Configuración inicial de FortiGate paso a paso: WAN, LAN y primera política

Acabas de recibir un FortiGate y quieres dejarlo funcionando: acceso de administración seguro, salida a Internet para la red interna y una primera política de firewall bien hecha. En esta guía hacemos esa configuración inicial paso a paso, tanto desde la interfaz web como desde la CLI de FortiOS 7, que es la forma más rápida y fácil de documentar.

El escenario

• wan1: conectada al router o módem del proveedor, con IP fija 203.0.113.10/29 y gateway 203.0.113.9 (sustitúyelos por los de tu proveedor, o usa DHCP).
• Red interna (LAN): 192.168.1.0/24, con el FortiGate como gateway en 192.168.1.99 y servidor DHCP para los equipos.

Los nombres de los puertos cambian según el modelo: en los equipos de escritorio la LAN suele ser un switch interno llamado internal o lan, y en otros modelos son puertos port1, port2, etc. Usa show system interface para ver los tuyos.

Paso 1: primer acceso y contraseña

Conecta tu PC a un puerto de la LAN. En muchos modelos la interfaz interna viene con la IP 192.168.1.99 y DHCP activo, así que basta con abrir https://192.168.1.99 en el navegador. El usuario por defecto es admin sin contraseña, y FortiOS te obliga a crear una en el primer inicio de sesión. Elige una contraseña larga y única: es la llave de toda la red.

Si no conoces la IP del equipo, usa el puerto de consola con un cable serie y un programa como PuTTY (9600 baudios).

Paso 2: nombre, hora y DNS

Abre la CLI desde el icono de terminal de la interfaz web o por SSH/consola:

config system global
    set hostname "FGT-Oficina"
    set timezone "America/La_Paz"
end

config system ntp
    set ntpsync enable
end

config system dns
    set primary 1.1.1.1
    set secondary 8.8.8.8
end

La hora correcta no es un detalle: los registros, los certificados y las actualizaciones de FortiGuard dependen de ella. Para ver la lista de zonas horarias disponibles en tu versión escribe set timezone ?.

Paso 3: configurar la WAN y la ruta por defecto

config system interface
    edit "wan1"
        set mode static
        set ip 203.0.113.10 255.255.255.248
        set allowaccess ping
    next
end

config router static
    edit 1
        set gateway 203.0.113.9
        set device "wan1"
    next
end

Fíjate en allowaccess: en la WAN solo permitimos ping. No habilites HTTPS ni SSH de administración hacia Internet; es una de las causas más comunes de equipos comprometidos. Si necesitas administrar en remoto, hazlo a través de una VPN.

Si tu proveedor entrega la IP por DHCP, sustituye la configuración estática por set mode dhcp y omite la ruta estática: FortiOS la aprende del servidor DHCP.

Paso 4: configurar la LAN y su servidor DHCP

config system interface
    edit "internal"
        set ip 192.168.1.99 255.255.255.0
        set allowaccess ping https ssh
    next
end

config system dhcp server
    edit 1
        set interface "internal"
        set default-gateway 192.168.1.99
        set netmask 255.255.255.0
        set dns-service default
        config ip-range
            edit 1
                set start-ip 192.168.1.110
                set end-ip 192.168.1.210
            next
        end
    next
end

Si tu equipo ya trae un servidor DHCP en esa interfaz, en lugar de crear uno nuevo edítalo con config system dhcp server y show para ver su número.

Paso 5: la primera política de firewall

En FortiGate todo lo que no esté permitido por una política se bloquea. Para que la LAN salga a Internet creamos una política de internal a wan1 con NAT:

config firewall policy
    edit 0
        set name "LAN-a-Internet"
        set srcintf "internal"
        set dstintf "wan1"
        set srcaddr "all"
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "ALL"
        set nat enable
        set logtraffic all
    next
end

edit 0 le pide a FortiOS que asigne el siguiente ID libre. Con set logtraffic all verás todo el tráfico en Log & Report, muy útil durante la puesta en marcha; más adelante puedes cambiarlo a utm para registrar solo los eventos de seguridad.

Paso 6: añadir perfiles de seguridad

Una política que solo acepta tráfico es un firewall de capa 3/4. La potencia del FortiGate está en los perfiles de seguridad que se asignan a cada política: antivirus, filtrado web, control de aplicaciones e IPS. Para empezar puedes usar los perfiles predefinidos:

config firewall policy
    edit 1
        set utm-status enable
        set av-profile "default"
        set webfilter-profile "default"
        set application-list "default"
        set ips-sensor "default"
        set ssl-ssh-profile "certificate-inspection"
    next
end

Sustituye el 1 por el ID real de tu política (show firewall policy). El perfil certificate-inspection no descifra el tráfico HTTPS, así que no requiere instalar certificados en los equipos; para inspeccionar el contenido cifrado se usa la inspección profunda, que conviene planificar con calma. Recuerda que las firmas de estos servicios se actualizan con una licencia FortiGuard activa.

Paso 7: comprobar y respaldar

• execute ping 8.8.8.8 y execute ping google.com comprueban la salida a Internet y el DNS desde el propio equipo.
• get router info routing-table all muestra la tabla de rutas.
• Desde una PC de la LAN, navega y revisa en Log & Report → Forward Traffic que el tráfico pasa por la política nueva.
• Guarda un respaldo desde el menú de usuario (arriba a la derecha) → Configuration → Backup, preferiblemente cifrado.

Buenas prácticas desde el primer día

• Crea un usuario administrador nominal para cada persona y limita desde dónde pueden conectarse con set trusthost1.
• Mantén FortiOS actualizado siguiendo la ruta de actualización recomendada por Fortinet para tu versión.
• Evita las políticas all → all con servicio ALL entre redes internas; crea objetos de dirección y grupos de servicios y permite solo lo necesario.
• Documenta cada política con un nombre y un comentario claros.

Preguntas frecuentes

¿Es mejor configurar por la web o por la CLI?

Las dos configuran lo mismo. La interfaz web es más visual para empezar; la CLI es más rápida, permite copiar configuraciones entre equipos y deja claro qué se cambió. Lo ideal es manejar ambas.

¿Qué hago si pierdo el acceso de administración?

Conéctate por el puerto de consola. Si no recuerdas la contraseña, existe un procedimiento de recuperación con acceso físico al equipo que depende del modelo; consulta la documentación oficial de Fortinet.

Domina FortiGate de cero a experto

Esta configuración es solo el punto de partida. En el curso de FortiGate / Fortinet de cero a experto trabajamos con laboratorios prácticos: políticas y objetos, VPN IPsec y SSL, SD-WAN, IPS, perfiles de seguridad y alta disponibilidad. Si estás decidiendo entre plataformas, lee también nuestra comparativa pfSense vs FortiGate.