El FortiGate "se porta raro". Se reinicia solo, una interfaz no levanta, el rendimiento cae sin explicación. Tu instinto dice hardware, y quieres reclamar la garantía. Abres el ticket, y del otro lado te piden algo que no esperabas: los resultados del HQIP. Y te quedas viendo la pantalla, porque nadie te dijo nunca qué era eso.
El HQIP —Hardware Quick Inspection Package— es de las herramientas peor conocidas de todo el ecosistema Fortinet, y sin embargo es el paso que decide si tu reclamo de garantía avanza en horas o se atora en días. Es la diferencia entre llegar al soporte con "creo que el equipo está fallando" y llegar con "el subsistema de almacenamiento reprobó la prueba, aquí está la evidencia". Fortinet no cambia hardware por corazonadas. Cambia hardware por HQIP.
Qué es, en concreto
El HQIP es una imagen de diagnóstico oficial de Fortinet, específica por modelo, que no es el sistema operativo normal del equipo: es un diagnóstico que ejecuta una batería de pruebas de hardware, reportando pass/fail componente por componente. Prueba lo que no puedes ver desde FortiOS: el CPU, la memoria, el almacenamiento (flash y disco) y las interfaces y ASICs de red —los componentes PCI que le dan al FortiGate su rendimiento. Fortinet lo dice claro, y conviene tenerlo presente: el HQIP no detecta todas las fallas —no diagnostica inestabilidad intermitente, errores de configuración ni bugs de software—, pero sí confirma de forma objetiva una falla física de esos componentes.
La idea es simple: FortiOS puede reportar síntomas, pero no puede diagnosticarse a sí mismo de forma confiable cuando el problema es el hardware sobre el que corre. El HQIP arranca por debajo del sistema operativo y ejerce cada componente directamente. Por eso el TAC lo pide: es la prueba objetiva de que el fierro, no la configuración, es el que falla.
Cómo se corre: depende de la generación de tu equipo
Aquí hay un detalle que casi nadie aclara y que te ahorra media hora de confusión frente al equipo: el HQIP se corre distinto según qué tan nuevo sea tu FortiGate.
En la serie D y anteriores, el HQIP es una imagen aparte que descargas y cargas desde el bootloader por TFTP —exactamente el mismo menú que usarías para reflashear un equipo, el que documentamos al hablar de recuperar un FortiGate sin la contraseña de admin. Interrumpes el arranque, entras al menú del bootloader, cargas la imagen desde un servidor TFTP (es específica de tu número de serie, no sirve la de otro equipo), e inicias la prueba con diagnose hqip start.
En la serie E y posteriores ya no necesitas imagen aparte: las pruebas vienen integradas en FortiOS y las lanzas por consola con diagnose hardware test suite all. Más cómodo —pero con una advertencia que casi cuesta un susto: esa suite está pensada para correr con el equipo en configuración de fábrica, y no te avisa si la lanzas con tu configuración cargada.
FortiGate HQIP Test Menu
Running Hardware Quick Inspection Package...
[ 1] System Memory Test .................... PASS
[ 2] CPU Test ............................... PASS
[ 3] Storage / Disk Test .................... FAIL (bad blocks detected)
[ 4] Network Interface Test (port1-port10) .. PASS
[ 5] NP6 Processor Test ..................... PASS
[ 6] CP9 Processor Test ..................... PASS
[ 7] Console / USB Test ..................... PASS
Test completed. 1 subsystem(s) FAILED.
Please record these results for your RMA request.Esa última línea no es decorativa: "record these results for your RMA request". El HQIP te está diciendo que su salida es tu evidencia. Fotografíala, guárdala, adjúntala al ticket. Un "FAIL" en el subsistema de almacenamiento, capturado del propio equipo, es un RMA que se aprueba casi solo.
Las tres cosas que nadie te advierte (y una te puede costar caro)
Aquí es donde el desconocimiento se vuelve peligroso. Correr el HQIP no es inofensivo si no sabes tres cosas:
1. El equipo queda fuera de servicio
Mientras el HQIP corre, el FortiGate no está haciendo su trabajo — no hay firewall, no hay VPN, no hay internet para lo que dependa de él. Esto no se corre "a ver qué sale" en horario productivo. Se agenda una ventana, con el enlace previsto abajo. Tratar el HQIP como algo que pruebas en caliente es cómo un diagnóstico se convierte en una salida no planeada.
