FortiOS 7.6.3’te SSL VPN Tunnel Mode Kaldırıldı: FortiClient ile IPsec IKEv2’ye Geçiş

FortiGate’i yükselttiniz. Ertesi sabah uzaktan çalışan ekip FortiClient’ı açtı ve herkes aynı hatayı almaya başladı. FortiOS 7.6.3’e geçiyorsanız bu senaryoyu bakım penceresinden önce önleyebilirsiniz. Bir pilot kullanıcıyla yeni IPsec profilini kurun ve yükseltme başlamadan önce gerçek bir iş uygulamasına erişimi doğrulayın.

Fortinet, FortiOS 7.6.3’ten itibaren SSL VPN tünel modunu IPsec VPN ile değiştirdi. Önceki sürümden gelen tünel modu ayarları ve ilgili firewall kuralları taşınmıyor. Tarayıcı tabanlı eski SSL VPN web modu ise Fortinet dokümantasyonunda Agentless VPN adıyla geçiyor. İlk işiniz kullanıcıların FortiClient tüneli mi, tarayıcı erişimi mi kullandığını belirlemek olsun. Fortinet geçiş kılavuzu

1. Yükseltmeden önce mevcut erişimi çıkarın

Bir SSL VPN portalının arkasında çoğu zaman birden fazla kullanıcı grubu ve erişim kuralı vardır. Yeni IPsec tünelini tasarlamadan önce her grubun hangi uygulamaları, hangi portlardan kullandığını kaydedin.

Mevcut SSL VPN’de kontrol edin	Yeni IPsec erişiminde karşılığı
Portal ve kullanıcı grubu eşleşmeleri	Kimlik doğrulama yöntemi, MFA akışı ve IPsec erişim grubu
İstemci IP havuzu	İç ağlarla, pilot sırasında eski VPN havuzuyla ve yaygın istemci ağlarıyla çakışmayacak yeni havuz
Split tunnel ağları	VPN’e yönlendirilecek hedef ağlar
İç DNS ve kısa ad kullanımı	İstemciye verilecek DNS sunucuları, desteklenen DNS suffix davranışı ve erişim izinleri
SSL VPN kaynak arayüzünü kullanan policy’ler	IPsec tünel arayüzünden iç ağa gerekli servisler için yeni policy’ler
EMS profilleri ve yönetilmeyen istemciler	Pilot profil dağıtımı, istemci sürümü ve işletim sistemi uyumluluğu
FortiGate yönetim erişimi	VPN’den bağımsız yönetim ağı veya konsol ve doğrulanmış konfigürasyon yedeği

Örnek lab. Pilot kullanıcıya ayrı VPN havuzundan IP veriyoruz. Kullanıcı iç DNS sunucusu 10.20.30.53 üzerinden portal.lab.example adını çözüyor ve 10.20.30.10:443 üzerindeki uygulamaya ulaşıyor. Pilot grubu için yalnızca gerekli DNS ve HTTPS erişimini açıyoruz. İç ağda FortiGate dışında bir yönlendirici varsa VPN havuzuna dönüş rotasını da kontrol ediyoruz.

2. FortiGate’te IKEv2 Remote Access tünelini oluşturun

1. VPN → VPN Wizard altında bir Remote Access tüneli açın. Örnek ad RA-IKEV2-PILOT. İstemci türü olarak FortiClient, IKE sürümü olarak Version 2 seçin. Menü ve seçenekler çalıştırdığınız FortiOS sürümüne göre değişebilir.
2. Tüneli internet bağlantısının geldiği WAN arayüzüne bağlayın. Lab için PSK ve EAP ile test ediyorsanız pilot grubunu ayrıca tanımlayın. Üretimde sertifika, kimlik sağlayıcı ve MFA gereksinimlerini kullandığınız yöntemle birlikte doğrulayın.
3. İstemci IP havuzunu, DNS sunucularını ve split tunnel hedeflerini tanımlayın. Lab’da hem portalın hem de DNS sunucusunun IP’si VPN üzerinden erişilebilen ağa dahil olmalı.
4. Tünel arayüzünden uygulama ve DNS sunucusuna gereken erişimleri tanımlayın. Lab senaryosunda kaynak NAT kapalı ve dönüş rotası mevcut. Böylece iç sunucu kayıtlarında istemcinin VPN IP’sini görebilirsiniz.
5. FortiClient’ta yeni bir IPsec VPN profili açın. Gateway, IKE sürümü, taşıma ve kimlik doğrulama ayarları FortiGate ile eşleşsin. EMS kullanıyorsanız yeni profili önce pilot gruba dağıtın.

Fortinet VPN Wizard kılavuzu

3. UDP 500/4500 ile başlayın, kısıtlı ağda TCP 443’ü test edin

Bağlantı koşulu	Test
Ev interneti veya mobil erişim üzerinden standart bağlantı	IKE için UDP 500’ü ve NAT-T kullanıldığında UDP 4500’ü doğrulayın.
Misafir ağı veya UDP’yi engelleyen bağlantı	Her iki uçta da desteklenen IKEv2 TCP taşımasını yapılandırın. TCP 443 kullanacaksanız istemci profilinde ve FortiGate’te aynı portu doğrulayın.
İki tür ağdan bağlanan kullanıcılar	Sürümünüz destekliyorsa Auto taşımanın UDP’den TCP’ye geçişini iki ayrı ağda deneyin.

