En este post veremos cómo configurar VLANs en las redes de Proxmox VE 9.0

• Para empezar y ponernos en contexto, vamos a configurar las VLANs del mismo modo que lo hacemos en una infraestructura con VMware vSphere, es decir, en un virtual switch, configuramos un port group del tipo VMkernel para la interface de management asignándole una dirección IP y una etiqueta o ID de VLAN, y en ese mismo virtual switch vamos configurando nuevos port group del tipo máquina virtual para cada VLAN asignándole su etiqueta o ID de VLAN que corresponda, lo mismo haremos en Proxmox, eso sí, con sus particularidades, pero la idea sería la misma:

• Estas serían las VLANs que tenemos configuradas en nuestra infraestructura, concretamente en un router Mikrotik, VLAN_GESTION ID 99, VLAN_INGENIERIA ID 10, VLAN_CONTABILIDAD ID 20, VLAN_VENTAS ID 30:

• En nuestro servidor proxmox, tenemos configurado un bond o NIC Teaming con dos interfaces de red con la siguiente configuración:

auto bond0

iface bond0 inet manual

bond-slaves ens192 ens224

bond-miimon 100

bond-mode balance-rr

auto vmbr0

iface vmbr0 inet static

address 192.168.99.100/24

gateway 192.168.99.1

bridge-ports bond0

bridge-stp off

bridge-fd 0

• Ahora para configurar las VLANs, este sería el plateamiento:
• El nodo de Proxmox (management) con su IP en la VLAN 99.
• Las VMs/Contenedores LXCs que salgan por el mismo puerto trunk, cada uno en su propia VLAN (10, 20, 30).
• Esta sería la configuración:

auto bond0

iface bond0 inet manual

bond-slaves ens192 ens224

bond-miimon 100

bond-mode balance-rr

auto vmbr0

iface vmbr0 inet manual

bridge-ports bond0

bridge-stp off

bridge-fd 0

auto vmbr0.99

iface vmbr0.99 inet static

address 192.168.99.100/24

gateway 192.168.99.1

• Si accedemos a la interface gráfica, así nos quedaría:

• Con esto, ya tendríamos configurado el acceso a nuestro Proxmox desde la VLAN de GESTION, para la configuración de las VMs/Contenedores LXCs elegiremos el bridge vmbr0, en el campo VLAN Tag, colocaremos el número de VLAN (10, 20, 30), así Proxmox insertará el tag VLAN cuando el tráfico salga por vmbr0 → bond0 hacia el switch trunk:

• Este sería el resumen de todo lo que hemos configurado:
• El nodo Proxmox usa la VLAN 99 → vmbr0.99
• Una VM1 con IP en VLAN 10 → asignamos vmbr0 como interfaz y VLAN Tag = 10
• Una VM2 con IP en VLAN 20 → asignamos vmbr0 como interfaz y VLAN Tag = 20
• Una VM3 con IP en VLAN 30 → asignamos vmbr0 como interfaz y VLAN Tag = 30
• El switch físico, debe tener el puerto donde está Proxmox en modo trunk/tagged con VLANs 10, 20, 30 y 99 permitidas.
• La VLAN 99 es la que usará el propio Proxmox para management
• Proxmox se gestiona en la VLAN 99
• Las VMs/Contenedores LXCs pueden usar cualquier VLAN disponible en el trunk, solo con asignar el tag correspondiente en la GUI

Saludos y espero que os resulte de ayuda

En este post vamos a ver como configurar las interfaces virtuales para administración en un cluster HA con dispositivos Fortigate, en un post anterior vimos como configurar interfaces dedicadas de management utilizando un puerto físico del dispositivo, en muchas ocasiones, podemos encontrarnos con dispositivos Fortigates con pocas interfaces físicas, y si queremos un puerto dedicado para administración, entonces lo mejor es configurar estas interfaces virtuales, utilizando un puerto físico que ya tenemos en uso.

• Lo primero que tenemos que hacer es acceder a System > HA > Fortigate Primario > Editar y verificar que Management Interface Reservation está deshabilitado en nuestro cluster:

• Para configurar las interfaces virtuales debemos de acceder por consola:

• Ejecutamos el comando system config interface y editamos el puerto 10 con edit port10:

• Le hacemos un get y cómo podemos ver tenemos la opción de configurar el management-ip, esta IP virtual no se va a sincronizar entre los dispositivos del cluster:

• Ahora con el comando set management-ip 192.168.14.225 255.255.255.0 le vamos a asignar al dispositivo con el rol primario del cluster, una dirección IP virtual que utilizaremos para la gestión y administración del dispositivo:

• Si le hacemos un get podemos ver que ya tiene la IP virtual configurada:

• Con end salimos y guardamos los cambios:

• Ahora ya podemos acceder a través de la IP de management virtual sobre el Fortigate01:

• Ahora vamos a configurar la interface de management virtual del Fortigate que tiene el rol de secundario, para ello nos abrimos una consola CLI y ejecutamos el comando execute ha manage 0 admin para acceder al dispositivo con el rol de secundario:

• Ejecutamos el comando system config interface y editamos el puerto 10 con edit port10:

• Le hacemos un get y cómo podemos ver tenemos la opción de configurar el management-ip, esta IP virtual no se va a sincronizar entre los dispositivos del cluster:

• Ahora con el comando set management-ip 192.168.14.226 255.255.255.0 le vamos a asignar al dispositivo con el rol secundario del cluster, una dirección IP virtual que utilizaremos para la gestión y administración del dispositivo:

