Fortinet: Configuração Inicial de Interfaces e Políticas de Acesso:

16/10/2026

Interfaces, Zonas, Roteamento Estático e NAT:

FortiGate na Prática: Interfaces, Zonas, Roteamento Estático e NAT

Introdução

O FortiGate, da Fortinet, é um firewall de próxima geração (NGFW) amplamente utilizado na proteção de redes corporativas. Além de oferecer recursos de segurança, como prevenção contra intrusões (IPS), filtragem de conteúdo, VPN e controle de aplicações, ele permite administrar interfaces de rede, segmentar ambientes, definir rotas e controlar a tradução de endereços IP.

Neste artigo, vamos explorar quatro conceitos fundamentais para a administração de firewalls FortiGate:

Interfaces de rede;
Zonas de segurança;
Roteamento estático;
NAT (Network Address Translation).

O objetivo é apresentar os conceitos e exemplos de configuração que podem ser utilizados em laboratórios de estudo e ambientes corporativos, sempre considerando as boas práticas de segurança da informação.

1. Interfaces de rede no FortiGate

As interfaces são os pontos de conexão entre o FortiGate e as redes que ele protege ou conecta. Por meio delas, o firewall recebe e encaminha tráfego entre diferentes segmentos de rede.

Uma interface pode ser física, lógica ou virtual, dependendo do modelo do equipamento e da arquitetura implementada.

Principais tipos de interfaces

Interface física: porta Ethernet utilizada para conectar o firewall a um switch, roteador, modem ou servidor.

Interface VLAN: permite segmentar redes lógicas utilizando VLANs, de acordo com a infraestrutura de switches.

Interface agregada: combina múltiplas interfaces físicas para oferecer maior capacidade de comunicação e, conforme a configuração, redundância.

Interface de túnel: utilizada em determinadas arquiteturas de VPN, como túneis IPsec.

Interface virtual: inclui interfaces lógicas associadas a recursos e funcionalidades específicas do FortiGate.

Exemplo de arquitetura de rede

Imagine um ambiente corporativo com três segmentos:

WAN: conexão com a Internet;
LAN: rede interna dos usuários;
DMZ: rede destinada a servidores que precisam oferecer serviços a outras redes.

Exemplo de endereçamento:

Interface	Endereço IP	Finalidade
wan1	203.0.113.2/30	Conexão com o roteador do provedor
internal	192.168.10.1/24	Rede interna
dmz	192.168.20.1/24	Servidores publicados

Os endereços utilizados neste exemplo são ilustrativos. A faixa 203.0.113.0/24 é reservada para documentação e não deve ser utilizada como endereço público real de produção.

Configuração de interface pela CLI

Exemplo para configurar uma interface interna:

config system interface
    edit "internal"
        set ip 192.168.10.1 255.255.255.0
        set allowaccess ping https ssh
    next
end

Atenção: habilite apenas os serviços administrativos necessários. O acesso HTTPS e SSH deve ser restrito às redes de gerenciamento autorizadas. A disponibilidade de determinados comandos pode variar conforme o modelo e a versão do FortiOS.

Para consultar as interfaces configuradas:

show system interface

A correta configuração das interfaces é essencial para garantir conectividade, segmentação e aplicação adequada das políticas de segurança.

2. Zonas de segurança no FortiGate

As zonas permitem agrupar interfaces em uma entidade lógica, facilitando a administração das políticas de firewall.

Em vez de criar políticas separadas para cada interface física, o administrador pode utilizar uma zona como origem ou destino de uma política, desde que a arquitetura e as restrições de configuração permitam.

Por que utilizar zonas?

As zonas podem trazer benefícios como:

Simplificação da administração das políticas;
Organização de interfaces por função ou nível de confiança;
Facilidade para expandir redes com múltiplas interfaces;
Padronização das regras de comunicação entre segmentos.

Por exemplo, uma organização pode agrupar interfaces de redes de usuários em uma zona chamada LAN e interfaces de servidores em uma zona chamada SERVIDORES.

Exemplo de configuração de zona

config system zone
    edit "LAN_ZONE"
        set interface "internal" "port3"
    next
end

Nesse exemplo, as interfaces internal e port3 são agrupadas na zona LAN_ZONE.

Importante: uma interface que pertence a uma zona não pode ser tratada simultaneamente como uma interface independente em todas as políticas. Existem restrições de associação e uso que devem ser verificadas conforme a versão do FortiOS e a configuração existente.

Exemplo de política utilizando uma zona

config firewall policy
    edit 0
        set name "LAN_ZONE_to_WAN"
        set srcintf "LAN_ZONE"
        set dstintf "wan1"
        set srcaddr "all"
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "HTTPS" "DNS"
        set nat enable
    next
end

Essa política ilustra uma regra de saída que permite tráfego HTTPS e DNS da zona LAN para a interface WAN, com NAT habilitado.

O exemplo pressupõe que os objetos de endereço, serviços, interfaces e a rota de saída estejam configurados corretamente. A política deve ser adaptada às necessidades do ambiente.

Em produção, prefira restringir os destinos, serviços e origens ao mínimo necessário, evitando permissões genéricas.

3. Roteamento estático no FortiGate

O roteamento estático define manualmente o caminho que o tráfego deve seguir para alcançar uma rede de destino.

O administrador informa a rede de destino, a máscara correspondente e o próximo salto (gateway), quando aplicável.

