El siguiente artículo aborda la gestión de paquetes en dispositivos FortiGate, centrándose en el orden de los filtros de UTM aplicados a los paquetes según el modo de inspección configurado en la política de firewall correspondiente. Comprender este tema es crucial para asegurar una adecuada protección de la red y maximizar la eficiencia de la configuración de seguridad. Este artículo ayudará a comprender cómo se manifiesta este proceso en las versiones de FortiGate a partir de la 6.4.
Índice
Descripción del problema
Los dispositivos FortiGate utilizan distintos modos de inspección para evaluar el tráfico de red. La correcta implementación y comprensión de estos modos es vital, ya que determina cómo se aplican los filtros de UTM, que son esenciales para la seguridad de la red. Dependiendo del modo de inspección configurado en la política de firewall, los paquetes pueden ser revisados de manera distinta, afectando así la respuesta ante diversas amenazas.
Alcance
Este artículo es aplicable a dispositivos FortiGate con versiones de firmware a partir de la 6.4. Es fundamental asegurarse de que se están utilizando las características y configuraciones correctas en esta versión para optimizar la defensa en la red.
Diagnóstico paso a paso
Para diagnosticar el comportamiento de los paquetes y el orden de los filtros que se aplican, primero es necesario identificar el modo de inspección seleccionado en la política de firewall. Esto se puede hacer a través de la interfaz gráfica o mediante comandos de la línea de comandos (CLI).
Los modos de inspección más comunes son:
- Inspección basada en flujo: Cuando esta opción está activada, el motor IPS realiza una inspección de un solo pasaje para todos los paquetes.
- Inspección basada en proxy: Este modo mezcla la inspección de flujo con la inspección proxy, permitiendo un análisis más profundo a través de múltiples pasajes.
Solución recomendada
En función del modo de inspección que se seleccione, se aplicarán diferentes filtros. A continuación se explican los procesos de inspección:
Inspección basada en flujo:
El motor IPS se encarga de inspeccionar los paquetes que coinciden con la política de firewall configurada, utilizando un enfoque de un solo pasaje. Todos los perfiles de UTM inspeccionan el paquete simultáneamente, incluyendo:
- IPS
- Control de Aplicaciones
- Filtrado Web
- DLP
- Revisión de Botnets
- Antivirus
Inspección basada en proxy:
En este modo, se genera una mezcla de inspección basada en flujo y proxy. El motor IPS sigue encargado del proceso de inspección de flujo, mientras que el proceso WAD asume la inspección proxy.
Los paquetes serán revisados por los perfiles de UTM que pueden ejecutar un proceso de inspección basado en flujo, independientemente del modo de inspección establecido en la política de firewall, incluyendo:
- IPS de un solo pasaje
- Revisión de Botnets
- Control de Aplicaciones
Una vez que se completan estas verificaciones, los paquetes se inspeccionarán posteriormente con los perfiles de UTM que pueden ejecutar ambos procesos de inspección (basados en flujo o proxy), dependiendo del modo de inspección establecido en la política de firewall. Los perfiles disponibles solo para el modo de inspección proxy se aplican en el siguiente orden:
- Inspección de VoIP
- DLP
- Filtro de Correo (Anti-Spam)
- Filtrado Web
- Antivirus
- ICAP
Para más información, consulte el documento Procesamiento de Rutas Paralelas (Vida de un Paquete) en la página oficial de documentación de Fortinet. Esto es aplicable a las versiones 6.4 y superiores.
Comandos CLI utilizados
A continuación, se presentan algunos comandos importantes que pueden ser utilizados para verificar la configuración y el estado de los filtros de UTM en FortiGate:
get firewall policy
get system performance
diagnose firewall iprope listBuenas prácticas y recomendaciones
Para optimizar la configuración en dispositivos FortiGate, se recomienda seguir estas buenas prácticas:
- Verifique regularmente las políticas de firewall y los modos de inspección configurados.
- Habilite solo las funciones UTM necesarias para evitar sobrecargar el dispositivo y reducir la latencia.
- Realice pruebas periódicas en el entorno de laboratorio antes de aplicar cambios en producción.
Notas adicionales
Es importante tener en cuenta que el rendimiento de la inspección puede variar dependiendo de la configuración del hardware y la carga de tráfico en el dispositivo. Monitorear el rendimiento y realizar ajustes en la configuración de los perfiles UTM puede contribuir a mejorar la eficacia de la seguridad de la red.
¿Te ha resultado útil??
0 / 0
Hola, somos Mila Jiménez y César Sánchez. Dos apasionados de la ciberseguridad con muchos años de experiencia. Hemos trabajado en muchas empresas del mundo TI y ahora nos apetece compartir nuestro conocimiento con cualquiera que lo necesite.
¡Si te gusta nuestro contenido puedes invitarnos a un café AQUÍ!