• Si le hacemos un get podemos ver que ya tiene la IP virtual configurada:

• Con end salimos y guardamos los cambios:

• Ahora ya podemos acceder a través de la IP de management virtual sobre el Fortigate02:

Saludos y espero que os sea de ayuda

En este post vamos a ver como configurar dos Firewall Fortigate en HA (Alta Disponibilidad) en modo Activo-Activo:

• Vamos a utilizar dos Interfaces de cada dispositivo para HA para vincularlos y sincronizarlos.
• En HA uno de los Fortigate estará como primario y éste sincronizará su información con el otro Fortigate que será el secundario.
• El link para el HA entre los Fortigate, que en este caso usaremos dos (HA1 y HA2) se llama Heartbeat y se utiliza para la sincronización y detección entre los equipos.
• Tenemos dos modos de configurar HA: Activo-Pasivo y Activo-Activo.

En este segundo post vamos a ver el modo Activo-Activo, en este modo todos los dispositivos procesan tráfico, pero seguimos teniendo un dispositivo que actúa como primario y otro como secundario, el dispositivo primario se encarga de distribuir todas las sesiones en el cluster, pero si el primario cae, entonces el secundario pasaría a tener el rol de primario.

Vamos a ver que necesitamos para crear y configurar un cluster HA en Firewall FortiGates:

• Dos Fortigates del mismo modelo
• Misma versión de FortiOS en ambos equipos
• Mismas licencias
• Un link entre los equipos que componen el cluster HA, en este caso vamos a utilizar dos
• Las mismas interfaces deben de estar conectadas al mismo dominio de broadcast, es decir, los puertos usados deben de ser los mismos en ambos dispositivos y conectados en el mismo segmento de red.

• Para empezar con la configuración de nuestro cluster HA Activo-Activo, vamos a realizar las configuraciones básicas sobre uno de nuestros Fortigate, que actuará como primario, el otro Fortigate lo dejamos con las configuraciones de fábrica, en este link podemos ver la configuración inicial y puesta en marcha.
• Aquí vemos como tenemos configurado el hostname y las interfaces de red del primer Fortigate (LAN y WAN):

• Del segundo Fortigate, está tal y como viene de fábrica:

• Lo primero que vamos a realizar es configurar sobre el Fortigate01 el nombre de las interfaces de red que van a participar en el cluster HA, se llaman interfaces de Heartbeat y se utilizan para la sincronización y detección entre los equipos, utilizaremos los puertos 4 y 5:

• Ahora sobre System > HA > seleccionamos el modo que nos interese, en este caso Active-Active:

• Sobre High Availability le indicamos el modo y la prioridad, sobre Cluster Settings le damos un nombre al cluster, le asignamos un password, habilitamos Session pickup para que automáticamente se pasen las sesiones de un Fortigate a otro y así los clientes no tengan que volver a reconectarse, el Monitor interfaces lo vamos a habilitar más adelante y explicaremos de que se trata y sobre Heartbeat Interfaces vamos a configurar las interfaces que van a participar en el cluster HA, sobre Heartbeat Interface Priority vamos a configurar las prioridades de las interfaces de Heartbeat, que en este caso el port4 va a tener prioridad sobre el port5:

• Ahora podemos ver que en System > HA nos muestra los puertos 4 y 5 con un corazón indicando que son los puertos de Heartbeat para el cluster:

• Sobre el Fortigate01 ya tenemos las configuraciones de HA realizadas, ahora debemos de configurar el Fortigate02, y como el nombre del host no se sincroniza, es lo primero que tenemos que configurar, en System > Settings:

• Ahora sobre System > HA realizamos las mismas configuraciones que hemos hecho sobre el Fortigate01, excepto que en la prioridad del dispositivo la vamos a bajar a 100, clic sobre OK:

• Como podemos ver, perdemos conexión con nuestro Fortigate02, ya que la dirección IP que tenía, ha desaparecido al unirlo al cluster, ahora estos dos dispositivos es como si fuesen uno solo y los dos van a tener las mismas configuraciones:

• Sobre el Fortigate01 accedemos a System > HA y podemos ver que ya tenemos el segundo dispositivo unido al cluster, aunque todavía está sincronizando, esto nos lo muestra muy claro el checksum, que como podemos observar, son números diferentes, ya que al no estar sincronizados todavía cada dispositivo tiene una configuración:

• Pasados unos minutos, ya podemos ver que los dos dispositivos están sincronizados, el checksum es el mismo, como también podemos ver, el Fortigate01 está actuando como primario y el Fortigate02 como secundario:

• Para ver de un solo vistazo el estado de nuestro Cluster HA, vamos a habilitar el siguiente panel, nos vamos a Dashboard y añadir:

• Añadimos el Widget HA Status:

• Como podemos ver, de un solo vistazo podemos ver el estado del cluster HA:

• Ahora vamos a realizar una prueba, apagando el Fortigate01, para ver si el Fortigate02 coge el control como primario, y como podemos ver, todo funciona correctamente sin pérdida de servicio y el que estaba antes como secundario pasa a ser primario:

• Si volvemos a iniciar el Fortigate01, podemos ver que ahora tiene el rol de secundario, ya que el Uptime del Fortigate02 es mayor que el del Fortigate01:

• Si queremos que el Fortigate01 vuelva a coger el rol de primario, debemos de ejecutar este comando diagnose sys ha reset-uptime, lo que hace este comando es resetear el Uptime del dispositivo, en este caso del Fortigate02:

• Como podemos ver, el Fortigate01 vuelve a tener el rol de primario:

