FortiClient VPN ei ühendu: levinumad põhjused ja lahendused

Kui FortiClient VPN ei ühendu, on põhjus enamasti lihtne: probleem on kasutaja internetis, seadetes või kontos, mitte tulemüüris. Allpool on kontrollid järjekorras kõige tõenäolisemast kõige keerulisemani. Esimese osa saab läbi teha ka tavakasutaja, viimane osa on mõeldud administraatorile.

Mida kasutaja saab ise kontrollida

1. Kas internet töötab? Avage brauseris mõni tavaline veebileht. Kui leht ei avane, ei ole probleem VPN-is.
2. Kas võrk blokeerib VPN-i? Hotellide, lennujaamade ja külaliste WiFi-võrgud blokeerivad sageli VPN-i porte. Proovige telefoni mobiilse andmeside jagamise kaudu. Kui seal töötab, on süüdi võrk, kus te asute.
3. Kas ühenduse seaded on õiged? FortiClientis kontrollige VPN-profiili serveri aadressi (Remote Gateway) ja porti. Üks valesti kirjutatud täht või vale port ongi sageli kogu probleem.
4. Kas parool kehtib? Kui VPN kasutab domeeni või Microsoft 365 kontot, võib parool olla aegunud. Proovige sama parooliga mujale sisse logida.
5. MFA kood. FortiToken Mobile kood muutub iga 30 sekundi järel. Kui koodid ei sobi, kontrollige, et telefoni kellaaeg on automaatne. Uue telefoni puhul tuleb token sageli uuesti aktiveerida.
6. Sertifikaadi hoiatus. Kui FortiClient näitab sertifikaadi hoiatust, ärge vajutage lihtsalt „jätka“. See võib tähendada, et tulemüüri sertifikaat on aegunud või et keegi võrgus püüab ühendust pealt kuulata. Teavitage administraatorit.
7. FortiClienti versioon. Väga vana FortiClient ei pruugi uue FortiOS-iga ühilduda. Uuendage FortiClient versioonile, mida teie IT-administraator soovitab.

Ühendus luuakse, aga midagi ei avane

Kui VPN näitab „Connected“, kuid failiserverid või programmid ei avane, on põhjus sageli kattuvates võrkudes. Kui kontori võrk on näiteks 192.168.1.0/24 ja kodune ruuter kasutab sama vahemikku, ei tea arvuti, kumba võrku pakette saata. Ajutine lahendus on kodu ruuteri võrgu muutmine, püsiv lahendus on kasutada kontoris vähem levinud alamvõrku. Sama kehtib VPN-i IP-aadresside kogumi (IP pool) kohta: see ei tohi kattuda kontori ega tüüpiliste koduvõrkudega.

Kontrollige ka, kas DNS töötab: kui serveri IP-aadressiga ühendus toimib, aga nimega mitte, tuleb VPN-i seadetes määrata sisemised DNS-serverid.

Kontrollid administraatorile

• Kasutaja ja grupp. Kas kasutaja kuulub VPN-i jaoks lubatud gruppi ja kas see grupp on lisatud tulemüürireeglisse, mis lubab VPN-liideselt liiklust sisevõrku?
• Logid. Log & Report → System Events → VPN Events näitab ebaõnnestunud sisselogimisi ja põhjust.
• SSL VPN-i silumine: diagnose debug application sslvpn -1 ja seejärel diagnose debug enable. Pärast testi lülitage välja käsuga diagnose debug disable.
• IPsec VPN-i silumine: diagnose vpn ike gateway list näitab aktiivseid IKE ühendusi, diagnose debug application ike -1 koos diagnose debug enable näitab läbirääkimise vigu.
• Sertifikaat. Kontrollige System → Certificates all, et VPN-i jaoks kasutatav sertifikaat ei ole aegunud.

SSL VPN kaob: üleminek IPsec IKEv2-le

Fortinet eemaldab FortiOS 7.6 harus SSL VPN-i ja soovitab kaugligipääsu viia üle IPsec VPN-ile (IKEv2) koos FortiClientiga. Esmalt eemaldati SSL VPN väiksema mäluga (2 GB RAM) algtaseme mudelitelt, hiljem laiemalt. Kui pärast püsivara uuendust SSL VPN äkki ei tööta või selle menüü on kadunud, võib põhjus olla just selles. Enne uuendamist lugege oma mudeli versiooni väljalaskemärkmeid (release notes).

Üleminek tähendab IPsec IKEv2 tunneli seadistamist tulemüüril ja uue VPN-profiili jagamist kasutajatele. Arvestage, et IPsec vajab UDP porte 500 ja 4500, mida mõni avalik WiFi võib blokeerida. Planeerige üleminek enne, kui uuendus selle peale sunnib.

Millal kutsuda abi

Kui viga puudutab kõiki kasutajaid, ilmnes pärast püsivara uuendust või on vaja SSL VPN-ilt IPsecile üle minna, on mõistlik kaasata FortiGate'i tundev spetsialist. ITABIKS aitab VPN-i probleemide ja ülemineku plaanimisega, vaata võrguseadmete seadistus või helista +372 53 888 229.