Cómo solucionar el error al crear una plantilla HUB con el Asistente IPSec en Fortinet

En este artículo, abordamos un problema común al crear una configuración de ADVPN utilizando el asistente IPSec en FortiGate, donde la opción HUB aparece deshabilitada. Este problema es importante porque impide que los usuarios configuren adecuadamente su red VPN, lo que puede afectar la conectividad y la seguridad de la red. A continuación, se detallará cómo diagnosticar y resolver este inconveniente de forma efectiva.

Descripción del problema

El artículo describe un problema en el que la opción HUB está en gris cuando se intenta crear una configuración ADVPN utilizando el asistente IPSec. Esto puede ser confuso para los administradores de red que buscan establecer una conexión de red de tipo HUB-and-Spoke.

Alcance

Este problema afecta a las configuraciones de FortiOS relacionadas con la creación de túneles VPN IPSec, específicamente en la configuración de ADVPN.

Diagnóstico paso a paso

La causa principal de que la opción HUB esté desactivada es una configuración de Spoke que todavía está presente en la configuración de VPN IPSec del FortiGate. Por tanto, es crucial realizar un diagnóstico para identificar y eliminar dicha configuración incorrecta.

Solución recomendada

Para poder seleccionar la plantilla HUB, se debe desactivar la opción auto-discovery-receiver. Aquí están los pasos para hacerlo:

config vpn ipsec phase1-interface

edit <VPN_Name>

set auto-discovery-receiver disable

end

Alternativamente, puede considerar eliminar toda la configuración del túnel phase1-interface de IPSec.

Nota: Debe eliminar primero todas las referencias de la interfaz Phase1 de IPSec antes de poder eliminar completamente el túnel, incluyendo las políticas de firewall y la interfaz Phase2.

Una vez completado uno de estos pasos, la plantilla HUB debería poder seleccionarse nuevamente en el asistente IPSec.

Comandos CLI utilizados

A continuación se presentan los comandos utilizados en la solución:

config vpn ipsec phase1-interface
    edit <VPN_Name>
        set auto-discovery-receiver disable
end

Este conjunto de comandos permite desactivar la configuración de auto-descubrimiento, lo que habilitará la opción HUB en el asistente IPSec.

Buenas prácticas y recomendaciones

Es recomendable verificar siempre las configuraciones de las interfaces IPSec antes de realizar cambios significativos. Mantener un registro claro de las configuraciones y las políticas de firewall facilitará el diagnóstico de problemas futuros. También se sugiere realizar copias de seguridad de la configuración del FortiGate regularmente para prevenir la pérdida de configuraciones importantes.

Notas adicionales

Este problema puede surgir por varias razones, por lo que es importante prestar atención a otros parámetros de configuración del VPN IPSec para asegurarse de que no haya conflictos. Además, es aconsejable consultar la documentación oficial de Fortinet o el soporte técnico en caso de dificultades persistentes.