• Ahora, vamos a configurar el Monitor interfaces en el cluster HA, esto significa, que la interface que vamos a monitorizar, si pierde conexión con el Firewall primario, automáticamente éste Firewall pasará a ser el secundario, tomando el otro Firewall el control, por lo tanto, vamos a configurar como Monitor interface, nuestra LAN:

• Para terminar, vamos a ver como configurar las interfaces de management de cada Fortigate, ya que siempre que accedemos lo estamos haciendo sobre el dispositivo que tiene el rol de primario, estas interfaces de management nos van a permitir acceder a cada dispositivo por separado, para ello, accedemos a System > HA seleccionamos el Fortigate con el rol de primario y Edit:

• Habilitamos Management Interface Reservation, le indicamos el puerto, el gateway y la subred, al habilitar esta opción le estamos indicando al cluster que vamso a usar el puerto 9 de cada Fortigate para management y por lo tanto las configuraciones en este puerto no se van a sincronizar entre los dispositivos pertenecientes al cluster:

• Una vez habilitado el puerto de management en el cluster (puerto9), vamos a configurar este puerto sobre el Fortigate con el rol de primario, para ello, accedemos a Network > Interfaces > port9 > Edit:

• Le indicamos un Alias, le asignamos el direccionamiento IP correspondiente, habilitamos los accesos y OK:

• Como podemos ver ya tenemos configurado el puerto de management sobre el Fortigate primario:

• Ahora ya podemos acceder a través de la IP de management sobre el Fortigate01:

• Ahora vamos a configurar la interface de management del Fortigate que tiene el rol de secundario, para ello desde la consola web nos abrimos una consola CLI:

• Ejecutamos el comando execute ha manage ? y cómo podemos ver nos indica que el dispositivo 0 es el secundario:

• Por lo tanto, para acceder al Fortigate secundario debemos de ejecutar el comando execute ha manage 0 admin el admin es el usuario que tenemos dado de alta en nuestro Fortigate secundario con permisos administrativos, y cómo podemos ver ya estamos dentro del Fortigate secundario (FORTIGATE02):

• Ahora ya le podemos asignar el direccionamiento IP al puerto que configuramos para management (puerto9), con el comando config system interface accedemos al modo de configuración de interface, con edit port9 accedemos a la configuración del puerto 9, con set ip 192.168.99.221 255.255.255.0 le asignamos el direccionamiento IP, con set allowaccess ping https http ssh fgfm le habilitamos los accesos y con end salimos de las configuraciones:

• Con el comando show system interface podemos ver las configuraciones realizadas:

• Ahora ya podemos acceder a través de la IP de management sobre el Fortigate02, y cómo podemos ver ya tenemos el puerto de management configurado (puerto9):

Saludos y espero que os resulte de ayuda

En este post vamos a ver como configurar dos Firewall Fortigate en HA (Alta Disponibilidad) en modo Activo-Pasivo:

• Vamos a utilizar dos Interfaces de cada dispositivo para HA para vincularlos y sincronizarlos.
• En HA uno de los Fortigate estará como primario y éste sincronizará su información con el otro Fortigate que será el secundario.
• El link para el HA entre los Fortigate, que en este caso usaremos dos (HA1 y HA2) se llama Heartbeat y se utiliza para la sincronización y detección entre los equipos.
• Tenemos dos modos de configurar HA: Activo-Pasivo y Activo-Activo.

En este primer post vamos a ver el modo Activo-Pasivo, en este modo solo el dispositivo primario procesa el tráfico, el otro dispositivo está en modo de espera y sólo entrará a funcionar en caso de caída del primario, toda la configuración realizada en el dispositivo primario se sincronizará con el dispositivo secundario.

Vamos a ver que necesitamos para crear y configurar un cluster HA en Firewall FortiGates:

• Dos Fortigates del mismo modelo
• Misma versión de FortiOS en ambos equipos
• Mismas licencias
• Un link entre los equipos que componen el cluster HA, en este caso vamos a utilizar dos
• Las mismas interfaces deben de estar conectadas al mismo dominio de broadcast, es decir, los puertos usados deben de ser los mismos en ambos dispositivos y conectados en el mismo segmento de red.

• Para empezar con la configuración de nuestro cluster HA Activo-Pasivo, vamos a realizar las configuraciones básicas sobre uno de nuestros Fortigate, que actuará como primario, el otro Fortigate lo dejamos con las configuraciones de fábrica, en este link podemos ver la configuración inicial y puesta en marcha.
• Aquí vemos como tenemos configurado el hostname y las interfaces de red del primer Fortigate (LAN y WAN):

• Del segundo Fortigate, está tal y como viene de fábrica:

• Lo primero que vamos a realizar es configurar sobre el Fortigate01 el nombre de las interfaces de red que van a participar en el cluster HA, se llaman interfaces de Heartbeat y se utilizan para la sincronización y detección entre los equipos, utilizaremos los puertos 4 y 5:

• Ahora sobre System > HA > seleccionamos el modo que nos interese, en este caso Active-Passive:

• Sobre High Availability le indicamos el modo y la prioridad, sobre Cluster Settings le damos un nombre al cluster, le asignamos un password, habilitamos Session pickup para que automáticamente se pasen las sesiones de un Fortigate a otro y así los clientes no tengan que volver a reconectarse, el Monitor interfaces lo vamos a habilitar más adelante y explicaremos de que se trata y sobre Heartbeat Interfaces vamos a configurar las interfaces que van a participar en el cluster HA, sobre Heartbeat Interface Priority vamos a configurar las prioridades de las interfaces de Heartbeat, que en este caso el port4 va a tener prioridad sobre el port5:

