En este post vamos a ver como configurar una VPN IPSEC de acceso remoto en un firewall Fortigate, con este tipo de VPN usando el protocolo IPSec nos podemos conectar desde cualquier equipo con conexión a Internet hacia nuestra red interna, dónde todo el tráfico irá encriptado.

• Lo primero que vamos a realizar será, crear los usuarios locales que accederán a través de la VPN:

• Para una correcta administración, los usuarios que nos hemos creado anteriormente los vamos a anidar en un grupo:

• Una vez creados los usuarios y grupos, vamos a crearnos el túnel IPSec, para ello, accedemos a VPN > Túneles Ipsec > Crear nuevo > IPsec Tunnel:

• Sobre Configuración de VPN, le indicamos un nombre y seleccionamos Acceso remoto, Siguiente:

• Sobre Autenticación, le indicamos la interface de entrada, el método de autenticación por llave compartida y el grupo de usuario, este grupo lo eliminaremos de la configuración de las fases más tarde, ya que las políticas de acceso irán configuradas con grupos y no sería necesario, Siguiente:

• Sobre Política y Enrutamiento, vamos a configurar esta política, que más tarde vamos a eliminar, ya que iremos aplicando políticas más granulares y restrictivas, habilitamos el Split Tunnel, esto hará que los usuarios que se conecten a la VPN, tengan la salida a Internet por su propia conexión y no por la nuestra, Siguiente:

• Sobre Opciones de cliente, le indicamos que guarde la contraseña, y habilitamos el Keep Alive, Crear:

• Aquí nos indica todo lo que hemos configurado, damos a Mostrar la lista de túnel:

• Vemos el túnel IPsec que nos ha creado, damos a Editar:

• Convertimos a túnel personalizado:

• Para la parte de Red, configuramos estos parámetros:

• Para la parte de Autenticación, configuramos lo siguiente:

• Para la propuesta de la fase 1, configuramos estos parámetros:

• Para XAUTH, aquí es donde quitamos el grupo que configuramos al crear el túnel, y para el Grupo de Usuarios, le indicamos que los herede de las políticas:

• Para los Selectores de fase 2, configuramos estos parámetros, damos a OK:

• Aquí tenemos ya el túnel IPsec configurado de modo personalizado:

• Antes de seguir, vamos a explicar, estos dos objetos que se han creado al crear la VPN IPsec.
• Uno de ellos es, ipsecra_range, este objeto es para asignar las direcciones IPs de los equipos que se conecten a nuestra VPN PIsec de acceso remoto:

• El otro es, ipsecra_split, este objeto es un grupo de direcciones que actúa como una «lista blanca» de destinos, su función principal es decirle al cliente VPN (FortiClient) qué tráfico debe enviar obligatoriamente a través del túnel y cuál debe ignorar para que salga por su conexión local a Internet.
• Cuando habilitamos el Split Tunneling (Túnel Dividido), el comportamiento es el siguiente:
• Si el destino está en el objeto ipsecra_split, el FortiClient enruta ese tráfico por la VPN.
• Si el destino NO está ahí, el FortiClient lo envía por la puerta de enlace predeterminada del usuario (su internet doméstico).

• También podemos ver, que en la interface de red que le indicamos al túnel VPN IPsec, nos ha creado esta interface virtual:

• Para terminar de configurar la VPN IPsec de acceso remoto, debemos de crear las reglas o políticas para que los equipos que se conecten a través de la VPN, tengan acceso a las redes internas configuradas en nuestro firewall, voy a mostrar sólo una de ellas ya que para las demás sería exactamente igual, editamos la regla que se nos creó al crear el túnel IPsec:

• Con esto ya tendríamos configurada y operativa nuestra VPN IPsec de acceso remoto, ahora desde cualquier equipo con conexión a internet, le instalaremos el Forticlient y configuraremos los parámetros de la VPN IPsec para conectarnos desde cualquier lugar del mundo a las redes internas de nuestra infraestructura, dónde todo el tráfico irá encriptado mediante IPsec:

• Como podemos ver ya estamos conectados y nos está sirviendo una dirección IP del rango que habíamos configurado:

• Aquí vemos el túnel levantado:

• Desde el Monitor IPsec de nuestro Fortigate podemos ver los usuarios conectados a través de la VPN:

• Desde la opción VPN > VPN Location Map podemos ver desde que parte del mundo se están conectando los usuarios que hemos creado y configurado para nuestra VPN IPsec de acceso remoto:

Saludos y espero que os resulte de ayuda

En este post vamos a ver cómo bloquear conexiones VPN SSL desde ciertas IPs públicas en un firewall Fortigate.

• En muchas ocasiones podemos ver en los logs de nuestros firewalls fortigate, que están intentando acceder a nuestra conexión VPN SSL desde IPs sospechosas, en esta captura podemos ver intentos de sesión fallidos desde una IP y está intentando probar con distintos usuarios:

• Para bloquear a esta IP pública, lo primero que voy a realizar será crearme un grupo de direcciones llamado blacklistipp, dónde iré añadiendo todas las IPs públicas sospechosas:

• Antes he creado los objetos de cada dirección IP pública, aquí muestro un ejemplo:

• Así nos quedaría:

• Para bloquear las conexiones VPN SSL a estas IPs públicas, accedemos a la consola de nuestro firewall y nos vamos a la configuración de la VPN SSL, con el comando config vpn ssl setting, una vez dentro de la configuración ejecutamos, set source-address «blacklistipp» y set source-address-negate enable, con el comando show podemos ver que la configuración se ha aplicado:

• Ahora, cuando un usuario intente conectarse desde una IP pública de la lista, la VPN SSL será rechazada:

• Es posible ver, que una de estas IPs públicas de la lista bloqueada está intentando conectarse, pero nuestro FortiGate no responde, para ello, ejecutamos el comando diagnose sniffer packet any «host 80.94.95.175 and port 10443» 4:

• Como podemos ver, si ejecutamos el comando, get vpn ssl monitor, se permitirá la conexión desde las IPs que no estén en la lista y se establecerán las conexiones:

• Otra forma de limitar el acceso, es irse a la Configuración de SSL_VPN > Restringir Acceso y Limitar acceso a hosts específicos, dónde configuro la restricción para el grupo de IPs públicas bloqueadas, aquí el problema es que la conexión no se rechaza en una primera instancia, es decir, nos va a dejar introducir las credenciales y una vez introducidas bloquea la conexión, con el método visto anteriormente por consola, la conexión se rechaza desde primera hora:

• Sobre este post realizado por mi compañero Héctor Herrero del blog Bujarra, podemos aplicar las listas dinámicas que nos está indicando sobre la configuración de la VPN, quedando de esta manera:

Saludos y espero que os sea de ayuda

En este post vamos a ver cómo configurar una VPN site to site entre dos redes virtuales de Azure.

Las redes virtuales pueden estar en distintas regiones y provenir de distintas suscripciones. Al conectar redes virtuales provenientes de distintas suscripciones, no es necesario que las suscripciones estén asociadas con el mismo inquilino. Este tipo de configuración crea una conexión entre dos puertas de enlace de red virtual.

