إزالة SSL VPN في FortiOS 7.6: خطة الانتقال إلى IPsec وZTNA

إزالة SSL VPN من FortiGate تمّت على مرحلتين: أزال الإصدار FortiOS 7.6.0 وضعَي الويب والنفق من الطرازات المبتدئة التي تملك ذاكرة 2 غيغابايت أو أقل، ثم استبدل الإصدار FortiOS 7.6.3 الصادر في أبريل 2025 وضع النفق بشبكة IPsec VPN على جميع طرازات FortiGate. لا تُنقل الإعدادات عند الترقية، لذا يجب نقل الوصول عن بُعد إلى IPsec IKEv2 أو ZTNA قبل ترقية البرنامج الثابت.

ما الذي تغيّر في SSL VPN ضمن FortiOS 7.6؟

تغيير SSL VPN في FortiOS 7.6 موزّع على ثلاث ملاحظات إصدار: أزال 7.6.0 وضعَي الويب والنفق من الطرازات المبتدئة، وأضاف 7.6.1 طرازَي 90G/91G إلى القائمة، ثم استبدل 7.6.3 وضع النفق بشبكة IPsec VPN على كل الطرازات وأعاد تسمية وضع الويب إلى "Agentless VPN". وفي أي مرحلة لا تنتقل الإعدادات القديمة إلى البرنامج الثابت الجديد.

هذه إزالة فعلية وليست مجرد إشعار بالإيقاف التدريجي. يذكر الإشعار الخاص في ملاحظات إصدار FortiOS 7.6.3 أن وضع النفق لم يعد متاحاً في GUI وCLI، وأن الإعدادات لن تُرحَّل من الإصدارات السابقة، وأن ذلك ينطبق على جميع طرازات FortiGate. ويطلب الإشعار نفسه من العملاء نقل إعدادات نفق SSL VPN إلى IPsec VPN قبل الترقية إلى 7.6.3 لضمان استمرار الوصول عن بُعد دون انقطاع.

في تجربتنا الميدانية، غالباً ما تُكتشف المشكلة بعد الترقية باتصال يقول "اختفت بوابة VPN"؛ وعندها يكون الطريق الوحيد للعودة هو استرجاع البرنامج الثابت السابق ونسخة احتياطية من الإعدادات. لذلك فإن قراءة التغيير إصداراً بإصدار شرط لتحديد التوقيت الصحيح.

تضيف ملاحظات الإصدار في فرع 7.6 أن الطرازات ذات ذاكرة 2 غيغابايت تفقد أيضاً الميزات المعتمدة على الوكيل (proxy) وميزة Security Rating وطوبولوجيا Security Fabric؛ أي أن القرار على هذه الأجهزة يتعلق بدورة الحياة كلها لا بشبكة VPN وحدها. ومنذ 7.6.4 (بما في ذلك FortiOS 8.0.0) صار عنوان الإشعار عاماً بصيغة "بعض طرازات FortiGate"، لذا تحقّقوا دائماً من قائمة الطرازات والتواريخ في النص الحالي داخل مكتبة وثائق Fortinet.

ما طرازات FortiGate والمؤسسات المتأثرة؟

طرازات FortiGate المتأثرة تنقسم إلى مجموعتين: على طرازات 40F و60F/61F وFGR-60F ذات ذاكرة 2 غيغابايت وعلى 90G/91G لا يبقى وضع النفق ولا Agentless VPN؛ أما بقية الطرازات فيختفي فيها وضع النفق مع 7.6.3 ويستمر Agentless VPN. عملياً، يتأثر كل مالك FortiGate يقدّم الوصول عن بُعد عبر SSL VPN.