TCP 443’ü açmadan önce port çakışmasına bakın. Aynı WAN arayüzündeki FortiGate yönetim HTTPS’i, mevcut SSL VPN veya Agentless VPN ve ZTNA gibi servislerin port kullanımını kontrol edin. Pilot sırasında eski SSL VPN de 443 kullanıyorsa ayrı bir dinleme portu veya uygun ayrı arayüz planlayın. Kısıtlı ağ yalnızca 443’e izin veriyorsa alternatif port o ağdaki testi karşılamaz. IPsec’in TCP 443 kullanması da HTTPS trafiği olduğu anlamına gelmez. İstemciyi gerçek misafir ağından deneyin. Fortinet’in TCP taşıması için belirttiği başlangıç sürümleri FortiOS 7.4.2 ve FortiClient 7.4.1’dir. Dağıtımdan önce kendi platformunuzu ve sürüm çiftinizi kontrol edin. Geçiş kılavuzu · IKE-TCP port çakışmaları

4. “VPN bağlandı” ekranının ötesine geçin

Pilot kullanıcı şirket dışındaki bir ağdan bağlandıktan sonra Windows PowerShell’de aşağıdaki kontrolleri yapabilir. Adresleri kendi ortamınıza göre değiştirin.

ipconfig /all
route print -4
Resolve-DnsName portal.lab.example -Server 10.20.30.53 -DnsOnly
Resolve-DnsName portal.lab.example -DnsOnly
Test-NetConnection 10.20.30.10 -Port 443

Önce istemcinin beklenen VPN IP’sini ve hedef rotayı aldığını kontrol edin. İlk DNS sorgusu doğrudan iç DNS sunucusunu sınar. İkinci sorgu istemcinin normal DNS davranışını gösterir. IP adresine yapılan TCP testi başarılıysa tarayıcıdan uygulamayı alan adıyla açın ve oturum açmayı deneyin. Ardından pilot grubunun yetkisiz bir ağa erişemediğini ve split tunnel uygulanıyorsa normal internet trafiğinin beklenen yoldan çıktığını doğrulayın.

FortiGate tarafında IKE oturumunu kontrol edin. Aktif dial-up oturumu, tünel adının sonuna indeks eklenmiş biçimde görünebilir.

diagnose vpn ike gateway list
diagnose vpn tunnel list

Çıktıda ilgili oturumu, IKE sürümünü, taşıma tipini ve kurulan güvenlik ilişkilerini kontrol edin. Test trafiği üretirken tünel sayaçlarının iki yönde değişip değişmediğine bakın. Ham teşhis çıktılarını paylaşmadan önce oturum anahtarı ve kimlik bilgisi gibi hassas alanları ayıklayın. Fortinet IKEv2 dial-up doğrulama örneği

5. Bağlantı başarısızsa belirtiden başlayın

Belirti	İlk kontrol
FortiGate’e bağlantı denemesi ulaşmıyor	FortiClient gateway adresi, WAN erişimi, upstream NAT, UDP 500/4500 veya yapılandırılmış TCP portu
Trafik geliyor ama IKE oturumu kurulmuyor	İki uçta IKEv2, taşıma, PSK veya sertifika, şifreleme teklifleri ve DH uyumu
Kimlik doğrulama reddediliyor	Kullanıcı grubu, EAP veya SAML ayarı, MFA sonucu ve kimlik sağlayıcı kayıtları
VPN bağlı ama uygulama IP’sine erişim yok	Split tunnel rotası, firewall policy, iç sunucunun dönüş rotası ve uygulamanın dinlediği port
IP’ye erişim var ama alan adı çözülmüyor	İç DNS’e erişim, istemcinin kullandığı DNS sunucusu ve gerekiyorsa DNS suffix

FortiOS 7.6.3 CLI sözdizimiyle, bakım ekibiyle koordineli biçimde tek bir pilot denemesini kaydedin. Tünel henüz eşleşmiyorsa isim filtresi erken IKE mesajlarını gizleyebilir. Bu durumda sürümünüzün CLI yardımından uygun istemci adresi filtresini kontrol edin.

diagnose debug reset
diagnose vpn ike log filter clear
diagnose vpn ike log filter name RA-IKEV2-PILOT
diagnose debug console timestamp enable
diagnose debug application ike -1
diagnose debug enable

Bir bağlantı denemesi aldıktan sonra debug’ı kapatın ve filtreyi temizleyin.

diagnose debug disable
diagnose debug reset
diagnose vpn ike log filter clear

FortiOS 7.6.3 IKE CLI referansı

6. Kullanıcıları taşıyın, ardından FortiOS’u yükseltin

Pilotun başarılı sayılması için kullanıcı dış ağdan bağlanabilmeli, MFA tamamlanmalı, DNS çözülmeli, gerçek uygulama açılmalı ve bağlantı kopup yeniden geldiğinde aynı testler geçmeli. Sonra yeni profili gruplar halinde dağıtın. Her grup için erişim kapsamını ve eski profilde kalan kullanıcıları takip edin.

Geri dönüş kararını bakım öncesinde yazın. Yükseltmeden önce pilot başarısız olursa kullanıcılar, çalışır durumdaki eski SSL VPN profiline dönebilir. Yükseltmeden sonra aynı FortiOS üzerinde SSL VPN tünel moduna dönmek mümkün olmadığından, geri dönüş gerekiyorsa cihaz ve sürüm için geçerli firmware geri dönüş prosedürü, eşleşen konfigürasyon yedeği ve bağımsız yönetim erişimi hazır olmalı. Bir pilot grup uygulama testini geçmediyse yükseltmeyi erteleyin. Fortinet geçiş kılavuzu

Siz FortiClient’ı en çok hangi ağda test etmek zorunda kalıyorsunuz? Ev interneti, mobil bağlantı veya UDP’yi engelleyen misafir ağı? FortiOS ve FortiClient sürümlerinizle birlikte yorumlarda paylaşın.