Podcast: FortiAP Wi-Fi Seguro y Rápido en el Security Fabric de Fortinet

Transcripción del episodio:

Bienvenidas y bienvenidos a otra exploración a fondo. Hoy le entramos de lleno a los puntos de acceso inalámbrico FortiAP de Fortinet. Tenemos aquí la guía de pedidos, también la guía de configuración, una bastante nueva, la 7.6.3, y una tabla de compatibilidad. La idea es, pues, desmenuzar estos documentos, entender bien qué son los FortiAP, cómo elegir el adecuado según lo que necesites.

Y claro, cómo se configuran, cómo se manejan dentro de todo este rollo del security fabric de Fortinet suena medio técnico, pero le vamos a sacar el jugo. Exacto. Son piezas, diría yo, fundamentales del security fabric la meta es dar wifi seguro. Rápido. Pero lo más importante, creo yo, es que todo se maneja desde un solo lugar.

Ya veremos cómo esa integración es, pues, su mayor ventaja. ¿Entendido? ¿Entonces, listos para empezar a desgranar esto?

¿Qué es exactamente?

Vamos a lo básico. No, ¿qué es exactamente un FortiAP? Mira, en esencia, un FortiAP es lo que se conoce como un punto de acceso delgado. Un fine AP delgado, ¿a qué te refieres? Significa que, digamos, la inteligencia, la parte de tomar decisiones, no está tanto en el aparato en sí; reside más bien en un controlador central.

Soportan lo más nuevo de wifi, como wifi 6, 6e, o sea, el 802.11ax, pero claro, también jalan con tecnologías más viejitas. Y vienen en un montón de presentaciones, ¿eh? Hay para escritorio los típicos de interior, para exterior que aguantan lluvia y sol, algunos con antenas que no se ven, otros con antenotas; hay unos que van en la pared e, incluso, modelos superrobustos para fábricas o lugares así medio peligrosos como ese f at432FR que viene en la guía.

Integración con el security fabric fortinet

Mencionas eso de delgados y que son parte del security fabric. ¿Y eso qué significa en la práctica? O sea, ¿por qué nos debería ya importar? Que sean delgados implica que necesitan ese controlador. Generalmente, es un FortiGate; es lo más común. De hecho, la guía se enfoca mucho en eso, aunque ojo, también se pueden manejar desde la nube con FortiCloud, ajá.

Y esto te da una visión completa, un control total, pero desde un solo panel; no tienes que ir a pie por AP. Ya todo centralizado. Exacto. Y lo del security fabric. Ese es el punto. No es solo dar wifi, y ya, es dar wifi seguro. Todas las políticas de seguridad que tienes en tu FortiGate antivirus, control de ABS, identificar quién se conecta, se aplican directito a la red inalámbrica; es como extender tu escudo de seguridad al aire.

¿Ok, o sea la misma seguridad de la red cableada?, pero en el wifi, justo eso y algo interesante. Muchos modelos, especialmente los que tienen doble o triple radio, pueden usar una radio para dar wifi y otra para tareas de seguridad. Por ejemplo, para vigilar si hay intrusos inalámbricos, lo que llaman doble WIDS, o para analizar el espectro y ver si hay mucha interferencia.

¡Ah, mira! O también pueden hacer mash; esto es, se conectan entre ellos por wifi. Si no puedes tirar cable Ethernet hasta todos lados. Muy útil. Mucha flexibilidad. La verdad, vale, vale. Queda clara la idea. Gestión central y seguridad integrada.

Escenarios de uso y perfiles

Ahora, la guía de pedidos menciona un enfoque por personas o escenarios de uso; ¿eso cómo ayuda a elegir? Suena más fácil que andar viendo expect. No más. Sí, totalmente, es una forma más práctica, ¿no?, de clasificar según para qué lo quieres. Definen varios perfiles bastante claros.

Primero, el trabajador remoto. Piensan en alguien en su casa, un AP, poquitos usuarios, cinco, quizá baja densidad. Lo clave ahí es que sea superfácil de instalar, eso que llaman zero touch, que no más lo conectes y funcione. Ajá. Enchufar y listo.

Luego la sucursal pequeña o una tienda parecida, uno o dos AP’s. Ponle unos 10 usuarios de baja densidad; también buscan el zero touch fácil.

