Desde FortiOS 7.6.3, los FortiGate ya no admiten la VPN SSL en modo túnel, la que muchas empresas usan con FortiClient para teletrabajar. Si actualizas el firmware sin preparar antes la migración, tus usuarios se quedan sin acceso remoto.
Qué ha cambiado
Fortinet ha retirado el modo túnel de la VPN SSL en FortiOS 7.6.3, en todos los modelos de FortiGate. La configuración existente no se convierte sola: desaparece de la interfaz gráfica y de la línea de comandos, y la conexión deja de funcionar tras la actualización.
- El modo web (acceso desde el navegador, sin cliente) sigue existiendo con el nombre Agentless VPN, desactivado por defecto y con soporte limitado de navegadores.
- En los modelos 40F, 60F y 90G no está disponible ni siquiera el modo web.
- En los equipos con 2 GB de RAM o menos la VPN SSL ya había desaparecido en versiones anteriores.
La alternativa que propone el fabricante es la VPN IPsec de acceso remoto (dial-up), con el mismo FortiClient.
Por qué no es solo una molestia
El portal de la VPN SSL ha sido en los últimos años una de las puertas de entrada favoritas de los grupos de ransomware: varias vulnerabilidades críticas permitían entrar sin credenciales en equipos sin parchear. Pasar a IPsec con IKEv2 y doble factor reduce la superficie expuesta a internet, así que la migración es también una mejora de seguridad.
Cómo migrar paso a paso
- Inventario. Anota la versión de FortiOS, los portales y grupos de usuarios, el método de doble factor y las redes a las que accede cada grupo.
- Diseño del túnel IPsec. Configura un túnel dial-up IKEv2 con los mismos grupos y la misma autenticación: FortiToken o tu proveedor de identidad, como Entra ID.
- Clientes. Despliega en los portátiles la versión de FortiClient y el perfil de conexión nuevos, mejor de forma centralizada que equipo a equipo.
- Piloto. Prueba con un grupo pequeño mientras la VPN SSL sigue activa, incluidas conexiones desde redes domésticas, móviles y hoteles.
- Corte. Cuando todos usen IPsec, desactiva la VPN SSL y cierra su puerto. Solo entonces actualiza a 7.6.3 o posterior.
Importante: no actualices el firmware de un FortiGate que todavía da servicio de VPN SSL en modo túnel sin haber completado antes la migración.
¿Y después de IPsec?
Si tu plantilla trabaja a menudo fuera de la oficina, merece la pena valorar el acceso Zero Trust (ZTNA): en lugar de meter el portátil en la red, da acceso solo a las aplicaciones que cada persona necesita y comprueba el estado del equipo antes de cada conexión.
Cómo te ayudamos
Como partner de Fortinet, revisamos tu configuración actual, preparamos el túnel IPsec con doble factor, desplegamos FortiClient en los equipos y hacemos el corte fuera de horario, sin que tus usuarios pierdan un día de trabajo.