MFA en el VPN IPsec del FortiGate: qué opciones tienes al dejar el SSL-VPN

Una de las preguntas que aparecen en cuanto alguien migra del SSL-VPN a IPsec en un FortiGate: "¿y el segundo factor?". Si hoy tus usuarios entran al SSL-VPN con contraseña más un código de FortiToken, una notificación en el celular o el inicio de sesión de Microsoft, lo último que quieres es que el VPN nuevo sea más débil que el viejo. La buena noticia: IPsec con IKEv2 en FortiGate soporta autenticación multifactor por varios caminos. La mala: no todos sirven para todos, y el que elijas depende de dónde viven hoy tus usuarios.

¿Por qué no basta con copiar lo que tenía en el SSL-VPN?

Porque la forma de autenticar cambia. En IKEv1 existía XAuth; en IKEv2, que es lo que se recomienda usar, la autenticación de usuarios va por EAP. Eso significa que el método que funcionaba en el portal del SSL-VPN no siempre se traslada tal cual: depende de qué variante de EAP soporten tu servidor de autenticación y tu versión de FortiClient. Por eso conviene decidir el método de MFA antes de configurar el túnel, no después.

¿Qué opciones tengo?

Según la documentación y los artículos técnicos de Fortinet, hay cuatro caminos principales:

¿Cuál conviene para una empresa que ya usa Microsoft 365?

Casi siempre SAML con Microsoft Entra ID. El usuario se autentica en la misma pantalla de Microsoft que ya conoce, con el mismo segundo factor que ya tiene configurado, y las políticas de acceso condicional que ya aplicas a Microsoft 365 aplican también al VPN. No hay un segundo sistema de MFA que administrar ni otro token que repartir.

Dos detalles que Fortinet documenta para este caso: la función requiere FortiClient 7.2.4 o posterior, solo funciona con IKEv2, y el FortiGate escucha la autenticación SAML en un puerto TCP propio (por omisión, el 1001), que hay que permitir.

¿Y si ya tengo un servidor RADIUS?

Si tu MFA hoy vive en un RADIUS, por ejemplo NPS con una extensión de MFA o FortiAuthenticator con FortiToken, puedes conservarlo. FortiClient usa EAP-MSCHAPv2 por omisión con IKEv2, así que tu RADIUS debe aceptarlo. Y hay un ajuste que casi todos olvidan: los tiempos de espera. Por omisión, la negociación del túnel espera unos 30 segundos; si el usuario tarda más en aprobar la notificación o teclear el código, el túnel falla y parece que "el VPN no funciona". Los artículos de Fortinet recomiendan ampliar a unos 120 segundos:

config system global
    set remoteauthtimeout 120
end
config vpn ipsec phase1-interface
    edit "<nombre del túnel>"
        set negotiate-timeout 120
    next
end

Y, si usas RADIUS, ampliar también el tiempo de espera del servidor RADIUS en config user radius.

¿Qué problemas aparecen en la práctica?

• Versiones de FortiClient mezcladas. SAML y EAP-TTLS exigen versiones mínimas. Si tienes equipos con clientes viejos, esos usuarios no van a poder conectarse aunque la configuración del FortiGate esté bien. Revisa el inventario antes de cambiar.
• Dispositivos móviles. Fortinet documenta limitaciones para usar FortiToken directamente con FortiClient en iOS en túneles de acceso remoto; la alternativa documentada es agregar el código al final de la contraseña. Pruébalo con un celular real antes de anunciar el cambio.
• macOS. Revisa el licenciamiento de FortiClient para macOS con IKEv2 antes de planear el despliegue; hay notas de la comunidad de Fortinet sobre requisitos de licencia en versiones recientes.
• El error que parece de red y es de tiempo. Si el túnel cae justo mientras el usuario aprueba el MFA, casi siempre son los tiempos de espera del apartado anterior.

¿Cómo lo pruebo sin afectar a nadie?

Igual que el resto de la migración: con un grupo piloto y el SSL-VPN todavía funcionando como respaldo. Configura el túnel IPsec con el método de MFA elegido, prueba con tres o cuatro usuarios que representen los casos reales (Windows, macOS, un celular, alguien fuera de la oficina con mala conexión) y solo entonces mueve al resto. El orden completo está en Migrar de SSL-VPN a IPsec en FortiGate: guía paso a paso.

Si todavía no sabes si el fin del SSL-VPN te afecta, empieza por ¿Te afecta el fin del SSL-VPN? Compruébalo en un minuto desde el CLI. Y si lo que buscas es ir más allá del VPN, con acceso por aplicación en lugar de a toda la red, el marco para decidir está en ¿Reparar el VPN o reemplazarlo?.

Referencias

• Fortinet, SAML-based authentication for FortiClient remote access dialup IPsec VPN clients (guía de administración de FortiOS).
• Fortinet Community, FortiOS IKEv2 dial-up VPN user and multi-factor authentication resources.
• Fortinet Community, IKEv2 dial-up IPsec tunnel with RADIUS and FortiToken MFA.
• Fortinet Community, Multi-factor authentication support for Windows FortiClient with LDAP (EAP-TTLS).
• Fortinet Community, How to configure Microsoft Entra ID SAML authentication for dial-up IPsec VPN.