¿Te afecta el fin del SSL-VPN? Compruébalo en un minuto desde el CLI

Desde FortiOS 7.6.3, el SSL-VPN en modo túnel ya no existe, y su configuración no se convierte sola a IPsec al actualizar. La pregunta práctica para cualquiera que administre un FortiGate es simple: ¿esto me afecta a mí, o no? No hace falta una auditoría para responderla. Con cuatro comandos de solo lectura en el CLI lo sabes en un minuto, sin interrumpir a nadie y sin cambiar nada.

Esta guía es el paso previo a todo lo demás de la serie: si al terminar resulta que no te afecta, aquí acaba tu tarea. Si te afecta, sabrás exactamente en cuál de los dos casos estás y por dónde seguir.

¿Qué necesito antes de empezar?

Una sesión de CLI en el FortiGate con un perfil de administrador que pueda leer la configuración: por SSH, por la consola del propio GUI (el ícono de terminal en la esquina superior) o por el puerto de consola. Ninguno de los comandos de esta guía modifica la configuración ni corta sesiones; se pueden correr en horario laboral.

Si administras varios FortiGate, repite la revisión en cada uno: es común que la oficina central ya no use SSL-VPN y que una sucursal lo siga usando desde hace años sin que nadie lo recuerde.

Paso 1: ¿en qué versión estoy?

get system status | grep Version

La línea de respuesta muestra el modelo y la versión, por ejemplo v7.4.8 o v7.6.4. Lo que importa:

• Si estás en 7.6.3 o superior y tenías SSL-VPN en modo túnel, ya lo perdiste. Ve directo al último apartado de esta guía.
• Si estás en una versión anterior, el corte todavía no te ha llegado. Sigue con los pasos 2 a 4 antes de planear cualquier actualización.

Paso 2: ¿uso SSL-VPN?

show firewall policy | grep -f ssl.root

ssl.root es la interfaz virtual por la que entra todo el tráfico de SSL-VPN, y el modificador -f muestra la política completa que la contiene, no solo la línea. Si la respuesta sale vacía, ninguna política permite tráfico de SSL-VPN: en la práctica, no lo estás usando.

Si aparecen políticas, sí lo usas. Pero este comando todavía no dice en qué modo: tanto el modo túnel como el modo web necesitan políticas desde ssl.root. Para distinguirlos está el paso 3.

Paso 3: ¿lo uso en modo túnel o solo en modo web?

show vpn ssl web portal | grep -f tunnel-mode

Este comando muestra los portales de SSL-VPN que tienen configurado el modo túnel. Si alguno aparece con set tunnel-mode enable, hay usuarios que se conectan con FortiClient y reciben acceso de equipo completo a la red: esos son los que se quedan sin acceso al llegar a 7.6.3.

Si ningún portal tiene el modo túnel habilitado, tus usuarios solo entran por el portal web, desde el navegador. Ese modo sigue existiendo en 7.6, con otro nombre: Agentless VPN.

Paso 4: ¿quién lo está usando hoy?

diagnose vpn ssl list

Lista las sesiones de SSL-VPN activas en este momento. Los usuarios en modo túnel aparecen con la IP que les asignó el FortiGate dentro del rango del túnel; los de modo web, sin ella. Es el dato que convierte "tenemos SSL-VPN configurado" en "estas personas dependen de él", y te sirve para dimensionar el grupo piloto de la migración.

Una sola consulta es una foto de ese momento. Si el resultado sale vacío un sábado, no significa que nadie lo use: repítela en un día y una hora de operación normal.

¿Cómo leo los resultados?

¿El portal web me resuelve todo si ya lo uso?

Solo si de verdad tus usuarios trabajan desde el navegador. Agentless VPN da acceso a aplicaciones web y a algunos servicios publicados en el portal, pero no da a la computadora del usuario una conexión a la red como si estuviera en la oficina. Si alguien usa una unidad de red, un ERP de escritorio o un escritorio remoto que no está publicado en el portal, el modo web no lo cubre aunque hoy le funcione "por otro lado". Antes de declarar que no te afecta, confirma con dos o tres usuarios cómo trabajan realmente desde fuera.

Si me afecta, ¿qué hago primero?

No actualices el firmware todavía. La ventaja de saberlo antes es que puedes migrar con el SSL-VPN funcionando como respaldo: configuras IPsec, lo pruebas con un grupo piloto (los nombres que salieron en el paso 4 son el punto de partida), mueves al resto y solo entonces actualizas. El orden completo, con cómo diagnosticar un túnel que no levanta, está en Migrar de SSL-VPN a IPsec en FortiGate: guía paso a paso.

Si en lugar de reponer lo mismo quieres aprovechar el cambio para dar acceso solo a las aplicaciones que cada quien necesita, el marco para decidir está en ¿Reparar el VPN o reemplazarlo?. Y si la tentación es quedarte en la versión actual para no tocar nada, en por qué seguir en SSL-VPN es un riesgo que crece está lo que cuesta esa decisión.

¿Y si ya actualicé y perdí el acceso?

La ruta de recuperación es la misma migración a IPsec; no hay un atajo distinto ni una forma de reactivar el modo túnel en 7.6.3. Lo que cambia es el orden: primero se restablece el acceso de las personas críticas, después el del resto. Si el FortiGate solo se administraba por la VPN que acabas de perder, vas a necesitar a alguien en sitio o un acceso de administración alterno para configurar el túnel nuevo.

El contexto completo de qué cambió en 7.6 y por qué está en FortiOS 7.6 eliminó el SSL-VPN: qué hacer antes de actualizar, y el resumen de toda la serie, con los dos caminos lado a lado, en SSL-VPN se acaba: la guía completa.

Lo que no resuelve esta revisión

Estos cuatro comandos te dicen si dependes del SSL-VPN y cuánto. No te dicen cómo están configurados la autenticación (local, LDAP, RADIUS o SAML), las rutas que recibe cada grupo ni el segundo factor, que son justo lo que hay que replicar en IPsec para que nadie note el cambio salvo por el cliente. Ese inventario es la primera tarea de la migración, y vale la pena hacerlo completo antes de mover al primer usuario.

Si prefieres que lo revisemos contigo, en Migración y Reemplazo de SSL-VPN está cómo lo hacemos: primero el diagnóstico de tu caso real y después la decisión, antes de cotizar cualquiera de los dos caminos.