Cómo resolver el error de falta de ‘FortiView Source Interfaces by Bytes’ en los logs de Fortinet

En este artículo, abordaremos el problema de la falta de datos en los registros de ‘FortiView Source Interfaces by Bytes’, a pesar de que se especifique la interfaz wan1 como fuente. Este asunto es crucial porque impide una visibilidad clara del tráfico a través de la interfaz, complicando la administración y las decisiones de seguridad en entornos FortiGate. A continuación, se detallará el diagnóstico del problema y se ofrecerá una solución recomendada.

Descripción del problema

El comportamiento de ausencia de datos en FortiView se presenta cuando FortiGate no registra el tráfico de las interfaces que no están definidas explícitamente como interfaces de origen en las políticas de seguridad. Este problema frecuentemente ocurre si la interfaz wan1 no está configurada adecuadamente.

Alcance

Este problema se aplica a los dispositivos FortiGate.

Diagnóstico paso a paso

Para diagnosticar correctamente este asunto, es necesario seguir estos pasos:

1. Acceder a la interfaz de administración de FortiGate.

2. Navegar a Políticas y Objetos -> Política IPv4.

3. Verificar si la interfaz deseada (por ejemplo, wan1) está definida como la interfaz de origen en la política del firewall correspondiente.

4. Confirmar que el registro está habilitado para la política, de modo que se pueda capturar la información de tráfico adecuada.

Solución recomendada

Este comportamiento ocurre porque FortiGate solo registra el tráfico para las interfaces que están explícitamente definidas como interfaces de origen en las políticas de seguridad. Si wan1 no se ha configurado como la interfaz de origen dentro de una política específica, FortiView no mostrará tráfico para esa interfaz.

Para asegurar que FortiView capture datos de tráfico para wan1 o cualquier otra interfaz específica, verifique lo siguiente:

Configuración de Políticas:

Dirígete a Políticas y Objetos -> Política IPv4. Asegúrate de que la interfaz deseada (por ejemplo, wan1) esté definida como la interfaz de origen en la política del firewall pertinente. También, asegúrate de que el registro esté habilitado para que dicha política registre los detalles del tráfico.

Comandos CLI utilizados

Los siguientes comandos pueden ser útiles para verificar la configuración de la interfaz y las políticas:

show firewall policy
diag firewall iprope list

El comando show firewall policy te permitirá visualizar las políticas de firewall y verificar la configuración de las interfaces de origen. Por otro lado, diag firewall iprope list ayuda a inspeccionar el tráfico actual a través de las interfaces configuradas.

Buenas prácticas y recomendaciones

Para evitar problemas similares en el futuro, considera las siguientes buenas prácticas:

• Revise periódicamente las configuraciones de las políticas de seguridad y las interfaces de origen.
• Utilice documentación adecuada para el registro y monitoreo de tráfico.
• Habilite registros para todas las políticas relevantes.

Notas adicionales

Considere que los problemas de configuración de registro son comunes en entornos con múltiples interfaces y políticas de seguridad. La auditoría de las configuraciones y la alineación con las mejores prácticas de seguridad ayudan a mitigar estas dificultades.