Cómo solucionar problemas de flujo de tráfico en la implementación de FortiGate con Gateway Load Balancer (GWLB)

En este artículo, abordaremos el flujo de tráfico norte-sur en la implementación de FortiGate con GWLB en la nube de AWS. Este es un aspecto crítico para la configuración adecuada de la seguridad en la nube y para garantizar que las aplicaciones y cargas de trabajo funcionen de manera eficiente. A lo largo del artículo, proporcionaremos un diagnóstico paso a paso y soluciones recomendadas para optimizar el tráfico entre las VPC.

Descripción del problema

El flujo de tráfico norte-sur se refiere a cómo los datos entran y salen de las redes en la nube. En un entorno en la nube, es fundamental que este flujo esté correctamente configurado para evitar problemas de conectividad y rendimiento. Un error en la configuración de este tráfico puede provocar interrupciones en las aplicaciones y un aumento en la latencia.

Alcance

Este artículo se enfoca en la implementación de FortiGate VM en entornos de AWS utilizando Gateway Load Balancer (GWLB). Analizaremos cómo se maneja el tráfico dentro y fuera de las Virtual Private Clouds (VPC).

Diagnóstico paso a paso

A continuación, proporcionamos un desglose del flujo de tráfico en un entorno típico con dos VPC: una para el usuario y otra para la seguridad, donde se despliega FortiGate.

Topología:

En la imagen, se pueden observar dos VPC: la VPC del Cliente y la VPC de Seguridad. La VPC del usuario aloja las cargas de trabajo y aplicaciones, con dos subredes: una para la aplicación y otra para GWLB, donde se despliega el endpoint del Gateway Load Balancer (GWLBe) para redirigir el tráfico a GWLB. La VPC de seguridad despliega el FortiGate.

Flujo de tráfico entrante (flechas rojas):

1. El tráfico llega al Internet Gateway de la VPC del usuario.
2. El Internet Gateway está asociado con una tabla de rutas de ingreso, que contiene una ruta para la subred de la aplicación a través del GWLBe. Así, el tráfico fluye desde IGW hacia el GWLBe.
3. Luego, el tráfico pasa a través de GWLB en la VPC de seguridad, donde se encapsula con GENEVE y se envía al FortiGate.
4. FortiGate inspecciona el tráfico y lo reenvía a las instancias de la aplicación.

Flujo de tráfico saliente (flechas azules):

1. La subred de la aplicación está asociada con la tabla de ruta de la aplicación, donde hay una ruta predeterminada a través del GWLBe. Así, el tráfico iniciado desde las aplicaciones fluye hacia el GWLBe.
2. Desde el GWLBe, el tráfico se reenviará al FortiGate en la VPC de seguridad a través de GWLB.
3. FortiGate inspecciona el tráfico y lo envía al Internet Gateway de la VPC del usuario.
4. Finalmente, el tráfico sale del Internet Gateway hacia el Internet público.

Nota: Es necesario establecer rutas estáticas para todos estos flujos de tráfico redireccionados después del despliegue.

Solución recomendada

Para asegurar un flujo óptimo de tráfico entre las VPC, se recomiendan las siguientes configuraciones:

1. Verifique las configuraciones de las tablas de rutas para asegurarse de que estén correctamente asociadas con las subredes apropiadas.
2. Implemente las configuraciones de FortiGate para la inspección de tráfico, asegurándose de que se utilicen las políticas apropiadas para el filtrado.
3. Confirme que las reglas de firewall están correctamente configuradas para permitir o denegar el tráfico según sea necesario.

Comandos CLI utilizados

show router static
show firewall policy
diag deb core show

Estos comandos son útiles para verificar las rutas estáticas y las políticas de firewall en la configuración de FortiGate. El comando show router static le permitirá visualizar todas las rutas configuradas, mientras que show firewall policy muestra las políticas actuales del firewall. El comando diag deb core show es esencial para depurar al ver el estado del núcleo del sistema.

Buenas prácticas y recomendaciones

Para asegurar una implementación exitosa y óptima de FortiGate en entornos AWS, se recomienda:

• Realizar auditorías regulares de las configuraciones de red y seguridad.
• Implementar sistemas de monitoreo para auditar el tráfico y la actividad del firewall.
• Capacitar al personal sobre mejores prácticas en la gestión de seguridad en la nube.

Notas adicionales

Es crucial estar al tanto de las actualizaciones de FortiGate y las mejores prácticas de AWS para asegurarse de que la configuración y las políticas cumplan con los estándares más recientes.