IPSec VPN Archives - Fortinet.hrp.hu - A magyar Fortinet disztribútor

FortiClient Standalone – a Fortinet új VPN kliens megoldása

Kovács Lajos — Sun, 05 Jul 2026 18:05:18 +0000

A Fortinet a közelmúltban jelentette be a FortiClient Standalone terméket. A jelenleg is aktív „VPN-only” megoldás mellett, a FortiClient Standalone egy identitásközpontú architektúrát vezetett be, amely a FortiIdentity Cloud (FIC) szolgáltatásra épül.

A VPN kliens innentől a felhasználói identitás, az eszközregisztráció és a többfaktoros hitelesítés (MFA) szerves részévé válik.

A FortiClient Standalone működési modellben a kliens folyamatosan kommunikál a FortiIdentity Cloud szolgáltatással, amely biztosítja:

felhasználó-hitelesítést,
eszközregisztrációt,
licencellenőrzést,
jogosultságkezelést.

A VPN kapcsolat létrehozása előtt a kliens hitelesíti a felhasználót, ellenőrzi a licencet, majd hozzárendeli az adott eszközt a felhasználói fiókhoz.

Az aktiválási folyamat

A bevezetés folyamata egyszerű, ugyanakkor jól illeszkedik egy modern identitáskezelési modellhez.

Az üzemeltetők regisztrálják a FortiClient Standalone licencet a FortiCare rendszerben.
A FortiIdentity Cloud automatikusan létrehozza a szükséges szolgáltatásokat és szinkronizálja a licenceket.
Az üzemeltetők létrehozzák a felhasználókat vagy összekapcsolják a környezetet egy külső Identity Provider-rel.
A felhasználó telepíti a klienst, majd egy meghívókóddal aktiválja azt.
Az eszköz hozzárendelésre kerül a felhasználóhoz, és használhatóvá válik az IPsec VPN.

FortiIdentity Cloud

A FortiIdentity Cloud nem csupán licenckezelő rendszer.

A platform lehetővé teszi:

központi identitáskezelést,
többfaktoros hitelesítést,
felhasználói életciklus-kezelést,
auditálható hozzáférés-kezelést,
külső Identity Provider integrációt.

A külső IdP integrációnak köszönhetően a szervezetek összekapcsolhatják a FortiIdentity Cloudot például Microsoft Entra ID, Okta vagy más SAML/OIDC-kompatibilis identitásszolgáltatókkal. Így a felhasználók a meglévő vállalati hitelesítési rendszerükkel érhetik el a VPN szolgáltatást, miközben a hozzáférés-kezelés továbbra is központilag felügyelhető. A VPN konfiguráció támogatja a SAML Single Sign-On használatát is megfelelően konfigurált Service Provider és Identity Provider környezetben.

Mit tartalmaz a licenc?

Sokan azt gondolják, hogy a FortiClient Standalone licenc kizárólag a VPN kliens használatára jogosít. Valójában ennél többet kapunk.

A licenc része egy alap FortiIdentity Cloud, amely többek között tartalmazza:

egy FortiToken Mobile licencet minden felhasználó számára,
helyi és külső felhasználói források kezelésének lehetőségét,
központi identitáskezelést,
MFA támogatást.

Ez azt jelenti, hogy a VPN-hozzáférés többfaktoros védelme külön FortiToken licenc vásárlása nélkül is megvalósítható. A FIC alap előfizetés ugyanakkor nem tartalmaz SMS-alapú tokenkvótát.

Felhasználó alapú licencelés

A FortiClient Standalone esetén a licenc felhasználóhoz, nem pedig eszközhöz kötődik.

Egy felhasználó legfeljebb három különböző eszközt regisztrálhat ugyanazzal a licenccel. Ez lehet például:

vállalati laptop,
otthoni számítógép,
munkaállomás vagy második notebook.

Ez jelentősen megkönnyíti a hibrid munkavégzés támogatását, miközben nem szükséges minden eszközhöz külön licencet vásárolni.

IPsec VPN fókusz

A Standalone kiadás jelenleg IKEv2 alapú IPsec VPN kapcsolatokat támogat.

Az IPsec vállalati környezetben számos előnyt kínál:

nagy teljesítmény,
stabil kapcsolat,
hardveres gyorsítás lehetősége,
szabványos vállalati VPN architektúra,
SAML SSO támogatás.

A Fortinet ezzel egyértelműen az IPsec technológiát helyezi előtérbe a biztonságos távoli hozzáférés területén.

