Cuando trabajas con varios dispositivos FortiGate, hay configuraciones que, aunque sean sencillas, se vuelven tediosas si hay que aplicarlas equipo por equipo. Una de ellas es la integración con FortiAnalyzer.
Configurar manualmente cada firewall no solo consume tiempo, sino que introduce inconsistencias: diferencias en parámetros, errores en IPs de origen o equipos que directamente se quedan sin enviar logs.
En este tipo de escenarios, automatizar la configuración deja de ser una mejora y pasa a ser una necesidad.
Problema a resolver
En un entorno con múltiples FortiGate, el objetivo es claro:
- Configurar el envío de logs a FortiAnalyzer en todos los equipos.
- Mantener una configuración homogénea.
- Adaptar parámetros específicos de cada firewall.
El principal reto aparece cuando ciertos valores no son comunes.
Por ejemplo:
- Cada equipo tiene una IP distinta en la interfaz de loopback
- Esa IP debe utilizarse como source-ip
Esto hace inviable utilizar una configuración completamente estática.
Enfoque
Para resolver este problema, se puede utilizar la ejecución de scripts desde FortiManager combinada con variables específicas por dispositivo.
Este enfoque permite aplicar una misma base de configuración y, al mismo tiempo, introducir variaciones sin modificar el script manualmente.
Uso de metacampos
FortiManager permite definir metacampos asociados a cada dispositivo.
Estos metacampos se pueden utilizar dentro de scripts para sustituir valores dinámicos en tiempo de ejecución.
Un caso típico sería definir un metacampo como:
- loopback_ip
Y utilizarlo posteriormente en el script como origen del tráfico hacia FortiAnalyzer.
Carga masiva de metacampos
Cuando el número de dispositivos es elevado, definir los metacampos manualmente deja de ser práctico.
FortiManager permite realizar una importación masiva mediante CSV, lo que facilita la carga de valores para múltiples equipos de forma rápida y homogénea.
El fichero CSV debe incluir, al menos, las siguientes columnas:
- variable_name → nombre del metacampo, en nuestro caso loopback_ip
- default_value → valor por defecto (opcional)
- description → descripción del campo
- device → nombre del dispositivo en FortiManager
- VDOM → VDOM asociado (si aplica)
- mapped_value → valor específico para ese dispositivo
Este enfoque permite preparar previamente la información y aplicarla de forma masiva, evitando errores manuales y asegurando consistencia entre equipos.
Para realizar la importación, simplemente nos desplazamos al menú Policy & Objects> Advanced:
Script de despliegue
A continuación, se muestra un ejemplo de configuración básica:
config log fortianalyzer setting
set status enable
set server "192.168.1.100"
set serial "FAZ-SERIAL"
set source-ip "$(loopback_ip)"
set upload-option realtime
set reliable enable
endPara crear este script, simplemente nos desplazamos al apartado Device Manager > Scripts. En esta vista utilizaremos la opción Crear Nuevo:
Consideraciones
Antes de aplicar el script de forma masiva, es recomendable revisar algunos puntos:
- La IP configurada como source-ip debe existir en el equipo
- Debe haber conectividad con el FortiAnalyzer
- Verificar que no existan configuraciones previas en conflicto
- Validar el despliegue en un subconjunto de dispositivos
Ejecución del script
El script puede lanzarse desde FortiManager sobre uno o varios dispositivos.
Es posible seleccionar exactamente sobre qué firewalls aplicar la configuración, ya sea:
- Dispositivos individuales.
- Grupos de dispositivos.
- Un dominio administrativo completo (ADOM).
Esto permite controlar el alcance del despliegue y aplicar cambios de forma progresiva si es necesario.
Durante la ejecución:
- Se sustituye automáticamente el valor del metacampo en cada equipo.
- Se aplica la configuración sin intervención manual.
- Se puede validar el resultado desde el propio FortiManager
Conclusión
El despliegue de configuraciones en entornos con múltiples FortiGate requiere un enfoque automatizado.
El uso de scripts junto con metacampos permite resolver de forma sencilla escenarios donde existen parámetros comunes y variables al mismo tiempo.
De esta forma, se reduce la intervención manual, se minimizan errores y se mantiene coherencia en toda la infraestructura.