Caso studio · Reti e Sicurezza
Migrazione firewall FortiGate e cluster HA per un gruppo della distribuzione
Un gruppo nazionale della distribuzione di materiale elettrico e illuminazione, con vendita B2B, negozio fisico ed e-commerce, aveva un firewall perimetrale in end-of-sale e un audit di sicurezza con 19 findings aperti. Abbiamo sostituito il firewall con un cluster FortiGate in alta disponibilità, portato il sistema alla major FortiOS 8.0 e chiuso tutti i findings, con una finestra serale di tre ore e pochi minuti di interruzione effettiva per il cambio fisico dei cavi. Dal cutover all'attivazione del cluster, dieci giorni dopo, non si sono registrati fermi non pianificati.
Dati del progetto
- Settore
- Distribuzione di materiale elettrico e illuminazione (B2B, negozio fisico, e-commerce)
- Dimensione
- Oltre 100 dipendenti. Sede direzionale con magazzino, showroom e CED. Oltre dodici VLAN in produzione
- Periodo
- 2026: tre settimane di preparazione, cutover in una serata, cluster HA attivato dieci giorni dopo
- Servizi erogati
- Reti e SicurezzaAudit di sicurezzaMigrazione infrastrutturaConsulenza tecnicaAssistenza IT
- Tecnologie principali
- FortiGate FG-100FFortiOS 8.0Cluster HA active-passiveVPN SSL e IPsec3CXSegmentazione VLANGeofencing
Situazione iniziale
Il firewall perimetrale, un FortiGate FG-60E, era ormai sottodimensionato rispetto al carico produttivo e il modello era in end-of-sale. Girava FortiOS 7.6, con limitazioni note. A inizio anno il cliente aveva commissionato un audit di sicurezza che aveva prodotto 19 findings: 5 critici, 7 importanti, 7 informativi.
L'infrastruttura dietro quel firewall era complessa: oltre dodici VLAN (utenti, server, telefonia 3CX, telecamere e DVR su tre reti separate, Wi-Fi aziendale, Wi-Fi ospiti, terminali di magazzino, postazioni di etichettatura, ristorazione interna, access point), un parco switch distribuito tra core in stack e armadi di piano, un centralino 3CX in produzione con hairpin NAT e un e-commerce esposto su Internet.
Per il cliente questo significava lavorare con un perimetro che non poteva essere aggiornato senza rischio, con findings critici aperti e con un singolo apparato da cui dipendevano negozio, magazzino, telefonia e vendite online.
Obiettivi e vincoli
Cosa bisognava ottenere
- Sostituire il firewall con un cluster in alta disponibilità, per poter intervenire in futuro senza fermare l'azienda.
- Portare il sistema alla nuova major FortiOS 8.0, che ha una sintassi CLI diversa dalla 7.6.
- Chiudere tutti i findings dell'audit, a partire dai 5 critici.
Cosa condizionava il progetto
- Nessun fermo dei flussi critici: telefonia, telecamere, gestionale, e-commerce e VPN degli utenti remoti.
- Una configurazione esistente di oltre 14.700 righe da trasportare senza perdere regole.
- Un solo intervento fisico, in orario serale, con rollback pronto.
Soluzione realizzata
Fase 1. Preparazione e audit (tre settimane)
- Parsing completo della configurazione 7.6 esistente (oltre 14.700 righe) e suddivisione per argomento in 16 sezioni: interfacce, VLAN, DNS, DHCP, VIP, policy, utenti, VPN, routing, automazioni.
- Incrocio tra i findings dell'audit e le regole del firewall, per sapere per ogni finding quale regola o impostazione andava cambiata.
- Generazione della configurazione di destinazione per FortiOS 8.0 a partire dalla 7.6, con verifica della sintassi sui manuali ufficiali. Cinque correzioni di sintassi individuate e applicate prima del deploy.
- Deploy suddiviso in 21 blocchi CLI sequenziali, ognuno testabile e atomico, con runbook passo per passo e checklist di rollback.
- Piano di migrazione supervisionato da 11 controlli automatici specializzati (preflight, backup, validazione, rollback).
Fase 2. Intervento on-site (finestra di tre ore)
- Preparazione della nuova unità in isolamento, mentre il vecchio firewall restava in servizio: aggiornamento firmware via TFTP da FortiOS 7.6.4 a 8.0.0.
- Ripristino della configurazione rigenerata e deploy a blocchi con validazione a ogni passo.
- Spostamento fisico dei cavi: LAN, trunk verso il core, telefonia, telecamere.
- Test immediati sui flussi di business: telefonia 3CX, accesso ai DVR, e-commerce esposto, VPN SSL degli utenti remoti.
Fase 3. Cluster HA active-passive (dieci giorni dopo)
- Aggiunta della seconda unità FG-100F come peer HA, cluster active-passive con priorità 150 sul primario e 50 sul secondario.
- Sincronizzazione della configurazione su heartbeat dedicato.
- Prova di failover simulando lo spegnimento di un nodo.
- Documentazione del cluster e procedure per manutenzioni senza fermo.
Hardening dopo la migrazione
- Geofencing sulle policy critiche: il traffico esposto è limitato a indirizzi italiani.