Ok, el brinco fuerte es en pime. Tienda mediana o ya un campus universitario o empresarial; ahí ya hablas de cinco hasta miles de AP o cientos o hasta decenas de miles de usuarios, densidad media o alta. Y ahí las prioridades cambian. Ya no es solo la facilidad, sino la automatización y, superimportante, poder resolver problemas fácil y rápido. El troubleshooting claro a esa escala. La gestión se complica. Exacto.

Y hay otro perfil más de nicho, OT. Tecnología operacional. Piensa en fábricas, plantas, en tornos industriales. Ahí son menos APs, cinco o 10, unos 100 usuarios, densidad media. Pero el foco está en cómo se integra con otros sistemas de control industrial interesantes.

Selección de Modelos y Licencias

¿Cómo cambian las necesidades? La guía lista un buen de modelos, ¿no? Fat 443K, 432G, 234F sus códigos de soporte. Y eso. Estos modelos van directo para cada persona. Te dan una guía. Si te dicen: Mira este modelo, que si es dos por dos o cuatro por cuatro, que si es de exterior, pues va bien para este perfil. Para un campus, chance, te recomiendan uno de gama alta con Wi-Fi 6E cuatro por cuatro, pero al final tienes que ver bien, ¿qué necesitas tú? ¿Cuánta gente? ¿Qué área a cubrir? ¿Qué velocidad esperas? Y ojo, no es solo el fierro.

La guía también te dice que necesitas licencias extra si lo quieres manejar desde la nube Fort iCloud o si te interesa eso de analizar cuánta gente anda por tu local usando el Wi-Fi y Bluetooth, eso es Presence Analytics, o si quieres seguridad más avanzada, como antivirus, el PS, pero directo en el AP. Para ciertos modelos y modos son las licencias UTP H. De acuerdo, eliges la p, las licencias según tu escenario.

Y ahora, como lo echas a andar con un FortiGate, que parece lo más común, el proceso básico es bastante lógico.

Conexión Física

Mira. Primero lo conectas físicamente. Un cable de red del FortiAP a un puerto del FortiGate. Ok, ese puerto en el FortiGate tiene que estar configurado. Le pones una IP y, superimportante, activas la opción security fabric connection. Con eso le dices. Aguas, por aquí se puede conectar un equipo Fortinet; muchas veces ese mismo puerto lo pones a dar IPs por DHCP a los APs para que sea más fácil. Entiendo.

Luego el AP prende y empieza a buscar quién lo controle. Es como si gritara: "Hay un FortiGate por aquí". Usa varios métodos. Busca una IP que ya tenga guardada. Pregunta por DHCP con la opción 138, busca por nombre de DNS o manda mensajes a toda la red a ver quién contesta, como que toca varias puertas, ándale, y el FortiGate en el puerto donde lo conectaste tiene que estar escuchando, digamos con la opción AP discover enable.

Autorización

Cuando el FortiGate lo detecta, el AP aparece en la consola, pero como pendiente, esperando que le des permiso; ah, no se conecta solo. No por seguridad, el administrador tiene que entrar y decirle si tú eres de confianza, conéctate, le das clic en la interfaz gráfica o usas un comando. Aunque, bueno, si vas a instalar muchísimos iguales, puedes preautorizarlos con su número de serie o hasta decirle al FortiGate que autorice automáticamente lo que se conecte a cierto puerto. Pero con cuidado, ¿eh? Sí me imagino, es un paso de seguridad importante.

Asignación de Perfil

Y bueno, ya que la autorizaste, ¿qué sigue? Ya empieza a transmitir la red wifi de la empresa. Así no más. Casi al autorizarlo. El FortiAP le asigna un FortiAP profile. Un perfil por default le pone uno genérico, según el modelo que sea, pero aquí viene lo bueno. Lo ideal es que tú crees perfiles específicos. ¿Y qué es ese perfil? Es el corazón de la configuración del AP. Le dice exactamente cómo trabajar, qué redes wifi SSIS va a transmitir, en qué canales, con qué potencia, qué seguridad usar; todo es como su manual de instrucciones personal. Ajá. Aquí se define todo el comportamiento; suena crucial.