Többplatformos támogatás

A FortiClient Standalone elérhető a következő platformokon:

Windows
macOS
Linux

A funkcionalitás platformonként közel azonos, ami egyszerűbb üzemeltetést tesz lehetővé vegyes klienskörnyezetekben.

Mit jelent ez az üzemeltetők számára?

A FortiClient Standalone már nem egy különálló VPN alkalmazás, hanem egy identitásalapú hozzáférési megoldás.

Ennek előnyei:

egyszerűbb onboarding,
központi licencmenedzsment,
MFA támogatás,
három eszköz kezelése felhasználónként,
egyszerű integráció vállalati Identity Provider környezetekkel,
jobb auditálhatóság,
felhőalapú identitáskezelés EMS infrastruktúra nélkül.

További információk: https://docs.fortinet.com/document/forticlient/7.4.7/forticlient-standalone-user-guide/923078/getting-started-with-forticlient-standalone

Összegzés

A FortiClient Standalone a Fortinet távoli hozzáférési portfóliójában a VPN-only ingyenes kliens és a FortiClient EMS által központilag menedzselt teljes funkcionalitású kliens között helyezkedik el. Olyan szervezetek számára készült, amelyek elsődleges igénye a biztonságos IKEv2/IPsec VPN távoli hozzáférés, valamint a helyi és távoli felhasználók, valamint az MFA felhőalapú, központi kezelése, ugyanakkor nincs szükségük az EMS által biztosított végpontvédelmi, megfelelőségi, Telemetry , stb. funkciókra.

A megoldás FortiIdentity Cloud (FIC) szolgáltatásra épül, amely biztosítja a felhasználók hitelesítését, az eszközök regisztrációját, a licencek kezelését és a hozzáférések adminisztrációját. A felhasználók helyi fiókokkal vagy külső Identity Provider (például Microsoft Entra ID, Okta vagy más SAML/OIDC-kompatibilis szolgáltató) integrációjával is kezelhetők, így a meglévő vállalati identitáskezelési infrastruktúra változtatás nélkül felhasználható.

A FortiClient Standalone licenc további előnye, hogy felhasználó alapú, és egy felhasználóhoz legfeljebb három végpont rendelhető. A licenc részeként FortiIdentity Cloud alap előfizetés és felhasználónként egy FortiToken Mobile licenc is biztosított, így a többfaktoros hitelesítés külön licenc vásárlása nélkül is bevezethető. Ez ideális választássá teszi a megoldást olyan kis- és középvállalatok, valamint nagyvállalati telephelyek számára, ahol a cél egy egyszerűen üzemeltethető, felhőből menedzselt, identitásalapú VPN-hozzáférés EMS infrastruktúra kiépítése nélkül.

Szerző:
Csere István | Presales- / Rendszermérnök – HRP Europe Kft.

The post FortiClient Standalone – a Fortinet új VPN kliens megoldása appeared first on Fortinet.hrp.hu - A magyar Fortinet disztribútor.

FortiSASE IPsec over TCP – stabil VPN kapcsolat korlátozott hálózati környezetekben

Kovács Lajos — Mon, 01 Jun 2026 13:52:33 +0000

A modern SASE környezetek egyik legfontosabb kihívása, hogy a távoli felhasználók bárhonnan, bármilyen hálózatról stabilan és biztonságosan tudjanak csatlakozni a vállalati erőforrásokhoz. A gyakorlatban azonban sok hotel WiFi, vendéghálózat, mobilinternet vagy proxy mögötti vállalati hálózat korlátozza az IPsec VPN-ek által használt UDP forgalmat.

A FortiSASE erre kínál megoldást az IPsec over TCP funkcióval, amely lehetővé teszi, hogy a FortiClient kliens TCP-alapú kapcsolaton keresztül építsen fel IPsec VPN tunnelt a FortiSASE felhőhöz.

A funkció különösen fontos azoknál a szervezeteknél, amelyek:

SSL VPN-ről IPsec alapú távoli hozzáférésre migrálnak
Zero Trust és SASE architektúrát használnak
sok roaming- vagy távoli felhasználót támogatnak
korlátozott hálózati környezetekben működnek
olyan országban is rendelkeznek SASE kliensekkel, ahol országos szinten korlátozzák az IPsec VPN-t a hagyományos UDP 500 / 4500-as portokon

A Fortinet hivatalos dokumentációja szerint a funkció FortiClient 7.4.5 vagy újabb verzióval támogatott.

https://docs.fortinet.com/document/fortisase/latest/feature-administration-guide/360393/settings

Mi az IPsec over TCP?

