Integración de máquinas virtuales Fortinet en Azure

Existen dos modelos de licencia para esta máquina virtual: pay per use y Bring Your Own License (BYOL).

Si has comprado una licencia de FortiGate para usarla con la opción BYOL, deberás canjearla desde la página de activación del producto de Fortinet: https://support.fortinet.com.

Aunque Microsoft y Fortigate han aunado fuerzas para integrar Fortigate-VM en Azure, si queremos tener la ultimísima versión de Fortigate deberemos descargarla e instalarla manualmente.

1. Iniciamos sesión en https://support.fortinet.com/.
2. Vamos a Download > Firmware Images y seleccionamos Download.
3. Selecciona v6.00 > 6.4 > 6.4.2.
4. Para descargar el FGT_VM64_AZURE-v6-build1723-FORTINET.out, seleccionamos el vínculo HTTPS.
5. Guardamos el archivo.

Una vez hemos descargado el archivo de instalación, vamos a instalarlo en Azure.

1. Vamos a Azure Portal e inicia sesión en la suscripción en la que vas a implementar la máquina virtual de FortiGate.
2. Creamos o abrimos el grupo de recursos en el que vas a implementar la máquina virtual de FortiGate.
3. Seleccionamos Agregar.
4. En Buscar en Marketplace, buscamos Fortinet y seleccionamos Fortinet FortiGate Next-Generation Firewall.
5. Selecciona el plan de software (Bring Your Own License si tienes una licencia o pago por uso de lo contrario). Seleccionamos Crear.
6. Rellena la configuración de la máquina virtual.

Para evitar problemas futuros, vamos a establecer la dirección IP pública asignada a la VM de FortiGate para que se asigne de forma estática. Además, le daremos un nombre de dominio completo (FQDN).

1. En Azure Portal abrimos la configuración de la máquina virtual de FortiGate.
2. En la pantalla Información general, seleccionamos la dirección IP pública.

1. En Azure Portal abrimos la configuración de nuestra máquina virtual de FortiGate y seleccionamos Redes. Se mostraran la interfaz de red y las reglas del puerto de entrada.
2. Seleccionamos Agregar regla de puerto de entrada y creamos una nueva regla de puerto de entrada para TCP 8443.

Para que los recursos internos estén disponibles para los usuarios, se debe agregar una segunda NIC virtual a la máquina virtual de FortiGate. La red virtual de Azure en la que reside la NIC virtual debe tener una conexión enrutable a esos recursos internos.

1. Nos vamos a Azure Portal y abra la configuración de la máquina virtual de FortiGate.
2. Si aún no se ha detenido la máquina virtual de FortiGate, seleccionamos Detener y espere a que se cierre la máquina virtual.
3. En el menú de la izquierda, seleccionamos Redes.
4. Seleccionamos Asociar interfaz de red.
5. Seleccionamos Crear y asociar una interfaz de red.
6. Configure las propiedades de la nueva interfaz de red y, a continuación, seleccionamos Crear.

Las secciones siguientes le guiarán a través de la configuración de la VM de FortiGate.

Instalación de la licencia

1. Nos vamos a https://<address>. Aquí, <address> es el FQDN o la dirección IP pública asignada a la VM de FortiGate.
2. Nos da errores de certificado, pasamos de ellos y continuamos.
3. Iniciamos sesión con las credenciales de administrador proporcionadas durante la implementación de la VM de FortiGate.
4. Si has elegido Bring Your Own License, veras una alerta para cargar la licencia. Selecciona el archivo de licencia .lic y súbelo. Selecciona Aceptar y reinicia la máquina de FortiGate.

1. Nos vamos a https://<address>. Aquí, <address> es el FQDN o la dirección IP pública asignada a la VM de FortiGate.
2. Continúamos después de los errores de certificado.
3. Iniciamos sesión con las credenciales de administrador proporcionadas durante la implementación de la VM de FortiGate.
4. En el menú de la izquierda, seleccionamos System > Firmware.
5. En Firmware Management, hacemos clic en Browse y seleccionamos el archivo de firmware descargado anteriormente.
6. Ignoramos la advertencia y hacemos clic en Backup config and upgrade.

1. Nos vamos a https://<address>. (<address> es el FQDN o la dirección IP pública asignada a la VM de FortiGate).
2. Continúamos después de los errores de certificado.
3. Iniciamos sesión con las credenciales de administrador proporcionadas durante la creación de la VM de FortiGate.
4. En el menú de la izquierda, seleccionamos System.
5. En Administration Settings, cambiamos el puerto HTTPS a 8443 y seleccionamos Apply.
6. Una vez que se aplique el cambio, el explorador intentará recargar la página de administración, pero se producirá un error. A partir de ahora, la dirección de esta página es https://<address>:8443.

1. Nos vamos a https://<address>:8443. Aquí, <address> es el FQDN o la dirección IP pública asignada a la VM de FortiGate.
2. Continúanos después de los errores de certificado.
3. Iniciamos sesión con las credenciales de administrador proporcionadas durante la implementación de la VM de FortiGate.
4. En el menú de la izquierda, seleccionamos System > Certificates.
5. Seleccionamos Importar > Certificado remoto.
6. Busque el certificado descargado de la implementación de la aplicación personalizada FortiGate en el inquilino de Azure. Selecciónamos y pulsamos OK.

Las máquinas virtuales de Azure de host múltiple tienen todas las interfaces de red en la misma red virtual (pero quizás distintas subredes). Esto suele significar que ambas interfaces de red tienen una conexión a los recursos corporativos locales que se publican mediante FortiGate. Por esta razón, es necesario crear entradas de rutas personalizadas que garanticen que el tráfico sale de la interfaz correcta cuando se realizan solicitudes de recursos corporativos locales.

1. Nos vamos a https://<address>:8443. Aquí, <address> es el FQDN o la dirección IP pública asignada a la VM de FortiGate.
2. Iniciamos sesión con las credenciales de administrador proporcionadas durante la implementación de la máquina virtual de FortiGate.
3. En el menú de la izquierda, seleccionamos Redes.
4. En Red, seleccionamos Rutas estáticas.
5. Seleccionamos Crear nuevo.
6. Junto a Destino, seleccionamos Subred.
7. En Subred, especificamos la información de subred en la que residen los recursos corporativos locales (por ejemplo, 10.1.0.0/255.255.255.0).
8. Junto a Dirección de puerta de enlace, escribimos la puerta de enlace en la subred de Azure a la que está conectado el puerto 2.
9. Junto a Interfaz, seleccionamos la interfaz de red interna, el puerto 2.
10. Seleccionamos Aceptar.