• Ahora podemos ver que en System > HA nos muestra los puertos 4 y 5 con un corazón indicando que son los puertos de Heartbeat para el cluster:

• Sobre el Fortigate01 ya tenemos las configuraciones de HA realizadas, ahora debemos de configurar el Fortigate02, y como el nombre del host no se sincroniza, es lo primero que tenemos que configurar, en System > Settings:

• Ahora sobre System > HA realizamos las mismas configuraciones que hemos hecho sobre el Fortigate01, excepto que en la prioridad del dispositivo la vamos a bajar a 100, clic sobre OK:

• Como podemos ver perdemos conexión con nuestro Fortigate02, ya que la dirección IP que tenía, ha desaparecido al unirlo al cluster, ahora estos dos dispositivos es como si fuesen uno solo y los dos van a tener las mismas configuraciones:

• Sobre el Fortigate01 accedemos a System > HA y podemos ver que ya tenemos el segundo dispositivo unido al cluster, aunque todavía está sincronizando, esto nos lo muestra muy claro el checksum, que como podemos observar son números diferentes, ya que al no estar sincronizados todavía cada dispositivo tiene una configuración:

• Pasados unos minutos, ya podemos ver que los dos dispositivos están sincronizados, el checksum es el mismo, como también podemos ver, el Fortigate01 está actuando como primario y el Fortigate02 como secundario:

• Para ver de un solo vistazo el estado de nuestro Cluster HA, vamos a habilitar el siguiente panel, nos vamos a Dashboard y añadir:

• Añadimos el Widget HA Status:

• Como podemos ver, de un solo vistazo podemos ver el estado del cluster HA:

• Ahora vamos a realizar una prueba, apagando el Fortigate01, para ver si el Fortigate02 coge el control como primario, y como podemos ver, todo funciona correctamente sin pérdida de servicio y el que estaba antes como secundario pasa a ser primario:

• Si volvemos a iniciar el Fortigate01, podemos ver que ahora tiene el rol de secundario, ya que el Uptime del Fortigate02 es mayor que el del Fortigate01:

• Si queremos que el Fortigate01 vuelva a coger el rol de primario, debemos de ejecutar este comando diagnose sys ha reset-uptime, lo que hace este comando es resetear el Uptime del dispositivo, en este caso del Fortigate02:

• Como podemos ver, el Fortigate01 vuelve a tener el rol de primario:

• Para terminar, vamos a configurar el Monitor interfaces en el cluster HA, esto significa, que la interface que vamos a monitorizar, si pierde conexión con el Firewall primario, automáticamente éste Firewall pasará a ser el secundario, tomando el otro Firewall el control, por lo tanto, vamos a configurar como Monitor interface, nuestra LAN:

Saludos y espero que os sea de ayuda

En este post vamos a ver como actualizar el firmware de un switch Aruba 2530-24G J9776A.

• Lo primero que vamos a realizar será descargarnos el firmware de la web de HPE_Networking:

• Vemos que nuestro modelo de switch se encuentra dentro de los productos soportados por este nuevo firmware, procedemos pues a su descarga:

• Como podemos ver ya lo tenemos descargado:

• Ahora accedemos a nuestro switch por ssh y lanzamos un show flash, como podemos ver, tenemos dos imágenes de firmware, una primaria y otra secundaria, como buena práctica, siempre es bueno tener la imagen Primary en la última release y la imagen Secondary en otra release anterior, ya que, si esta última versión nos da problemas, siempre podemos arrancar desde la secundaria, con una release anterior que sabemos que funciona correctamente, por lo tanto, sólo vamos a actualizar las flash primary:

• Vamos a utilizar un servidor tftp, en el cuál, ya tenemos subido el firmware de la última release que nos hemos descargado:

• Ahora en nuestro switch Aruba vamos a ejecutar este comando para actualizar el firmware de la imagen Primary, copy tftp flash ip_server_tftp nombre_archivo.swi primary, le indicamos que si:

• Si volvemos a realizar un show flash, podemos ver que ya tenemos la imagen Primary en la última release, y la Secondary, la dejamos tal cual estaba, si quisiéramos actualizar la imagen Secondary lo haríamos con el comando copy tftp flash ip_server_tftp nombre_archivo.swi secondary :

• Para terminar, le hacemos un reload al switch y una vez iniciado verificamos que todo funciona correctamente:

Saludos y espero que os sea de ayuda

En este post vamos a ver como asignar nombres a las interfaces de red en las máquinas virtuales de Hyper-V.

• Como podemos ver en la configuración de esta máquina virtual, nuestro host de Hyper-V le asigna por defecto el mismo nombre a todas las interfaces de red, los llama Adaptador de red, en infraestructuras grandes con muchas subredes y VLANs, podemos tener esta configuración mucho más ordenada asignándole un nombre descriptivo a cada interface de red, así sabremos a que red se está conectando cada máquina virtual:

• Para realizar esta configuración nos abrimos un PowerShell con permisos de Administrador y ejecutamos el siguiente comando, Add-VMNetworkAdapter -VMName “UBUNTU1804” -Name “DMZ” -DeviceNaming On:

• Si editamos la configuración de la máquina virtual, podemos ver que se ha creado una nueva interface de red llamada DMZ, esta nueva interface de red aparece en modo No conectado:

• Ahora le asignamos el conmutador virtual que nos interese:

• Ahora si ejecutamos el siguiente comando Add-VMNetworkAdapter -VMName “UBUNTU1804” -SwitchName “vSwitchPriv0” -Name «DMZ» -DeviceNaming On, también le podemos indicar a que conmutador virtual se va a conectar este nuevo adaptador de red:

• Si editamos la configuración de la máquina virtual, podemos ver que se ha creado una nueva interface de red llamada DMZ, esta nueva interface de red aparece conectada al conmutador virtual que le hemos indicado:

Saludos y espero que os sea de ayuda

En este post vamos a ver como configurar las opciones de Políticas y Objetos en un firewall Fortigate, concretamente con el modelo FG 50E.

