gate con dos interfaces y añades tres elementos: una ruta para las direcciones twin, una política de firewall que permite ese tráfico y una regla que envía toda una subred de máquinas a través del gate. Nada cambia en las máquinas, y eliminar la regla deshace todo.

Los comandos siguientes son para la CLI del FortiGate. Cada paso tiene su equivalente en la GUI, en Network (interfaces, rutas estáticas, rutas de política) y Policy & Objects (política de firewall).

Qué vas a construir

Los ejemplos usan estas direcciones y nombres de interfaz. Sustitúyelos por los tuyos.

1. Conectar dos puertos

Crea una interfaz para la VLAN de administración y otra para la subred dedicada:

config system interface
    edit "admin"
        set ip 192.168.254.1 255.255.255.0
        set allowaccess ping https ssh
        set interface "port5"
        set vlanid 254
    next
    edit "ag-protect"
        set ip 100.65.0.1 255.255.255.248
        set allowaccess ping
        set interface "port1"
        set vlanid 65
    next
end

Cablea el puerto que lleva admin al puerto de administración (5) de Access Gate, y el puerto que lleva ag-protect a su puerto de protección (1). El puerto de administración obtiene una dirección de tu VLAN de administración por DHCP, o usa 10.0.0.1 tras aproximadamente un minuto si no hay ninguna. También puedes asignarle una dirección fija, como 192.168.254.50, desde la consola de Access Gate.

2. Añadir la ruta para las direcciones twin

Access Gate asigna a cada máquina una dirección twin en 100.64.0.0/16. Indica al FortiGate dónde se encuentra ese rango:

config router static
    edit 0
        set dst 100.64.0.0 255.255.0.0
        set gateway 100.65.0.6
        set device "ag-protect"
    next
end

Estas direcciones aún no se usan, por lo que esto no cambia nada por sí solo. Es lo que permite que las respuestas vuelvan a través del gate después del paso 3.

A continuación, asegúrate de que tus políticas de firewall permiten el paso del tráfico dirigido, o el FortiGate lo descartará en lugar de reenviarlo:

• desde tu interfaz de máquinas (ot en los ejemplos) hacia ag-protect, y en sentido inverso;
• desde ag-protect hacia todas las interfaces con las que se comunican tus máquinas (IT, WAN), y en sentido inverso. Tras pasar por el gate, el tráfico vuelve a entrar al FortiGate por ag-protect de camino a su destino.

Créalas en Policy & Objects → Firewall Policy, con las mismas direcciones y servicios que permites actualmente.

3. Activar el cambio con una sola regla

Esta regla envía todo el tráfico procedente de tu subred de máquinas al gate primero, sea cual sea su destino:

config router policy
    edit 1
        set input-device "ot"
        set src "192.168.1.0/255.255.255.0"
        set gateway 100.65.0.6
        set output-device "ag-protect"
    next
end

Esta ruta de política es el interruptor. Tus máquinas conservan su dirección, puerta de enlace y configuración.

Para deshacer: config router policy, luego delete 1, luego end.

4. Verificar que funciona

Desde una máquina, accede a algo con lo que se comunica habitualmente, exactamente igual que antes:

ping 192.168.2.20

En la consola de Access Gate, el flujo aparece ahora bajo su enclave. Access Gate arranca en modo de prueba en seco (dry run), por lo que muestra qué bloquearía sin bloquear nada hasta que apruebes las reglas.

También puedes comprobar la dirección inversa: desde un equipo de tu red de oficina, accede a una máquina por su dirección twin (ping 100.64.1.10). La ruta del paso 2 lo lleva al gate, que lo pasa a la máquina real.

Otras opciones

config router static
    edit 10
        set dst 100.64.1.10/255.255.255.255
        set gateway 100.65.0.6
        set device "ag-protect"
    next
end

config system dhcp server
    edit 1
        set interface "ot"
        set dns-service specify
        set dns-server1 100.65.0.6
        config ip-range
            edit 1
                set start-ip 192.168.1.100
                set end-ip 192.168.1.200
            next
        end
    next
end

Qué permanece en el FortiGate

El FortiGate aloja una ruta, una política de firewall y una regla, escritas una sola vez. Quién puede acceder a qué máquina, el inicio de sesión, la grabación de sesiones, el cifrado y los registros residen en Access Gate. Cuando el equipo de red pregunta qué cambia en el firewall, la respuesta es: una ruta de política, una vez.

Relacionado

• Inicio rápido
• Proteger toda una subred con una sola regla de router
• Elegir cómo conectar tus máquinas
• Enviar NetFlow desde un FortiGate a Access Gate