Cómo solucionar el problema de políticas de firewall sobredimensionadas en Fortinet

En entornos de seguridad de red, las políticas de cortafuegos son cruciales para el funcionamiento eficiente y seguro de las infraestructuras. Un problema común que puede surgir es que una política se vuelva demasiado grande o «sobredimensionada». Esto puede afectar negativamente el rendimiento del cortafuegos y su capacidad para manejar tráfico de red correctamente. Este artículo explicará cómo diagnosticar si una política de cortafuegos de FortiGate está sobredimensionada y ofrecerá comandos útiles y recomendaciones para resolver este problema.

Descripción del problema

Una política de cortafuegos puede volverse sobredimensionada al modificar una variedad de objetos. Esto puede causar mal funcionamiento en la política, lo que a su vez puede comprometer la eficacia del tráfico de red gestionado por el cortafuegos.

Alcance

Este artículo se centra en dispositivos FortiGate, que son ampliamente utilizados en la industria para proteger infraestructuras de red.

Diagnóstico paso a paso

Para determinar si una política de cortafuegos está sobredimensionada, se puede usar el siguiente comando:

diagnose firewall iprope show 00100004 X

Nota: Reemplace ‘X’ con el ID de la política. Este ID se puede verificar desde la interfaz gráfica de usuario (GUI). Para más información, consulte el artículo técnico: Cómo encontrar el ID de la política.

A continuación se muestra un ejemplo de la salida del comando de depuración mencionado:

Tiara-kvm05 # diagnose firewall iprope show 00100004 1
idx:1
pkts:74121908 (40288 125777 43045 79472 83932 155936 206080 1105960)
bytes:66758665762 (28356926 117292649 17679078 35315888 31601911 87534695 156952603 1222883616)
asic_pkts:0 (0 0 0 0 0 0 0 0)
asic_bytes:0 (0 0 0 0 0 0 0 0)
flag:0x0
hit count:1923549 (2272 4897 4933 5480 6769 8998 8738 9523)
first hit:2023-07-25 14:26:06 last hit:2024-12-02 09:35:26
established session count:7

first est:2023-07-25 14:26:06 last est:2024-12-02 09:35:26

Solución recomendada

Una vez que haya revisado la salida del comando, preste especial atención al campo ‘flag’. Esta información es crucial para determinar si la política está sobredimensionada. Aquí un resumen:

• 0x0 significa que NO está sobredimensionada.
• 0x40 significa que SÍ está sobredimensionada.

Comandos CLI utilizados

El comando más relevante en este contexto es:

diagnose firewall iprope show seguido del ID de la política que se desea verificar.

Buenas prácticas y recomendaciones

Para evitar que las políticas de cortafuegos se vuelvan sobredimensionadas, considere las siguientes mejores prácticas:

• Realice revisiones periódicas de la configuración de su cortafuegos.
• Elimine objetos y reglas que ya no sean necesarios.
• Utilice agrupaciones de direcciones para simplificar la gestión y la configuración.
• Documente todos los cambios realizados en las políticas para facilitar la identificación de problemas futuros.

Notas adicionales

Es importante tener en cuenta que el rendimiento del cortafuegos puede depender de otros factores, como la configuración del hardware y las características de la red. Siempre mantenga su dispositivo actualizado con las últimas versiones de software y aplique parches de seguridad regularmente para optimizar su rendimiento.