للتحقق من فئة ذاكرة جهازكم، نفّذوا الأمر diagnose hardware sysinfo conserve في CLI؛ فإذا كانت الذاكرة الكلية أقل من 2000 ميغابايت فالجهاز يقع ضمن تعريف Fortinet لفئة "2 غيغابايت". ويهمّ هذا خصوصاً في طرازات مثل FGR-60F التي تُباع بأكثر من إعداد للذاكرة. ولمقارنة العائلات من حيث السعة، راجعوا مقارنتنا بين FortiGate 40F و60F و70G و90G؛ مع ملاحظة أن 90G/91G مدرجان في قائمة استبعاد Agentless VPN بينما لا يرد 70G فيها ضمن ملاحظات الإصدار.

من حيث طبيعة المؤسسة، هناك ثلاث فئات متأثرة:

• الشركات الصغيرة والمتوسطة التي تستخدم وضع النفق مع FortiClient: الموظفون عن بُعد، والوصول إلى أنظمة المحاسبة وERP، والفنيون الميدانيون. وهي الفئة الأكبر وتتأثر دون استثناء مع 7.6.3.
• المؤسسات التي تستخدم بوابة الويب: من يقدّمون إشارات RDP وSSH للمقاولين أو للأجهزة غير المُدارة. يمكنهم الاستمرار عبر Agentless VPN على الطرازات المتوسطة والكبيرة، أما على الطرازات المبتدئة فعليهم الانتقال إلى IPsec أو ZTNA.
• من يرقّون أسطولاً كبيراً دفعة واحدة: الترقية الجماعية دون جرد VPN لكل جهاز هي السيناريو الأعلى خطورة.

لا يزال فرع FortiOS 7.4 يتضمن وضع النفق في SSL VPN، وقد نشرت Fortinet دليل ترحيل منفصلاً لفرع 7.4 أيضاً؛ لكن دعم هذا الفرع محدود زمنياً، فتحقّقوا من تواريخ انتهاء الدعم في صفحة دورة حياة منتجات Fortinet. البقاء على 7.4 يمنحكم وقتاً لكنه ليس حلاً. ويجب أن يكون أول مخرجات خطة الانتقال تحديدَ الفرع المناسب لكل جهاز في أسطول FortiGate لديكم.

ما البدائل المتاحة عن SSL VPN؟

بدائل SSL VPN أربعة: شبكة IPsec VPN من نوع dial-up ببروتوكول IKEv2 على جهاز FortiGate الحالي، وAgentless VPN للوصول عبر المتصفح على الطرازات الداعمة، وZTNA على FortiGate مع FortiClient EMS للوصول على مستوى التطبيق، وخدمة FortiSASE السحابية. تنتقل معظم المؤسسات أولاً إلى IPsec ثم تنقل التطبيقات الحرجة إلى ZTNA.

يُحدَّد الاختيار وفق نموذج الوصول لديكم لا وفق حداثة الخيار: فالتطبيقات ذات العميل الثقيل التي تحتاج إلى نفق على مستوى الشبكة (أنظمة ERP القديمة، مشاركة الملفات، خوادم الطباعة) يخدمها IPsec بأقصر طريق وأقل مخاطرة؛ وللوصول إلى تطبيقات الويب وRDP وSSH بشرط سلامة الجهاز يمنح ZTNA صلاحية لكل تطبيق دون فتح نفق؛ ولمن يريد فحص حركة الفروع والعاملين عن بُعد في السحابة بدلاً من إعادتها إلى مركّز واحد يأتي دور FortiSASE.

شرحنا آلية عمل ZTNA واختلافه عن VPN في مقال ما هو ZTNA؟ الوصول بمبدأ انعدام الثقة بديلاً عن VPN، ويكمّله لسيناريو الفروع والعاملين عن بُعد مقال ما هو SASE؟ نهج FortiSASE للفروع. ومن ناحية المنتجات، يجمع FortiClient بين VPN وZTNA وحماية نقاط النهاية في وكيل واحد، بينما يطبّق FortiSASE سياسات الوصول نفسها من السحابة.

كيف يتم الانتقال إلى IPsec IKEv2 خطوة بخطوة؟

الانتقال من SSL VPN إلى IPsec IKEv2 يتبع النهج ذا المرحلتين في دليل Fortinet: أولاً توثيق طرق المصادقة ومجموعات المستخدمين المستخدمة، ثم بناء نفق IPsec من نوع dial-up بالتوازي مع SSL VPN، وإضافته إلى ملف FortiClient EMS، والتحقق منه مع مجموعة تجريبية، ثم نقل بقية المستخدمين على دفعات.

يؤكد دليل Fortinet للترحيل من SSL VPN إلى IPsec VPN أنه لا حاجة إلى تغيير الطوبولوجيا أو المنفذ: يتصل المستخدمون كما في السابق بالمنفذ TCP 443 على واجهة WAN في FortiGate، والفرق أن IKEv2/ESP يُغلَّف داخل TCP بدلاً من نفق TLS. وتشكّل أساسيات IPsec في دليلنا لإعداد VPN على FortiGate البنية التحتية لهذه الخطوات.

1. أجروا الجرد. البوابات، ومجموعات المستخدمين، ومصدر الهوية، والمصادقة الثنائية، وإعدادات split tunnel وDNS، ومجمّعات العناوين، وجميع السياسات المرتبطة بالواجهة ssl.root.
2. حدّدوا إصدار IKE. يُوصى بـ IKEv2: فالنقل عبر TCP 443 يعمل مع IKEv2 فقط، ومصادقة SAML مدعومة في IKEv2 فقط، ولم يعد FortiClient 7.4.4 وما بعده يتضمن IKEv1.
3. طابقوا طرق المصادقة. يبيّن الجدول أدناه المقابل في IPsec لكل طريقة حالية. في IPsec يُعدّ المفتاح المشترك مسبقاً (PSK) أو الشهادة حقلاً إلزامياً، وتُضاف مصادقة المستخدم فوقه عبر EAP.
4. أنشئوا النفق على FortiGate. يولّد معالج VPN نفق dial-up وتخصيص العناوين (mode-cfg) والسياسات، ثم حوّلوا النقل إلى TCP.
5. عالجوا تعارض منفذ الإدارة. إذا استُخدم TCP 443 لـ IKE فقد يتأثر الوصول الإداري عبر 443 على الواجهة نفسها؛ غيّروا منفذ IKE أو منفذ الإدارة.
6. حدّثوا ملف FortiClient EMS. أضيفوا نفق IPsec إلى ملف Remote Access، مع تطابق تام لإصدار IKE والوضع والنقل عبر TCP مع FortiGate. يحتاج العملاء إلى 7.4.1 أو أحدث للتغليف عبر TCP، وإلى 7.4.6 أو أحدث إذا كان IPv6 مطلوباً.
7. التجربة والتشغيل المتوازي. افتحوا IPsec لمجموعة صغيرة أولاً وتحقّقوا من MFA وDNS والوصول إلى التطبيقات، ثم انقلوا المجموعات واتركوا ترقية البرنامج الثابت إلى النهاية.

تغيير CLI اللازم للنقل عبر TCP قصير؛ عدّلوا اسم النفق الذي يولّده المعالج وفق بيئتكم:

config vpn ipsec phase1-interface
    edit "RemoteAccess-IKEv2"
        set ike-version 2
        set transport tcp
    next
end

config system settings
    set ike-tcp-port 443
end

في مشاريعنا، كثيراً ما يحقق تنظيف السياسات المرتبطة بشبكة SSL VPN وغير المستخدمة منذ سنوات مكسباً أمنياً يوازي الانتقال نفسه.

متى يكون الانتقال المباشر إلى ZTNA منطقياً؟

الانتقال إلى ZTNA منطقي للمؤسسات التي تريد منح الوصول عن بُعد لكل تطبيق على حدة وبشرط سلامة الجهاز بدلاً من نفق شبكي. يعمل FortiGate بوابةَ تطبيقات ZTNA منذ FortiOS 7.0، لكن FortiClient EMS الذي يحفظ الهوية وحالة الجهاز إلزامي. ولمعظم الشركات الصغيرة والمتوسطة يكون IPsec على المدى القصير ثم ZTNA على المدى المتوسط هو التسلسل الأكثر توازناً.

تتكون البنية من ثلاثة أجزاء: FortiClient على نقطة النهاية، وFortiClient EMS الذي يحفظ وسوم حالة الجهاز (التحديثات، مكافح الفيروسات، تشفير القرص)، وFortiGate الذي ينفّذ قرار الوصول. إذا تحققت الشروط يُفتح التطبيق المعني فقط، ولأنه لا يوجد نفق شبكي تضيق مساحة الحركة الجانبية. ويتقدّم ZTNA خصوصاً عندما تكون التطبيقات من نوع Web أو RDP أو SSH، أو عند وجود مقاولين وأجهزة BYOD، أو إذا كان EMS مستخدماً أصلاً.

في المقابل يبقى IPsec لتطبيقات العميل الثقيل والوصول إلى خوادم الملفات؛ لذلك فإن النموذج الذي نوصي به غالباً هجين: المجموعات التي تحتاج إلى نفق تنتقل إلى IPsec IKEv2، وتطبيقات الويب إلى ZTNA. ولمن يريد فحص الحركة من السحابة، يطبّق FortiSASE السياسات نفسها من نقاط حضور سحابية، وقد تناولنا هذا السيناريو في مقالنا عن FortiSASE. وللإطار المفاهيمي لـ ZTNA ارجعوا إلى دليلنا حول ZTNA.

خطة الانتقال وقائمة التحقق قبل الترقية

قائمة التحقق قبل الترقية إلى FortiOS 7.6.3 تقوم على مبدأ واحد: لا يُرقّى أي جهاز FortiGate يستخدم وضع النفق في SSL VPN إلى 7.6.3 أو أحدث قبل التحقق من وصول IPsec أو ZTNA في بيئة الإنتاج. وتطلب Fortinet صراحةً في ملاحظات الإصدار إتمام الترحيل قبل الترقية.

لأن وضع النفق غير موجود إطلاقاً في 7.6.3 وما بعده، يختفي عملياً خيار "الترقية أولاً ثم الترحيل" عند هذه العتبة. تلخّص القائمة التالية الترتيب الذي نتبعه في مشاريعنا.

للمؤسسات التي تنتقل إلى FortiGate من مصنّع آخر، تطبّق خطتنا للترحيل خطوة بخطوة الانضباط نفسه. وإذا أردتم تفويض متابعة الإصدارات والتصحيحات، يمكن تنفيذ ترحيل VPN وإدارة البرنامج الثابت معاً ضمن خدمة الجدار الناري المُدار.

الأسئلة الشائعة

رقّيت إلى FortiOS 7.6.3 ولا يستطيع مستخدمو SSL VPN الاتصال؛ هل ستعود الإعدادات؟

لا. وفق ملاحظات الإصدار، لا تُرحَّل إعدادات وضع النفق من الإصدارات السابقة ولا يمكن إنشاؤها مجدداً في GUI أو CLI. الخيارات هي استرجاع البرنامج الثابت السابق من النسخة الاحتياطية، أو بناء نفق IPsec IKEv2 من نوع dial-up وتحديث ملفات FortiClient. جهّزوا النسخة الاحتياطية وخطة التراجع قبل الترقية لتقصير أي انقطاع.

هل Agentless VPN ووضع الويب في SSL VPN الشيء نفسه؟

نعم؛ تشير ملاحظات إصدار FortiOS 7.6.3 إلى وضع الويب في SSL VPN باسم "Agentless VPN". يستمر الوصول عبر المتصفح بالإشارات المرجعية، لكن الميزة أُزيلت من GUI وCLI على 40F و60F/61F وFGR-60F (2 غيغابايت) و90G/91G. وهي متاحة على الطرازات الأخرى؛ تحقّقوا من القائمة الحالية في ملاحظات إصدار Fortinet.

ما إصدار FortiClient المطلوب للانتقال إلى IPsec؟

وفق دليل الترحيل من Fortinet، يتطلب IPsec عبر TCP 443 الإصدار FortiClient 7.4.1 أو أحدث؛ ومنذ FortiClient 7.4.4 لم يعد IKEv1 مدعوماً، لذا يجب استخدام IKEv2. لا يدعم FortiClient 7.4.4 بروتوكول IPv6، فإن احتجتم إليه فاستخدموا 7.4.6 أو أحدث. وتحتاج مصادقة SAML إلى 7.2.4 أو أحدث.

هل يمكن تشغيل IPsec VPN على المنفذ TCP 443 أيضاً؟

نعم. اضبطوا النقل في نفق IKEv2 على TCP، وسيغلّف FortiGate حركة IKE وESP عبر TCP 443 افتراضياً، ويمكن تغيير المنفذ عند الحاجة. يحافظ ذلك على الاتصال في شبكات الفنادق والمشغّلين التي تحجب UDP 500/4500. وإذا كان الوصول الإداري على الواجهة نفسها يستخدم 443 فغيّروا أحد المنفذين.

هل تعمل SAML والمصادقة متعددة العوامل عبر IPsec؟

نعم. يذكر دليل Fortinet أن جميع طرق مصادقة SSL VPN قابلة للنقل إلى IPsec: SAML مدعومة في IKEv2 فقط، وLDAP يستخدم EAP-TTLS في IKEv2، وتُدمج المصادقة الثنائية FortiToken مع Local وLDAP وRADIUS وSAML. ويمكن إعادة استخدام المستخدمين والمجموعات الحالية في إعدادات IPsec الجديدة.

هل يمكنني البقاء على FortiOS 7.4 ومواصلة استخدام SSL VPN؟

حالياً نعم؛ فرع 7.4 يتضمن SSL VPN وقد نشرت Fortinet دليل ترحيل لفرع 7.4 أيضاً. لكن دعم هذا الفرع محدود زمنياً؛ تحقّقوا من تواريخ انتهاء الدعم في صفحة دورة حياة منتجات Fortinet. البقاء على 7.4 يمنح وقتاً للتخطيط لكنه لا يلغي الحاجة إلى الانتقال.

هل يتطلب ZTNA عتاداً جديداً؟

عادةً لا على جانب FortiGate؛ فإصدار FortiOS 7.0 وما بعده يتضمن وظيفة بوابة تطبيقات ZTNA. لكن خادم FortiClient EMS إلزامي لوسوم حالة الأجهزة؛ تحقّقوا من متطلبات موارده في وثائق EMS الحالية. وللمؤسسات التي لا تريد عتاداً في الفروع، يطبّق FortiSASE السياسات نفسها من السحابة.

الخلاصة

أزال FortiOS 7.6.3 وضع النفق في SSL VPN من جميع طرازات FortiGate، وفقدت الطرازات المبتدئة ذات ذاكرة 2 غيغابايت ميزة Agentless VPN أيضاً. ولأن الإعدادات لا تُنقل عند الترقية، فالترتيب الصحيح واضح: الجرد، ثم بناء نفق IPsec IKEv2 من نوع dial-up على TCP 443 بالتوازي، وتحديث ملفات FortiClient EMS، والتجربة والانتقال التدريجي، وترقية البرنامج الثابت في النهاية. وتأتي بعد ذلك خطوة ZTNA لتطبيقات الويب ووصول المقاولين، وFortiSASE للفروع الموزعة.

في Sora Yazılım يمكننا أن نعدّ معكم تحليل الأثر على أسطول FortiGate لديكم، وخطة الانتقال إلى IPsec أو ZTNA، وجدول الترقية. لمراجعة بيئتكم الحالية معاً، اطلبوا جلسة استكشافية مجانية أو اطلبوا عرض سعر لمشروع الانتقال.