FortiGate cambia entre dos proveedores de Internet: causas y diagnóstico de SD-WAN

Una empresa puede utilizar dos proveedores de Internet y experimentar interrupciones frecuentes, incluso cuando ambos enlaces permanecen físicamente activos.

En configuraciones FortiGate con Secure SD-WAN, una de las causas que debemos investigar es el cambio repetido de estado de los monitores de salud y de las decisiones de enrutamiento.

Este comportamiento puede identificarse como SD-WAN flapping.

¿Por qué ocurre?

FortiGate puede utilizar Performance SLA para evaluar diferentes características de los enlaces:

• Latencia.

• Jitter.

• Pérdida de paquetes.

• Disponibilidad del camino.

Si una conexión experimenta variaciones importantes o los parámetros de monitoreo no están bien definidos, las reglas SD-WAN pueden cambiar su elección de miembro.

En determinadas configuraciones, esos cambios también pueden afectar la tabla de rutas.

No confundas estado físico con calidad

Que WAN1 muestre estado UP significa que la interfaz tiene enlace.

No garantiza que la conectividad hacia las aplicaciones funcione correctamente.

Una conexión puede mantener su estado físico mientras experimenta pérdida de paquetes o retrasos importantes.

Por eso conviene comparar el estado de la interfaz con las mediciones del health-check.

Primeros comandos de diagnóstico

Para consultar los monitores:

diagnose sys sdwan health-check status

Para revisar la configuración:

show system sdwan

Para identificar las reglas IPv4 en FortiOS 7.4.4 y posteriores:

diagnose sys sdwan service4

Y para revisar el enrutamiento:

get router info routing-table all

Los resultados permiten identificar qué miembro está disponible, cuál es seleccionado y si las rutas se comportan como esperamos.

Cuidado con las correcciones improvisadas

No siempre resulta adecuado modificar todos los parámetros SLA o desactivar la actualización de rutas.

Un cambio de configuración puede afectar aplicaciones, VPN y tráfico que utiliza caminos específicos.

Antes de intervenir debemos determinar si el problema está en:

• La calidad del proveedor.

• El destino de prueba.

• Los tiempos de detección.

• Los umbrales SLA.

• La estrategia de selección.

• Las rutas disponibles.

¿Por qué pueden cortarse las sesiones?

Durante un cambio de ISP, una sesión puede pasar a utilizar una dirección pública distinta.

Algunas aplicaciones logran recuperar la comunicación automáticamente, mientras otras requieren establecer una nueva sesión.

Por eso es importante probar servicios críticos y no limitarse a comprobar que la navegación a Internet funciona.

Conclusión

SD-WAN ayuda a mejorar la disponibilidad y el aprovechamiento de múltiples enlaces, pero requiere una configuración coherente con las necesidades reales de la empresa.

Una red confiable depende de monitoreo, políticas de selección, calidad del proveedor y procedimientos de recuperación.

La Biblioteca Virtual SISTRO 2.0 contiene una guía más completa con comandos FortiOS, ejemplos, matriz de diagnóstico y checklist.

Consultar la guía técnica original:

https://sistro.net/fortigate-sd-wan-flapping-health-check