Ya migraste a IPsec: qué apagar del SSL-VPN y qué revisar antes de actualizar

Migraste a tus usuarios del SSL-VPN a IPsec, el túnel nuevo funciona y nadie se ha quejado. Es tentador dar el proyecto por terminado. Pero falta la mitad que casi siempre se olvida: apagar lo viejo. Un SSL-VPN que nadie usa pero sigue habilitado conserva toda su superficie de ataque y ninguna de sus ventajas. Esta es la lista de cierre, en el orden en que conviene hacerla.

¿Por qué no basta con dejar de usarlo?

Porque mientras siga habilitado, el portal del SSL-VPN sigue respondiendo en internet a cualquiera que lo busque. Las fallas que se han explotado en equipos de acceso remoto, de varios fabricantes, en muchos casos no requieren que el atacante tenga una cuenta: basta con que el servicio esté escuchando. Un servicio que no se usa no aporta nada y sí suma riesgo.

¿Qué apago primero?

Antes de tocar nada, confirma que de verdad ya nadie lo usa. En un día y hora de operación normal:

diagnose vpn ssl list

Si todavía aparecen sesiones, identifica a esos usuarios y muévelos antes de seguir. Cuando la lista esté vacía varios días seguidos, sigue este orden:

1. Deshabilita el SSL-VPN en su configuración (config vpn ssl settings). En versiones recientes de FortiOS existe la opción de estado para desactivarlo por completo; si tu versión no la tiene, quita la interfaz de escucha.
2. Retira las políticas de firewall desde ssl.root. Las ubicas con show firewall policy | grep -f ssl.root. Desactívalas primero, espera unos días y después bórralas: si alguien se queja, reactivar es más rápido que reconstruir.
3. Limpia los portales y los grupos que solo existían para el SSL-VPN, y los mapeos de usuarios a portales.
4. Revisa los objetos de direcciones y rutas del rango del túnel SSL-VPN que ya no se usen.

¿Qué hago con el portal web si alguien lo usa?

Si tienes usuarios que entran solo por el navegador, el modo web sigue existiendo en FortiOS 7.6 como Agentless VPN. Pero pregúntate si de verdad lo necesitas: es otro servicio publicado a internet. Si esos usuarios pueden pasar al túnel IPsec o a un acceso por aplicación, cierra también el portal web.

¿Qué reviso además del FortiGate?

• Puertos publicados. El SSL-VPN solía escuchar en el 443 o en el 10443. Si hay un firewall o un equipo del proveedor de internet delante, retira las reglas que lo publicaban.
• Certificados. El certificado que usaba el portal del SSL-VPN puede quedarse sin uso. Anótalo en el inventario para no renovarlo por inercia, o reutilízalo si el túnel IPsec también escucha en el 443.
• FortiClient en los equipos. Elimina el perfil viejo del SSL-VPN para que nadie intente conectarse por costumbre y abra un ticket.
• Documentación y monitoreo. Actualiza los diagramas, la documentación de acceso remoto y las alertas: lo que antes vigilaba el SSL-VPN ahora debe vigilar el túnel IPsec.
• La consola de administración. Ya que estás revisando lo que el FortiGate publica a internet, revisa también quién puede llegar a la administración del equipo. Lo explicamos en La consola de administración del FortiGate expuesta a internet.

¿Qué errores son los más comunes al apagarlo?

• Apagarlo un viernes. Si alguien todavía dependía del SSL-VPN sin que lo supieras, lo vas a descubrir cuando no haya nadie para atenderlo. Hazlo a inicio de semana.
• Borrar en lugar de desactivar. Las políticas y los portales se desactivan primero y se borran después de unos días sin quejas. Reactivar una política toma un minuto; reconstruirla de memoria, mucho más.
• Olvidar las cuentas de servicio. A veces el SSL-VPN lo usa algo que no es una persona: el acceso de un proveedor, un equipo que sube respaldos o una conexión automatizada. No aparecen en la lista de usuarios habituales, pero sí en diagnose vpn ssl list si las revisas en el horario en que trabajan.
• No avisar. Un correo corto a los usuarios remotos y a los proveedores con acceso, con la fecha del apagado y a quién llamar, ahorra la mitad de los tickets.

¿Y ahora sí puedo actualizar a 7.6?

Sí, ese es el último paso. Con el acceso remoto ya en IPsec y el SSL-VPN apagado, la actualización a FortiOS 7.6.3 o posterior deja de ser un riesgo para tus usuarios remotos. Actualiza en una ventana planeada, con respaldo de la configuración, y valida el túnel IPsec con el grupo piloto en cuanto el equipo regrese.

Lista de cierre

Si llegaste aquí sin haber empezado la migración, el orden completo está en Migrar de SSL-VPN a IPsec en FortiGate, y la serie completa en SSL-VPN se acaba: la guía completa.