Il lavoro fuori sede ha rotto l’assunzione su cui era costruito il perimetro: che l’utente e le applicazioni stessero dalla stessa parte del firewall. FortiSASE è la risposta di Fortinet — le stesse funzioni di sicurezza di FortiOS, erogate però da punti di presenza gestiti da Fortinet e vicini all’utente, invece che da un apparato in sede.

Perché il backhauling non regge più

Con utenti sparsi e applicazioni SaaS, riportare il traffico fino alla sede per farlo uscire da lì aggiunge due tratte inutili e la latenza che ne consegue. Il concentratore in sede diventa insieme collo di bottiglia e punto singolo di guasto, e va dimensionato sul picco anziché sulla media.

Peggio: quando l’utente esce direttamente da casa o da una rete pubblica, senza tunnel non hai né ispezione né log. La visibilità diventa a macchia di leopardo e la postura di sicurezza dipende da dove si trova fisicamente la persona. A questo si aggiungono dispositivi non gestiti e la deriva inevitabile fra la policy applicata in sede e quella applicata fuori sede, che nel tempo divergono.

Cosa vuol dire architettura SASE

SASE sposta l’ispezione dal luogo dove sta l’azienda al luogo dove sta l’utente. I punti fermi sono tre. Primo: l’ispezione avviene in un punto di presenza gestito, non su un apparato in sede. Secondo: la policy è una sola e segue l’identità dell’utente, non l’indirizzo IP da cui si connette. Terzo: il client si aggancia al punto di presenza geograficamente più vicino fra quelli disponibili, e la ridondanza si ottiene attivandone più di uno.

Tradotto in casi d’uso, FortiSASE copre l’accesso sicuro a internet e alle applicazioni SaaS e l’accesso privato alle applicazioni interne, il Secure Private Access.

I componenti

I security PoP sono l’infrastruttura di ispezione. Si creano, abilitano, disabilitano, dismettono e migrano dalla pagina Operations > Infrastructure, e il loro comportamento ha alcune finezze operative che vale la pena conoscere. Un PoP appena creato nasce disabilitato e non accetta connessioni finché non lo abiliti. Un PoP disabilitato non riceve traffico ed esce dal bilanciamento. Dismetterlo lo elimina dall’istanza, ed è la via per rientrare nella capacità di licenza. La migrazione aggiunge il PoP di destinazione in stato disabilitato e lascia acceso quello di origine, per dare tempo di configurare il nuovo prima di spostare gli utenti.

Sul lato utente ci sono gli endpoint con FortiClient, per chi lavora in mobilità, e il FortiGate secure edge, per intere sedi. Il portale FortiSASE è dove vivono policy, utenti e log. Per l’accesso privato entra in gioco la licenza SPA: fra due FortiGate configurati con Fabric Overlay Orchestrator si genera una easy configuration key, che è semplicemente un oggetto JSON codificato in Base64 contenente versione di FortiOS, gateway, indirizzo IP del peer, numeri di AS BGP, metodo BGP e la subnet del router BGP di FortiSASE.

Onboarding: agente, senza agente, o tutta la sede

Il traffico arriva a un PoP in tre modi, e sceglierne uno è una decisione progettuale.

Il primo è FortiClient installato sull’endpoint: massimo controllo e postura del dispositivo, al prezzo di dover distribuire e mantenere un agente. Il secondo è senza agente, configurando il proxy web esplicito nel browser: non si installa nulla, ma copri solo il traffico che il browser accetta di mandare al proxy.

Il terzo è il più elegante quando c’è una filiale. Un FortiGate SD-WAN diventa LAN extension di FortiSASE tramite un tunnel VXLAN-over-IPsec, creando una rete di livello 2 fra FortiSASE e la rete dietro il FortiGate remoto. Il vantaggio operativo è concreto: sugli endpoint basta puntare il default gateway al FortiGate, senza installare FortiClient e senza configurare impostazioni di proxy nei browser.

Serve la modalità multi-VDOM: si crea un VDOM di tipo lan-extension con l’indirizzo del controller impostato sul dominio FortiSASE, che leggi nel portale sotto Access & authentication > SSO, nella parte del Base URL dopo https://. FortiOS crea da solo il collegamento fra il VDOM di traffico (per impostazione predefinita root) e il VDOM di LAN extension.

config system global
    set vdom-mode multi-vdom
end
config vdom
    edit ext
        config system settings
            set vdom-type lan-extension
            set lan-extension-controller-addr turbo-xxxxxxxx.edge.prod.fortisase.com
            set ike-port 4500
        end
    next
end

Terminologia da tenere dritta all’esame: sull’apparato i due ruoli si chiamano FortiGate Connector e FortiGate Controller, mentre in FortiSASE lo stesso apparato è il FortiGate secure edge. È la stessa cosa vista da due lati.

Le funzioni di sicurezza, e cosa resta in sede

Non è tutto o niente. Sul FortiGate secure edge il VDOM di traffico ti permette di scegliere che cosa mandare a FortiSASE e che cosa far uscire dalla connessione internet locale, usando SD-WAN per lo steering applicativo. Al traffico che esce localmente puoi applicare antivirus, IPS, application control e web filtering direttamente sul FortiGate, con una policy la cui interfaccia di destinazione è la WAN dell’apparato o una zona SD-WAN che la contiene.

Una trappola documentata da ricordare: le subnet condivise verso FortiSASE non possono entrare in conflitto con le subnet interne di FortiSASE, altrimenti l’onboarding non funziona.