Perfiles

Háblanos un poco más de esos perfiles y de los ISSIS, o sea, las redes que vemos en el celular, que tanto control te dan, muchísimo control. El Fort profile es como la plantilla para un grupo de apps iguales de fines. Cosas clave como ¿Primero, para qué modelo de app es este perfil? Luego, ¿cómo funciona cada radio? Normalmente tienes una para 2.4 GHz, otra para 5 GHz, a veces hasta una tercera. Y para cada una, decides si va a ser punto de acceso o solo va a monitorear qué estándar wifi usa, 802.11ax, ACN; cómo elige el canal si tú se lo fijas. Si lo elige solo, o si usa un sistema inteligente DRP que busca al menos lleno que ancho de canal, más ancho, más velocidad y la potencia de transmisión. Ok, control total sobre la radio, sí.

Y también le dices qué redes wifi va a anunciar ISSIS en cada radio y ya detalles más finos, qué tan seguro es el túnel entre el AP y el FortiGate. El túnel cap up. ¿Cuántos clientes se pueden conectar a ese AP a la vez? Cosas de calidad de servicio QOS, como balancear la carga. Si hay muchos APs adjuntos, ¿cómo se usan los puertos Ethernet extra que traen algunos APs si se van a usar? Bluetooth, si manda a otro lado, es muy completo. Entiendo.

Configuración de SSID/VAP

Y el ISSD, la red que ve el usuario, el ISSID o como le dice Fortinet, a veces VAP, virtual access point, ahí con figuras, obviamente el nombre de la red. ¿Cómo se va a llamar el modo de tráfico? Esto es importantísimo. Los principales son tonel mode, donde todo el tráfico de los usuarios que se conectan a esa red viaja seguro hasta el FortiGate. Ahí se revisa, se le aplican políticas. Y el bridge mode, donde el tráfico del usuario va directo a la red local de la AP sin pasar por el FortiGate. Útil para redes de invitados o si quieres que la AP aplique seguridad localmente con licencias UTP; en algunos modelos hay otros modos como mesh o standalone, pero son menos comunes. Túnel para corporativo Bridge para invitados. Más o menos.

Opciones de Seguridad

WAP2 o el más nuevo y seguro WAP3 o con usuario y contraseña individuales. WAP Enterprise, que usa un servidor RADIUS, también aquí configura los portales cautivos, esas páginas de bienvenida o hasta WD para cifrar redes abiertas. Y hay otras cosas, como a qué VLAN pertenece esa red. Si este ISSIS va a dar IP por DHCP y mejoras para la experiencia air time fairness para que los lentos no afecten a los rápidos o ayuda para el roaming con 802.11 KBR para que te cambies de AP sin que se corte.

WPA3 y Seguridad Moderna

Mencionaste WPA3. MPSK. Portales de todo eso que resaltaría hoy en día. Hay muchas opciones de seguridad. Definitivamente, el soporte WAP3 es ya casi un requisito. Es mucho más seguro que WPA2, sobre todo doble WPA3 personal que usa SAI. Te protege mejor si alguien intenta adivinar tu contraseña; la guía explica bien, ¿cómo ponerlo? Y para empresas, WAP3 Enterprise también da más robustez. Okay, WAP3 es clave.

MPSK (Multiple Pre-Shared Keys)

Luego, algo muy práctico es MPSK. Multiple pressure keys. Imagínate que tienes una red para dispositivos IOT, cámaras, sensores y no quieres que todos usen la misma clave. WAP personal con MPSK. Puedes crear varias claves para el mismo SSID. A distintas contraseñas para la misma red. Exacto. Puedes darle una clave diferente a cada tipo de dispositivo o incluso a cada dispositivo individualmente. Si lo combinas con un servidor RADIUS que valide MAC address, te da mucho control sin irte a la complejidad de WAP Enterprise, muy útil para IoT. Sí, suena muy bien eso.

Y los portales cautivos, pues siguen siendo populares para invitados. Lo interesante es la flexibilidad. Puedes usar uno básico del FortiGate, mandar a la gente a tu página web o usar sistemas modernos, y un detallito útil que trae la guía es la security exempt list. Puedes decir mira, aunque no te hayas loado en el portal, si puedes entrar a Facebook o a la página de la empresa, permites acceso a ciertas cosas antes de la autenticación completa. Ah, mira qué bien.