Az IPsec VPN hagyományosan UDP alapú kommunikációt használ, tipikusan UDP 500 és UDP 4500 portokon. Ezeket azonban bizonyos hálózatok blokkolják vagy instabilan kezelik.

A FortiSASE IPsec over TCP funkciója során:

az IKE és ESP forgalom TCP kapcsolaton keresztül kerül továbbításra
a kommunikáció TCP 443 porton működhet
a kliens automatikusan fallback módba válthat UDP-ről TCP-re

A Fortinet dokumentáció szerint az Auto mód először UDP encapsulationt próbál használni, majd szükség esetén TCP-re vált.

A támogatott encapsulation módok:

UDP – hagyományos IPsec működés
Auto – automatikus UDP → TCP fallback

Hogyan működik FortiSASE környezetben?

FortiSASE esetén a FortiClient kliens a FortiSASE Cloud Security Tunnel szolgáltatáshoz kapcsolódik. Ha a hálózat engedi az UDP forgalmat, a kapcsolat hagyományos IPsec módban épül fel. Ha viszont az UDP blokkolt, a kliens TCP encapsulationra válthat.

FortiSASE konfiguráció

A funkció a FortiSASE adminisztrációs felületén érhető el:

Endpoint Profiles → Global Connection Settings

A Fortinet dokumentáció szerint:

Windows és macOS endpointok támogatottak
FortiClient 7.4.5 vagy újabb szükséges
FortiSASE 26.x szükséges
IKEv2 támogatott

FortiSASE IPsec over TCP – stabil VPN kapcsolat korlátozott hálózati környezetekben

Összegzés

A FortiSASE IPsec over TCP funkciója jelentősen javítja a távoli hozzáférés megbízhatóságát korlátozott hálózati környezetekben. Bár teljesítmény szempontjából az UDP továbbra is optimálisabb, a TCP encapsulation kritikus fallback mechanizmust biztosít modern SASE architektúrákban.

A Fortinet jelenlegi ajánlása alapján a legjobb gyakorlat az Auto encapsulation mód használata, amely intelligensen választ UDP és TCP között az aktuális hálózati környezet alapján.

Szerző:
Csere István | Presales- / Rendszermérnök – HRP Europe Kft.

The post FortiSASE IPsec over TCP – stabil VPN kapcsolat korlátozott hálózati környezetekben appeared first on Fortinet.hrp.hu - A magyar Fortinet disztribútor.

Egységes naplókezelés a FortiAnalyzerrel: Integráció harmadik féltől származó logforrásokkal

Kovács Lajos — Mon, 23 Jun 2025 08:44:13 +0000

A FortiAnalyzer eredetileg a Fortinet naplógyűjtő és -elemző megoldásaként indult, azonban az évek során jelentős fejlesztéseken ment keresztül, és ma már jóval túlmutat egy egyszerű naplóelemző-riportoló eszköz funkcionalitásán.

A folyamatosan bővülő szolgáltatáskör révén a FortiAnalyzer támogatja nemcsak a Fortinet eszközök, hanem harmadik féltől származó rendszerek naplóinak feldolgozását is a megfelelő log parser-ek segítségével. A 7.4.2-es verziótól kezdődően lehetőség van egyedi log parser-ek létrehozására és importálására JSON formátumban, amelyek ezután hozzárendelhetők az adott, alkalmazás-specifikus nyers syslog-okhoz. Minden meglévő parser exportálható és letölthető .json fájlként.

További parser-ek is elérhetők a FortiGuard szolgáltatáson keresztül, amennyiben a FortiAnalyzer rendelkezik érvényes licenccel a Security Automation Service szolgáltatáshoz. Ez a szolgáltatás -többek között – rendszeres időközönként frissítéseket biztosít új vagy módosított riport sablonokhoz, eseménykezelőhöz, log parser-ekhez és playbook-okhoz. A szolgáltatás keretében 3^rd party eszközökhöz is készít parser-eket a Fortinet.

Amint a FortiAnalyzer fogadja az egyéni naplókat, azok automatikusan vagy manuálisan hozzárendelhetők a megfelelő parser-hez, majd a SIEM adatbázisban (siemdb) kerülnek feldolgozásra.

A parser-ek a “Incidents & Events > Log Parsers” menüpontban érhetők el, kizárólag Fabric ADOM-ok esetén. (A FortiAnalyzer rendszerben az ADOM jelentése: Administrative Domain. Ez egy olyan logikai elválasztás, amely lehetővé teszi, hogy egyetlen FortiAnalyzer eszközön több, egymástól független környezetet vagy ügyfelet kezeljünk. Lényegében ez egyfajta multi-tenant megközelítés: az egyes ADOM-ok elszigetelik az adatokat, beállításokat, eszközöket és riportokat egymástól. További részletek az Administrative Domain-ekről .)

