Habilitación de la función de split tunnel para SSL VPN

Descripción
Este artículo muestra los pasos para habilitar la función de tunelización dividida y enrutar solo el tráfico interno a través del túnel.

Solución
En esta configuración, los usuarios remotos pueden acceder de forma segura a la red interna de la oficina central a través del firewall de la oficina central y, sin embargo, navegar por Internet sin pasar por el FortiGate de la oficina central.

Sin túneles divididos, todas las comunicaciones de los usuarios remotos de SSL VPN a la red interna de la oficina central ya Internet utilizan un túnel SSL VPN entre la PC del usuario y la unidad FortiGate de la oficina central.
Las conexiones a Internet se enrutan de vuelta desde la unidad FortiGate de la oficina central a Internet. Las respuestas regresan a la unidad FortiGate de la oficina central antes de ser enrutadas de regreso a través del túnel VPN SSL al usuario remoto.

Cree un rango de objeto de dirección de subred interna como se muestra a continuación:

A través de la GUI:
vaya a Política y objetos > Direcciones
Seleccione ‘Crear nuevo’ y agregue la dirección del servidor de la oficina central:

Vía CLI:

#config vpn ssl web portal
    edit «tunnel-access»
        set ip-pools «SSLVPN_TUNNEL_ADDR1»
        set split-tunneling-routing-address «Internal_subnet»
end

Nota: Después de habilitar la función de túnel dividido, no es posible seleccionar la dirección de destino como todo en la política de IPv4.

Seleccione Subred interna como destino en la política de SSLVPN a LAN. Solo se necesita una política desde la interfaz SSL.root a la interfaz LAN.

ADVERTENCIA.

A través de la CLI, cuando no se define el usuario/grupo en la política de SSL VPN, todavía es posible usar la dirección de destino 0.0.0.0/0, que impondrá una ruta predeterminada al usar el túnel.

# config firewall policy
edit 0
set srcintf «ssl.root»
set dstintf «port1»
set srcaddr «SSLVPN_TUNNEL_ADDR1»
set dstaddr «all» <– 0.0.0.0/0
set action accept
set schedule «always»
set service «ALL»
set logtraffic all
next
End

Mila y César

Hola, somos Mila Jiménez y César Sánchez. Dos apasionados de la ciberseguridad con muchos años de experiencia. Hemos trabajado en muchas empresas del mundo TI y ahora nos apetece compartir nuestro conocimiento con cualquiera que lo necesite.

¡Si te gusta nuestro contenido puedes invitarnos a un café AQUÍ!