Características Adicionales de Seguridad

Y algo más de seguridad. Pues puedes cambiar los certificados digitales que usa WPA Enterprise por los de tu propia empresa para más confianza y, en algunas apps nuevas, activar protección extra en las señales de wifi con protección para evitar ciertos ataques muy completos.

Ahora pensemos en lugares llenos de gente. Oficinas, grandes auditorios, ¿qué herramientas traen estas apps para que el wifi no se sature? Si la densidad es el coco del wifi, hay varias cosas para ayudar.

Intenta que un cliente muy lento o con mala señal no acapare todo el tiempo de transmisión de AP. Busca repartir el tiempo al aire más justo entre todos; se configura por SSID. Ok, para que todos jueguen en parejo. Ándale.

Luego, el client load balancing tiene dos partes. Una es frecuencia Hoff. Si tu teléfono o laptop pueden usar 2.4 y 5 GHz, el AP trata de empujarte a 5 GHz, que suele estar más libre y es más rápida. La otra es Ape Hoff. Si una AP ya tiene mucha gente conectada, puede sugerirle a un nuevo cliente que mejor se conecte a la AP de al lado, que está más tranquila. Todo esto lo ajustas con límites en el perfil del AP inteligente para repartir la carga. Sí.

Optimizaciones Adicionales

También está transmitiendo para ajustar cómo reintenta mandar datos si fallan, broadcast suppression para quitar tráfico de fondo innecesario que consume tiempo, aire DRAP, que es el sistema que ayuda a los AP’S A elegir el mejor canal y potencia solitos viendo la interferencia y la carga alrededor. Y puedes controlar los data rates mínimos para no permitir clientes demasiado lentos que afecten a todos. Suena a que hay bastantes perillas para ajustar fino.

¿Para cuándo necesitas poner una AP, donde no llega cable de red? Creas un enlace wifi entre APS. Uno cableado le pasa la conexión al otro por radio, ideal para almacenes, patios, edificios viejos, ok, wifi sobre wifi entre esas zonas.

Y tu conexión no se caiga. Mantiene tu IP y tu sesión, superimportante para movilidad. Sí, básico en redes grandes.

Split Tunnel

Y split es muy útil para teletrabajo. Si tienes un FortiAP en casa conectado a la oficina, permite que tu tráfico normal de internet, navegar, ver videos, salga directo por tu conexión de casa, pero el tráfico que va a la red de la empresa, servidores internos, etc. Sí, se vaya por el túnel seguro al FortiGate de la oficina; es más eficiente y mejora la experiencia. Sí, eso del split tonel suena ideal para el esquema híbrido.

Configuración de Puertos LAN

Oye, y otra cosa, configurar los puertos LAN del propio FortiAP. Yo pensaba que solo era para conectarlo al switch. Pues fíjate que no muchos traen puertos extra y les puedes sacar jugo desde el perfil. Les dices qué hacer, por ejemplo, modo bridge: dos SSD conecta una impresora a ese puerto del AP y es como si estuviera en la red wifi de un SSD específico de SAP. Sin WiFi la impresora. Ah, ¿qué truco? Sí, o puedes conectar otros aparatos cableados y aplicarles seguridad como autenticación por MAC en modelos más pros. Hasta puedes juntar dos puertos con LACP para más velocidad o por si falla uno, o un modo ONE LAND para separar tráfico físicamente. Dan bastante flexibilidad a esos puertos. Vale que sí.

Funciones Especiales: Bluetooth, ESL y SNMP

Oye, y esas funciones que suenan medio raras, como ISSNP, ¿qué onda con eso? Son como extras, aprovechando que el AP ya está ahí puesto.

Bluetooth low energy: Muchos APS traen Bluetooth; lo pueden usar para detectar beacons (balizas Bluetooth). Esa info sirve para sistemas de localización. RTLS para saber dónde está algo o alguien o para plataformas como Forty Presents que analizan. Cuánta gente pasa por una tienda, también pueden emitir sus propios beacons. ¿Ah, para rastreo o análisis de presencia? Ajá.

ESL: Electronic shelf labels. Esto es muy de tiendas. Algunos AP sirven de puente para las etiquetas electrónicas de precios. Reciben los precios nuevos y se los mandan a las etiquetas cercanas. Para actualizar precios automáticamente. Exacto.