Ez azt jelenti, hogy egy Fabric ADOM képes fogadni és feldolgozni nemcsak Fortinet, hanem külső gyártótól származó eszközök naplóit is. Ezek a naplók feldolgozhatók a beépített, egyedileg készített vagy FortiGuard által biztosított parser-ek segítségével.

Korábban a FortiAnalyzer a megfelelő Fortinet eszközök naplóit volt képes fogadni a nekik fenntartott ADOM-okba és a harmadik féltől származó eszközök egy külön syslog típusú ADOM-ba kerültek, nem egy közös logikai tárhelyre.

A cikkben szereplő fejlesztéssel a Fortinet eszközöktől és harmadik féltől származó rendszerektől érkező naplók -parserekkel feldolgozva – egy központi helyen gyűjthetők, és közösen kezelhetők.

Ennek számos előnye van:

Multi-vendor környezetben a logok egy helyen láthatóak. Átfogó lekérdezéseket és riportokat készíthetünk, amelyek a Fortinet és más gyártók logjait együttesen elemzik.
A FortiAnalyzer eseménykezelői (event handler-ek) révén automatikus válaszlépések, valamint a Security Automation Service előfizetés nyújtotta playbook-ok hozhatók létre akár 3^rd party eszközökből érkező információk alapján is.
Security Fabric környezetben a FortiAnalyzer képes automatikus műveleteket indítani a Fabric tag FortiGate eszközökön, harmadik féltől érkező események hatására is.

FortiGate és 3rd party tűzfal naplózása FortiAnalyzer-ben, egy ADOM-ban. (FAZ verzió 7.6.2)

Szerző:
Csere István | Presales- / Rendszermérnök – HRP Europe Kft.

Összegzés

A FortiAnalyzer naplóelemző eszköz mára túlmutat a Fortinet-eszközök támogatásán, és fejlett logkezelési képességei révén képes harmadik féltől származó naplóforrások integrálására is. A 7.4.2-es verziótól kezdve a felhasználók saját log parser-eket hozhatnak létre vagy importálhatnak JSON formátumban, valamint használhatják a FortiGuard által biztosított, rendszeresen frissített parser-eket is – ehhez érvényes Security Automation Service licenc szükséges.

A FortiAnalyzer Fabric ADOM környezetben lehetővé teszi, hogy Fortinet és külső gyártók naplói közös adatbázisba kerüljenek, így egységesen elemezhetők, lekérdezhetők és kezelhetők. Az integrált logkezelés előnyei közé tartozik az átfogó, multi-vendor riportkészítés, az automatizált eseménykezelés (event handler-ek és playbook-ok segítségével), valamint a Security Fabric-alapú reakcióképesség – akár harmadik féltől érkező események esetén is.

Próbáld ki, hogyan teheti átláthatóbbá és hatékonyabbá a naplókezelést a FortiAnalyzer a te rendszeredben is! Segítünk a legjobb alternatíva kiválasztásában, bevezetésében, valamint teljeskörű technikai támogatást is biztosítunk.

The post Egységes naplókezelés a FortiAnalyzerrel: Integráció harmadik féltől származó logforrásokkal appeared first on Fortinet.hrp.hu - A magyar Fortinet disztribútor.

Fortinet: Az SSL VPN tunnel mód a FortiOS 7.6.3-ban megszűnik, milyen alternatíváink vannak?

Kovács Lajos — Wed, 14 May 2025 18:05:24 +0000

A FortiOS 7.6.3 verziójától kezdődően a Fortinet bejelentette az SSL VPN tunnel mód támogatásának megszüntetését minden FortiGate eszközön.

A 7.6.x mellett több előző major verziójú OS-eket is támogat a Fortinet, akár a standard, akár a long term support keretei között. Ezeken az OS-eken az SSL VPN támogatott marad olyan megkötéssel, hogy bizonyos korábbi verzióknál a 2 GB-os és a desktop G eszközöknél az SSL VPN már korábban kivezetésre került.

Mi a HRP Europe-nál „előreszaladtunk”, hogy megnézzük, mi vár ránk a jövőben, vagy az early adopter-ekre már most.