Configurar una conexión de red virtual a red virtual es una forma sencilla de conectar redes virtuales. Cuando conecta una red virtual a otra mediante el tipo de conexión entre redes virtuales (VNet2VNet) es parecida a la creación de una conexión IPsec de sitio a sitio en una ubicación local. Ambos tipos de conectividad usan una puerta de enlace de VPN para proporcionar un túnel seguro mediante IPsec/IKE y funcionan de la misma forma en lo relativo a la comunicación. Sin embargo, la manera en que se configura la puerta de enlace de red local es distinta.

Cuando se crea una conexión de red virtual a red virtual, el espacio de direcciones de la puerta de enlace de red local se crea y rellena automáticamente. Si actualiza el espacio de direcciones de una de las redes virtuales, la otra enruta automáticamente al espacio de direcciones actualizado. Por lo general, es más rápido y sencillo crear una conexión de red virtual a red virtual que una conexión de sitio a sitio. Sin embargo, la puerta de enlace de red local no está visible en esta configuración.

Fuente: Microsoft Learn vpns2svnettovnet

Esta será la topología utilizada en esta configuración:

• Antes de empezar, vamos a explicar la configuración que va a tener nuestra infraestructura.
• Para VNet1:

• Configuración de la red virtual.
• Name: vnet1
• Espacio de direcciones:10.1.0.0/16
• Suscripción: Seleccionamos nuestra suscripción
• Grupo de recursos: vpnvnet1-rg
• Ubicación: Oeste de Europa
• Subred
• Name: lan1vnet1
• Intervalo de direcciones:10.1.1.0/24

• Configuración de puerta de enlace de red virtual.
• Name: vnet1gw
• Grupo de recursos: Oeste de Europa
• Generación: Generación 2
• Tipo de puerta de enlace: VPN
• Tipo de VPN: Basada en rutas
• SKU: VpnGw2
• Generación: generación 2
• Red virtual: vnet1
• Intervalo de direcciones de subred de puerta de enlace:10.1.255.0/27
• Dirección IP pública: Crear nuevo
• Nombre de dirección IP pública: vnet1gwpip
• Habilitar el modo activo/activo: deshabilitado
• Configurar BGP: deshabilitado

• Conexiones.
• Tipo de conexión: Seleccionamos de red virtual a red virtual
• Establecer conectividad bidireccional: Seleccionar este valor
• Nombre de la primera conexión: vnet1-to-vnet2
• Nombre de la segunda conexión: vnet2-to-vnet1
• Región: Oeste de Europa
• Configuración:
• Primera puerta de enlace de red virtual: Seleccionamos vnet1gw
• Segunda puerta de enlace de red virtual: Seleccionamos vnet2gw
• Clave compartida (PSK): En este campo, escribimos una clave compartida para la conexión, dicha clave podemos generarla o crearla manualmente, en una conexión de sitio a sitio, la clave que usa es la misma del dispositivo local y de la conexión de puerta de enlace de red virtual, aquí el concepto es similar, salvo en que en lugar de conectarse a un dispositivo VPN, la conexión se establece con otra puerta de enlace de red virtual.
• Protocolo IKE: IKEv2

• Para VNet2:

• Configuración de la red virtual.
• Name: vnet2
• Espacio de direcciones:10.2.0.0/16
• Suscripción: Seleccionamos nuestra suscripción
• Grupo de recursos: vpnvnet2-rg
• Ubicación: Oeste de Europa
• Subred
• Name: lan1vnet2
• Intervalo de direcciones:10.2.1.0/24

• Configuración de puerta de enlace de red virtual.
• Name: vnet2gw
• Grupo de recursos: Oeste de Europa
• Generación: Generación 2
• Tipo de puerta de enlace: VPN
• Tipo de VPN: Basada en rutas
• SKU: VpnGw2
• Generación: generación 2
• Red virtual: vnet2
• Intervalo de direcciones de subred de puerta de enlace:10.2.255.0/27
• Dirección IP pública: Crear nuevo
• Nombre de dirección IP pública: vnet2gwpip
• Habilitar el modo activo/activo: deshabilitado
• Configurar BGP: deshabilitado

• Conexiones.
• Tipo de conexión: Seleccionamos de red virtual a red virtual
• Establecer conectividad bidireccional: Seleccionar este valor
• Nombre de la primera conexión: vnet1-to-vnet2
• Nombre de la segunda conexión: vnet2-to-vnet1
• Región: Oeste de Europa
• Configuración:
• Primera puerta de enlace de red virtual: Seleccionamos vnet1gw
• Segunda puerta de enlace de red virtual: Seleccionamos vnet2gw
• Clave compartida (PSK): En este campo, escribimos una clave compartida para la conexión, dicha clave podemos generarla o crearla manualmente, en una conexión de sitio a sitio, la clave que usa es la misma del dispositivo local y de la conexión de puerta de enlace de red virtual, aquí el concepto es similar, salvo en que en lugar de conectarse a un dispositivo VPN, la conexión se establece con otra puerta de enlace de red virtual.
• Protocolo IKE: IKEv2

• Empezaremos creando la red virtual vnet1, para ello, accedemos a Redes virtuales > Crear:

• Sobre Datos básicos, le indicamos, el grupo de recursos, el nombre y la región:

• Sobre Seguridad, no vamos a configurar nada, lo dejamos por defecto:

• Sobre Direcciones IP, configuramos el espacio de direcciones, y nos creamos las subredes para lan, dónde irán ubicadas las máquinas virtuales, y para la puerta de enlace de red virtual:

• Sobre Etiquetas, podemos añadir las que nos interesen:

• Sobre Revisar y crear, nos muestra un resumen de todo lo configurado, si todo está bien, damos a Crear:

• Vemos que comienza a crearse:

• Aquí vemos que ya se ha completado, accedemos al nuevo recurso de vnet creado:

• Para la red virtual vnet2, seguimos los mismos pasos, cambiando el espacio de direcciones y el rango de las subredes:

• Una vez creadas las redes virtuales, vamos a crear la puerta de enlace de red virtual para la vnet1, para ello, accedemos a Puerta de enlace de red virtual > Crear:

• Sobre Datos básicos, vamos a introducir los valores descritos anteriormente:

• Sobre Etiquetas, podemos añadir las que nos interesen:

• Sobre Revisar y crear, nos muestra un resumen de todo lo configurado y que la validación ha sido superada, si todo está bien, damos a Crear:

• Una puerta de enlace puede tardar hasta 45 minutos en crearse e implementarse completamente, aquí podemos ver que la implementación se ha completado correctamente:

• Si nos vamos a Puertas de enlace de red virtual, podemos ver que ya la tenemos creada:

• La puerta de enlace de red virtual para la vnet2, se crea exactamente igual que para la vnet1, dónde también, vamos a introducir los valores descritos anteriormente:

• Si nos vamos a Puertas de enlace de red virtual, podemos ver que ya la tenemos creada:

• Una vez que ya tenemos, las dos puertas de enlace de red virtual creadas y configuradas, vamos a crear y configurar las conexiones entre estas dos puertas de enlace de red virtual, para ello, accedemos a Conexiones > Crear:

• Sobre Datos básicos, vamos a introducir los valores descritos anteriormente:

• Sobre Opciones, configuramos los parámetros descritos anteriormente:

• Sobre Etiquetas, podemos añadir las que nos interesen:

• Sobre Revisar y crear, nos muestra un resumen de todo lo configurado y que la validación ha sido superada, si todo está bien, damos a Crear:

• Como podemos ver, las conexiones se han creado correctamente:

• Si accedemos a Conexiones, podemos ver, que ya las tenemos creadas y conectadas:

• Ahora, para verificar que la VPN Site to Site entre VNets funciona correctamente, tenemos estas dos máquinas, una llamada litio en vnet1 y otra llamada sodio en vnet2, como podemos ver, ya tenemos comunicación entre ellas, a través de la VPN que hemos creado:

• Ahora vemos, que ya se está generando tráfico entre las dos conexiones:

Saludos y espero que os sea de ayuda

En este post vamos a ver cómo configurar el tránsito de la puerta de enlace de VPN para el emparejamiento de red virtual, el emparejamiento de red virtual conecta perfectamente dos redes virtuales de Azure, combinando las dos redes virtuales en una sola, para favorecer la conectividad. El tránsito de puerta de enlace es una propiedad del emparejamiento que permite que una red virtual utilice la puerta de enlace de VPN en la red virtual emparejada para la conectividad entre redes locales o entre redes virtuales.

