En este artículo, abordamos los grupos de políticas iprope en dispositivos FortiGate, especialmente en relación con el tráfico local-in. Es crucial entender cómo estas políticas afectan la seguridad y el acceso, ya que una configuración incorrecta puede permitir acceso no autorizado. A lo largo del artículo, aprenderás cómo se estructuran, diagnosticar problemas y aplicar soluciones efectivas para optimizar tu configuración de FortiGate.
Índice
Descripción del problema
Los grupos de políticas iprope son fundamentales para gestionar el tráfico local-in en los dispositivos FortiGate. La mala configuración de estos grupos puede resultar en accesos no deseados a recursos sensibles. Por lo tanto, es esencial comprender cómo funcionan estos grupos y cuál es su propósito…
Alcance
Este artículo se centra en los dispositivos FortiGate y los grupos de políticas iprope en tráfico local-in.
Diagnóstico paso a paso
Para diagnosticar problemas relacionados con las políticas iprope, sigue estos pasos:
- Conéctate a la CLI de tu dispositivo FortiGate.
- Verifica la configuración actual de las políticas iprope usando el comando
show firewall iprope. - Observa cómo se relacionan estas políticas con el tráfico que intentas gestionar.
Solución recomendada
El grupo de políticas iprope incluye diferentes categorías diseñadas para gestionar efectivo el tráfico de diferentes tipos. Las principales son:
- 00100000 [VIP]
- 00100011 [ZTNA_PROXY]
- 00100001 [CUST_LOCAL_IN]
- 0010000e [IMPLICIT_IN]
- 0010000f [ADMIN_IN]
Los grupos VIP y ZTNA_PROXY tienen la máxima prioridad sobre otros grupos. Cualquier tráfico que coincida con estas políticas será aceptado inmediatamente, no permitiendo la evaluación de otras políticas. Asegúrate de que las direcciones IP externas no entren en conflicto con otros servicios previstos para evitar problemas.
Comandos CLI utilizados
Los siguientes comandos son útiles para gestionar y verificar políticas iprope:
show firewall iprope– Muestra la configuración actual de las políticas iprope.diagnose debug flow– Utiliza este comando para rastrear el flujo de tráfico y verificar cómo se están aplicando las políticas.
Buenas prácticas y recomendaciones
- Asegúrate de que las políticas no se superpongan para evitar bloqueos inadvertidos.
- Utiliza la política CUST_LOCAL_IN para controlar el tráfico desde subredes específicas que no deberían acceder a la interfaz de administración.
- Siempre verifica la configuración de los servicios habilitados para asegurarte de que las políticas están correctamente aplicadas.
Notas adicionales
Recientemente, se ha identificado una vulnerabilidad (FG-IR-24-535) que podría permitir el acceso no autenticado a través de HTTPS/HTTP. Se recomienda establecer políticas locales para estos puertos o desactivarlos en interfaces expuestas públicamente, garantizando así una mayor seguridad.
El concepto de trust host es otro enfoque para mitigar vulnerabilidades, asegurando que todos los administradores tengan esta configuración habilitada.
En resumen:
- Políticas VIP y ZTNA Proxy: Tienen la máxima precedencia. Selecciona cuidadosamente IP externas para evitar conflictos.
- Política local personalizada: Utiliza esta política para bloquear tráfico de subredes específicas.
- Grupos Admin-In e Implicit-In: Se configuran automáticamente para permitir el acceso según los ajustes de acceso del administrador.
¿Te ha resultado útil??
0 / 0
Hola, somos Mila Jiménez y César Sánchez. Dos apasionados de la ciberseguridad con muchos años de experiencia. Hemos trabajado en muchas empresas del mundo TI y ahora nos apetece compartir nuestro conocimiento con cualquiera que lo necesite.
¡Si te gusta nuestro contenido puedes invitarnos a un café AQUÍ!