- Session helper SIP e FTP ripristinati dove servivano (FortiOS 8.0 li rimuove per impostazione predefinita).
- Tre VIP per i DVR di videosorveglianza, con isolamento dedicato.
- Pattern hairpin per il 3CX documentato e validato lato centralino, senza NAT loopback superfluo.
Architettura prima e dopo
Schema semplificato, senza indirizzi, nomi host o dettagli che permettano di ricostruire accessi.
Prima
- Un solo firewall FortiGate FG-60E, modello in end-of-sale, FortiOS 7.6
- Oltre dodici VLAN, centralino 3CX con hairpin NAT, e-commerce esposto
- 19 findings di audit aperti (5 critici)
- Ogni intervento sul perimetro richiedeva un fermo
Dopo
- Due FortiGate FG-100F in cluster active-passive, heartbeat dedicato, FortiOS 8.0
- Stesse VLAN, policy riviste e geofencing sul traffico esposto
- 19 findings chiusi, tracciati finding per finding
- Manutenzione di un nodo senza fermare l'azienda
Verifiche e risultati
19/19
findings dell'audit chiusi
Audit commissionato dal cliente a inizio 2026: 5 critici, 7 importanti, 7 informativi. Chiusura verificata finding per finding sulla configurazione di destinazione.
12+
VLAN migrate e segmentate
Ambiti separati: utenti, server, telefonia, videosorveglianza (tre reti), Wi-Fi aziendale, Wi-Fi ospiti, terminali di magazzino, etichettatura, ristorazione interna, access point. Ogni ambito ha policy proprie.
3 ore
finestra di intervento on-site
Finestra serale che comprende aggiornamento firmware, ripristino della configurazione, spostamento dei cavi e test. La nuova unità è stata preparata isolata con il vecchio firewall in servizio: l'interruzione effettiva dei servizi è durata pochi minuti, il tempo dello spostamento fisico dei cavi, non l'intera finestra.
0
fermi non pianificati dopo il cutover
Periodo osservato: dal cutover all'attivazione del cluster HA, dieci giorni dopo. Un fermo non pianificato è un'interruzione di un flusso di business non prevista dal runbook.
Cosa abbiamo controllato e come
| Verifica | Metodo | Esito |
|---|---|---|
| Sintassi della configurazione FortiOS 8.0 | Confronto con i manuali ufficiali prima del deploy e validazione live di ciascuno dei 21 blocchi CLI | Configurazione applicata per intero nella finestra prevista |
| Flussi di business dopo il cutover | Test funzionali su telefonia 3CX, accesso ai DVR, e-commerce esposto e VPN SSL degli utenti remoti, eseguiti al termine dello spostamento dei cavi | Tutti i flussi operativi a fine intervento; interruzione effettiva di pochi minuti, il tempo del cambio cavi |
| Chiusura dei findings dell'audit | Ogni finding incrociato con la regola o l'impostazione corrispondente, chiusura tracciata nella configurazione di destinazione | 19 findings su 19 chiusi, compresi i 5 critici |
| Failover del cluster HA | Spegnimento simulato di un nodo dopo la sincronizzazione su heartbeat dedicato | Il cluster ha retto la prova ed è in produzione |
“Avevamo un audit con cinque criticità sul firewall e un modello in end-of-sale: dovevamo fare un salto generazionale senza fermare il negozio, il magazzino o il centralino. DF Solutions ha gestito tutto con un piano scritto al millimetro: tre ore di finestra serale, nessuna sorpresa il giorno dopo, e oggi abbiamo un cluster HA che ci permette di intervenire senza fermare nulla.”
Gestione successiva
- Cluster documentato, con procedure scritte per aggiornamenti e manutenzioni senza fermo.
- Runbook e checklist di rollback consegnati al cliente.
- Ottimizzazione continua delle policy nell'ambito del contratto di assistenza.
Autore tecnico
Direttore Tecnico e co-fondatore di DF Solutions
Direzione tecnica del progetto e verifica di questa scheda.
Profilo in Chi siamoServizi collegati
Reti e Sicurezza
Firewall Fortinet e WatchGuard, segmentazione VLAN, VPN: il servizio con cui abbiamo realizzato questo progetto.
Assistenza IT
Il cluster va mantenuto: patching, monitoraggio e interventi programmati rientrano nel contratto di assistenza.
Hai un progetto simile?
Raccontaci la situazione di partenza. Analizziamo insieme cosa serve e ti proponiamo un piano scritto, con fasi, verifiche e rollback.
Altri casi studio
Tutti i casi studioReti e Sicurezza
Rifacimento del parco switch da cascata a stella
Nessun singolo punto di guasto sulla nuova topologia: ogni armadio è collegato al core con due tratte indipendenti e la rete resta in servizio se una si guasta.
Sviluppo software
Automazione del catalogo prodotti biotech
Oltre 500 prodotti catalogati da quattro fornitori integrati, con schede PDF generate in automatico e zero errori di trascrizione.
Automazione di processi
Automazione del monitoraggio energetico
Raccolta, elaborazione e report dei consumi eseguiti da un sistema automatico schedulato, per entrambi i portali, senza passaggi manuali.