Reemplazar/Sustituir un Firewall FortiGate en FortiManager

Cuando un firewall gestionado en FortiManager es sustituido por avería, el nuevo equipo tiene un número de serie diferente. Para integrarlo correctamente sin perder configuraciones ni políticas, es posible utilizar comandos específicos o importar manualmente la configuración. Este artículo detalla el procedimiento paso a paso.

Paso 1: Verificar el dispositivo registrado en FortiManager

Antes de iniciar el reemplazo, verifica el estado del dispositivo antiguo en FortiManager y localiza su información.

Comando:

diagnose dvm device list

• Muestra una lista detallada de los dispositivos gestionados, incluyendo nombres, números de serie y estados.
• Identifica el dispositivo a reemplazar para trabajar con precisión.

Paso 2: Reemplazar el dispositivo con el nuevo número de serie

ℹ️El siguiente comando permite asociar el nuevo dispositivo al FortiManager, reemplazando el número de serie del equipo anterior.

Comando:

execute device replace sn <device-name> <new-serial-number>

• <device-name>: Nombre del dispositivo tal como aparece en FortiManager.
• <new-serial-number>: Número de serie del nuevo dispositivo.

Pasos:

1. Conéctate al FortiManager vía CLI.
2. Ejecuta el comando con los valores adecuados.
3. El FortiManager reemplazará internamente el número de serie del dispositivo, manteniendo las configuraciones y políticas asociadas.

Paso 3: Sincronizar el dispositivo

Tras reemplazar el número de serie, sincroniza el dispositivo para aplicar las configuraciones correctamente.

Opción 1: Sincronización Automática

Usa el siguiente comando para forzar la sincronización:

execute device refresh <device-name>

• Este comando sincroniza automáticamente las configuraciones del FortiManager con el nuevo dispositivo.

Opción 2: Importación Manual de la Configuración

✅Si prefieres revisar o ajustar la configuración antes de aplicarla, puedes importar la configuración manualmente.

Pasos:

1. Exportar la configuración del dispositivo nuevo:
   • Conéctate al nuevo dispositivo y usa el comando: execute backup config <tftp | ftp | scp> <server-ip> <path/filename>
   • O desde la GUI en System > Config > Backup.
2. Importar la configuración en FortiManager:
   • Ve a Device Manager en FortiManager.
   • Selecciona el dispositivo o crea uno nuevo con el número de serie correspondiente.
   • Usa la opción Import Configuration para cargar la configuración exportada.
3. Aplicar y sincronizar cambios:
   • Una vez importada la configuración, sincroniza el dispositivo desde la interfaz gráfica (opción Install Config) y valida su estado.

Paso 4: Consideraciones sobre los modelos de los dispositivos

Modelos idénticos:

• Las interfaces físicas y capacidades coinciden, lo que facilita la transición sin ajustes adicionales.

Modelos diferentes:

Si los modelos no son idénticos:

• Interfaces físicas: Verifica y ajusta nombres o asignaciones, ya que pueden variar (por ejemplo, port1 frente a wan1).
• Capacidades del equipo: Asegúrate de que el nuevo modelo soporte todas las funciones configuradas (VPN, inspección SSL, políticas avanzadas, etc.).

Paso 5: Validación de configuraciones

1. Interfaces:
   • Asegúrate de que las interfaces físicas están correctamente asignadas a las zonas y políticas.
   • Ajusta si el nuevo modelo tiene menos o diferentes interfaces.
2. Pruebas:
   • Verifica que el tráfico fluya según lo esperado (rutas, políticas, NAT, VPN, etc.).

Paso 6: Eliminar el dispositivo antiguo

Una vez que el nuevo firewall esté completamente operativo, elimina el dispositivo antiguo de FortiManager para mantener el sistema organizado.

Resumen de comandos clave

1. Listar dispositivos registrados: diagnose dvm device list
2. Reemplazar el dispositivo: execute device replace sn <device-name> <new-serial-number>
3. Sincronizar automáticamente: execute device refresh <device-name>
4. Importar configuración manualmente (opcional):
   • Exportar configuración: execute backup config <tftp | ftp | scp> <server-ip> <path/filename>
   • Importar configuración en FortiManager desde la GUI.

Este procedimiento asegura que puedes reemplazar un firewall en FortiManager manteniendo la configuración y políticas existentes, ya sea que los modelos sean idénticos o diferentes.