Esta será la topología utilizada en esta configuración:

• Antes de empezar, vamos a explicar cómo está configurada nuestra infraestructura.
• Para la parte On-premise, tenemos un firewall Fortigate, en el cuál, hay configurado una red dónde van ubicadas las máquinas de esta parte de la infraestructura y hay configurado un extremo de la VPN site to site entre la parte ON-premise y Azure, al final de estas explicaciones, os pondré un enlace a este mismo blog dónde se muestra como se configura esta VPN site to site.

• Esta es la VLAN que vamos a utilizar para la parte ON-premise:

• Aquí vemos la VPN site to site entre la parte On-premise y Azure levantada:

• Estas son las rutas estáticas hacia las redes virtuales de Azure:

• Para la parte Cloud en Azure, tenemos tres redes virtuales, una central, llamada hub-vnet, dónde se ubica la subred de puerta de enlace y dónde hemos configurado la puerta de enlace de red virtual que se encarga de la comunicación de la VPN site to site entre la parte On-premise y Azure, sobre esta vnet vamos a configurar el emparejamiento entre las vnets spoke1-vnet y spoke2-vnet y el tránsito de puerta de enlace que va a permitir comunicar estas dos vnets entre sí y va a permitir la comunicación también con la parte On-premise.
• Red virtual hub-vnet:

• Red virtual spoke1-vnet:

• Red virtual spoke2-vnet:

• Puerta de enlace de red virtual:

• Puerta de enlace de red local:

• Conexión:

• En este link os dejo como configurar una VPN site to site entre la parte On-premise y Azure.
• Una vez explicada toda la infraestructura, vamos a ver como configurar el emparejamiento entre redes virtuales y el tránsito de la puerta de enlace de VPN.
• Vamos a configurar el emparejamiento y el tránsito entre las redes virtuales hub-vnet y spoke1-vnet, para ello, accedemos a, red virtual hub-vnet > Emparejamientos > Agregar:

• Red virtual hub-vnet:
• Nombre del vínculo de emparejamiento: Asigne un nombre al vínculo, HubToSpoke1
• Tráfico hacia la red virtual remota: Permitir
• Tráfico reenviado desde la red virtual remota: Permitir
• Puerta de enlace de red virtual: Usar la puerta de enlace de esta red virtual o el servidor de rutas
• Red virtual spoke1-vnet:
• Nombre del vínculo de emparejamiento: Asigne un nombre al vínculo, Spoke1ToHub
• Tráfico hacia la red virtual remota: Permitir
• Tráfico reenviado desde la red virtual remota: Permitir
• Puerta de enlace de red virtual: Usar la puerta de enlace de red virtual remota o el servidor de rutas

• Como podemos ver, aquí tenemos los emparejamientos y el tránsito de puerta de enlace habilitado:

• El emparejamiento y el tránsito entre las redes virtuales hub-vnet y spoke2-vnet, se configura exactamente igual que el anterior:

• Para verificar que las máquinas virtuales de las redes virtuales spoke1-vnet y spoke2-vnet, se comunican con las máquinas virtuales del entorno on-premise, vamos a lanzar varios pings entre ellas.
• Máquina en red virtual spoke1-vnet:

• Máquina en red virtual spoke2-vnet:

• Máquina en red on-premise:

Saludos y espero que os sea de ayuda

En este post vamos a ver cómo configurar una VPN site to site IPSEC entre un Fortigate on-premise y un OPNSense en Azure.

La topología que vamos a utilizar será esta:

• Lo primero que vamos a realizar será acceder a nuestro Fortigate on-premise, y sobre VPN > Túneles IPsec > Crear nuevo > IPsec Tunnel, empezaremos a crear el primer extremo de la VPN:

• En Configuración de VPN seleccionamos Personalizar y le indicamos un Nombre:

• En la parte de Red configuramos la IP estática que tenemos asignada al OPNSense de Azure y la interface de salida:

• En Autenticación le indicamos la Key compartida:

• Configuramos la fase 1:

• Configuramos la fase2:

• Como podemos ver, ya tenemos el primer extremo de la VPN configurado, el de la parte on-premise:

• Ahora vamos a crear las políticas:

• Accedemos a Políticas y objetos> Política IPv4 > Crear nuevo:

• Creamos una política para la conexión de sitio a sitio que permita el tráfico saliente:

• Creamos otra política para la conexión de sitio a sitio que permita el tráfico entrante:

• Aquí podemos ver las políticas creadas:

• Ahora creamos la ruta estática hacia Azure:

• Lo segundo que vamos a realizar será acceder a nuestro OPNSense en Azure, y sobre Firewall > WAN > +, nos crearemos tres reglas de firewall para permitir el tráfico IPSEC a la interfaz WAN:

• Regla para IPSec ESP:

• Regla para IPSec ISAKMP puerto 500:

• Regla para IPSec NAT-T puerto 4500:

• Como podemos ver aquí tenemos las tres reglas creadas en la interface WAN:

• Ahora vamos a configurar la fase 1 de la VPN site to site, para ello, accedemos a VPN > IPSec > Connections > Tunnel Settings (legacy) > +:

• Como podemos ver, ya tenemos la fase 1 creada, habilitamos IPSec y aplicamos los cambios:

• Ahora vamos a configurar la fase 2 de la VPN site to site, para ello, accedemos a VPN > IPSec > Connections > Tunnel Settings (legacy) > +:

• Aplicamos los cambios:

• Como podemos ver, ya tenemos la fase 2 de la VPN site to site configurada:

• Para terminar, vamos a crear dos políticas, una de entrada y otra de salida para comunicar las dos subredes que tenemos, una en Azure y otra On-premise, para ello, accedemos a Firewall > Rules > IPSec > +:

• Regla de entrada:

• Regla de salida:

• Aquí vemos las dos reglas creadas:

• A continuación, sobre Firewall > Rules > LAN vamos a crear esta regla para permitir el tráfico entre la subred de Azure y la subred on-premise:

• Como podemos ver, ya tenemos el túnel IPSEC levantado.
• Fortigate On-premise:

• OPNSense Azure:

• Para verificar que todo funciona correctamente vamos a realizar un ping desde una máquina on-premise a una máquina en Azure y viceversa:

Saludos y espero que os sea de ayuda

En este post vamos a ver cómo configurar una VPN site to site IPSEC entre Fortigate on-premise y Fortigate Azure.

