FortiGate per aziende, progettati e gestiti nel tempo

L'idea che il firewall serio riguardi solo le aziende grandi è comoda per chi vende scatole e costosa per chi ci crede. Un'azienda con una sede, venti postazioni e il gestionale in cloud riceve gli stessi attacchi automatici sul perimetro di un gruppo da cinquanta stabilimenti. La differenza non è chi viene bersagliato: è chi se ne accorge.

Su una sede singola FortiGate porta le stesse cose che porta altrove: le reti separate fra loro, il controllo di quello che esce e non solo di quello che entra, l'accesso da remoto per chi lavora fuori, i log che dicono cosa è successo. Cambia il dimensionamento dell'apparato, non l'impianto.

Quello che fa davvero la differenza non è il modello: è chi lo configura. Un FortiGate acceso con le policy di fabbrica e le funzioni di ispezione mai attivate è un router costoso, e in fase di verifica se ne trovano ancora parecchi. Il valore sta nelle regole che ci scrivete sopra e in chi le mantiene quando l'azienda cambia.

Zone e VLAN separate per utenti, server, produzione, IoT e videosorveglianza, Wi-Fi aziendale e ospiti, servizi di gestione. Fra queste reti nessuna comunicazione è implicitamente consentita: quello che deve passare è scritto, il resto no.

Il valore non è il firewall in mezzo. È che dopo, quando arriva un gestionale nuovo o una linea di produzione nuova, si sa già in quale zona va e con cosa deve parlare, e la domanda «da dove arriva questo traffico» ha una risposta invece di aprire un'indagine.

Con due o tre sedi i tunnel IPsec bastano, e sono la scelta giusta: poche rotte, configurazione leggibile, nessuna complessità che poi qualcuno deve mantenere. Proporre un impianto di routing dinamico dove servono tre tunnel non è competenza, è complessità che pagate in manutenzione per anni.

Il conto cambia quando le sedi crescono. Con le rotte statiche il costo di aggiungerne una sale insieme a quelle che ci sono già, e la riga dimenticata si scopre sei mesi dopo, quando un servizio non risponde. Sulle strutture grandi passiamo al routing dinamico: le sedi si annunciano fra loro in BGP, e quella nuova riceve le rotte del gruppo senza che nessuno tocchi gli altri apparati.

Nelle reti dove lo usiamo, le sessioni BGP sono stabilite fra interfacce di loopback e trasportate dentro i tunnel IPsec. Il peering non è legato al singolo tunnel, quindi sopravvive alla sua rinegoziazione e regge più percorsi verso la stessa sede.

Come si comporta questo impianto su una rete grande davvero è scritto per intero: oltre cinquanta sedi collegate in BGP, in un gruppo che continua a comprare aziende.

Dove la sede ha più di una connettività, FortiGate misura latenza, perdita e variazione di ritardo su ciascun percorso e sposta il traffico per categoria. La domanda non è «la linea è elettricamente su», è «questo percorso oggi regge questo traffico»: il traffico verso i servizi cloud e quello verso il datacenter seguono policy diverse perché hanno tolleranze diverse.

È anche il momento in cui si scopre se la linea di riserva funziona davvero. Una linea di backup che nessuno ha mai visto portare traffico vero è un'ipotesi, non una ridondanza.

Su una rete di punti vendita la stessa domanda ha una risposta diversa, perché la seconda linea è spesso di un'altra tecnologia: l'abbiamo scritto in punti vendita monomarca su più fusi orari.

Dove esiste un identity provider aziendale, le VPN utente si appoggiano a quello via SAML, invece che a utenti locali creati sul firewall. Chi entra ha accesso il primo giorno; chi esce lo perde nel momento in cui viene disattivato centralmente, senza che qualcuno debba ricordarsi di toccare gli apparati uno per uno.

Su un perimetro che cambia, l'account che sopravvive alla persona è il rischio numero uno, e l'unico modo di chiuderlo è non gestire le identità sul firewall.

Quando invece serve sapere con quale indirizzo pubblico una sede si presenta all'esterno, per una regola o per la whitelist di un fornitore, lo trovate con l'analisi dell'indirizzo IP, che lo calcola mentre aprite la pagina e non lo registra da nessuna parte.

Molte migrazioni verso FortiGate partono da un apparato arrivato a fine supporto, o da un rinnovo di licenza che costa quanto uno nuovo. Nella pratica arriviamo da Palo Alto, Cisco ASA, WatchGuard, Check Point e da firewall opensource come pfSense e OPNsense. Quei prodotti non li trattiamo: li leggiamo, per portare via la configurazione senza perdere pezzi.

Il progetto comprende la lettura della configurazione esistente, la mappatura delle policy realmente usate contro quelle ereditate (sono due elenchi diversi, e la differenza è spesso la metà), la scelta della finestra e un rollback previsto e provato prima di toccare la produzione.

Il driver oggi è raramente tecnico: sono gli obblighi di sicurezza sempre più stringenti, i questionari che arrivano dai clienti finali e i requisiti delle polizze assicurative. La migrazione è anche l'unica occasione in cui si può buttare via una regola senza discussione: dopo, ogni regola inutile ha qualcuno che ha paura a toglierla.

Un fornitore chiede di aprire una porta «solo temporaneamente». Un macchinario nuovo deve raggiungere un server. E quella regola temporanea, se nessuno la ricontrolla, resta attiva per anni.

È qui che si decide se un'infrastruttura è gestita o solo installata. La gestione continuativa comprende il monitoraggio degli apparati e dei collegamenti, le modifiche alle policy trattate come progetto e non come «una porta da aprire», gli accessi e le VPN rivisti quando cambiano le persone, gli aggiornamenti pianificati con finestre e dipendenze verificate, il backup delle configurazioni, e la raccolta di log ed eventi via FortiAnalyzer dove l'architettura lo prevede.

Nessuna di queste voci è visibile finché va tutto bene, ed è esattamente il motivo per cui è la prima cosa che salta quando si compra solo l'apparato.

Come si vede tutto questo su una durata lunga è scritto per intero: quindici anni sulla stessa rete, tre o quattro generazioni di apparati e nessuna infrastruttura rifatta da capo.

Chi vi risponde è chi ha progettato la vostra rete. Non c'è un primo livello che apre un ticket e lo gira: siamo una struttura piccola, e il vantaggio è che chi vi risponde ha già in testa la configurazione di cui state parlando.

Non serve che l'abbiamo installato noi. Guardiamo policy e NAT, servizi pubblicati verso l'esterno, VPN, routing, segmentazione, configurazione SD-WAN, wireless e integrazione FortiSwitch e FortiAP, logging, regole non più usate ed esposizioni non necessarie.

Prima ancora di collegarci al firewall, l'analisi DNS e posta del dominio dice cosa il vostro dominio dichiara pubblicamente: quali servizi risultano pubblicati e com'è messa l'autenticazione della posta. È il confronto più rapido fra quello che il firewall espone e quello che il DNS promette, e si fa da fuori, senza toccare niente.

L'obiettivo non è cambiare ciò che funziona: è capire se l'infrastruttura di oggi corrisponde ancora ai rischi di oggi.

Oltre 100 FortiGate in gestione, su reti che vanno dalla sede singola al gruppo con decine di stabilimenti.

Riconoscimento Fortinet SMB Hero per cinque anni consecutivi.

Percorso di certificazione Fortinet NSE 1-4 completato dal nostro personale.

Fortinet è una delle tecnologie su cui lavoriamo tutti i giorni: le altre sono nelle tecnologie che trattiamo, con il criterio con cui le scegliamo.