• Una vez que hemos iniciado sesión en nuestro Fortigate 50E, nos vamos a la opción de Políticas y Objetos y lo primero que haremos será configurarnos los objetos de Dirección que más tarde los usaremos en nuestras políticas, podemos creárnoslos de dos tipos, Dirección y Grupo de Dirección, según nos interese:

• Para empezar a configurar nuestra infraestructura, nos vamos a crear dos objetos de Dirección por cada red implementada en nuestro firewall, un objeto va a definir al propio firewall que será el Gateway de la red a la que pertenece y el otro objeto va a definir la red completa.
• Empezaremos por la DMZ, objeto – dirección para definir a la red completa, DMZ-NET:

• DMZ, objeto – dirección para definir al Gateway DMZ-210_dmz-gw:

• GESTION, objeto – dirección para definir a la red completa, GESTION-NET:

• GESTION, objeto – dirección para definir al Gateway GESTION-210_gestion-gw:

• HYPERVLAB, objeto – dirección para definir a la red completa, HYPERVLAB-NET:

• HYPERVLAB, objeto – dirección para definir al Gateway HYPERVLAB-210_hypervlab-gw:

• LANRGS, objeto – dirección para definir a la red completa, LANRGS-NET:

• LANRGS, objeto – dirección para definir al Gateway LANRGS-210_lanrgs-gw:

• LANRGS, objeto – dirección para definir a uno de los equipos de la red LANRGS LANRGS-14_xenon:

• LANRGS, objeto – dirección para definir a uno de los equipos de la red LANRGS LANRGS-15_krypton:

• VMWARELAB, objeto – dirección para definir a la red completa, VMWARELAB-NET:

• VMWARELAB, objeto – dirección para definir al Gateway VMWARELAB-210_vmwarelab-gw:

• ISCSIA, objeto – dirección para definir a la red completa, ISCSIA-NET:

• ISCSIA, objeto – dirección para definir al Gateway ISCSIA-72.1_iscsia-gw:

• ISCSIB, objeto – dirección para definir a la red completa, ISCSIB-NET:

• ISCSIB, objeto – dirección para definir al Gateway ISCSIB-73.1_iscsib-gw:

• WAN1, objeto – dirección para definir a la red completa, WAN1-NET:

• WAN1, objeto – dirección para definir al Gateway WAN1-210_wan1-gw:

• Ahora nos vamos a crear un Grupo de dirección, dónde vamos a incluir dos equipos de la red LANRGS:

• Nos creamos otro Grupo de dirección, dónde vamos a incluir los Controladores de dominio, en este caso, sólo tenemos uno, pero ya lo dejamos creado por si en un futuro vamos añadiendo más:

• Con estos objetos de Dirección nos podemos ir creando todos los que nos vayan interesando, para después usarlos en nuestras políticas.
• Los que nos hemos creado quedarían de la siguiente manera, los he ordenado por colores según la red a la que pertenecen:

• Ahora vamos a ver la parte de Políticas y Objetos > Servicios, dónde vienen predefinidos la mayoría de los servicios que utilizaremos en nuestras políticas, en estos servicios se define el protocolo y puerto que utiliza el servicio que queremos configurar, los he ordenado por colores según la Categoría:

• Para crearnos un nuevo Servicio o un Grupo de servicios simplemente clicamos sobre Crear nuevo y elegimos la opción que nos interese:

• Por ejemplo, para el servicio de WSUS que utilizará nuestro servidor central de actualizaciones de Windows no crearemos este Servicio:

• Y otro ejemplo para mostrar sería el utilizado para los controladores de dominio, dónde nos crearemos un Grupo de servicios con los siguientes miembros:

• Bueno, una vez que tenemos definidos los objetos Dirección, Grupo de dirección, Servicios y Grupos de servicios, podemos empezar a definir las políticas o reglas de nuestro firewall, por defecto, viene definida una regla implícita dónde se niega todo el tráfico, nosotros empezaremos a configurar reglas por encima de ésta aceptando o denegando todo lo que nos vaya interesando y según lo requiera nuestra infraestructura de red:

• Para empezar vamos a crear las reglas para dar conexión a Internet a todas nuestras redes, sólo voy a mostrar una, para la red LANRGS, ya que para todas las demás será exactamente igual:

• Como podemos ver está política la hemos creado para las demás redes:

• Ahora vamos a ver otra política para el acceso de los equipos del dpto. de TI a las distintas redes del firewall, sólo voy a mostrar una, para la red GESTION, ya que para todas las demás será exactamente igual:

• Como podemos ver está política la hemos creado para las demás redes:

• Ahora vamos a ver una política para que todos los equipos de la red de GESTION se puedan comunicar con nuestros controladores de dominio:

• Así nos quedaría:

• Por último vamos a habilitar la Política DoS, para detectar y bloquear ataques de Denegación de Servicios (DoS), para ello, lo haremos desde Sistema > Visibilidad de Característica > Política DoS:

• Una vez habilitada la política DoS, nos vamos a Políticas y Objetos > Política DoS IPv4 > Crear nuevo:

• Configuramos los umbrales para detectar y bloquear ataques de DoS en la interface que tiene la salida a Internet (WAN1), para todas las direcciones de origen y destino y para cualquier servicio:

Saludos y espero que os sea de ayuda

En este post vamos a ver como configurar las opciones de red en un firewall Fortigate, concretamente con el modelo FG 50E.