La topología que vamos a utilizar será esta:

• Lo primero que vamos a realizar será acceder a nuestro Fortigate on-premise, y sobre VPN > Túneles IPsec > Crear nuevo > IPsec Tunnel, empezaremos a crear el primer extremo de la VPN:

• En Configuración de VPN seleccionamos Personalizar y le indicamos un Nombre:

• En la parte de Red configuramos la IP estática que tenemos asignada al Fortigate de Azure y la interface de salida:

• En Autenticación le indicamos la Key compartida:

• Configuramos la fase 1:

• Configuramos la fase2:

• Como podemos ver ya tenemos el primer extremo de la VPN configurado, el de la parte on-premise:

• Ahora vamos a crear las políticas:

• Accedemos a Políticas y objetos> Política IPv4 > Crear nuevo:

• Creamos una política para la conexión de sitio a sitio que permita el tráfico saliente:

• Creamos otra política para la conexión de sitio a sitio que permita el tráfico entrante:

• Aquí podemos ver las políticas creadas:

• Ahora creamos la ruta estática hacia Azure:

• Lo segundo que vamos a realizar será acceder a nuestro Fortigate en Azure, y sobre VPN > Túneles IPsec > Crear nuevo > IPsec Tunnel, empezaremos a crear el segundo extremo de la VPN:

• En Configuración de VPN seleccionamos Personalizar y le indicamos un Nombre:

• En la parte de Red configuramos la IP estática que tenemos asignada al Fortigate on-premise y la interface de salida:

• En Autenticación le indicamos la Key compartida:

• Configuramos la fase 1:

• Configuramos la fase2:

• Como podemos ver ya tenemos el segundo extremo de la VPN configurado, el de la parte de Azure:

• Ahora vamos a crear las políticas:

• Accedemos a Políticas y objetos> Firewall Policy> Crear nuevo:

• Creamos una política para la conexión de sitio a sitio que permita el tráfico saliente:

• Creamos otra política para la conexión de sitio a sitio que permita el tráfico entrante:

• Aquí podemos ver las políticas creadas:

• Ahora creamos la ruta estática hacia nuestro entorno on-premise:

• Como podemos ver, ya tenemos el túnel IPSEC levantado:

• Para verificar que todo funciona correctamente vamos a realizar un ping desde una máquina on-premise a una máquina en Azure y viceversa:

Saludos y espero que os sea de ayuda

En este post vamos a ver cómo desplegar y configurar una tabla de rutas en Azure.

La topología que vamos a utilizar será esta:

• Accedemos al Marketplace, buscamos Route table y damos a crear:

• Sobre Básico le indicamos el grupo de recursos, la región, le damos un nombre y le indicamos que propague las rutas de puerta de enlace:

• Sobre Etiquetas podemos configurar las que nos interesen:

• Sobre Revisar y crear nos muestra un resumen sobre todo lo que le hemos configurado a la tabla de rutas:

• Como podemos ver, comienza a implementar la tabla de rutas:

• Aquí vemos que se ha implementado correctamente:

• Accedemos al recurso y sobre subredes vamos a asociar la subred LAN que configuramos anteriormente, esta subred es dónde vamos a ubicar las máquinas virtuales de nuestra infraestructura en Azure:

• Como podemos ver, ya la tenemos asociada:

• Ahora vamos a configurar las rutas, para ello, accedemos a Rutas a Agregar:

• La primera ruta que vamos a agregar, será la ruta por defecto:

• La siguiente ruta será para el acceso a la subred dónde vamos a ubicar nuestras máquinas virtuales:

• Aquí vemos las rutas agregadas:

• Una vez configurada la tabla de rutas, accedemos a nuestro Fortigate en Azure, y nos vamos a crear estas tres rutas estáticas, la primera es la ruta por defecto, para que todo lo que no se encuentre en la tabla de enrutamiento del Forti lo envíe por la interface WAN al gateway de la subred external, la segunda ruta es para que todo lo configurado en el espacio de direcciones de la red virtual lo envíe por la interface LAN al gateway de la subred internal, y la tercera ruta son para servicios internos de Azure para que lo envíe por la interface LAN al gateway de la subred internal:

Saludos y espero que os sea de ayuda

En este post vamos a ver cómo desplegar un firewall Fortigate en Azure a través del Marketplace.

La topología que vamos a utilizar será esta:

• Accedemos al Marketplace, buscamos por fortigate y seleccionamos la opción Fortinet FortiGate Next-Generation Firewall > Crear > Single VM:

• En el despliegue del firewall sobre Básico le indicamos el grupo de recursos, la región, las credenciales de usuario, el prefijo del nombre, tipo de licencia y la versión de la imagen del Fortigate:

• Sobre Instance le indicamos el tamaño de máquina, le adjuntamos la licencia y le indicamos el nombre:

• Sobre Networking le indicamos la red virtual que vamos a utilizar y las subredes del firewall que ya configuramos en un post anterior:

• Sobre Public IP configuramos una IP pública básica y estática:

• Sobre Advanced no tocamos nada ya que no tenemos configurado FortiManager:

• Nos muestra un resumen de todas las configuraciones realizadas, comenzamos a crear la máquina:

• Como podemos ver, comienza el despliegue:

• Aquí vemos que ya ha terminado y se ha implementado correctamente:

• Ahora accedemos al grupo de recursos y clicamos sobre la máquina virtual:

• En la máquina virtual accedemos a Redes y cómo podemos ver tenemos dos interfaces de red, una es la interface WAN del Fortigate que tiene una IP privada y otra pública, y la otra es la interface LAN que solo tiene una IP privada:

• Para acceder al firewall accedemos a través de su IP pública:

• Le aplicamos un alias a sus interfaces como WAN y LAN:

• Y así nos quedaría:

• También configuramos el acceso a nuestro Fortigate para que lo haga a través del puerto 30443:

• Como podemos ver, ahora tenemos que acceder a través del puerto configurado:

Saludos y espero que os resulte de ayuda

En este post vamos a ver cómo desplegar y configurar una red virtual en Azure para firewall Fortigate.

La topología que vamos a utilizar será esta:

• Empezaremos con el despliegue y la configuración de la red virtual en Azure, para ello, vamos a seleccionar un espacio de direcciones en la red virtual, y le configuraremos las distintas subredes que va a utilizar el firewall y la que utilizaremos como la red local de Azure dónde se conectarán nuestras máquinas virtuales:
• Red virtual: rgs-firewall-vnet 192.168.128.0/18
• Subred Externa: ExternalSubnetFortigate 192.168.191.0/27
• Subred Interna: InternalSubnetFortigate 192.168.191.32/27
• Subred Protected: ProtectedSubnetFortigate 192.168.191.64/27
• LAN Azure: Subvnet_rgs_192.168.130.0-24_LAN 192.168.130.0/24

• Todos los recursos creados los vamos a ubicar dentro de este grupo de recursos:

• Nos creamos la red virtual, dónde en Datos básicos le indicamos, el grupo de recursos y el nombre:

• En Seguridad lo dejamos por defecto:

• En Direcciones IP configuramos el espacio de direcciones y las subredes que vamos a utilizar:

• Sobre Etiquetas podemos configurar las que nos interesen:

• Sobre Revisar y crear nos muestra un resumen sobre todo lo que le hemos configurado a la red virtual:

• Como podemos ver, el recurso de red virtual se ha creado correctamente, podemos ir al recurso:

• Dónde podemos ver el Espacio de direcciones configurado y las Subredes que vamos a utilizar para desplegar el firewall Fortigate y para ubicar nuestras máquinas virtuales:

Saludos y espero que os sea de ayuda

En estos posts vamos a ver cómo desplegar y configurar un firewall Fortigate en Azure.

