FortiGate + VPN: configuraciones seguras (IPSec, SSL, SD-WAN)

Las VPN en FortiGate son uno de los pilares de la seguridad en redes corporativas modernas. Permiten conectar oficinas, usuarios remotos y servicios en la nube de forma segura, cifrada y gestionada centralmente. En este artículo aprenderás cómo configurar IPSec y SSL VPN en Fortinet FortiGate, además de integrar estas conexiones con SD-WAN para lograr mayor rendimiento y resiliencia.
 

 ¿Por qué usar FortiGate para tus VPN?

FortiGate, parte del ecosistema Fortinet Security Fabric, ofrece soluciones VPN avanzadas que combinan seguridad, control de tráfico y facilidad de administración. Las razones más destacadas para implementar una FortiGate VPN son:

•  Cifrado fuerte con estándares como AES, SHA-2 y DH.
   
•  Compatibilidad universal, tanto para redes corporativas como para usuarios remotos.
   
•  Monitoreo en tiempo real con FortiView y FortiAnalyzer.
   
•  Integración nativa con SD-WAN, optimizando el enrutamiento del tráfico VPN.
   
•  Configuración sencilla mediante interfaz gráfica o CLI.
   

Estas ventajas hacen que FortiGate sea una de las plataformas más confiables para conexiones seguras entre sedes o con acceso remoto.
 

 Cómo configurar una VPN IPSec en FortiGate

La VPN IPSec en FortiGate es ideal para conectar sucursales o sedes corporativas a través de Internet con seguridad total. A continuación, se detallan los pasos básicos para configurar IPSec en FortiGate.

1. Crear la Fase 1 (IKE)

1. Ingresa a VPN > IPSec Tunnels > Create New.
    
2. Selecciona Custom o un asistente de Site-to-Site VPN.
    
3. Define:
    
   • Remote Gateway (IP o FQDN del peer remoto).
      
   • Authentication Method: Pre-shared key.
      
   • IKE Version: IKEv2 (recomendado).
      
   • Encryption: AES256 / SHA256.
      
   • DH Group: 14 o superior.
      

 Tip: Usa claves precompartidas complejas y activa la opción DPD (Dead Peer Detection) para mantener la estabilidad del túnel.

2. Crear la Fase 2 (Selectors)

1. Define los subredes locales y remotas.
    
2. Elige los algoritmos de cifrado y autenticación (igual que en Fase 1).
    
3. Activa Auto-negotiate para que el túnel se inicie automáticamente.
    

3. Políticas de firewall y rutas

• Crea una política de seguridad que permita tráfico entre la interfaz local y el túnel IPSec.
   
• Añade una ruta estática o dinámica (BGP/OSPF) si es necesario.
   

4. Pruebas y monitoreo

• Verifica el estado del túnel en Monitor > IPsec Monitor.
   

Usa comandos CLI como:

diagnose vpn tunnel list

get vpn ipsec status
 

 Cómo configurar SSL VPN Fortinet

La SSL VPN Fortinet es perfecta para usuarios remotos que necesitan acceder a la red interna desde cualquier lugar y dispositivo. Utiliza el puerto 443 (HTTPS), evitando bloqueos y ofreciendo compatibilidad multiplataforma.

1. Configurar el modo SSL VPN

1. En VPN > SSL-VPN Settings, define:
    
   • Listen on Interface: WAN.
      
   • Server Certificate: válido o firmado por CA.
      
   • Tunnel Mode (para acceso completo) o Web Mode (para portales web).
      
2. Configura el rango de IPs asignado a los clientes remotos.
    
3. Activa la autenticación de usuarios o grupos (LDAP, RADIUS, local, etc.).
    

2. Crear políticas de acceso

• Crea una política que permita tráfico desde la interfaz ssl.root hacia la LAN o VLAN interna.
   
• Controla el acceso por grupos de usuarios para mayor seguridad.
   

3. Conexión desde cliente

Los usuarios pueden conectarse usando:

• FortiClient VPN (Windows, macOS, Linux).
   
• O bien el portal web SSL VPN mediante navegador.
   

Recomendación: Activa 2FA (autenticación multifactor) para reforzar la seguridad de la conexión SSL VPN Fortinet.

 Integración de VPN con FortiGate SD-WAN

FortiGate permite combinar VPNs con SD-WAN, lo que mejora el rendimiento y la disponibilidad de las conexiones.
Mediante SD-WAN Rules, el tráfico se puede enrutar de forma inteligente por el mejor enlace según latencia, pérdida de paquetes o jitter.

Ejemplo de uso:

• Dos túneles IPSec con diferentes ISPs.
   
• SD-WAN selecciona automáticamente el túnel más estable.
   
• Balanceo automático de carga y failover instantáneo.
   

 Esto garantiza continuidad del negocio, incluso si un enlace falla, sin necesidad de intervención manual.

 Buenas prácticas de seguridad para FortiGate VPN

• Mantén siempre FortiOS actualizado.
   
• Usa certificados válidos en lugar de claves precompartidas simples.
   
• Implementa autenticación multifactor (2FA).
   
• Limita accesos por direcciones IP o grupos de usuarios.
   
• Monitorea los logs en FortiAnalyzer o Syslog externo.
   
• Revisa periódicamente los informes de uso y conexiones activas.

 Conclusión