¿Por qué la industria se aleja del SSL-VPN? (No es solo Fortinet)

Cuando Fortinet retiró el modo túnel del SSL-VPN en FortiOS 7.6.3, una de las reacciones más comunes fue esta: "prefieren eliminar una función en lugar de agregar otra capa de seguridad". Es una lectura entendible si se mira solo a un fabricante. Pero el SSL-VPN lleva años en la mira de toda la industria, y lo que hizo Fortinet es más una consecuencia de esa tendencia que una decisión aislada. Este artículo junta la evidencia pública, con sus fuentes, para que cada quien saque sus conclusiones.

¿Qué tiene de particular un SSL-VPN?

Un VPN de acceso remoto por SSL/TLS no es un estándar como IPsec. Cada fabricante construye su propia implementación encima de TLS: su propio portal web, su propio intercambio de credenciales, su propio túnel. Eso tiene ventajas reales (pasa por casi cualquier red porque usa el puerto 443, y el portal web no necesita cliente), pero también tres características que lo vuelven un blanco atractivo:

• Está expuesto a internet por diseño. Tiene que estarlo para que los usuarios remotos lleguen.
• Procesa datos de cualquiera antes de autenticarlo. El portal web recibe peticiones de quien sea, y una falla en ese código se puede explotar sin credenciales.
• Da acceso a la red interna. Comprometerlo no compromete un servidor cualquiera: compromete la puerta de entrada.

Y como cada implementación es propietaria, no hay una sola base de código revisada por toda la industria: hay una por fabricante, cada una con su propio historial de fallas.

¿Qué recomiendan las agencias de ciberseguridad?

En septiembre de 2021, la NSA y la CISA (la agencia de ciberseguridad de Estados Unidos) publicaron una guía conjunta para elegir y endurecer soluciones de VPN de acceso remoto, Selecting and Hardening Remote Access VPN Solutions. Su recomendación central es preferir VPN basados en estándares, es decir, IKE/IPsec, sobre los VPN SSL/TLS que dependen de código propietario de cada fabricante, y deshabilitar el respaldo a túneles SSL/TLS propios cuando el producto lo ofrezca. Complementa con autenticación multifactor, parcheo oportuno y reducir la superficie de ataque desactivando funciones que no sean de VPN.

Es decir: lo que Fortinet hizo en 7.6.3 (reemplazar el túnel SSL-VPN por IPsec) es, en esencia, lo que esa guía recomendaba cuatro años antes.

¿Es un problema de un solo fabricante?

No. La CISA, junto con agencias de otros países, publica cada año un informe conjunto de las vulnerabilidades más explotadas. Los equipos de acceso remoto aparecen una y otra vez, y de varios fabricantes:

• En el informe sobre 2020 (AA21-209A), las vulnerabilidades más explotadas incluían VPN de Pulse Secure (hoy Ivanti), Citrix y Fortinet. La de Fortinet llevaba corregida desde 2019 y seguía siendo de las más usadas por los atacantes: el problema era el parche que nadie aplicó.
• En el informe sobre 2023, publicado en noviembre de 2024, aparecen dos fallas de Citrix NetScaler Gateway y una del SSL-VPN de FortiOS entre las principales, y 11 de las 15 se explotaron primero como día cero.
• La CISA emitió directivas de emergencia, que obligan a las agencias federales a actuar de inmediato, por vulnerabilidades explotadas activamente en Pulse Connect Secure (ED 21-03, 2021) y en Ivanti Connect Secure (ED 24-01, 2024), ambos productos de acceso remoto SSL.

El patrón no es "un fabricante con mala suerte". Es una categoría de producto, expuesta y propietaria, que la industria entera ha tenido que parchar de emergencia una y otra vez.

¿Entonces Fortinet quitó seguridad?

