Cómo bloquear páginas web y redes sociales en FortiGate

Bloquear páginas para adultos, apuestas o redes sociales en horario laboral es una de las peticiones más habituales en empresas, colegios y cibercafés. Con un FortiGate se hace con los perfiles de filtrado web y de control de aplicaciones. En esta guía configuras un filtro paso a paso, desde la interfaz web y desde la CLI de FortiOS 7, y entiendes qué limitaciones tiene con el tráfico HTTPS.

Las tres herramientas del FortiGate

Lo habitual es combinar las tres: categorías para lo general, URLs para excepciones y control de aplicaciones para las redes sociales y apps móviles.

Paso 1: crear el perfil de filtrado web

En la interfaz web, ve a Security Profiles → Web Filter y crea un perfil nuevo, por ejemplo filtro-oficina:

1. Activa FortiGuard Category Based Filter.
2. Marca como Block las categorías que quieras impedir: por ejemplo, contenido para adultos, apuestas (Gambling) y las categorías de seguridad (sitios maliciosos y de phishing), que conviene bloquear siempre.
3. Para categorías dudosas puedes usar Warning (muestra un aviso y deja continuar) o Monitor (permite y registra), muy útil para medir antes de bloquear.

Paso 2: bloquear dominios concretos

En el mismo perfil, activa URL Filter y añade entradas de tipo Wildcard, por ejemplo *.tiktok.com con acción Block. Desde la CLI:

config webfilter urlfilter
    edit 1
        set name "bloqueos-oficina"
        config entries
            edit 1
                set url "*.tiktok.com"
                set type wildcard
                set action block
            next
        end
    next
end

config webfilter profile
    edit "filtro-oficina"
        config web
            set urlfilter-table 1
        end
    next
end

El filtro de URL también sirve para lo contrario: con la acción Exempt o Allow puedes permitir un sitio concreto que su categoría bloquearía.

Paso 3: control de aplicaciones para redes sociales

Las aplicaciones móviles no siempre usan los mismos dominios que la web, así que el filtrado por URL no basta. En Security Profiles → Application Control crea un perfil (por ejemplo, apps-oficina) y:

• Bloquea la categoría Social.Media completa, o
• Usa Application and Filter Overrides para bloquear aplicaciones concretas (Facebook, Instagram, TikTok…) y dejar el resto permitido.

Paso 4: aplicar los perfiles a la política

Los perfiles no hacen nada hasta que se asignan a una política de firewall. Edita la política que da salida a Internet a la LAN y activa los perfiles:

config firewall policy
    edit 1
        set utm-status enable
        set webfilter-profile "filtro-oficina"
        set application-list "apps-oficina"
        set ssl-ssh-profile "certificate-inspection"
    next
end

Sustituye el 1 por el ID de tu política (show firewall policy). Si todavía no tienes una política de salida a Internet, sigue primero nuestra guía de configuración inicial de FortiGate.

HTTPS: certificate-inspection o deep inspection

Casi toda la web va cifrada, y eso condiciona lo que el FortiGate puede ver:

• certificate-inspection no descifra el tráfico: identifica el sitio por el nombre del servidor (SNI) y el certificado. Permite bloquear dominios y categorías sin instalar nada en los equipos. Su limitación: no ve la ruta completa de la URL, y cuando bloquea un sitio HTTPS el navegador suele mostrar un error de conexión en lugar de la página de bloqueo de Fortinet.
• deep-inspection descifra el tráfico: permite filtrar URL completas, mostrar la página de bloqueo y analizar el contenido con antivirus. A cambio, hay que instalar el certificado de la CA del FortiGate en todos los equipos y excluir sitios sensibles (bancos, salud), y consume más recursos. Además, conviene informar a los usuarios por razones legales y de privacidad.

Para la mayoría de oficinas pequeñas, certificate-inspection + categorías + control de aplicaciones es un buen equilibrio.

Bonus: permitir redes sociales solo a la hora del almuerzo

1. Crea un horario recurrente en Policy & Objects → Schedules, por ejemplo de lunes a viernes de 13:00 a 14:00.
2. Crea una política igual a la de salida a Internet pero con ese horario y un perfil de aplicaciones que permita las redes sociales.
3. Colócala por encima de la política general: durante ese horario coincide primero; fuera de él, se aplica la política con bloqueo.

Cómo comprobar que funciona

• Desde un equipo de la LAN, intenta abrir un sitio de una categoría bloqueada.
• Revisa Log & Report → Security Events (Web Filter y Application Control) para ver qué se bloqueó, a quién y por qué.
• Si un sitio que debería bloquearse carga, comprueba que el perfil está en la política correcta y que esa política es la que realmente coincide con el tráfico.

Preguntas frecuentes

¿Se puede saltar el filtro con una VPN o un proxy?

Los usuarios pueden intentarlo. Bloquea en el control de aplicaciones las categorías de Proxy y VPN de terceros, y en el filtro web la categoría de servidores proxy, para cerrar esa puerta.

¿Puedo aplicar filtros distintos a cada departamento?

Sí: crea una política por red o por grupo de usuarios (con autenticación o FSSO) y asigna a cada una su propio perfil.

Domina FortiGate de cero a experto

Perfiles de seguridad, inspección SSL, VPN, SD-WAN y alta disponibilidad con laboratorios reales: todo eso está en el curso de FortiGate / Fortinet de cero a experto.