FortiClient VPN Bağlanıyor Ama Sunucuya Erişemiyorum: DNS, Split Tunnel ve Firewall Policy

FortiClient “Connected” gösteriyor, ancak şirket içi portal açılmıyor. VPN oturumunun kurulması, uygulamanın IP’sine bir rota bulunduğunu, firewall kuralının trafiğe izin verdiğini veya sunucunun cevap verebildiğini tek başına göstermez. Sorunu ayırmak için önce IP ve portu, sonra DNS’i, ardından FortiGate üzerindeki gidiş ve dönüş yolunu kontrol edin.

Bu rehberde FortiClient kullanan bir Windows istemciden IPv4 üzerinden HTTPS erişimini izliyoruz. Ana senaryo uzaktan erişim IPsec IKEv2. SSL VPN Tunnel Mode kullanan ortamlarda ilgili arayüz ve portal kontrolleri ayrıca belirtiliyor. Fortinet, FortiOS 7.6.3’te SSL VPN Tunnel Mode’u IPsec VPN ile değiştirdi. Fortinet sürüm notları

Örnek ortam

Bileşen	Değer
VPN istemcisi	10.250.10.25
VPN adres havuzu	10.250.10.0/24
İç uygulama	portal.lab.example → 10.20.30.10:443
İç DNS	10.20.30.53
İç ağ	10.20.30.0/24

Adresler temsili. Komutları kendi istemcinizin VPN IP’si ve erişim yetkiniz olan uygulama adresiyle çalıştırın.

1. Windows’ta rota, TCP ve DNS’i ayırın

VPN bağlıyken PowerShell’de çalıştırın:

ipconfig /all
Find-NetRoute -RemoteIPAddress 10.20.30.10
Find-NetRoute -RemoteIPAddress 10.20.30.53
Test-NetConnection 10.20.30.10 -Port 443 -InformationLevel Detailed
Resolve-DnsName portal.lab.example -Server 10.20.30.53 -DnsOnly
Resolve-DnsName portal.lab.example -DnsOnly
Test-NetConnection portal.lab.example -Port 443 -InformationLevel Detailed

Find-NetRoute çıktısında hedef için seçilen arayüzü ve rotayı inceleyin. Test-NetConnection çıktısında SourceAddress, InterfaceAlias, RemoteAddress ve TcpTestSucceeded alanlarına bakın. TCP 443 testi başarılı olduğunda uygulamayı tarayıcıda kendi adıyla açın. HTTPS’i IP adresiyle açmak sertifika adı veya sanal sunucu eşleşmesi nedeniyle farklı sonuç verebilir.

Belirti	İlk bakılacak yer
Uygulamanın rotası Wi-Fi üzerinden	Split tunnel hedefleri ve yerel ağla adres çakışması
Rota VPN üzerinden ama TCP 443 başarısız	Policy, sunucu portu ve dönüş yolu
İç DNS’e doğrudan sorgu başarılı, normal sorgu başarısız	Windows DNS seçimi ve varsa split DNS
Tam alan adı çalışıyor, kısa ad çalışmıyor	DNS suffix
DNS ve TCP çalışıyor, tarayıcıda hata var	TLS sertifikası, uygulama kaydı ve gerekiyorsa proxy

2. Split tunnel hedeflerini ve VPN havuzunu karşılaştırın

FortiGate’te doğru VDOM’da çalışın. IPsec uzaktan erişim profili için:

get system status
diagnose vpn ike gateway list
diagnose vpn tunnel list
show vpn ipsec phase1-interface
get router info routing-table details 10.20.30.10
get router info routing-table details 10.20.30.53

Bağlı dial-up oturumunu ve istemciye atanan IP’yi bulun. Phase 1 profilinde kullanılan Mode Config, IPv4 havuzu, DNS ve ipv4-split-include ayarlarını kontrol edin. DNS sunucusu uygulamadan farklı bir ağdaysa onun rotasını da ayrı doğrulayın. Ayar değiştiğinde istemciyi yeniden bağlayıp rotayı tekrar kontrol edin.

SSL VPN Tunnel Mode kullanılan bir sürümde kullanıcı grubuna gerçekten atanan portalı bulun. İstemci havuzu, split tunnel hedefleri ve DNS değerleri o portal ve SSL VPN ayarları üzerinden değerlendirilir. Firewall policy’de giriş arayüzü çoğunlukla ssl.root olur. IPsec’te ise oturumun geldiği tünel arayüzünü veya bağlı olduğu zone’u kontrol edin.

