Cómo resolver el problema de tráfico de ping entre máquinas finales a través de un túnel IPSec Site-to-Site

En este artículo, abordaremos un problema común relacionado con la comunicación de Ping entre máquinas finales conectadas a través de un túnel IPSec Site-to-Site. Este problema es crítico porque puede interrumpir la conectividad entre sucursales o entornos de trabajo, lo que afecta la productividad y la colaboración. Proporcionaremos un enfoque paso a paso para diagnosticar y solucionar este problema, garantizando así una configuración óptima de FortiGate.

Descripción del problema

Este artículo describe cómo solucionar problemas de comunicación de Ping entre máquinas finales que se encuentran conectadas a través de un túnel IPSec Site-to-Site. Es esencial asegurar que la configuración de IPSec esté correctamente implementada para facilitar la conexión entre dos redes diferentes.

Alcance

Este tutorial es relevante para dispositivos FortiGate que están configurados en un entorno de red con túneles IPSec.

Diagnóstico paso a paso

Para evaluar el problema de Ping, tomamos en cuenta las siguientes observaciones clave:

• La configuración del túnel IPSec está correctamente implementada en ambos dispositivos FortiGate, incluyendo las políticas de firewall y las rutas necesarias para las subredes locales y remotas.
• El tráfico de Ping se procesa exitosamente a través de ambos FortiGate, pero se observa un mensaje de «Request timed out» en la línea de comandos.
• A través de las salidas de Flow Debug y Sniffer, se puede ver que el tráfico de Ping fluye hacia dentro y hacia fuera de los FortiGate a través de las políticas de firewall correspondientes; sin embargo, no hay respuesta de las máquinas finales.

Solución recomendada

Existen dos enfoques para solucionar el problema:

• Deshabilitar temporalmente el Firewall de Windows y el Antivirus (opcional).
• Implementar los siguientes pasos para crear una regla personalizada en el Firewall de Windows Defender con Configuración Avanzada:

1. Inicie sesión en la máquina con Windows.
2. Acceda al Firewall de Windows Defender y seleccione Configuración Avanzada.
3. En la pantalla del Firewall de Windows con Seguridad Avanzada, seleccione Reglas de Entrada y el enlace Nueva Regla ubicado en el Panel de Acciones.
4. Seleccione Personalizada y luego haga clic en ‘Siguiente’.
5. Seleccione Todos los programas y haga clic en ‘Siguiente’.
6. Seleccione el tipo de protocolo como ICMPv4 y haga clic en el botón Personalizar.
7. En la siguiente pantalla, seleccione Tipos ICMP específicos y luego Solicitud de Eco. Seleccione ‘OK’ y luego ‘Siguiente’.
8. Elija bien Todas las direcciones IP o Estas direcciones IP en las opciones ‘¿A qué direcciones IP locales se aplica esta regla?‘ y ‘¿A qué direcciones IP remotas se aplica esta regla?‘. Si selecciona ‘Estas direcciones IP’, especifique las direcciones IP permitidas.
9. Una vez que haya realizado la configuración necesaria, seleccione el botón Siguiente.
10. En la siguiente pantalla, seleccione Permitir la Conexión y luego ‘Siguiente’.
11. En la siguiente pantalla, seleccione el nombre del perfil (Doméstico, Privado, Público) al que se debe aplicar esta regla, y luego seleccione Siguiente.
12. En la siguiente pantalla, asigne un nombre a la regla y especifique una descripción (opcional). Seleccione Finalizar.

Nota:
De manera predeterminada, la regla ICMPv4-In solo permite tráfico de subred local. Para que funcione el tráfico de Ping, habilite NAT en la política o cambie el alcance a ‘Cualquiera‘.

Comandos CLI utilizados

A la hora de resolver problemas de configuración en FortiGate, es útil conocer algunos comandos CLI:

# Diagnóstico de tráfico con el comando:
diagnose sniffer packet any 'icmp' 4

El comando anterior permite capturar y mostrar paquetes ICMP, lo que puede ayudar a determinar si el tráfico está siendo bloqueado.

Buenas prácticas y recomendaciones

Para minimizar problemas de conectividad en el futuro, considere las siguientes recomendaciones:

• Realizar revisiones periódicas de las políticas de firewall y configuraciones del túnel IPSec.
• Documentar todas las configuraciones y cambios realizados en el sistema.
• Implementar registros y alertas para monitorear la conectividad.

Notas adicionales

Asegúrese de que el firmware de su dispositivo FortiGate esté actualizado, ya que las versiones más nuevas pueden contener mejoras y correcciones de errores que podrían influir en la conectividad y la seguridad del tráfico de red.