SNMP es el protocolo estándar para monitorear equipos de red. Puedes hacer que los FortiAP manden su estado y rendimiento a tu sistema de monitoreo general. Si usas CCNP y Taca Plus, si usas Taca Plus para que los administradores autentiquen, puedes incluir el acceso a la consola del propio FortiAP en ese sistema. Entendido, son como capacidades adicionales.

Monitoreo, Dashboard y Troubleshooting

Bueno, para ir cerrando el círculo, ¿cómo vigilamos que todo esté bien? Y si algo falla, ¿cómo le hacemos? El FortiGate sigue siendo tu centro de mando.

Tiene dashboards especiales para Wi-Fi. Ves rápido el estado de las apps. ¿Cuántos clientes hay? ¿Qué canales se usan más? ¿Si hay problemas? Ok, la vista general, y puedes ir más a fondo, ver rock AP’s no autorizados que andan por ahí. El sistema te ayuda a detectarlos, ver si están conectados a tu red cableada e, incluso, intentar desconectar a quien se conecte a ellos. Es importante para la seguridad, mucho.

También. Puedes ver detalles de cada cliente: qué señal tiene, cuánto ruido, qué ancho de banda usa, qué apps corres y si va por túnel, y te da una calificación de salud. Puedes desconectar a un cliente problemático si hace falta. Bien.

Si tienes interferencias raras, puedes poner una radio de una AP en modo monitor y hacer un análisis de espectro. ¿Te muestra un gráfico de qué señales hay en el aire? No solo wifi, te ayuda a cachar si un microondas o algo así está molestando. Ah, para cazar interferencias.

Y para troubleshooting. La guía de configuración trae su sección. Te da pistas para problemas comunes. Señal débil, lentitud, clientes que no se conectan, fallos de DHCP, clave mal o el AP que no conecta con el FortiGate. Te da comandos para ver lo que es el controlador WAC y herramientas para capturar paquetes. Esas capturas son oro para diagnósticos difíciles. Parece que hay buenas herramientas para buscarle.

Compatibilidad, Actualización y Capacitación

Y ya el último punto práctico: compatibilidad entre versiones y capacitación.

La compatibilidad es básica, sí, sobre todo con funciones nuevas. Hay una tabla, la que mencionamos, que te dice qué versión del sistema del FortiGate, FortiOS, necesitas para que jalen ciertas cosas como el antivirus en el AP en modo bridge. Siempre hay que checar eso antes de actualizar o comprar, ¿ok?, y revisar bien las versiones.

Y las actualizaciones de los AP’s se manejan fáciles del Fortigate. Puedes poner que sé actual solo cuando los autorizas o tú picarle cuando quieras. Y si una AP conecta, hay formas de actualizarlo por TFTP.

Y sí hay cursos. La guía menciona un FSCP secure wireless land administrator. Parece el camino para volverse experto en esto con prácticas y todo.

Conclusiones

Bueno, pues creo que sí le dimos una buena repasada a todo, no desde qué son los FortiAP’s, cómo se meten al Security Fabric, cómo elegirlos según para qué los quieres. Nos clavamos en los perfiles, los SSIS, la seguridad con WAP3 MPSK, optimización, funciones extra como BLA, BLIS y hasta cómo monitorear y resolver broncas. Sí fue bastante información, pero creo que tocamos lo más importante; son equipos muy capaces, muy flexibles. La clave, como se ve en las guías, es entender cómo armar el rompecabezas. El perfil, el SSID. Las políticas del FortiGate, la seguridad, todo tiene que cuadrar para tener la red que quieres segura y que funcione bien.

Y bueno, para dejar algo ahí picando antes de irnos. Pues mira, pensando a futuro. Vemos que las redes wifi cada vez tienen más gente, más aparatos conectados; se pide más velocidad. Todo se complica con este panorama. ¿Cómo crees que vayan a evolucionar cosas como, no sé, que la inteligencia artificial maneje las radios de forma automática o que se integren todavía más con la seguridad del celular o la laptop que se conecta? ¿Crees que eso cambia radicalmente cómo manejamos y aseguramos estos AP pronto? Es algo interesante para tener en el radar. No, una excelente pregunta para pensarle y con eso ahora sí cerramos esta exploración de los FortiAP’s de Fortinet. Muchas gracias por acompañarnos.