A VPN SSL no FortiGate permite que usuários remotos acessem a rede corporativa com segurança.
Diferente da VPN IPsec site-to-site (que conecta duas redes), a VPN SSL é voltada para acesso de usuários individuais a partir de qualquer lugar.
Os dois modos de VPN SSL
Web mode
O usuário acessa via browser. Sem instalação de software adicional.
O FortiGate apresenta um portal web onde o usuário pode acessar aplicações internas específicas: sistemas web internos, RDP via browser, SSH via browser, compartilhamentos de arquivo.
Limitações: só funciona com aplicações web. Não dá acesso completo à rede como se o usuário estivesse fisicamente no escritório.
Quando usar: acesso ocasional a aplicações específicas, usuários em dispositivos que não podem instalar software, situações onde o controle granular do que o usuário acessa é importante.
Tunnel mode
O usuário instala o FortiClient e estabelece um túnel VPN.
Quando o túnel está ativo, o dispositivo do usuário recebe um endereço IP da rede interna (de um pool configurado no FortiGate) e tem acesso completo aos recursos internos, como se estivesse conectado fisicamente na rede.
Quando usar: usuários que precisam de acesso completo à rede, aplicações que não funcionam via browser, trabalho remoto contínuo.
Como o tunnel mode funciona
O FortiClient estabelece uma conexão SSL com o FortiGate. O FortiGate autentica o usuário (usuário local, LDAP, RADIUS ou certificado). Após autenticação, o FortiGate aloca um IP do pool configurado para o dispositivo do cliente.
O tráfego do usuário vai para o FortiGate através do túnel e o FortiGate o encaminha para a rede interna. O FortiGate aplica políticas de firewall no tráfego da VPN SSL, igual a qualquer outro tráfego.
Configuração básica no FortiGate
Passo 1: criar o portal VPN SSL
VPN → SSL-VPN Portals → Create New
Define modo (web, tunnel ou ambos), pool de IPs para tunnel mode, split tunneling, bookmarks para web mode.
Passo 2: criar as configurações de SSL-VPN
VPN → SSL-VPN Settings
Define interface de escuta, porta (padrão 443 ou 10443), certificado, políticas de autenticação e quais portais cada grupo de usuários acessa.
Passo 3: criar a firewall policy A política de firewall da VPN SSL tem:
- Source interface: ssl.root (interface virtual da VPN SSL)
- Source: usuários ou grupos autorizados
- Destination: recursos internos permitidos
- Action: ACCEPT com security profiles conforme necessário
Sem essa política, o usuário autentica mas não consegue acessar nada.
Split tunneling
Por padrão, quando o tunnel mode está ativo, todo o tráfego do usuário passa pelo FortiGate (full tunnel).
Com split tunneling ativado, só o tráfego destinado à rede interna vai pelo túnel. O resto (YouTube, redes sociais, email pessoal) vai direto para a internet pelo link do usuário.
Vantagens do split tunneling: menos carga no FortiGate, menos latência para o usuário. Desvantagem: o tráfego externo do usuário não passa pelos security profiles do FortiGate.
Autenticação na VPN SSL
O FortiGate suporta múltiplos métodos de autenticação para VPN SSL:
Usuário local: conta criada diretamente no FortiGate.
LDAP/Active Directory: autentica com as credenciais corporativas do Windows.
RADIUS: integra com servidores de autenticação centralizados.
Certificado de cliente: autenticação baseada em certificado digital, mais segura que usuário e senha.
Two-factor authentication: combinação de usuário/senha com token (FortiToken, email, SMS). Altamente recomendado para VPN SSL em produção.
Troubleshooting de VPN SSL
Os problemas mais comuns e como diagnosticar:
Usuário não consegue conectar:
diagnose debug application sslvpn -1
diagnose debug enable
Os logs mostram onde a autenticação está falhando.
Usuário conecta mas não acessa recursos internos: Verifique se existe firewall policy com source interface ssl.root cobrindo o tráfego necessário. Sem a policy, o implicit deny bloqueia.
Certificado inválido no browser: O certificado do FortiGate não é trusted pelo browser. Instale o certificado da CA no dispositivo do usuário ou use um certificado de uma CA pública.
VPN SSL vs IPsec: quando usar cada uma
| Critério | VPN SSL | VPN IPsec |
|---|---|---|
| Caso de uso | Acesso de usuários remotos | Conexão entre sites |
| Software | FortiClient (tunnel mode) | Sem cliente (site-to-site) |
| Configuração | Mais simples | Mais complexa |
| Compatibilidade | Qualquer rede com 443 aberto | Requer portas UDP específicas |
| Performance | Ligeiramente menor | Melhor para alto volume |
O que o NSE4 cobra sobre VPN SSL
A diferença entre web mode e tunnel mode. Como o split tunneling funciona e suas implicações. Os métodos de autenticação suportados. A firewall policy necessária para o tráfego da VPN SSL funcionar. Troubleshooting básico: diagnose debug sslvpn.
FAQ
Qual porta a VPN SSL usa por padrão? A Fortinet recomenda a porta 443 (HTTPS) ou 10443. Usar 443 garante que a VPN funciona em redes que bloqueiam outras portas, já que 443 raramente é bloqueado.
FortiClient é obrigatório para tunnel mode? Sim. O tunnel mode requer o FortiClient instalado no dispositivo do usuário. Para web mode, qualquer browser funciona.
A VPN SSL é segura sem certificado válido? Tecnicamente funciona, mas com risco. Sem certificado válido, o usuário recebe aviso de segurança no browser e pode estar sujeito a ataques man-in-the-middle. Em produção, use sempre certificado de CA pública ou distribua o certificado da CA interna.
▌ VPN SSL é um dos temas de maior peso no NSE4. O simulado do PacketPass tem questões calibradas para o exame FCP_FGT_AD-7.6 atual, organizadas por domínio.
Informações baseadas no blueprint NSE4 FortiOS 7.6 atual e documentação oficial da Fortinet, verificadas em agosto de 2026.