VPN con FortiClient no conecta

[fwfgotm]

Hola gente,
buen día.

Uniéndome a la comunidad ya que soy prácticamente nuevo en el tema de los fortigate. Les comento que tengo unos problemitas para levantar una VPN usando un Fortigate 30B y FortiClient. He bajado algunos manuales y he seguido paso a paso la configuración pero no me levanta y espero que ustedes me puedan apoyar a solucionarlo, les comento, ya creé una configuración en el fortigate, el tipo de configuración que estoy usando es Policy-Based VPN, por lo que veo en lo manuales todo esta bien, cuando hago un test desde el FortiClient al parecer también todo esta bien, esto lo digo porque el resulta al final es "IKE Daemon Stopped" que tengo entendido indica que la conexión es exitosa. El problema viene cuando intento conectarme, ya que en el forticlient en Status me cambia de Down a Idle y asi se queda. Cuando reviso el monitor del fortigate si me aparece la conexión y el DHCP asigna la IP, el problema es que nunca acaba de conectar ya que siempre se queda como Idle y después de unos minutos pasa a down otra vez, alguien sabrá que esta pasando o si es necesario hacer otra cosa..

De antemano agradezco su apoyo...

[fwfgotm]

Como comentario, hay otra VPN funcionando en el mismo fortigate. Solo que esa es site-to-site. Eso afectará??

Gracias...

[gabyrossi]

hola, hiciste un dhcp??? si es en modo policy la vpn el dhcp va en la interface wan.

saludos

[fwfgotm]

Hola, gracias por la respuesta. Te comento que efectivamente, se creo un DHCP Server y fue configurado en la interfaz WAN. De hecho cuando me conecto desde el FortiClient observo en el DHCP que me asigna una IP y en el monitor de la VPN aparece el túnel pero nunca levanta por completo ya que como lo comento en el FortiClient el status siempre es Idle y después de unos minutos pasa a down. No entiendo porque pasa esto, espero me puedan apoyar o darme una idea de donde esta el error. Gracias.

[gabyrossi]

hola, en el dhcp, el type es ipsec???

podrias mostrarlo, lo mismo que la vpn y la policy?

tambien la config del forticlient.

saludos

[fwfgotm]

Mira en este momento estoy en la oficina y el fortigate esta con un cliente por ello no puedo anexar imagenes, sin embargo te comento la configuración esperando pueda servir de algo:

El DHCP esta configurado como Server en la interfaz WAN y es type IPSec.
La VPN fue creada asi:

Phase1
Nombre: VPNdelCliente
Remote Gateway: Dialup User
Local Interfaz: WAN
Modo: Main (ID Protection)
Método de Autentificación: Pre-shared Key
Pre-shared Key: XXXXXXXXXXXX
Peer Options: Aceptar solo peers de: "Grupodeacceso". --> Se creo un usuario y un grupo para el acceso.

Phase2
Nombre: VPNdelClienteF2
Phase1: VPNdelCliente
DHCP-IPSec: Enable

En la parte de la Policy:

Source Interface/Zone: Local
Source Address Name: DireccionLocal (192.168.1.10-30)
Destination Interface/Zone: WAN
Destination Address Name: All
Action: IPSec
VPN Tunnel: VPNdelCliente --> Allow inbound - Allow Outbound

En CLI se configuro esto:
config vpn ipsec forticlient
edit policy AccesoCliente (en esta parte no estoy seguro a que política hace referencia por lo que solo puse ese nombre, creyendo que creará una nueva)
set phase2name VPNdelClienteF2
set usergroupname Grupodeacceso
set status enable
end

Eso es todo en el fortigate.

En el forticlient solo se creo una nueva conexión.
Nombre: VPNparaCliente
Configuración: Automática
Policy Server: Se tiene configurado un DynDNS por lo que se coloco aquí el nombre.

De antemano agradezco su apoyo y quedo pendiente por sus comentarios.

[gabyrossi]

hola, el dhcp que le das es distinto a la red local?
en la politica tambien proba de tildar Inbound NAT

tenes mas vpn armada de modo dialup?¿

probade hacerla en modo agresivo.

[fwfgotm]

Hola,

La red que el DHCP otorga es distinta a la local para evitar problemas. En el equipo solo se tiene configurada otra VPN pero es Site-to-Side. Probaré tildar Inboud NAT. Cual sería la diferencia entre modo agresivo y así como esta ahorita Main??

Agradezco su ayuda.

[gabyrossi]

[Debes identificarte para poder ver enlaces.]


este pdf en español esta bueno, pag. 44 explica bien los modos:

[Debes identificarte para poder ver enlaces.]

[fwfgotm]

gracias por su apoyo. Estuve revisando los logs del Fortigate y me genera los siguientes IDs: 37124, 37128, 37127, 37134. Por lo que veo en la descripción hacen referencia a un error en la Phase 1 y el probable error es "probable preshared key mismatch", esto me confunde ya que el forticlient esta configurado en automático por lo que todos los valores para el túnel son otorgados por el Fortigate no? Nuevamente agradezco su apoyo...

[fwfgotm]

Hice algunos cambios en la configuración, de Mode: Main lo puse a Aggresive y el error que ahora me arroja es 37131IPSec ESP notifcation. Alguna sugerencia con esto?? gracias...

[fwfgotm]

Hola,

Nuevamente molestando, sigo con el problema, no logro hacer la conexión. He revisado los logs en ambos dispositivos y me generan distintos errores, en el FortiGate me dice:
37131 error IPsec ESP
y en el FortiClient:
program=ipsec msg=loc_ip=x.x.x.x loc_port=4500 rem_ip=x.x.x.x rem_port=4500 out_if=0 vpn_tunnel=VPNTunnel status=negotiate_error msg="Failed to acquire an IP address"

Alguna sugerencia?? Ya he revisado muchos manuales y he seguido los pasos como los describen pero nada mas no..

Les agradezco su apoyo...

[gabyrossi]

hola podrias mostar la phase1 y phase2 de la vpn , el dhcp y la politica?

saludos

[fwfgotm]

[img][Debes identificarte para poder ver enlaces.][/img]
[img][Debes identificarte para poder ver enlaces.][/img]
[img][Debes identificarte para poder ver enlaces.][/img]
[img][Debes identificarte para poder ver enlaces.][/img]
[img][Debes identificarte para poder ver enlaces.][/img]

Espero se vean bien. Gracias por su ayuda y quedo pendiente de sus comentarios mientras sigo buscandole....

[fwfgotm]

Hola,

Pues que creen?? Logre hacer la "conexión" el problema es que no me da red.... En la fase 2 de la VPN deshabilité la opción de DHCP-IPSec y me hizo la conexión, según el FortiClient, el problema es que no puedo navegar en la red... Al parecer el problema está en el DHCP pero no entiendo porque, alguna idea o ayuda??

Les agradezco su apoyo.