La topología que vamos a utilizar será esta:

Este post lo vamos a dividir en:

• Despliegue y configuración red virtual en Azure para Firewall Fortigate
• Despliegue Firewall Fortigate en Azure desde Marketplace
• Desplegar y configurar tabla de rutas en Azure
• VPN site to site IPSEC entre Fortigate on-premise y Fortigate Azure

Saludos y espero que os resulte de ayuda

En este post vamos a ver como crear y configurar una VPN entre dos equipos con la Herramienta Hamachi de LogMeIn.

• Para ello, vamos a utilizar dos máquinas virtuales Windows, en las cuáles nos vamos a instalar la aplicación Hamachi para unir estos equipos a la VPN, aquí vamos a mostrar el proceso de instalación en uno de ellos ya que para el otro equipo el proceso será el mismo:

• Procedemos a instalar Hamachi en ambas máquinas, seleccionamos el idioma, clic en siguiente:

• Aceptamos el EULA, clic en siguiente:

• Elegimos las opciones de instalación, clic en siguiente:

• Instalamos:

• Terminamos y ejecutamos Hamachi:

• Esta configuración es para la máquina 1, la que va a hacer de servidor, damos clic sobre el botón Encender:

• Nos creamos una nueva red:

• Le indicamos un ID de red con una contraseña, clic sobre Crear:

• Como podemos ver, ya tenemos la Red creada en la máquina servidor para la conexión VPN:

• Ahora vamos a ir a la configuración para la máquina 2, la que va a hacer de cliente, damos clic sobre el botón Encender:

• Nos unimos a una red existente:

• Introducimos el ID de red y la contraseña, clicamos sobre Unirse:

• Como podemos ver, desde la máquina cliente (sadwin) estamos unidos a la máquina servidor (jramos-w10):

• Y desde la máquina servidor (jramos-w10) estamos unidos a la máquina cliente (sadwin):

• Ahora vamos a compartir ficheros entre ambos equipos, para ello, hemos creado un recurso compartido en cada máquina:

• Ahora vamos a acceder desde la máquina servidor a la máquina cliente y vamos a copiar un fichero, accedemos a través de la IP pública que nos proporciona Hamachi 25.72.215.208 y copiamos el PDF llamado FicheroServidor:

• Ahora vamos a acceder desde la máquina cliente a la máquina servidor y vamos a copiar un fichero, accedemos a través de la IP pública que nos proporciona Hamachi 25.72.175.99 y copiamos el PDF llamado FicheroCliente:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como configurar una VPN Point to Site en Microsoft Azure.

• Lo primero que vamos a realizar será crearnos una Red Virtual, esta parte ya la vimos en el post Azure – Redes Virtuales, como podemos ver, aquí tenemos nuestra Red Virtual creada:

• Lo siguiente sería crearnos una Puerta de enlace de red virtual, esta parte ya la vimos en el post Azure – Configuración VPN Site to Site en Azure, como podemos ver, aquí la tenemos creada:

• La puerta de enlace de red virtual usa una subred concreta llamada la subred de la puerta de enlace, esta subred ya la creamos en el post anterior, Azure – Redes Virtuales. Esta subred forma parte del intervalo de direcciones IP de red virtual que se especifican al configurar una red virtual. Contiene las direcciones IP que usan los recursos y servicios de puerta de enlace de la red virtual:

• Ahora vamos a crear los certificados para nuestra VPN Point to Site, necesitaremos dos certificados, uno será el RootCertificate y otro el ClientCertificate, para generar estos certificados usaremos un equipo con Windows 10 y PowerShell, nos abrimos un PowerShell ISE y ejecutamos este script:

• Primero ejecutamos la selección del RootCertificate:

• Y luego ejecutamos la selección del ClientCertificate:

• Una vez creados los certificados, tenemos que exportarlos, para ellos ejecutamos certmgr.msc:

• Si accedemos a Personal > Certificados, podemos ver los dos certificados que nos hemos creado:

• Exportamos primero el certificado P2SRootCert:

• Como podemos ver aquí lo tenemos exportado:

• Ahora exportamos el certificado P2SChildCert:

• Como podemos ver aquí lo tenemos exportado:

• Una vez que ya tenemos los certificados, vamos a configurar la VPN Point to Site en Azure, para ello, accedemos a Puertas de enlace de red virtual > MiPuerta_de_enlace_de_red_virtual> Configuración de punto a sitio> Configurar ahora:

• Sobre la Configuración de punto a sitio, vamos a configurar, el Grupo de direcciones que será el rango de IPs que se les asignará a los equipos que se conecten la VPN, el Tipo de túnel que será IKEv2 y SSTP (SSL), el Tipo de autenticación que será con Certificado de Azure, e incluimos el Certificado raíz que nos creamos anteriormente, con respecto a los Datos de certificado público nos debemos de abrir el certificado con el bloc de notas y copiar su contenido, clic sobre Guardar:

• Como podemos ver, la Configuración de punto a sitio ya ha quedado configurada sobre nuestra puerta de enlace de red virtual:

• Ahora en los equipos que se vayan a conectar a nuestro entorno de Azure debemos de instalar el certificado cliente:

• Como podemos ver ya lo tenemos instalado:

• Por último, vamos a descargar el cliente VPN, instalarlo en los equipos y vamos a probar que nos podemos conectar a las máquinas virtuales que tenemos en Azure, para ello, accedemos a nuestra Puerta de enlace de red virtual > Configuración de punto a sitio > Descargar cliente VPN:

• Como podemos ver ya lo tenemos descargado:

• Descomprimimos todo, e instalamos el cliente VPN:

• Ahora si accedemos a Red e Internet > VPN podemos ver que nos ha creado la conexión VPN llamada Ragasys-HQ-vnet:

• Le damos a Conectar y Continuar:

• Como podemos ver ya estamos conectados a nuestro entorno de Azure:

• Si hacemos un ipconfig /all a nuestro equipo, podemos ver cómo se nos ha asignado una IP del rango que configuramos en Azure para nuestra conexión VPN:

• Verificamos en la puerta de enlace de red virtual de Azure, en la configuración de punto a sitio que efectivamente, esta es la dirección IP asignada:

• Y si le hacemos un ping a una de nuestras máquinas virtuales en Azure, podemos ver que nos responde:

• Para terminar, vamos a acceder por escritorio remoto a esta máquina virtual de Azure:

Saludos y espero que os resulte de ayuda

En este post vamos a ver cómo crear la conexión VPN Site to Site en Azure entre la puerta de enlace de la red virtual y el dispositivo VPN local.

• Accedemos a Conexiones > Crear:

• En Datos básicos, configuramos:
  • Nombre: asignamos un nombre a la conexión.
  • Tipo de conexión: Seleccionamos Sitio a sitio (IPSec).