Korábbi FortiOS verziókban az SSL VPN (tunnel- és web mód) teljesen eltávolításra került a csak 2 GB RAM-mal rendelkező modellekből és a desktop G modellekből, a FortiOS 7.6.3-tól kezdődően az SSL VPN tunnel mód minden modellből eltávolításra kerül. Az SSL-VPN web-mód (amelyet mostantól „Agentless VPN”-nek hívnak) továbbra is elérhető – de csak a 19”-os -rack méretű Fortigate modelleken (3 számjegyű Fortigate modellek) illetve a VM eszközökön.

Az egyik lehetséges irány az SSL VPN kapcsolatok ZTNA-ra történő migrálása, amikor a klienseinknek szükséges hozzáférést adni a FortiGate mögötti alkalmazásszerverekhez.

A 2 GB-s modellek esetén az SSL VPN fokozatosan került kivezetésre, így a kisebb modellek esetén már voltak workaround-ok, amik segítségével az SSL VPN kapcsolatainkat ZTNA-ra tudtuk migrálni. (Itt szűk keresztmetszet lehet, hogy a proxy funkciókat a 2 GB-os modellekből a FortiOS 7.4.4-től kezdődően kivezették, ami a ZTNA access proxy funkcionalitást is érintette. A ZTNA proxy funkciók FortiOS 7.4.4 felett a 4 GB-os modellektől elérhetőek. A FortiGate VM ez alól kivétel, de a 4 GB RAM javasolt.)

A másik irány a meglévő SSL VPN kapcsolatok IPSec VPN-re migrálása. Ez a távoli kliens csatlakozás mellett megoldást nyújthat olyan esetekre, amikor Fortigate és Fortigate közötti közvetlen SSL VPN kapcsolatokat kell konvertálni.

Az IPSec használata azonban a közbenső / szolgáltatói eszközök és beállítások további kérdéseket vetnek fel:

ESP csomagok blokkolása
UDP 500 és 4500 portok blokkolása
CGNAT közbenső / szolgáltatói megoldás

A Fortinet mérnökei gondoltak a megoldásra, így a FortiOS 7.4.2 verziójától, illetve a FortiClient 7.4.1 verzióitól van lehetőségünk arra, hogy az IPSec kapcsolatokat TCP protokollon keresztül valósítsuk meg akár a TCP 443-as port használatával, ami a HTTPS protokoll standard kommunikációs portja, így a legtöbb eszközön nyitva van.

Az IPSec over TCP funkcióhoz IPSec IKEv2-t kell használnunk.

A site to site kialakítás lehetséges, az ESP packet-eket beágyazhatjuk a TCP header-ekbe.

Ez a megoldás lehetővé teszi, hogy az ESP csomagokhoz portszám legyen rendelve, ami lehetővé teszi azok áthaladását olyan szolgáltatói hálózatokon, ahol a közvetlen IPSec forgalmat blokkolják vagy problémákba ütközik a CGNAT miatt.

A FortiGate-en beállítható az is, hogy amennyiben az adott IPSec kapcsolatnál az UDP a fő irány, akkor a TCP kapcsolódás failback-ként működjön, azaz ha nem sikerül UDP-n keresztül felépíteni az IPSec kapcsolatot, akkor a TCP legyen a másodlagos irány.

A kliens csatlakozás IPSec over TCP-vel megvalósítható a FortiClient 7.4.1 verzióitól is, mind az EMS menedzselt változat, mind az ingyenes kliens esetén. (Az ingyenes kliens esetén a 7.4.3-as verziót teszteltük Windows-on, illetve MAC-en is. Az ingyenes MAC-es 7.4.3-as verziónál az IPSec over TCP beállításokat a konfigurációs XML fájl módosításával lehetett megvalósítani.)

IPSec over VPN kapcsolat FortiClient 7.4.3 menedzselt változattal.

Szerző:
Csere István | Presales- / Rendszermérnök – HRP Europe Kft.

Összegzés

A FortiOS 7.6.3-as verziótól megszűnik az SSL VPN tunnel mód támogatása minden FortiGate eszközön. Alternatívaként szóba jöhet a ZTNA, az IPSec VPN, illetve az IPSec over TCP megoldás, amivel site-to-site és client-to-site kapcsolat is kialakítható, ez utóbbi akár az ingyenes FortiClient VPN only verzióval is.

Amennyiben nem biztos abban, melyik megoldás lenne a legmegfelelőbb szervezete számára, forduljon hozzánk bizalommal – segítünk a legjobb alternatíva kiválasztásában, bevezetésében, valamint teljeskörű technikai támogatást is biztosítunk.

The post Fortinet: Az SSL VPN tunnel mód a FortiOS 7.6.3-ban megszűnik, milyen alternatíváink vannak? appeared first on Fortinet.hrp.hu - A magyar Fortinet disztribútor.