FortiGate: publicar un servidor web de forma segura en una DMZ

Una DMZ es una red aislada, protegida por el FortiGate, donde se ubican los servidores que deben ser accesibles desde Internet. Si uno de esos servidores se ve comprometido, el atacante no queda dentro de la red interna.

El esquema es: una Virtual IP (VIP) traduce la IP pública a la IP privada del servidor; una política WAN → DMZ permite el acceso desde Internet, y otra política LAN → DMZ permite el acceso desde la red interna.

1. Configurar la interfaz DMZ

1. Ingresá a Network › Interfaces y editá el puerto que vas a usar. Algunos modelos traen un puerto llamado dmz; si no, usá cualquier puerto libre.
2. Completá: Alias (por ejemplo, Servidores DMZ), Role: DMZ, Addressing mode: Manual, e IP/Netmask de la red DMZ.
3. En Administrative Access dejá todo deshabilitado: nadie debería administrar el firewall desde la DMZ.

2. Crear la Virtual IP

1. Ingresá a Policy & Objects › Virtual IPs y hacé clic en Create New › Virtual IP.
2. Completá: Name, Interface (la WAN por la que entran los usuarios externos), External IP address (la IP pública) y Mapped IP address (la IP privada del servidor).
3. Activá Port Forwarding, protocolo TCP, y publicá solo los puertos necesarios: 443 (HTTPS) y, si hace falta, 80 para redirigir a HTTPS. Lo recomendable es una VIP por servicio.

3. Crear las políticas de firewall

En Policy & Objects › Firewall Policy (en versiones anteriores, IPv4 Policy) creá una política para el acceso desde Internet:

Campo	Valor
Name	WAN-a-DMZ-Web
Incoming Interface	Interfaz WAN
Outgoing Interface	Interfaz DMZ
Source	all
Destination	La VIP creada en el paso 2
Schedule	always
Service	HTTPS (y HTTP si corresponde)
Action	ACCEPT
NAT	Deshabilitado
Perfiles de seguridad	IPS y, si tenés licencia, Web Application Firewall

Después creá una segunda política con los mismos valores, pero con la LAN interna como interfaz de entrada, para que los usuarios de la oficina también lleguen al servidor.

---