Cómo Compartir una Config de FortiGate Sin Exponer Credenciales

Cuando necesitas resolver un problema en un firewall FortiGate, la conversación suele ir siempre igual: "¿Me puedes enviar la config completa?". Es una petición razonable — tu ingeniero de soporte o un compañero necesita ver la foto completa para ayudarte. Pero la foto completa lo incluye todo: claves de túneles VPN, certificados de inspección HTTPS, tokens de API, contraseñas de administrador y community strings de SNMP.

Compartir esa config sin modificar es exponer todos esos secretos de golpe.

Qué contiene realmente una config de FortiGate

Un volcado completo de configuración de FortiGate incluye varias categorías de datos sensibles que suelen pasarse por alto:

• Contraseñas de admin y de usuarios — cifradas en la config, pero material sensible igualmente
• Claves precompartidas de túneles VPN — credenciales activas de VPN site-to-site o de cliente
• Certificados de inspección HTTPS y claves privadas — usados para descifrar tráfico HTTPS
• Tokens de API — usados para automatización, integraciones de terceros y acceso programático
• Credenciales de reenvío DNS — usuarios y contraseñas de proveedores de DNS dinámico
• Autenticación de alertas por email y syslog — contraseñas de servicios externos

Antes y después: cómo se ve la sanitización

Aquí tienes un pequeño fragmento de una config de FortiGate típica antes y después de sanitizar:

--- ANTES (en bruto) ---
config vpn ipsec phase1
    edit "site-to-site-main"
        set psk "Tunnel@KeySecure#2026"
        set peer "203.0.113.5"
    next
end

config system admin
    edit "backup-admin"
        set password "F@rtinet2026"
    next
end

--- DESPUÉS (sanitizada) ---
config vpn ipsec phase1
    edit "site-to-site-main"
        set psk "[VPNKEY_1]"
        set peer "203.0.113.5"
    next
end

config system admin
    edit "backup-admin"
        set password "[ADMIN_PASS_1]"
    next
end

El nombre del túnel, la IP del peer y la estructura siguen visibles. Los ingenieros de soporte pueden seguir la lógica sin ver jamás las credenciales reales. Los tokens son consistentes — si la misma contraseña aparece varias veces, recibe el mismo placeholder en todo el documento.

Cómo sanitizar configs de FortiGate

1. 1
   Exporta tu config de FortiGate

   Entra en la consola del FortiGate. Ve a System > System Settings > Configuration y selecciona Download para exportar el fichero de config completo a tu máquina.
2. 2
   Instala ScrubForge

   Añade ScrubForge desde la Chrome Web Store. Gratis, sin cuenta. Fija el icono a la barra de tu navegador.
3. 3
   Pega y sanitiza

   Haz clic en el icono de ScrubForge. Copia tu config exportada y pégala en ScrubForge. Procesa el texto en tu navegador y sustituye los valores sensibles por tokens placeholder consistentes al instante.
4. 4
   Revisa la salida

   Repasa la salida sanitizada para confirmar que no queda ninguna credencial real. FortiGate usa muchos formatos propios — revisa siempre antes de compartir, especialmente los campos no estándar.
5. 5
   Comparte con seguridad

   Copia la config sanitizada y pégala en tu ticket de soporte de Fortinet, en el email al proveedor o en un asistente de IA. Tus credenciales reales se quedan en tu máquina.

Por qué importa el procesamiento local

Los casos de soporte de Fortinet se almacenan en los sistemas de Fortinet indefinidamente. Las configs pegadas en ChatGPT o Claude pueden quedar registradas y usarse para entrenar modelos. Una versión sanitizada te da la ventaja de la ayuda experta sin exponer credenciales activas a almacenamiento de terceros.

ScrubForge lo procesa todo en tu navegador. No se envía nada a ningún servidor. Esto es especialmente importante en configs de firewalls de producción que contienen credenciales actualmente en uso por toda tu red.