Comunidad FORTIGATE.es

Hola,

Tengo dos Fortigate80C funcioanndo en cluster.

En la boca WAN2 tengo la LAN interna (no sé por que lo configuraron así en su día)
En la boca WAN1 tengo el ISP existente.

La conexión a través de un switch de las dos WAN 1 con el router del ISP lo hacemos con una VLAN y direccionameinto independiente a la LAN.

Ahora vamos a dar de alta un nuevo ISP para balancear o repartir ancho de banda.

Sin tener que modifcar lo existente (tenemos muchas politicas, la VPN dos tuneles) ¿cual sería la mejor opción para confgurar el nuevo ISP?

He pensado en ponerlo en el mismo rango y VLAN que el ISP existente y utilizar politicas de ruteo por rangos internos, pero así no tengo redundancia ni balanceo.

Muchas gracias por vuestra ayuda.

Saludos Hectoralei,

"He pensado en ponerlo en el mismo rango y VLAN que el ISP existente"
Como vas a poner un ISP en el mismo Rango que otro? es el mismo proveedor y te dieron IPs consecutivas? o al Fortigate le llega una IP NAT y no la IP Publica del proveedor?

1. Algo a tener en cuenta, es que para esos VPN tunnels, si la configuración es estática.. lo único que puedes hacer para balancearlos es duplicar la configuración de los tunneles.. esto quiere decir configuración IPSEC y politicas.

2. Una sugerencia grande es que arregles eso de tener la LAN interna en la interfaz WAN..es una mejor practica, y en el futuro, dependiendo de tu FGTE puedes aprovechar el uso de los demás puertos como switch e incluir la interfaz LAN apropiada y no la WAN.

3. Una forma de no tener que duplicar políticas es hacer uso de las zonas. Puedes crear una Zona llamada Externa y ahí meter ambas WAN1 y (2ndo ISP).
Tu política dirá, WAN2 (o la que sea tu interna LAN) a Externa.
Y el trafico al 1er o 2ndo ISP se controla por medio de las rutas o load balancing si lo configuras.

Espero algo te ayude,

Saludos,

Garsa

Hola Garsa,

Muchas gracias por tu respuesta. Finalmente he optado pedir que en el nuevo ISP me de la ip de gateway en otro rango distinto, y así activo una nueva interfaz para repartir el tráfico. Cómo tu bien dices, no sé por que configuraron la pata lan usando la wan, lo moveré cuando pueda. Creo que será la mejor solución...

Saludos.