FortiGate IPsec VPN: cómo identificar por qué una conexión activa no permite acceder a servidores
En entornos empresariales es posible que una conexión de acceso remoto mediante FortiClient se establezca correctamente, pero el usuario continúe sin acceso a los recursos internos.
Este comportamiento no significa necesariamente que IPsec esté fallando. La causa puede encontrarse en las rutas de red, el DNS, las políticas de firewall o la comunicación de retorno.
Qué revisar primero
1. Estado del túnel. FortiGate dispone de comandos para consultar asociaciones IKE e IPsec. Es importante determinar si el túnel está establecido y si realmente está transportando tráfico.
2. Rutas hacia la empresa. Cuando una organización emplea split tunneling, solo determinadas subredes se envían mediante la VPN. Si la ruta hacia un servidor no está incluida, ese recurso puede permanecer inaccesible.
3. Políticas de firewall. El acceso remoto debe estar autorizado hacia las redes y servicios necesarios. La conexión VPN por sí misma no elimina los controles de seguridad.
4. Resolución DNS. Si una aplicación responde mediante su dirección IP, pero falla cuando se utiliza su nombre, conviene investigar los DNS recibidos por el cliente y la resolución de nombres internos.
5. Tráfico de retorno. Debe verificarse que las respuestas del servidor puedan regresar al cliente VPN siguiendo la ruta correspondiente.
Herramientas de diagnóstico
FortiOS incorpora herramientas CLI para investigar estos escenarios:
get vpn ipsec tunnel summary
diagnose vpn ike gateway list
diagnose vpn tunnel list
También dispone de Debug Flow para observar cómo procesa los paquetes y detectar problemas relacionados con políticas y enrutamiento.
Un caso que merece atención: NAT Traversal
Fortinet ha documentado escenarios específicos en los que una conexión IKEv2 aparece establecida, pero existe tráfico unidireccional cuando interviene NAT y determinadas configuraciones de NAT-T.
Esto demuestra por qué resulta importante analizar los síntomas antes de cambiar parámetros del firewall.
Una metodología más efectiva
La recomendación es documentar las pruebas por capas: comprobar el estado IPsec, las rutas, la conectividad por IP, las políticas, los paquetes y finalmente DNS y aplicaciones.
Con este enfoque se reduce la posibilidad de introducir cambios innecesarios en infraestructura crítica.
La Biblioteca Virtual SISTRO 2.0 contiene una versión más completa de este tema, con comandos FortiOS, checklist y preguntas frecuentes.
Consulta la guía técnica original:
https://sistro.net/forticlient-ipsec-conecta-sin-acceso-red-fortigate
La seguridad del acceso remoto depende tanto de establecer una conexión como de demostrar que los servicios corporativos funcionan correctamente.
