Si tienes un FortiGate con SSL-VPN, esto ya te toca, aunque todavía no lo hayas notado: desde FortiOS 7.6.3, el modo túnel de SSL-VPN ya no existe, y la configuración actual no se migra sola al actualizar. No es una nota de versión menor -es un evento forzado sobre toda la base instalada de FortiGate con SSL-VPN, en algún momento, sin excepción-.
Esta guía reúne, en un solo lugar, los dos caminos posibles y cómo decidir entre ellos.
¿Qué pasó exactamente?
Fortinet reemplazó el modo túnel de SSL-VPN por IPsec VPN a partir de FortiOS 7.6.3, en todos los modelos de FortiGate. El modo web (portal en navegador) sigue existiendo, renombrado como Agentless VPN, pero no cubre a quien dependía del modo túnel de equipo completo. El detalle completo, con la checklist de qué auditar antes de actualizar, está en FortiOS 7.6 mató el SSL-VPN: qué hacer antes de actualizar.
Camino 1: migrar a IPsec
El camino de menor fricción: te quedas en tu FortiGate, cambias el protocolo de túnel a IPsec con IKEv2, migras en paralelo con un grupo piloto, y retiras el SSL-VPN al final, no al principio. La guía paso a paso, incluido cómo diagnosticar un túnel que no levanta, está en Migrar de SSL-VPN a IPsec en FortiGate.
Camino 2: saltar a ZTNA
La opción para quien quiere aprovechar el cambio forzado para dejar atrás el modelo de "VPN a toda la red", a favor de acceso solo a la aplicación específica que cada usuario necesita. Con Forcepoint ONE, además del acceso Zero Trust se suma visibilidad de aplicaciones en la nube (CASB) y prevención de fuga de datos (DLP). Qué cambia en el día a día, con ejemplos concretos para usuario y administrador, en ZTNA en la práctica.
¿Cuál te conviene?
No hay una respuesta única -depende de tu equipo, tu exposición real y tu tolerancia a cambio-. El marco de decisión completo, con una tabla comparativa lado a lado, está en ¿Reparar el VPN o reemplazarlo?.
¿Por qué no conviene esperar a decidir?
Quedarte en firmware viejo para posponer cualquiera de las dos decisiones no es una opción neutral: los appliances de acceso remoto son de los blancos más constantes de la industria, y cada mes sin actualizar acumula exposición. Los cuatro factores para medir qué tan urgente es tu caso específico están en Por qué seguir en SSL-VPN es un riesgo que crece.
Resumen de la serie
| Artículo | Para quién |
|---|---|
| FortiOS 7.6 mató el SSL-VPN | Quien todavía no sabe si esto le afecta |
| Migrar de SSL-VPN a IPsec | Quien ya decidió migrar y quiere el paso a paso |
| ¿Reparar o reemplazar? | Quien todavía no decide entre los dos caminos |
| El riesgo de posponer | Quien está considerando no hacer nada por ahora |
| ZTNA en la práctica | Quien ya se inclina por el salto a Zero Trust |
Si prefieres que lo evaluemos contigo
Hacemos un diagnóstico breve de tu caso real -tamaño de tu equipo remoto, exposición actual- y te decimos qué camino conviene, antes de cotizar cualquiera de los dos. Los detalles del servicio están en Migración y Reemplazo de SSL-VPN.
¿Y si mi FortiGate ya está actualizado y ya perdí el acceso?
La ruta de recuperación es la misma migración a IPsec -no hay un atajo distinto-, solo que sin la ventaja de hacerla antes del corte: toca configurarla con usuarios ya sin acceso, lo cual sube la presión de tiempo pero no cambia los pasos técnicos. Si es tu caso, empieza directo por la guía de migración; el diagnóstico previo del primer artículo ya no aplica, porque el corte ya ocurrió.
El costo de tratar esto como "otro ticket más"
Es fácil ver esta migración como una tarea técnica aislada -cambiar un protocolo de VPN- y perderla entre el resto del trabajo del trimestre. El riesgo de esa lectura: mientras se pospone, el firmware sigue sin actualizar, y cada mes que pasa suma exposición en un tipo de dispositivo que es de los blancos más constantes de la industria. No es alarmismo, es aritmética simple: el costo de planear esto con tiempo siempre es menor que el costo de resolverlo bajo presión, con usuarios ya sin acceso.
¿Cada cuánto se actualiza esta guía?
Fortinet sigue publicando parches menores dentro de la rama 7.6.x, y es posible que aparezcan ajustes adicionales al comportamiento de Agentless VPN o a las herramientas de migración asistida. Si tu firmware ya trae una versión más reciente que la documentada aquí, vale la pena revisar las notas de versión oficiales de Fortinet antes de ejecutar cualquiera de las dos rutas -esta guía cubre el criterio de decisión, no sustituye la documentación de release notes del fabricante para tu build específico-.
No lo rechaces por no tener quién lo opere. Tú lo vendes y conservas a tu cliente; nosotros ponemos la ingeniería, con nuestro nombre junto al tuyo.
Conoce BehindITarrow_forwardPreguntas frecuentes
help ¿Qué le pasó al SSL-VPN de FortiGate?
Desde FortiOS 7.6.3, el modo túnel de SSL-VPN ya no existe, reemplazado por IPsec VPN. La configuración actual no se migra automáticamente al actualizar.
help ¿Debo migrar a IPsec o saltar a ZTNA?
Depende de tu caso: IPsec es el camino de menor fricción si tu equipo remoto es pequeño y estable; ZTNA conviene si tienes terceros con acceso puntual o te preocupa la superficie de ataque de una VPN tradicional.
help ¿Qué pasa si pospongo la decisión?
Quedarte en firmware viejo para conservar el SSL-VPN acumula exposición cada mes que pasa, además de que en algún momento tendrás que actualizar de cualquier forma -por soporte o fin de vida del equipo-.
help ¿Por dónde empiezo si no sé si esto me afecta?
Por FortiOS 7.6 mató el SSL-VPN: qué hacer antes de actualizar, que incluye la checklist de auditoría para saber si tu configuración actual depende del modo túnel que fue eliminado.
Rubén Espinoza es fundador y Director Técnico de IT Experts de México. Trabaja en la industria de TI desde 1998: diseña y opera soluciones de infraestructura, ciberseguridad, continuidad, automatización y tecnología OT para entornos empresariales e industriales. Escribe desde proyectos reales y sistemas en producción.
Ver perfil y todos sus artículos →