Conviene separar lo que se quitó de lo que se reemplazó. Según las notas de versión de FortiOS 7.6.3, el modo túnel del SSL-VPN se reemplaza por IPsec VPN, que puede configurarse para usar el puerto TCP 443, el mismo del SSL-VPN, para no perder la ventaja de pasar por redes restrictivas. Con un matiz que vale la pena saber antes de prometérselo a los usuarios: IPsec por TCP solo funciona con IKEv2 y FortiOS 7.4.2 o superior, y según Fortinet no está disponible en el FortiClient VPN gratuito: requiere el FortiClient con licencia, administrado por EMS. Con el cliente gratuito, el túnel usa UDP 500 y 4500, que pasa por la mayoría de las redes. El modo web sigue existiendo como Agentless VPN. Y la "capa adicional" que muchos echan de menos sí existe, solo que no como parte del VPN: es ZTNA, que da acceso a cada aplicación según la identidad y el estado del equipo, en lugar de abrir la red completa.

Lo que sí es discutible es la forma. La configuración no se migra sola al actualizar, y en equipos pequeños la baja empezó antes que en el resto. Para una base instalada enorme, con configuraciones que llevan años sin que nadie las toque, la crítica razonable no es "quitaron seguridad", sino "pusieron mucho trabajo de migración en manos de los clientes".

¿Pasa lo mismo con otros protocolos de VPN?

La tendencia no se limita al SSL-VPN. Microsoft anunció la deprecación de PPTP y L2TP en el servicio de VPN de Windows Server (RRAS) y recomienda migrar a SSTP o IKEv2. PPTP se considera inseguro desde hace muchos años, y L2TP no cifra nada por sí solo si no va con IPsec. El mensaje de fondo es el mismo: los protocolos de acceso remoto antiguos o propietarios se están retirando a favor de estándares más sólidos y de modelos de confianza cero.

¿Qué significa esto para quien administra un FortiGate?

Que la migración no es un capricho que haya que resistir, sino el momento de dejar el acceso remoto como las propias agencias recomiendan:

• Túnel estándar: IPsec con IKEv2, como recomienda la guía de la NSA y la CISA. El paso a paso está en Migrar de SSL-VPN a IPsec en FortiGate.
• Autenticación multifactor en todo acceso remoto, sin excepciones.
• Parches al día. Las listas de la CISA muestran que buena parte de los ataques usan fallas corregidas hace tiempo. En por qué seguir en SSL-VPN es un riesgo que crece está lo que cuesta posponer la actualización.
• Menos superficie expuesta: nada publicado a internet que no tenga que estarlo, empezando por la consola de administración del propio equipo.
• Si quieres ir más allá del VPN, ZTNA. El marco para decidir está en ¿Reparar el VPN o reemplazarlo?

Si todavía no sabes si el cambio te afecta, empieza por ¿Te afecta el fin del SSL-VPN? Compruébalo en un minuto desde el CLI, y el panorama completo de la serie está en SSL-VPN se acaba: la guía completa.

Referencias

• NSA y CISA, CISA and NSA Release Guidance on Selecting and Hardening VPNs, 28 de septiembre de 2021, y comunicado de la NSA.
• CISA y agencias aliadas, AA21-209A: Top Routinely Exploited Vulnerabilities (vulnerabilidades más explotadas de 2020), julio de 2021.
• CISA y agencias aliadas, Joint Advisory on 2023 Top Routinely Exploited Vulnerabilities, noviembre de 2024.
• CISA, ED 21-03: Mitigate Pulse Connect Secure Product Vulnerabilities, abril de 2021.
• CISA, directiva de emergencia sobre Ivanti Connect Secure y Policy Secure (ED 24-01), 2024.
• Fortinet, notas de versión de FortiOS 7.6.3: "Starting in FortiOS 7.6.3, the SSL VPN tunnel mode feature is replaced with IPsec VPN, which can be configured to use TCP port 443."
• Petri, Microsoft to Phase Out PPTP and L2TP Protocols to Boost VPN Security in Windows Server.