• En Opciones, configuramos:

• • Puerta de enlace de red virtual, el valor es fijo porque se conecta desde esta puerta de enlace.
  • Puerta de enlace de red local, seleccionamos elegir una puerta de enlace de red local y seleccionamos la puerta de enlace de red local que queremos utilizar.
  • Clave compartida (PSK), este valor debe ser el mismo que el que usa para el dispositivo VPN local.
  • Seleccionamos IKEv2.
  • Dejamos la casilla Usar la dirección IP privada de Azure desactivada.
  • Dejamos la casilla Habilitar BGP desactivada.

• Sobre Etiquetas las podemos configurar ahora o a posteriori, en mi caso, no vamos a configurar ninguna en este momento, ya dedicaremos un post a las Etiquetas, que como veremos pueden ser muy útiles, clic en Siguiente:

• Aquí nos muestra un resumen de las configuraciones y que la validación ha sido superada, clic sobre Crear:

• Podemos ver que la implementación se ha completado correctamente:

• Si nos vamos a Conexiones, podemos ver que ya la tenemos creada y que está conectado:

• Si accedemos a la Conexión, tendremos las distintas opciones para poder configurarla y administrarla, el Estado lo muestra como Conectado:

• Si accedemos a nuestro dispositivo de VPN local (Fortigate), podemos ver que el túnel IPsec está establecido:

• Si accedemos a VPN Location Map en nuestro Fortigate, podemos ver el túnel IPsec establecido entre mi infraestructura on-premise y el Datacenter Oeste de Europa de Azure:

• Ahora si hacemos un ping desde cualquier equipo de nuestra red LAN on-premise hacia una IP operativa de Azure, podemos ver, que tenemos conexión, esta IP es una de las que Azure se reserva para la Subred de puerta de enlace:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como configurar una VPN Site to Site en un dispositivo Fortigate.

• En nuestro Fortigate nos vamos a VPN > Asistente IPsec > Personalizar, le indicamos un nombre y siguiente:

• Configuramos los ajustes de red:

• Para Puerta de enlace remota, seleccionamos Dirección IP estática e ingresamos la dirección IP proporcionada por Azure.
• Para Interfaz, seleccionamos wan1
• Para NAT Traversal, seleccionamos Desactivar
• Para Dead Peer Detection (Detección de punto remoto inalcanzable), seleccionamos On Idle (Ocioso)

• Configuramos los ajustes de autenticación:
• En Método, seleccionamos Llave Compartida e ingresamos la Clave.
• Para IKE, seleccionamos la versión 2.

• Configuramos los ajustes de la propuesta de fase 1 .

• Establezcemos la combinación de cifrado y autenticación en las tres combinaciones de algoritmos de cifrado admitidas aceptadas por Azure.
  • AES256 y SHA1
  • 3DES y SHA1
  • AES256 y SHA256
• Para Grupos Diffie-Hellman, seleccionamos 2.
• Establezcemos el Key Lifetime (segundos) en 28800.

• En Selectores de Fase 2, expanda la sección Avanzado para configurar los ajustes de Propuesta de Fase 2.
• Configuramos las combinaciones de cifrado y autenticación:

• • AES256 y SHA1
  • 3DES y SHA1
  • AES256 y SHA256

• Desmarcamos Habilitar Perfect Forward Secrecy (PFS).
• Establezcemos el Key Lifetime (segundos)en 27000.
• Clic a OK.

• Como podemos ver, aquí tenemos el Túnel IPsec creado:

• Ahora vamos a crear el objeto direcciones con el espacio de direcciones que tenemos configurado en la Red Virtual de Azure, para ello, accedemos a Políticas y Objetos > Dirección > Crear nuevo > Dirección:

• Le indicamos un nombre, la subred y la interface:

• Como podemos ver ya tenemos el objeto dirección creado:

• Ahora vamos a crear las políticas:

• Accedemos a Políticas y objetos> Política IPv4 > Crear nuevo:

• Creamos una política para la conexión de sitio a sitio que permita el tráfico saliente:

• Creamos otra política para la conexión de sitio a sitio que permita el tráfico entrante:

• Aquí podemos ver las políticas creadas:

• Ahora vamos a limitar el tamaño máximo de segmento de TCP (MSS) que se envía y recibe para evitar la caída y la fragmentación de paquetes, para hacer esto, usaremos los siguientes comandos CLI en ambas políticas:

config firewall policy

   edit <policy-id>

      set tcp-mss-sender 1350

      set tcp-mss-receiver 1350

   next

end

• Para terminar, vamos a crear una ruta estática que obligue al tráfico saliente que va a Azure, a pasar por el túnel basado en rutas, para ello accedemos a Red > Ruta Estática > Crear nuevo:

• Con esto, hemos terminado de configurar la VPN en nuestro dispositivo Fortigate, ahora nos quedaría configurar la conexión en Azure.

Saludos y espero que os sea de ayuda

En este post vamos a ver como configurar una VPN Site to Site en Microsoft Azure.

• Lo primero que vamos a realizar será crearnos una Red Virtual, esta parte ya la vimos en el post Azure – Redes Virtuales, como podemos ver, aquí tenemos nuestra Red Virtual creada:

• Ahora vamos a crear una puerta de enlace de VPN, la puerta de enlace de red virtual usa una subred concreta llamada la subred de la puerta de enlace, esta subred ya la creamos en el post anterior, Azure – Redes Virtuales. Esta subred forma parte del intervalo de direcciones IP de red virtual que se especifican al configurar una red virtual. Contiene las direcciones IP que usan los recursos y servicios de puerta de enlace de la red virtual.
• Accedemos a Puerta de enlace de red virtual > Crear:

• Sobre Datos básicos, vamos a introducir los siguientes valores:

• Suscripción: Mi suscripción
• Nombre: Ragasys-HQ-vnetGW
• Región: Oeste de Europa
• Tipo de puerta de enlace: VPN
• Tipo de VPN: basada en rutas
• SKU: VpnGw1
• Generación: Generación 1
• Red virtual: Ragasys-HQ-vnet
• Intervalo de direcciones de subred de puerta de enlace: 192.168.131.0/27
• Dirección IP pública: Crear nuevo
• Dirección IP pública: Ragasys-HQ-vnetGW-ipp
• Habilitar el modo activo-activo: Disabled
• Configuración de BGP: Disabled

• Sobre Etiquetas las podemos configurar ahora o a posteriori, en mi caso, no vamos a configurar ninguna en este momento, ya dedicaremos un post a las Etiquetas, que como veremos pueden ser muy útiles, clic en Siguiente:

• Aquí nos muestra un resumen con las configuraciones realizadas y que la validación ha sido superada, clic sobre Crear:

• Una puerta de enlace puede tardar hasta 45 minutos en crearse e implementarse completamente, aquí podemos ver que la implementación se ha completado correctamente:

• Si nos vamos a Puertas de enlace de red virtual, podemos ver que ya la tenemos creada:

• Si accedemos a la puerta de enlace de red virtual, tendremos las distintas opciones para poder configurarla y administrarla, también podemos ver la IP pública que tiene asignada:

