Cómo Configurar VPN en FortiGate para Teletrabajo Seguro

Configurar SSL VPN en FortiGate: Guía Completa

El teletrabajo llegó para quedarse. Esta guía te enseña a configurar SSL VPN en tu FortiGate para que tus empleados trabajen de forma segura desde casa.

Requisitos Previos

• FortiGate con firmware 7.0 o superior

• Licencia FortiCare activa (para actualizaciones)

• IP pública fija o DDNS configurado

• Puerto 443 o 10443 disponible en tu firewall

Paso 1: Crear Usuarios VPN

Opción A: Usuarios Locales

config user local
    edit "usuario.vpn"
        set type password
        set passwd "ContraseñaSegura123!"
    next
end

Opción B: Integración con Active Directory (Recomendado)

config user ldap
    edit "LDAP-AD"
        set server "192.168.1.10"
        set cnid "sAMAccountName"
        set dn "DC=empresa,DC=local"
        set type regular
        set username "CN=ldap_reader,OU=ServiceAccounts,DC=empresa,DC=local"
        set password "ContraseñaLDAP"
    next
end

Paso 2: Crear Grupo de Usuarios VPN

config user group
    edit "GRP_VPN_Users"
        set member "usuario.vpn"
    next
end

Paso 3: Configurar Portal SSL VPN

config vpn ssl web portal
    edit "portal-teletrabajo"
        set tunnel-mode enable
        set web-mode enable
        set ip-pools "SSLVPN_TUNNEL_ADDR1"
        set split-tunneling disable
        set source-address "all"
    next
end

Explicación de Opciones:

• tunnel-mode: Permite túnel completo (recomendado)

• web-mode: Acceso a recursos vía navegador

• split-tunneling disable: Todo el tráfico pasa por VPN (más seguro)

Paso 4: Configurar SSL VPN Settings

config vpn ssl settings
    set servercert "Fortinet_Factory"
    set tunnel-ip-pools "SSLVPN_TUNNEL_ADDR1"
    set source-interface "wan1"
    set source-address "all"
    set default-portal "portal-teletrabajo"
    config authentication-rule
        edit 1
            set groups "GRP_VPN_Users"
            set portal "portal-teletrabajo"
        next
    end
end

Paso 5: Crear Política de Firewall

config firewall policy
    edit 100
        set name "VPN-to-LAN"
        set srcintf "ssl.root"
        set dstintf "lan"
        set srcaddr "all"
        set dstaddr "LAN_Network"
        set action accept
        set schedule "always"
        set service "ALL"
        set logtraffic all
        set groups "GRP_VPN_Users"
    next
end

Paso 6: Descargar e Instalar FortiClient

Los usuarios necesitan FortiClient para conectarse:

• Descargar desde: https://www.fortinet.com/support/product-downloads

• Instalar FortiClient VPN (versión gratuita es suficiente)

• Configurar nueva conexión:

- Nombre: VPN Empresa
- Servidor: vpn.tuempresa.com:443
- Usuario: usuario.vpn

Configuraciones de Seguridad Adicionales

Habilitar Autenticación de Dos Factores (2FA)

config user local
    edit "usuario.vpn"
        set two-factor fortitoken
        set fortitoken "FTKMOB1234567890"
    next
end

Limitar Horarios de Acceso

config firewall schedule recurring
    edit "Horario-Laboral"
        set day monday tuesday wednesday thursday friday
        set start 08:00
        set end 20:00
    next
end

Verificar Cumplimiento del Endpoint

Con FortiClient EMS puedes:

• Verificar antivirus actualizado

• Exigir firewall activo

• Bloquear dispositivos no corporativos

Troubleshooting Común

Error: "Unable to establish connection"

• Verifica que el puerto 443 esté abierto

• Revisa que el certificado SSL sea válido

• Confirma credenciales correctas

Conexión lenta

• Considera usar split-tunneling para mejorar rendimiento

• Verifica ancho de banda del usuario remoto

• Revisa la utilización del FortiGate

Usuario no puede acceder a recursos internos

• Verifica la política de firewall VPN-to-LAN

• Confirma que las rutas estén correctas

• Revisa logs de tráfico denegado

Monitorear Conexiones VPN

Ver usuarios conectados:

diagnose vpn ssl list

Ver estadísticas:

get vpn ssl monitor

Desconectar usuario específico:

execute vpn sslvpn del-tunnel username

Mejores Prácticas

• Usa certificados válidos: Evita advertencias de seguridad

• Habilita 2FA: Protección adicional contra robo de credenciales

• Logs detallados: Para auditoría y troubleshooting

• Políticas restrictivas: Solo acceso a recursos necesarios

• Actualiza firmware: Parches de seguridad importantes

¿Necesitas Ayuda con tu VPN?

En FortiStore Venezuela ofrecemos:

• Configuración profesional de SSL VPN

• Integración con Active Directory

• Implementación de 2FA con FortiToken

• Soporte técnico continuo