• Una vez que hemos iniciado sesión en nuestro Fortigate 50E, nos vamos a la opción de Red y lo primero que haremos será crear nueva interfaz:

• En esta primera interfaz, le damos un nombre y vamos a crear una interfaz del tipo Link Agreggation Group que utiliza el protocolo 802.3ad, dónde vamos a incluir las interfaces lan1 y lan2, con este tipo de interfaz vamos a conseguir el doble de ancho de banda en el enlace, anidadas dentro de esta interfaz vamos a configurar las VLAN de nuestro sistema y más adelante veremos como se configuraran los Trunk en los puertos del switch dónde van conectadas estas dos interfaces del firewall:

• Como podemos ver en el dibujo del firewall, estamos utilizando las interfaces lan1 y lan2:

• Ahora nos vamos a crear las VLANs que irán asociadas a esta interfaz LAG:

• La primera VLAN será la de GESTION, dónde le indicamos el nombre, tipo VLAN, la interfaz a la que pertenece en este caso la que hemos creado anteriormente LAG, el ID de VLAN 99, la dirección IP y el acceso administrativo:

• Para las demás VLAN realizamos las mismas configuraciones.
• VLAN DMZ:

• VLAN HYPERVLAB:

• VLAN LANRGS:

• VLAN VMWARELAB:

• Así quedarían configuradas las interfaces de red del grupo LAG 802.3ad:

• Ahora en la interfaz lan4 vamos a crear dos VLANs para más adelante configurar el almacenamiento iSCSI en nuestra cabina de almacenamiento QNAP:

• Así quedaría configurada la interfaz lan4, con dos VLAN para iSCSI:

• Y ahora vamos a configurar la interfaz wan1 para la salida a Internet, esta interfaz va conectada a un router FTTH de Movistar:

• Así quedaría configurada la interfaz wan1 para la salida a internet:

• Ahora configuramos los DNS de nuestra infraestructura, que será un controlador de dominio Windows (192.168.14.1) y uno de los DNS de Google:

• Por último vamos a configurar la ruta estática por defecto para la salida a internet de nuestro Fortigate:

• En otros post veremos algunas configuraciones más avanzadas de Políticas de enrutamiento y configuraremos el protocolo de enrutamiento OSPF entre nuestro Fortigate 50E y un Mikrotik 1100 AHx2 para que se intercambien las rutas de forma dinámica.

Saludos y espero que os resulte de ayuda

En este post vamos a ver como configurar las opciones de sistema en un firewall Fortigate, concretamente con el modelo FG 50E.

• Una vez que hemos iniciado sesión en nuestro Fortigate 50E, nos vamos a la opción de Sistema y lo primero que haremos será configurarnos los perfiles de acceso, en estos perfiles se definen los distintos tipos de permisos que tendrán los usuarios para configurar las opciones del firewall, por defecto vienen creados dos tipos de perfiles, prof_admin y super_admin, nosotros nos crearemos el perfil Administradores Ragasys con los siguientes permisos:

• Nos podemos crear distintos perfiles según los niveles de acceso.
• Ahora nos vamos a crear los usuarios locales que tendrán acceso al firewall y a los cuáles les asignaremos el perfil que nos interese, para ello accedemos a Sistema > Administradores > Crear nuevo > Administrador:

• Como podemos ver ya lo tenemos creado:

• En la opción de Sistema > Firmware, le podemos cargar las actualizaciones de firmware que nos hayamos descargado de la web de soporte de Fortinet y tener así actualizado nuestro dispositivo:

• El fichero tipo firmware tiene este aspecto:

• En la opción de Sistema > Configuración podemos configurar, un nombre para el host, fecha y hora, los puertos que vamos a utilizar para la administración del firewall, las políticas de contraseñas, el idioma, los temas, etc:

• La opción Sistema > HA es para montar un cluster de alta disponibilidad entre dos dispositivos Fortigate, para darle así mayor disponibilidad a nuestra infraestructura de red en caso de caída de uno de los firewall, en mi caso, como no dispongo de otro dispositivo, lo monto en modo Autónomo (a ver si los de Fortinet se enrollan y me mandan un nuevo dispositivo para poder probar todas estas opciones, no estaría nada mal):

• En la opción Sistema > Avanzado podemos configurar el servicio de correo electrónico, para enviar los avisos de nuestro Fortigate a una cuenta de correo electrónico de soporte:

• En la opción Sistema > Visibilidad de Característica podemos habilitar los roles y características de nuestro Fortigate:

Saludos y espero que os resulte de ayuda

En este segundo bloque sobre enrutamiento seguiremos con el enrutamiento estático, para ello aquí os dejo los siguientes diseños.

