Когда FortiClient VPN не подключается, причина обычно простая: проблема в интернете пользователя, в настройках или в учётной записи, а не в межсетевом экране. Ниже — проверки от самых вероятных к более сложным. Первую часть может пройти любой пользователь, последняя рассчитана на администратора.
Что может проверить пользователь
- Работает ли интернет? Откройте в браузере любой обычный сайт. Если он не открывается, дело не в VPN.
- Не блокирует ли сеть VPN? Wi-Fi в гостиницах, аэропортах и гостевые сети часто блокируют VPN-порты. Попробуйте раздать интернет с телефона. Если так всё работает, виновата сеть, в которой вы находитесь.
- Правильны ли настройки подключения? В FortiClient проверьте адрес сервера (Remote Gateway) и порт в профиле VPN. Одна опечатка или неверный порт — частая причина всей проблемы.
- Не истёк ли пароль? Если VPN использует доменную учётную запись или учётную запись Microsoft 365, пароль мог устареть. Попробуйте войти с тем же паролем в другом месте.
- Код MFA. Код FortiToken Mobile меняется каждые 30 секунд. Если коды не принимаются, проверьте, что время на телефоне устанавливается автоматически. На новом телефоне токен обычно нужно активировать заново.
- Предупреждение о сертификате. Если FortiClient показывает предупреждение о сертификате, не нажимайте просто «продолжить». Это может означать, что сертификат межсетевого экрана истёк или что кто-то в сети пытается перехватить соединение. Сообщите администратору.
- Версия FortiClient. Очень старый FortiClient может не работать с новой FortiOS. Обновите FortiClient до версии, которую рекомендует ваш IT-администратор.
Подключение есть, но ничего не открывается
Если VPN показывает «Connected», но файловые серверы или программы не открываются, причина часто в пересекающихся сетях. Если офисная сеть, например, 192.168.1.0/24, а домашний роутер использует тот же диапазон, компьютер не знает, в какую сеть отправлять пакеты. Временное решение — сменить сеть на домашнем роутере, постоянное — использовать в офисе менее распространённую подсеть. То же касается пула IP-адресов VPN (IP pool): он не должен пересекаться ни с офисной сетью, ни с типичными домашними.
Проверьте и DNS: если сервер доступен по IP-адресу, но не по имени, в настройках VPN нужно указать внутренние DNS-серверы.
Проверки для администратора
- Пользователь и группа. Входит ли пользователь в группу, которой разрешён VPN, и добавлена ли эта группа в политику, разрешающую трафик с VPN-интерфейса во внутреннюю сеть?
- Логи. Log & Report → System Events → VPN Events показывает неудачные входы и их причину.
- Отладка SSL VPN:
diagnose debug application sslvpn -1, затемdiagnose debug enable. После теста отключите командойdiagnose debug disable. - Отладка IPsec VPN:
diagnose vpn ike gateway listпоказывает активные IKE-шлюзы,diagnose debug application ike -1вместе сdiagnose debug enableпоказывает ошибки согласования. - Сертификат. Проверьте в System → Certificates, что сертификат, используемый для VPN, не истёк.
SSL VPN уходит: переход на IPsec IKEv2
В ветке FortiOS 7.6 Fortinet убирает SSL VPN и рекомендует перевести удалённый доступ на IPsec VPN (IKEv2) с FortiClient. Сначала SSL VPN убрали на младших моделях с меньшим объёмом памяти (2 ГБ RAM), позже — шире. Если после обновления прошивки SSL VPN вдруг перестал работать или пропал его раздел меню, причина может быть именно в этом. Перед обновлением читайте release notes для своей модели и версии.
Переход означает настройку туннеля IPsec IKEv2 на межсетевом экране и раздачу пользователям нового VPN-профиля. Учтите, что IPsec нужны UDP-порты 500 и 4500, которые некоторые публичные Wi-Fi могут блокировать. Запланируйте переход до того, как обновление вынудит его сделать.
Когда обращаться к специалисту
Если проблема затрагивает всех пользователей, появилась после обновления прошивки или нужно перейти с SSL VPN на IPsec, разумно привлечь специалиста, хорошо знающего FortiGate. ITABIKS помогает с проблемами VPN и планированием перехода — см. настройка сетевых устройств или звоните +372 53 888 229.