• Ahora vamos a crear la Puerta de enlace de red local, la puerta de enlace de red local es un objeto específico que representa la ubicación local para fines de enrutamiento. Asignaremos al sitio un nombre al que Azure pueda hacer referencia y, luego, especificaremos la dirección IP del dispositivo VPN local con la que crearemos una conexión. Especificaremos también los prefijos de dirección IP que se enrutarán a través de la puerta de enlace VPN al dispositivo VPN. Los prefijos de dirección, son los prefijos que se encuentran en la red local:

• Aquí introducimos los siguientes valores:

• Nombre: Especificamos el nombre del objeto de puerta de enlace de red local
• Punto de conexión: Seleccionamos el tipo de punto de conexión para el dispositivo VPN local: dirección IP o FQDN (nombre de dominio completo).
  • Dirección IP: si tenemos asignada una dirección IP pública estática de nuestro proveedor de servicios de Internet para el dispositivo VPN, seleccionamos la opción Dirección IP. Esta es la dirección IP pública del dispositivo VPN al que desea que Azure VPN Gateway se conecte.
  • Nombre de dominio completo: si tenemos una dirección IP pública dinámica que podría cambiar después de un cierto período de tiempo, que normalmente determina el proveedor de servicios de Internet, podemos usar un nombre DNS constante con un servicio DNS dinámico que apunte a la dirección IP pública actual del dispositivo VPN. Azure VPN Gateway resolverá el nombre de dominio completo para determinar la dirección IP pública a la que se va a conectar.
• Espacio de direcciones: hace referencia a los intervalos de direcciones de la red que representa esta red local. Podemos agregar varios intervalos de espacios de direcciones. Debemos de asegurarnos de que los intervalos que especifiquemos aquí no se superpongan con los de otras redes a las que queramos conectarnos. Azure enrutará el intervalo de direcciones que especifiquemos a la dirección IP del dispositivo VPN local.
• BGP: usar solo al configurar BGP. En caso contrario, no seleccionamos esta opción.
• Suscripción: compruebe que se muestra la suscripción correcta.
• Grupos de recursos: Seleccionamos el grupo de recursos que queremos usar.
• Ubicación: Oeste de Europa

• Si nos vamos a Puertas de enlace de red local, podemos ver que ya la tenemos creada:

• Si accedemos a la puerta de enlace de red local, tendremos las distintas opciones para poder configurarla y administrarla:

• Con esto, hemos terminado de configurar la VPN en Azure, ahora nos quedaría configurar la VPN en el dispositivo Fortigate que tenemos en nuestro entorno on-premise, y luego realizar la conexión en Azure.

Saludos y epsero que os resulte de ayuda

En este post vamos a ver como desplegar y configurar una VPN Site to Site entre nuestra infraestructura montada en Azure y nuestro entorno on-premise, este post lo vamos a dividir en tres partes:

• Configuración VPN Site to Site en Azure

• Configuración VPN Site to Site en dispositivo Fortigate

• Creación de la conexión VPN Site to Site en Azure

En las próximas semanas iremos subiendo estos tres post.

Saludos y espero que os sea de ayuda

En este post vamos a ver como autenticarnos a una VPN SSL con un segundo factor de autenticación usando una cuenta de correo electrónico.

• Accedemos a nuestro firewall Fortigate, y nos situamos sobre Usuario y Dispositivo > Definición de Usuario, como podemos ver tenemos el usuario local joseramon.ramos, si lo editamos vemos que pertenece al grupo que tiene acceso a la VPN SSL:

• Vamos a realizar una prueba de conexión a la VPN SSL, para verificar que este usuario puede acceder:

• Si accedemos a Monitor > Monitor SSL-VPN, podemos ver que el usuario está conectado:

• Para configurar el segundo factor de autenticación por correo electrónico, lo primero que tenemos que hacer es configurar el servicio SMTP en nuestro Fortigate, para ello, accedemos a Sistema > Configuración > Email Service y configuramos nuestro servidor SMTP:

• Si accedemos a la CLI y ejecutamos el comando config system email-server, también lo podemos configurar desde aquí, con get obtenemos la configuración realizada:

• La otra configuración que tenemos que realizar para aplicar el segundo factor de autenticación a nuestros usuarios vpn es configurar un Fortitoken por email, pero como podemos ver, a través de la interfaz gráfica es imposible, ya que solo nos da las opciones de FortiToken Mobile y FortiToken Cloud, ambas opciones de pago, si lo configuramos por email no debemos de adquirir ninguna licencia:

• Pues bien, si accedemos, a la CLI podemos configurar el segundo factor de autenticación por correo electrónico, ejecutamos el comando config user local para acceder al modo de configuración de usuarios locales y ejecutando show nos mostrará la información de todos nuestros usuarios:

• Editamos el usuario al que le vamos a configurar el segundo factor de autenticación por email, edit usuario y con get vemos toda la información:

• Si ejecutamos el comando set two-factor y pulsamos la tecla ?, podemos ver las opciones de configuración del segundo factor de autenticación, mucho más completa que con la interfaz gráfica, ya que nos aparece la opción de poder configurar este segundo factor de autenticación por email:

• Con el comando set two-factor email habilitamos el segundo factor de autenticación vía correo electrónico:

• Ejecutando set email-to cuenta de email, le añadimos la cuenta de correo del usuario que será donde se reciban los token para autenticarse contra la VPN SSL:

• Si hacemos un get podemos ver que ya tenemos habilitado el segundo factor de autenticación por correo electrónico:

• Ejecutamos end para finalizar y que se guarden los cambios:

• Si accedemos a la interfaz gráfica ya podemos ver las configuraciones que hemos realizado:

• Ahora vamos a probar el acceso a nuestra VPN SSL con el usuario al que le hemos configurado el segundo factor de autenticación por email, para verificar que todo funciona correctamente, aquí vemos con nos pide el token que se ha enviado por mail:

• Aquí vemos el token recibido por email:

• Lo introducimos en nuestro Forticlient y Aceptamos:

• Como podemos ver ya estamos conectados a la VPN SSL con el segundo factor de autenticación por mail:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como autenticarnos a una VPN SSL con un segundo factor de autenticación usando Fortitoken Mobile.

• Accedemos a nuestro firewall Fortigate, y nos situamos sobre Usuario y Dispositivo > FortiToken, como podemos ver tenemos disponibles dos FortiToken Mobile para usar:

• Para acceder a nuestra VPN SSL lo vamos a realizar con los usuarios del dominio, en este post podemos ver como configurar una VPN SSL de acceso remoto con usuarios del Active Directory
• Lo primero que vamos a realizar será agregar el usuario del Active Directory que se conectará a la VPN SSL con un segundo factor de autenticación usando FortiToken Mobile, para ello, accedemos a Usuario y Dispositivo > Definición de usuario > Crear nuevo:

• Se nos abre este asistente y sobre el Tipo de usuario seleccionamos Usuario Remoto de LDAP:

• Sobre Servidor LDAP seleccionamos el servidor que configuramos en el post VPN SSL de acceso remoto con usuarios del Active Directory:

• Agregamos el usuario que nos interesa, y damos clic a Enviar:

• Como podemos ver, ya tenemos el usuario del Active Directory agregado, ahora damos clic a Editar para configurar las opciones de segundo factor de autenticación sobre el usuario:

