FortiGate: cómo recuperar el acceso si perdiste la contraseña de administrador

Perder la contraseña del usuario admin de un FortiGate es más común de lo que parece: cambia el proveedor, se va la persona que lo administraba o la contraseña nunca quedó documentada. El procedimiento para recuperarlo depende de la versión de FortiOS, así que lo primero es saber cuál tiene el equipo.

Qué vas a necesitar

• Cable de consola (serie/RJ45 o USB, según el modelo; algunos equipos usan FortiExplorer).
• Un programa de terminal: PuTTY en Windows o Terminal en macOS/Linux.
• El número de serie del FortiGate (está en la etiqueta del equipo).
• Si es posible, un backup reciente de la configuración.

Caso 1: hay otro usuario super_admin

Si alguien todavía puede entrar con otra cuenta con perfil super_admin, no hace falta reiniciar nada: desde esa cuenta se cambia la contraseña de admin.

config system admin
    edit admin
        set password <nueva-contraseña>
end

Caso 2: FortiOS anterior a 7.2.4 (cuenta maintainer)

En las versiones previas a FortiOS 7.2.4 existe la cuenta de mantenimiento maintainer, que solo sirve para restablecer la contraseña de los administradores y únicamente desde la consola.

1. Conectá la PC al puerto de consola del firewall y abrí el programa de terminal con estos parámetros: 9600 baudios, 8 bits de datos, sin paridad, 1 bit de parada, sin control de flujo.
2. Presioná Enter: el equipo debería responder con su nombre de host.
3. Reiniciá el FortiGate. Si no tiene botón de encendido, desconectá la alimentación, esperá 10 segundos y volvé a conectarla (reconectar antes puede dañar la memoria en algunos modelos).
4. Cuando aparezca el pedido de usuario, ingresá maintainer.
5. La contraseña es bcpb seguido del número de serie con las letras en mayúscula. Por ejemplo, para el serie FGT60C3G10016011 la contraseña es bcpbFGT60C3G10016011.
6. Ya dentro, definí la nueva contraseña con los comandos de abajo.

Sin VDOMs habilitados:

config system admin
    edit admin
        set password <nueva-contraseña>
end

Con VDOMs habilitados:

config global
    config system admin
        edit admin
            set password <nueva-contraseña>
    end
end

Seguridad: deshabilitar la cuenta maintainer

Cualquiera con acceso físico y el número de serie puede usar esta cuenta. Si el equipo está en un lugar poco controlado, se puede deshabilitar. La contracara: si después se pierde la contraseña y no hay otro super_admin, ya no habrá forma de recuperarla sin volver a valores de fábrica.

config system global
    set admin-maintainer disable
end

Caso 3: FortiOS 7.2.4 o posterior

Desde FortiOS 7.2.4 Fortinet eliminó la cuenta maintainer, por lo que el método anterior ya no funciona. Las alternativas son:

• Restaurar un backup conocido. Si tenés un backup de configuración cuya contraseña conocés, se restablece el equipo a fábrica y se restaura ese backup.
• Volver a valores de fábrica. Mediante el botón de reset (en los modelos que lo tienen) o reinstalando el firmware desde el menú de arranque por TFTP. Se pierde la configuración, salvo que tengas backup.
• Si el equipo está registrado en FortiGate Cloud, revisá si la opción de restablecer la contraseña está disponible desde la consola de la nube.

---