Cómo resolver el problema de filtrado de contenido que no funciona al habilitar ALPN HTTP/2 en el perfil de Inspección SSL de Fortinet

En este artículo abordaremos los problemas relacionados con el filtrado de contenido en dispositivos FortiGate, razón por la cual es crucial entender cómo solucionar estos inconvenientes. La incapacidad de acceder a páginas solicitadas puede afectar gravemente tanto la productividad como la seguridad en un entorno organizacional. Aquí, proporcionaremos un diagnóstico paso a paso y soluciones recomendadas para resolver problemas comunes en el filtrado de contenido.

Descripción del problema

El filtrado de contenido puede presentar diferentes comportamientos inesperados cuando se configura en dispositivos FortiGate. Algunos de los síntomas que indican que se necesita un diagnóstico incluyen:

• La página solicitada no se carga (sin mensaje de error, página en blanco).
• La página solicitada se carga con un mensaje de reemplazo indicando que está bloqueada por FortiGate después de 2-3 minutos.
• La página solicitada carga lentamente (2-3 minutos).

Alcance

Este artículo se aplica a la versión 7.2.8 de FortiGate.

Diagnóstico paso a paso

Para solucionar los problemas de filtrado de contenido, siga los pasos de diagnóstico que se detallan a continuación:

edit 1
    set name "ContentFilter"
    set uuid 9ba1ee-b8f9-60e123832fce
    set srcintf "port1"
    set dstintf "WAN"
    set action accept
    set srcaddr "all"
    set dstaddr "all"
    set schedule "always"
    set service "all"
    set utm-status enable
    set inspection-mode proxy
    set ssl-ssh-profile "custom-deep-inspection"
    set webfilter-profile "TestWebFilter"
    set nat enable
next

La configuración anterior representa un perfil de coincidencia que permite el filtrado de contenido utilizando la inspección SSL/SSH personalizada, lo cual es fundamental para garantizar que el tráfico se gestione correctamente.

Solución recomendada

Para asegurar que el filtrado de contenido funcione como se espera, confirme que el perfil de inspección SSL esté debidamente configurado:

Fortigate# config webfilter content
Fortigate# show 
    config webfilter content
        edit 1
           set name "ContentFiltering"
                config entries
                    edit "tiktok"
                        set status enable
                    next
                    edit "snapchat.com"
                        set status enable
                    next

Comandos CLI utilizados

• config webfilter content: Este comando se utiliza para acceder a la configuración del filtrado de contenido.
• show: Permite visualizar la configuración actual del filtrado de contenido en FortiGate.
• edit "": Modifica la entrada del filtrado de contenido específico.
• set status enable: Habilita el filtrado para la entrada específica.

Buenas prácticas y recomendaciones

Para maximizar la efectividad del filtrado de contenido, considere las siguientes recomendaciones:

• Asegúrese de que la política del firewall esté en modo Proxy y que la Inspección Profunda SSL esté habilitada.
• Revise regularmente las listas de sitios bloqueados y permitidos para garantizar un filtrado adecuado.
• En caso de problemas continuos, se sugiere actualizar a versiones más recientes de FortiGate que solucionen errores conocidos.

Notas adicionales

Este problema es conocido y ha sido solucionado en las versiones 7.4 y 7.2.11 de FortiGate. Si experimenta problemas persistentes, considere actualizar su dispositivo a la última versión.