O roteamento estático é bastante utilizado em ambientes com topologia simples, redes de filiais, conexões dedicadas, VPNs e rotas específicas para determinados segmentos.

Exemplo de roteamento

Considere o seguinte cenário:

Rede local: 192.168.10.0/24;
Rede remota: 10.10.10.0/24;
Gateway para a rede remota: 192.168.10.254.

Para alcançar a rede remota, o FortiGate precisa encaminhar os pacotes ao próximo salto indicado, desde que ele seja alcançável pela interface utilizada.

Configuração de rota estática

config router static
    edit 0
        set dst 10.10.10.0 255.255.255.0
        set gateway 192.168.10.254
        set device "internal"
    next
end

A configuração cria uma rota para a rede 10.10.10.0/24, utilizando o gateway 192.168.10.254 pela interface internal.

Esse exemplo pressupõe que o gateway esteja realmente conectado e acessível por essa interface.

Rota padrão para a Internet

Em muitos ambientes, o FortiGate utiliza uma rota padrão para encaminhar tráfego destinado a redes sem uma rota mais específica.

Exemplo:

config router static
    edit 0
        set dst 0.0.0.0 0.0.0.0
        set gateway 203.0.113.1
        set device "wan1"
    next
end

A rota 0.0.0.0/0 representa a rota padrão. O endereço 203.0.113.1 é apenas ilustrativo e deve ser substituído pelo gateway real do provedor.

Comandos úteis para diagnóstico

Consultar as rotas configuradas:

get router info routing-table all

Consultar a tabela de roteamento IPv4:

get router info routing-table database

Para diagnosticar problemas, verifique também a conectividade com o gateway, a rota selecionada, as políticas de firewall e a existência de uma rota de retorno no equipamento remoto.

Uma rota estática, isoladamente, não garante que a comunicação será permitida: as políticas de segurança e o caminho de retorno também precisam estar corretos.

4. NAT no FortiGate

NAT significa Network Address Translation, ou Tradução de Endereços de Rede.

Esse recurso permite modificar endereços IP de origem ou destino dos pacotes, conforme a finalidade da comunicação e a configuração aplicada.

No FortiGate, o NAT é comumente utilizado para permitir que dispositivos de uma rede privada acessem a Internet e para publicar serviços internos por meio de endereços IP acessíveis externamente.

4.1 SNAT — Source NAT

O SNAT modifica o endereço IP de origem dos pacotes.

Um exemplo comum ocorre quando um computador com endereço privado, como 192.168.10.10, acessa um site na Internet. O FortiGate pode traduzir o endereço de origem para o endereço da interface WAN.

Dessa forma, vários dispositivos da rede interna podem compartilhar um endereço IP de saída, utilizando traduções de portas quando necessário.

Configuração de SNAT em uma política

config firewall policy
    edit 0
        set name "LAN_to_Internet"
        set srcintf "internal"
        set dstintf "wan1"
        set srcaddr "all"
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "ALL"
        set nat enable
    next
end

O comando set nat enable habilita o NAT de origem nessa política. Nesse cenário, a tradução normalmente utiliza o endereço de saída da interface, conforme a configuração de NAT e de IP Pool aplicável.

A política acima é didática. Em produção, limite os serviços e os endereços de origem e destino conforme a necessidade real.

4.2 DNAT — Destination NAT

O DNAT modifica o endereço IP de destino de um pacote.

No FortiGate, a publicação de um serviço interno costuma ser implementada com um objeto VIP (Virtual IP) e uma política de firewall correspondente.

Imagine um servidor web interno com endereço 192.168.20.10, que deve receber conexões HTTPS destinadas a um endereço público.

Exemplo de VIP para HTTPS

config firewall vip
    edit "VIP_WEB_HTTPS"
        set extip 198.51.100.10
        set mappedip "192.168.20.10"
        set extintf "wan1"
        set portforward enable
        set extport 443
        set mappedport 443
    next
end

O endereço 198.51.100.10 pertence a uma faixa reservada para documentação e deve ser substituído pelo endereço público real do ambiente.

Agora, uma política pode autorizar o acesso ao serviço publicado:

config firewall policy
    edit 0
        set name "WAN_to_WEB_HTTPS"
        set srcintf "wan1"
        set dstintf "dmz"
        set srcaddr "all"
        set dstaddr "VIP_WEB_HTTPS"
        set action accept
        set schedule "always"
        set service "HTTPS"
        set nat disable
    next
end

O exemplo pressupõe que a interface dmz, o serviço HTTPS e o objeto VIP estejam corretamente configurados.

O acesso externo só funcionará se o endereço público estiver roteado ou associado corretamente à conexão, se o tráfego chegar ao FortiGate e se o servidor e o caminho de retorno estiverem funcionando.

Boa prática: não publique serviços administrativos diretamente na Internet sem controles adicionais. Restrinja as origens sempre que possível, aplique atualizações de segurança e monitore os acessos.

5. Diferença entre SNAT e DNAT

Característica	SNAT	DNAT
O que é alterado?	Endereço de origem	Endereço de destino
Uso comum	Saída para a Internet	Publicação de serviços
Exemplo	Rede privada acessando um site	Usuário externo acessando um

Firewall Ops BR

quarta-feira, 14 de outubro de 2026

Fortinet = Configurações Iniciais: