はじめに
「FortiGateのSSL-VPNは本当に廃止されるの？」
「今使っているSSL-VPNは、いつまで利用できる？」と気になっていませんか。
社内PCからFortiClientでSSL-VPNへ接続している場合、FortiOSをアップデートしたあとも同じ設定で接続できるのか、IPsec VPNへ切り替える必要があるのか判断に迷うことがあります。
この記事では、SSL-VPNが廃止される範囲や現在の環境をいつまで使えるのかを整理し、IPsec VPNへ移行する方法まで紹介します。
FortiGateのSSL-VPNは廃止される？
FortiGateのSSL-VPNは、FortiOSのバージョンによって利用できる機能が異なります。
ここでは、FortiOSのバージョンとVPNの接続方式に分けて、SSL-VPNの現在の状況を説明します。
FortiOS 7.6.3以降ではSSL-VPNトンネルモードが廃止
FortiOS 7.6.3以降では、SSL-VPNトンネルモードが廃止されています。
そのため、FortiClientから従来の方法で接続できなくなるため、利用中の場合はアップグレード前にFortiOSのバージョンを確認しておきましょう。
旧バージョンではSSL-VPNを利用できる場合がある
FortiOS 7.6.3より前のバージョンでは、SSL-VPNトンネルモードを利用できる場合があります。
ただし、7.6.3以降へアップグレードすると同じ接続方式を継続できないため、現在のバージョンを確認しておくことが大切です。
WebモードはAgentless VPNに名称変更されている
従来のSSL-VPN Webモードは、Agentless VPNへ名称が変更されています。
Webブラウザから社内のWebアプリケーションなどへアクセスする方式で、廃止されたSSL-VPNトンネルモードとは分けて考えると分かりやすいでしょう。
FortiGateのSSL-VPNはいつまで使える？
FortiGateのSSL-VPNがいつまで使えるかは、利用しているFortiOSのバージョンや機種によって異なります。
ここでは、SSL-VPN廃止の影響を受ける環境と、アップグレード前に必要な対応を説明します。
SSL-VPN廃止の影響を受けるFortiOSバージョンと機種
SSL-VPNトンネルモード廃止の影響は、FortiOSのバージョンやFortiGateの機種によって異なります。
利用できる構成か判断するためにも、まずは使用している機種とFortiOSのバージョンを確認しておきましょう。
FortiOS 7.6.3以降へアップグレードする場合は事前の移行が必要
SSL-VPNトンネルモードを利用している場合は、FortiOS 7.6.3以降へアップグレードする前に別の接続方式への移行が必要です。
接続できなくなる事態を避けるため、現在の設定や利用ユーザーを確認し、移行を済ませてからアップグレードを進めましょう。
アップグレードによるVPNへの影響が気になる場合は、FortiOSの変更点もあわせて確認しておくと安心です。
▶FortiOSのアップデートで何が変わる？バージョンごとの変更点と確認方法
FortiGateがSSL-VPNトンネルモードを廃止する理由
FortiGateがSSL-VPNトンネルモードを廃止する背景には、SSL-VPNを取り巻くセキュリティリスクへの対応があります。
ここでは、セキュリティ面とIPsec VPNへの移行方針の2点から説明します。
SSL-VPNを取り巻くセキュリティリスクへの対応
SSL-VPNはインターネットから接続を受け付けるため、脆弱性が見つかると攻撃経路になる可能性があります。
Fortinetはこうしたリスクへの対応を進めており、SSL-VPNトンネルモードの廃止もセキュリティを考慮した方針の一つです。
リモートアクセスをIPsec VPNへ移行する方針
Fortinetは、リモートアクセスVPNをIPsec VPNへ移行する方針を示しています。
SSL-VPNトンネルモードを利用している場合は、FortiOS 7.6.3以降への移行に合わせて、FortiGateとFortiClientの設定をIPsec VPNへ切り替えましょう。
FortiGateのSSL-VPN廃止で必要になる対応
FortiGateでSSL-VPNトンネルモードを利用している場合は、FortiOSをアップグレードする前に現在のVPN構成を確認する必要があります。
ここでは、現状確認からIPsec VPNへの移行まで、必要な対応を順に説明します。
現在のFortiOSバージョンとSSL-VPNの利用状況を確認する
まず、FortiGateで稼働しているFortiOSのバージョンと、現在のVPN設定を確認します。
SSL-VPNトンネルモードを利用している場合は、移行が必要なユーザーや接続設定もあわせて確認しておきましょう。
SSL-VPNからIPsec VPNへの移行を検討する
SSL-VPNトンネルモードを利用している場合は、IPsec VPNへの移行を検討します。
現在の構成を確認したうえで、FortiGateとFortiClientの設定をどのように切り替えるか整理しておくとスムーズです。
アップグレード前にSSL-VPNの設定を移行する
FortiOS 7.6.3以降へアップグレードする前に、IPsec VPNへの移行と接続確認を済ませておきます。
FortiGateとFortiClientの両方で正常に接続できることを確認してからアップグレードすると、VPNが利用できなくなるトラブルを避けやすくなります。
FortiGateでSSL-VPNからIPsec VPNへ移行する流れ
SSL-VPNからIPsec VPNへ移行する場合は、現在の接続環境を確認してから新しいVPNを設定し、接続テストまで完了させる必要があります。
ここでは、現状確認からSSL-VPNを無効化するまでの流れを順に説明します。
現在のSSL-VPN設定と接続ユーザーを確認する
移行前に、FortiGateで現在のSSL-VPN設定と利用しているユーザーを確認します。
ユーザーグループも含めて確認し、IPsec VPNへ移行する対象を整理しておきましょう。
FortiGate側でIPsec VPNを設定する
FortiGate側で、リモートアクセス用のIPsec VPNを設定します。
認証に使用するユーザーやユーザーグループを指定し、FortiClientから接続できる環境を整えます。
IPsec VPNの設定方法が分からない場合は、FortiGate側で必要な設定項目を確認してから進めるとスムーズです。
▶FortiGateでIPsec VPNを設定する方法｜FortiClientから接続する手順も解説
FortiClient側の接続設定を変更する
FortiClient側では、従来のSSL-VPNからIPsec VPNへ接続設定を変更します。
FortiGate側の設定に合わせて接続先や認証情報を登録し、新しいVPNへ接続できる状態にします。
接続確認後にSSL-VPNを無効化する
IPsec VPNへ正常に接続でき、必要な通信が行えることを確認してからSSL-VPNを無効化します。
先にSSL-VPNを無効化すると接続手段を失う可能性があるため、切り替え後に対応すると安心です。
まとめ
FortiOS 7.6.3以降へアップグレードする場合は、SSL-VPNトンネルモードが利用できなくなることを踏まえて、事前に移行準備を進めることが大切です。
現在の利用状況を確認し、IPsec VPNへの切り替えと接続テストまで済ませてからアップグレードすると、VPNが突然使えなくなるトラブルを防ぎやすくなります。