Çakışma örneği: Ev Wi-Fi ağı da 10.20.30.0/24 ise hangi arayüzün seçildiğini Windows’ta doğrulayın. Aynı testi farklı bir yerel ağdan tekrarlamak, adres çakışmasını diğer nedenlerden ayırır.

3. Firewall policy ve paket yolunu kontrol edin

Policy’nin VPN’den iç ağa yönünü, kullanıcı grubunu, kaynak havuzunu, hedef adresi ve TCP 443 servisini kontrol edin. DNS için iç sunucuya gerekli UDP/TCP 53 erişimini de doğrulayın. Ardından yalnızca test uygulamasına ait paketleri yakalayın:

diagnose sniffer packet any 'host 10.20.30.10 and tcp port 443' 4 20 l

Yakalamayı başlatınca Windows istemciden yeni bir TCP 443 denemesi yapın. Çıktı arayüz adlarını gösterir. Gerekirse Ctrl+C ile durdurun. LAN çıkışında SNAT uygulanıyorsa kaynak adresi değişebilir. Yakalama filtresi bu yüzden sunucu IP’sini esas alıyor.

Yakalama sonucu	Sonraki kontrol
VPN girişinde SYN görünmüyor	İstemcinin seçtiği rota, doğru hedef IP ve doğru VDOM
SYN VPN’de görülüyor, iç arayüzde çıkmıyor	Firewall policy ve hedefe rota
SYN iç arayüzden çıkıyor, SYN-ACK dönmüyor	Sunucu dinleme portu, sunucu firewall’u ve iç ağdaki dönüş rotası
SYN-ACK iç arayüzde geliyor, istemciye ulaşmıyor	FortiGate oturumu, dönüş yolu ve VPN yönündeki paket akışı

4. Debug flow ile eşleşen kuralı görün

Başka bir teşhis çalışmasıyla çakışmaması için ekiple koordineli çalışın. Yalnızca bir istemci, bir hedef ve TCP 443 için kısa bir iz alın:

diagnose debug flow filter clear
diagnose debug flow filter saddr 10.250.10.25
diagnose debug flow filter daddr 10.20.30.10
diagnose debug flow filter proto 6
diagnose debug flow filter dport 443
diagnose debug flow show function-name enable
diagnose debug flow trace start 15
diagnose debug enable

Yeni bağlantı deneyin. Çıktıda paketin geldiği arayüzü, seçilen rotayı ve izin veren policy ID’sini veya reddetme nedenini arayın. Kaynak ve hedef filtresi gidiş yönüne odaklanır. Dönüş yönünü iki tarafı gösteren paket yakalamasıyla kontrol edin. Mevcut donanım hızlandırmalı akışlar debug’da görünmeyebilir. İlk olarak yeni oturumla yeniden ölçün.

diagnose debug disable
diagnose debug flow trace stop
diagnose debug flow filter clear

Fortinet — Debugging the packet flow

5. Dönüş rotasını ve DNS davranışını doğrulayın

Dönüş rotası örneği. SYN uygulama ağına çıkıyor ama cevap FortiGate’e gelmiyor. Kaynak NAT kullanılmıyorsa uygulama 10.250.10.25 adresini görür. Sunucunun varsayılan ağ geçidi başka bir yönlendiriciyse o yönlendiricinin VPN havuzuna FortiGate üzerinden dönebildiğini kontrol edin. NAT uygulanıyorsa dönüş yolunu gözlenen çevrilmiş adrese göre değerlendirin.

DNS örneği. IP üzerinden TCP 443 çalışıyor, fakat portal adı çözülmüyor. Doğrudan iç DNS sorgusu başarılıysa istemcinin normal sorguda hangi DNS sunucusunu seçtiğini inceleyin. Tam alan adı çalışıyor ve yalnızca kısa ad başarısızsa DNS suffix’i kontrol edin. Fortinet’in IKEv2 için belgelediği suffix desteği FortiOS 7.6.4 ve FortiClient Windows 7.4.4 sürümlerinden başlar. Kullandığınız sürüm ve platformu doğrulayın. Fortinet Community — VPN üzerinden DNS çözümleme

Düzeltme sonrası VPN’i yeniden bağlayın. Önce iç DNS ve TCP 443 testlerini tekrarlayın, ardından portalı tam alan adıyla açıp gerçek uygulama oturumunu doğrulayın.

İlgili rehber — FortiClient ile SSL VPN’den IPsec IKEv2’ye geçiş