• Sobre la edición del usuario, le vamos a añadir una dirección de correo electrónico, sobre esta dirección se va a enviar el código de activación, que más tarde lo usaremos para poner a funcionar la aplicación FortiToken Mobile en nuestro móvil, le vamos a indicar el grupo que tenemos configurado sobre las políticas de acceso de la VPN SSL, habilitamos el check de Autenticación de dos factores, el tipo de autenticación será FortiToken, seleccionamos uno de los Token que tenemos disponibles y marcamos el check para que nos envíe el código de activación por Email a la cuenta indicada, clic sobre OK:

• Como podemos ver aquí tenemos el usuario definido con la Autenticación de doble factor:

• Si volvemos a ir a Usuario y Dispositivo > FortiToken, podemos observar que el estado del Token Móvil que acabamos de configurar para el usuario, está en pendiente, esto significa que debemos de activar el código que nos han mandado por Email en la aplicación FortiToken Mobile (descarga a través de Play Store o App Store) de nuestro Móvil:

• Este es el mensaje que debemos de recibir con el código de activación para FortiToken Mobile, también podemos activar la aplicación a través del código QR que nos han mandado como fichero adjunto:

• Ahora en nuestro móvil abrimos la aplicación FortiToken Mobile y seleccionamos la opción ENTER MANUALLY:

• Accedemos a Fortinet:

• Introducimos el Email de nuestro usuario y el código de activación que nos mandaron al correo, añadimos la cuenta:

• A partir de este momento, se nos van a empezar a generar códigos de 6 dígitos numéricos aleatorios y con un tiempo de caducidad que nos lo marca el círculo azul, estos códigos generados, los que estén válidos por tiempo en ese momento, serán los que utilicemos, para acceder a nuestra VPN SSL configurada en el Fortigate, tenemos por lo tanto el doble factor de autenticación listo para funcionar, el primer factor será el password del usuario y el segundo el Token generado por la aplicación:

• Vamos a probar el acceso a nuestra VPN SSL con doble factor de autenticación a través del cliente FortiClient:

• Como podemos ver ya estamos conectados:

• Si accedemos de nuevo a nuestro Fortigate, sobre la opción Monitor > Monitor SSL-VPN, podemos ver que nuestro usuario está con la conexión activa:

• Si volvemos a ir a Usuario y Dispositivo > FortiToken, podemos observar que el estado del Token Móvil ha pasado de pendiente a Asignado:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como configurar nuestra VPN SSL de acceso remoto para que los usuarios del Active Directory se conecten a nuestras redes internas, en este link de este mismo blog podéis ver como se configura una VPN SSL de acceso remoto.

• Lo primero que vamos a realizar será crearnos el siguiente grupo en nuestro Active Directory, en este grupo vamos a ir añadiendo los usuarios que posteriormente se van a conectar a la VPN:

• Ahora vamos a acceder a nuestro Fortigate, y vamos a configurar el LDAP para que se pueda conectar al árbol de directorios del Active Directory, para ello nos vamos a Usuario y Dispositivo > LDAP > Crear nuevo:

• Realizamos las siguientes configuraciones, le indicamos un Nombre, la IP o nombre del servidor, en este caso le indicamos el nombre del dominio, puerto por el que se va a conectar al árbol de directorio LDAP, en este caso 389 que es el puerto de Active Directory para LDAP, le indicamos el Id Common name y el distinguised name, necesitamos un usuario del dominio para conectarnos al árbol LDAP, por lo que le indicamos el usuario y password, como podemos ver al probar la conexión esta todo correcto:

• Este es el usuario que nos hemos creado para realizar la conexión del Fortigate al LDAP del Active Dirtectory:

• Ahora en el Fortigate vamos a crear el grupo de acceso a la VPN, para ello accedemos a las opciones de Usuario y Dispositivo > Grupos de Usuario > Crear nuevo:

• Le indicamos un Nombre y Tipo, y agregamos un Grupo Remoto que será el grupo que hemos creado en el Active Directory:

• Seleccionamos el Servidor Remoto que configuramos anteriormente y añadimos el grupo del Active Directory Gvpn:

• Como podemos ver ya está correctamente agregado:

• Ahora, este grupo remoto que acabamos de crear tenemos que mapearlo al portal de la VPN-SSL, para ello, nos vamos a VPN > Configuración de SSL-VPN > Autenticación/mapeo del portal y lo agregamos como full-access:

• Para terminar, debemos de crear y configurar las reglas o políticas, para que los usuarios se conecten a las redes internas a través de la VPN configurada en el firewall, para ello, nos vamos a Políticas y Objetos > Política IPv4 > Crear nuevo:

• Creamos la regla o política para una de nuestras redes internas:

• Ahora desde un equipo remoto con el Forticlient instalado y conexión a Internet, vamos a verificar que el usuario testvpn se puede conectar a nuestra red interna:

• Desde el Monitor SSL-VPN de nuestro Fortigate podemos ver los usuarios conectados a través de la VPN:

• Desde la opción VPN > VPN Location Map podemos ver desde que parte del mundo se están conectando los usuarios que hemos creado y configurado para nuetra VPNSSL de acceso remoto:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como configurar una VPN SSL de acceso remoto en un firewall Fortigate, concretamente con el modelo FG 50E, con este tipo de VPN usando SSL nos podemos conectar desde cualquier equipo con conexión a Internet hacia nuestra red interna, dónde todo el tráfico irá encriptado mediante SSL.

• Lo primero que vamos a realizar será crearnos un objeto – dirección que incluirá todo el rango de direcciones IP que usaremos para los equipos que se conecten a través de esta VPN, para ello lo crearemos desde Políticas y Objetos > Dirección > Crear nuevo > Dirección:

• Ahora nos vamos a crear los usuarios locales que accederán a través de la VPN:

• Para una correcta administración los usuarios que nos hemos creado anteriormente los vamos a anidar en un grupo:

• Una vez creados los usuarios y grupos, vamos a configurar los portales SSL-VPN, por defecto, vienen creados estos tres, nosotros vamos a editar el portal full-access:

• Nos quedaría configurado de la siguiente manera:

• Ahora configuramos la VPN-SSL, con los siguientes parámetros:

• Para terminar de configurar la VPNSSL de acceso remoto, debemos de crear las reglas o políticas para que los equipos que se conecten a través de la VPN, tengan acceso a las redes internas configuradas en nuestro firewall, voy a mostrar sólo una de ellas ya que para las demás sería exactamente igual:

• Como podemos ver aquí las tenemos todas creadas:

• Como nuestra conexión a Internet se encuentra a través de un router FTTH haciendo las funciones de NAT, debemos mapear el puerto que hemos utilizado para la VPNSSL (10443) hacia nuestro Fortigate:

• Con esto ya tendríamos configurada y operativa nuestra VPNSSL de acceso remoto, ahora desde cualquier equipo con conexión a internet, le instalaremos el Forticlient y configuraremos los parámetros de la VPNSSL para conectarnos desde cualquier lugar del mundo a las redes internas de nuestra infraestructura, dónde todo el tráfico irá encriptado mediante SSL:

• Como podemos ver ya estamos conectados y nos está sirviendo una dirección IP del rango que habíamos configurado:

• Desde el Monitor SSL-VPN de nuestro Fortigate podemos ver los usuarios conectados a través de la VPN:

• Desde la opción VPN > VPN Location Map podemos ver desde que parte del mundo se están conectando los usuarios que hemos creado y configurado para nuetra VPNSSL de acceso remoto:

Saludos y espero que os resulte de ayuda