2. Algunas pruebas son destructivas o piden accesorios
No todas las pruebas son de solo lectura. Las de interfaces suelen requerir loopback plugs o cables que conecten puertos entre sí, para probar transmisión y recepción de verdad —sin ellos, esas pruebas no corren o fallan por falta del accesorio, no por hardware malo. Y ciertas pruebas de almacenamiento pueden escribir sobre el disco. Da por hecho que el HQIP puede dejar el equipo en configuración de fábrica.
3. Por eso: respalda la configuración ANTES
Se conecta todo con lo de siempre. Antes de correr el HQIP, saca el respaldo de la configuración —porque el equipo puede volver de fábrica, y porque si el diagnóstico confirma la falla, vas a restaurar esa config en el equipo de reemplazo del RMA. Es exactamente la disciplina de respaldo que administramos: el respaldo de configuración no es burocracia, es lo que convierte "se murió el firewall" en un cambio de equipo de una tarde. Sin ese respaldo, el HQIP confirma tu falla… y te deja reconstruyendo desde cero en el equipo nuevo.
Dónde conseguir la imagen
El HQIP se descarga del portal de soporte de Fortinet, y es específico de tu modelo —la imagen de un modelo no sirve en otro. Requiere una cuenta de soporte asociada al equipo; es parte de por qué tener el appliance registrado bajo tu contrato importa mucho antes de que lo necesites, no el día del incidente. (De la garantía, el RMA y el registro hablamos en detalle en las siguientes piezas de esta serie.)
El paso que separa un reclamo de un hecho
La razón por la que el HQIP es tan desconocido es también la razón por la que importa tanto: casi nadie llega a necesitarlo hasta que tiene un equipo fallando y un ticket abierto, y para entonces es tarde para aprenderlo con calma. Correrlo bien —con ventana agendada, respaldo en mano y los accesorios correctos— es lo que convierte tu sospecha en la evidencia objetiva que el soporte necesita para moverse.
Es, otra vez, la diferencia entre una infraestructura que existe y una que está operada. Cuando administramos el perímetro Fortinet de un cliente, este procedimiento —diagnóstico con HQIP, evidencia, y la gestión del RMA de principio a fin— es parte del servicio, no un trámite que el cliente descubre a solas el peor día. Corremos la prueba, documentamos el resultado, y llevamos el reclamo con el soporte para que el reemplazo llegue lo antes posible.
Preguntas frecuentes
help ¿Qué es el HQIP de Fortinet?
Es el Hardware Quick Inspection Package: una imagen de diagnóstico oficial, específica por modelo, que arranca en lugar de FortiOS y prueba el hardware componente por componente (memoria, CPU, almacenamiento, interfaces, procesadores NP y CP), reportando pass o fail en cada uno. Su propósito es confirmar de forma objetiva si una falla es de hardware, que es lo que el soporte de Fortinet suele exigir para aprobar un RMA.
help ¿Necesito correr el HQIP para reclamar la garantía?
En la práctica, casi siempre. El soporte de Fortinet suele pedir los resultados del HQIP como evidencia de que la falla es de hardware antes de autorizar un reemplazo por RMA. Llegar con esos resultados acelera mucho el proceso; llegar sin ellos suele significar que te pidan correrlo de todas formas.
help ¿Correr el HQIP borra la configuración del FortiGate?
Puede hacerlo. El HQIP arranca en lugar de FortiOS y algunas de sus pruebas escriben sobre el almacenamiento, por lo que debes asumir que el equipo puede quedar en configuración de fábrica. Respalda la configuración antes de correrlo: la vas a necesitar de todas formas para restaurarla en el equipo de reemplazo si el diagnóstico confirma la falla.
help ¿Puedo correr el HQIP con el equipo en producción?
No. Mientras el HQIP corre, el FortiGate no cumple ninguna de sus funciones: no hay firewall, VPN ni ruteo. Debes agendar una ventana de mantenimiento y tener a la mano los accesorios que algunas pruebas requieren, como loopback plugs para las pruebas de interfaces.
Rubén Espinoza es fundador y Director Técnico de IT Experts de México. Trabaja en la industria de TI desde 1998: diseña y opera soluciones de infraestructura, ciberseguridad, continuidad, automatización y tecnología OT para entornos empresariales e industriales. Escribe desde proyectos reales y sistemas en producción.
Ver perfil y todos sus artículos →