• Actividad 1: Enrutamiento estático II
• Topología actividad 1:

• Actividad 2: Enrutamiento estático III
• Topología actividad 2:

• Actividad 3: Enrutamiento estático – Ruta por defecto
• Topología actividad 3:

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

• Link de descarga actividad 1: Enrutamiento estático II
• Link de descarga actividad 2: Enrutamiento estático III
• Link de descarga actividad 3: Enrutamiento estático – Ruta por defecto

Saludos y espero que os sea de ayuda

En las próximas entradas de networking vamos a ver los protocolos de enrutamiento en los routers Cisco, ya hemos visto algo referente a este tema en algunos post anteriores, pero quiero subir algunos ejemplos de diseños de redes con Packet Tracer, ya que para los estudiantes de CCNA les puede venir muy bien para prácticar.

En este primer bloque sobre enrutamiento veremos las reglas básicas, las conexiones directas y enrutamiento estático, para ello aquí os dejo los siguientes diseños.

• Actividad 1: Reglas de enrutamiento básico
• Topología actividad 1:

• Actividad 2: Conexiones directas
• Topología actividad 2:

• Actividad 3: Enrutamiento estático I
• Topología actividad 3:

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

• Link de descarga actividad 1: Reglas de enrutamiento básico
• Link de descarga actividad 2: Conexiones directas
• Link de descarga actividad 3: Enrutamiento estático I

Saludos y espero que os sea de ayuda

En esta entrada vamos a ver la técnica NAT y los distintos tipos de NAT, que consiste en traducir direcciones IP, es decir, consiste en manipular los paquetes IPs y cambiar las direcciones IPs existentes por otras IPs, seguiremos con tres ejemplos de redes diseñadas con el software Cisco Packet Tracer, les vendrán muy bien a los estudiantes del CCNA para prácticar.

• Actividad 1: PAT dinámica
• Topología actividad 1:

• Actividad 2: PAT dinámica – abrir puertos
• Topología actividad 2:

• Actividad 3: Caso práctico NAT
• Topología actividad 3:

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

• Link de descarga actividad 1: PAT dinámica
• Link de descarga actividad 2: PAT dinámica – abrir puertos
• Link de descarga actividad 3: Caso práctico NAT

Actividades propuestas por el profesor Manuel Castaño Guillén.

Saludos y espero que os sea de ayuda

En esta entrada vamos a ver la técnica NAT y los distintos tipos de NAT, que consiste en traducir direcciones IP, es decir, consiste en manipular los paquetes IPs y cambiar las direcciones IPs existentes por otras IPs, empezaremos con tres ejemplos de redes diseñadas con el software Cisco Packet Tracer, les vendrán muy bien a los estudiantes del CCNA para prácticar.

• Actividad 1: NAT dinámica
• Topología actividad 1:

• Actividad 2: NAT estática
• Topología actividad 2:

• Actividad 3: PAT típica router ADSL
• Topología actividad 3:

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

• Link de descarga actividad 1: NAT dinámica
• Link de descarga actividad 2: NAT estática
• Link de descarga actividad 3: PAT típica router ADSL

Actividades propuestas por el profesor Manuel Castaño Guillén.

Saludos y espero que os sea de ayuda

En esta entrada vamos a ver como trabajar con switches de la compañía Cisco con 5 ejemplos de redes diseñadas con el software Cisco Packet Tracer, les vendrán muy bien a los estudiantes del CCNA para prácticar.

• Actividad 1: VLAN Datos y VoIP
• Topología actividad 1:

• Actividad 2: Supuesto práctico sobre VLANs I
• Topología actividad 2:

• Actividad 3: Supuesto práctico sobre VLANs II
• Topología actividad 3:

• Actividad 4: VoIP
• Topología actividad 4:

• Actividad 5: Vlan Trunking Protocol – VTP
• Topología actividad 5:

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

• Link de descarga actividad 1: VLAN Datos y VoIP
• Link de descarga actividad 2: Supuesto práctico sobre VLANs I
• Link de descarga actividad 3: Supuesto práctico sobre VLANs II
• Link de descarga actividad 4: VoIP
• Link de descarga actividad 5: Vlan Trunking Protocol – VTP

Actividades propuestas por el profesor Manuel Castaño Guillén.

Saludos y espero que os sea de ayuda

En esta entrada vamos a ver como trabajar con switches de la compañía Cisco con 6 ejemplos de redes diseñadas con el software Cisco Packet Tracer, les vendrán muy bien a los estudiantes del CCNA para prácticar.

• Actividad 1: Agregación de enlaces
• Topología actividad 1:

• Actividad 2: DHCP con VLANs
• Topología actividad 2:

• Actividad 3: Switch capa 3 y access point con router multifunción
• Topología actividad 3:

• Actividad 4: Spanning Tree Protocol – STP
• Topología actividad 4:

• Actividad 5: Switch capa 3 como router
• Topología actividad 5:

• Actividad 6: Supuesto práctico sobre VLANs
• Topología actividad 6:

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

• Link de descarga actividad 1: Agregación de enlaces
• Link de descarga actividad 2: DHCP con VLANs
• Link de descarga actividad 3: Switch capa 3 y access point con router multifunción
• Link de descarga actividad 4: Spanning Tree Protocol – STP
• Link de descarga actividad 5: Switch capa 3 como router
• Link de descarga actividad 6: Supuesto práctico sobre VLANs

Actividades propuestas por el profesor Manuel Castaño Guillén.

Saludos y espero que os sea de ayuda

En esta entrada vamos a ver los servicios IP con cinco ejemplos de redes diseñadas con el software Cisco Packet Tracer, les vendrán muy bien a los estudiantes del CCNA para prácticar.

