Cómo resolver agrupación de servicios de Internet en Fortinet según la dirección

En este artículo, abordaremos cómo agrupar correctamente los objetos de servicio de Internet en FortiGate según su dirección y organizarlos en grupos de servicio de Internet. Este proceso es crucial para simplificar la creación de políticas en FortiGate, ya que permite manejar un único objeto en lugar de múltiples objetos individuales. La correcta configuración de estos grupos no solo mejora la gestión de políticas de seguridad, sino que también optimiza el rendimiento de la red.

Descripción del problema

La gestión de objetos de servicio de Internet en FortiGate puede volverse complicada si no se agrupan adecuadamente según su dirección. Esto puede llevar a configuraciones ineficaces y a una sobrecarga en la administración de políticas de seguridad.

Alcance

Este artículo es aplicable a dispositivos FortiGate.

Diagnóstico paso a paso

Para crear un grupo de servicio de Internet, es esencial entender cómo la dirección afecta el funcionamiento de estos objetos. La dirección de un servicio de Internet define cómo puede ser utilizado y se puede verificar en la GUI de FortiGate navegando a Política & Objetos -> Base de Datos de Servicios de Internet -> Buscando palabras clave de Servicios de Internet.

Es importante tener en cuenta las siguientes condiciones relacionadas con la dirección al crear un grupo de servicio de Internet:

• Cuando la dirección del grupo se establece en ‘origen’, se pueden agregar miembros de objetos de servicio de Internet con direcciones establecidas en ‘origen’ o ‘ambos’.
• Cuando la dirección del grupo se establece en ‘destino’, se pueden agrupar objetos de servicio de Internet con direcciones ‘destino’ o ‘ambos’.
• Sin embargo, cuando la dirección del grupo de servicio de Internet se establece en ‘ambos’, solo se pueden incluir objetos de servicio de Internet con la dirección ‘ambos’.

Solución recomendada

Para simplificar la creación de políticas en FortiGate, se recomienda la creación de grupos de servicios de Internet. A partir de la versión 7.4, la creación de estos grupos solo era posible a través de la CLI, pero a partir de la versión 7.6.0 se puede hacer también desde la GUI.

A continuación, se muestra un ejemplo de configuración para crear grupos de servicios de Internet según su dirección:

config firewall internet-service-group
    edit "test-Source"
        set comment "Uso del grupo de servicio de Internet como ORIGEN"
        set direction source
        set member "Shodan-Scanner" "Google-Google.Bot" "Google-Gmail" "Microsoft-Skype_Teams"
    next
    edit "test-Destination"
        set comment "Uso del grupo de servicio de Internet como DESTINO"
        set direction destination
        set member "Microsoft-Office365" "Meta-Whatsapp" "Akamai-CDN" "Zoom.us-Zoom.Meeting"
    next
    edit "test-Both"
        set comment "Uso del grupo de servicio de Internet como AMBOS"
        set member "Shopify-Shopify" "GitHub-GitHub" "Apple-APNs"
    next
end

Comandos CLI utilizados

A continuación se describen los comandos usados en el proceso:

• config firewall internet-service-group: Comando para acceder al modo de configuración del grupo de servicios de Internet.
• edit «nombre-del-grupo»: Selecciona o crea un nuevo grupo de servicio de Internet.
• set comment «comentario»: Establece un comentario descriptivo para el grupo.
• set direction origen/destino/ambos: Define la dirección del grupo.
• set member «nombre-del-objeto»: Agrega miembros al grupo.

Buenas prácticas y recomendaciones

Es recomendable utilizar grupos de servicio de Internet para reducir la complejidad en las políticas de seguridad. Además, asegúrese de seguir las reglas sobre las direcciones para evitar problemas en la aplicación de las políticas. También se sugiere documentar la configuración de los grupos para facilitar futuras revisiones y mantenimiento.

Notas adicionales

Para los grupos de servicio de Internet ‘test-Source’ y ‘test-Destination’, es posible mezclar los miembros del grupo con objetos de servicio de Internet que tienen la dirección ‘ambos’.