• Actividad 1: AAA (Authentication, Authorization and Accounting)
• Topología actividad 1:

• Actividad 2: CORREO
• Topología actividad 2:

• Actividad 3: DHCP
• Topología actividad 3:

• Actividad 4: DNS
• Topología actividad 4:

• Actividad 5: FTP
• Topología actividad 5:

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

• Link de descarga actividad 1: AAA
• Link de descarga actividad 2: CORREO
• Link de descarga actividad 3: DHCP
• Link de descarga actividad 4: DNS
• Link de descarga actividad 5: FTP

Actividades propuestas por el profesor Manuel Castaño Guillén.

Saludos y espero que os sea de ayuda

En esta entrada vamos a ver un poco de ACLs (Listas de control de acceso), en este caso ACLs extendidas, voy a subir tres actividades con este tipo de listas de control de acceso, les vendrán muy bien a los estudiantes del CCNA para prácticar.

Las ACL extendidas filtran los paquetes IP en función de varios atributos, como por ejemplo, tipo de protocolo, direcciones IP de origen, direcciones IP de destino, puertos TCP o UDP de origen, puertos TCP o UDP de destino e información opcional de tipo de protocolo para un control más exhasutivo.

• Actividad 9: Bloquear el acceso a Internet desde los servidores
• Topología actividad 9:

• Actividad 10: Bloquear el acceso cuando se inicia desde el exterior a la red 20.0.0.0/8
• Topología actividad 10:

• Actividad 11: Permitir el tráfico en las redes 20.0.0.0/8 y 40.0.0.0/8 cuando es originado en 30.0.0.0/8
• Topología actividad 11:

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

• Link de descarga actividad 1: ACL Extendida 9
• Link de descarga actividad 2: ACL Extendida 10
• Link de descarga actividad 3: ACL Extendida 11

Actividades propuestas por el profesor Manuel Castaño Guillén.

Saludos y espero que os sea de ayuda

En esta entrada vamos a ver un poco de ACLs (Listas de control de acceso), en este caso ACLs extendidas, voy a subir cuatro actividades con este tipo de listas de control de acceso, les vendrán muy bien a los estudiantes del CCNA para prácticar.

Las ACL extendidas filtran los paquetes IP en función de varios atributos, como por ejemplo, tipo de protocolo, direcciones IP de origen, direcciones IP de destino, puertos TCP o UDP de origen, puertos TCP o UDP de destino e información opcional de tipo de protocolo para un control más exhasutivo.

• Actividad 5: Bloquear el protocolo ICMP entre los servidores
• Topología actividad 5:

• Actividad 6: Bloquear las visitas a la web 30.30.30.30 desde 20.20.20.20
• Topología actividad 6:

• Actividad 7: Bloquear tráfico WEB y FTP entre los servidores
• Topología actividad 7:

• Actividad 8: Bloquear el acceso a páginas webs exteriores al equipo PC0
• Topología actividad 8:

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

• Link de descarga actividad 1: ACL Extendida 5
• Link de descarga actividad 2: ACL Extendida 6
• Link de descarga actividad 3: ACL Extendida 7
• Link de descarga actividad 3: ACL Extendida 8

Actividades propuestas por el profesor Manuel Castaño Guillén.

Saludos y espero que os sea de ayuda

En esta entrada vamos a ver un poco de ACLs (Listas de control de acceso), en este caso ACLs extendidas, voy a subir cuatro actividades con este tipo de listas de control de acceso, les vendrán muy bien a los estudiantes del CCNA para prácticar.

Las ACL extendidas filtran los paquetes IP en función de varios atributos, como por ejemplo, tipo de protocolo, direcciones IP de origen, direcciones IP de destino, puertos TCP o UDP de origen, puertos TCP o UDP de destino e información opcional de tipo de protocolo para un control más exhasutivo.

• Actividad 1: Bloquear la comunicación entre los servidores
• Topología actividad 1:

• Actividad 2: Bloquear el tráfico entre los PCs
• Topología actividad 2:

• Actividad 3: Bloquear el protocolo ICMP entre equipos
• Topología actividad 3:

• Actividad 4: Bloquear el protocolo ICMP a los servidores
• Topología actividad 4:

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

• Link de descarga actividad 1: ACL Extendida 1
• Link de descarga actividad 2: ACL Extendida 2
• Link de descarga actividad 3: ACL Extendida 3
• Link de descarga actividad 3: ACL Extendida 4

Actividades propuestas por el profesor Manuel Castaño Guillén.

Saludos y espero que os sea de ayuda

En esta entrada vamos a ver un poco de ACLs (Listas de control de acceso), en este caso ACLs estándar, voy a subir tres actividades con este tipo de listas de control de acceso, les vendrán muy bien a los estudiantes del CCNA para prácticar.

Las ACLs estándar permiten autorizar o denegar el tráfico desde las direcciones IP de origen, no importan el destino del paquete ni los puertos involucrados.

• Actividad 1: Prohibir el acceso desde el PC0 a la red 30.0.0.0/8 y permitir todo lo demás
• Topología actividad 1:

• Actividad 2: Bloquear el acceso a los equipos 30.0.0.30 Y 30.0.0.31 a la red exterior
• Topología actividad 2:

• Actividad 3: Bloquear el acceso al exterior del equipo 20.0.0.20 y 30.0.030
• Topología actividad 3:

Para poder ver el diseño lógico y físico de la red necesitaréis el software packet tracer.

• Link de descarga actividad 1: ACL Standard 1
• Link de descarga actividad 2: ACL Standard 2
• Link de descarga actividad 3: ACL Standard 3

Actividades propuestas por el profesor Manuel Castaño Guillén.

Saludos y espero que os sea de ayuda