BİLGİ MERKEZİ · FORTIGATE VPN

FortiGate IPsec VPN Kurulumu: FortiClient ile IKEv2 Ayarları

Quad Bilişim · Yayın hesabı: admin · 5 Kasım 2026

FortiGate üzerinde uzaktan erişim VPN kurmak için önce FortiOS ve FortiClient sürümlerini eşleştirin, ardından IKEv2 tüneli, kullanıcı doğrulaması, istemci IP havuzu ve yalnızca gerekli kaynaklara izin veren güvenlik kuralını birlikte yapılandırın. Bu rehber, FortiOS 7.4.9 yönetim belgesindeki akışı temel alır; farklı sürümlerde menü ve seçenekler değişebilir. Site-to-site VPN veya cihazın ilk internet kurulumu ayrı konulardır.

Aydınlık bir masada VPN bağlantı ayarlarını inceleyen uzmanın elleri, iki dizüstü bilgisayar ve markasız ağ güvenlik cihazı

1. Sürümü belirleyin: IKEv2 neden önemli?

FortiClient Windows 7.4.4 sürümünde IPsec için IKEv1 desteği kaldırılmıştır. Bu istemciyle eski bir IKEv1 tarifini uygulamak bağlantı sorununa yol açabilir. FortiOS 7.6.3’ten itibaren SSL VPN tunnel mode tüm FortiGate modellerinde IPsec ile değiştirilmiştir; eski tunnel mode ayarları yükseltmede taşınmaz. Yükseltme öncesi geçişi tamamlayın. Bu değişikliği tüm SSL VPN işlevlerinin her 7.6 sürümünde aynı şekilde kaldırılması diye yorumlamayın.

İlk WAN, LAN ve yönetici erişimi için FortiGate temel kurulum rehberine bakabilirsiniz. Buradaki hedef, ofis ağına dışarıdan bağlanan yetkili kullanıcıdır.

2. IP planını ve kullanıcı grubunu hazırlayın

Yapılandırmayı yedekleyin; model, FortiOS build, istemci işletim sistemi ve FortiClient sürümünü kaydedin. User & Authentication altında VPN’e izin verilecek grubu hazırlayın. LDAP/RADIUS kullanılıyorsa dizin bağlantısını ve grup eşleşmesini VPN’den önce doğrulayın; kullanıcı doğrulaması ile cihazın PSK veya sertifika doğrulamasını birbirine karıştırmayın. Kurumun desteklenen çok faktörlü doğrulama yöntemini ayrıca tasarlayın.

Aşağıdaki adresler varsayımsaldır. VPN havuzu; ofis, şube ve uzaktaki kullanıcının yerel ağıyla çakışmamalıdır. Şifre ve paylaşılan anahtarı bu kayda yazmayın.

Alan	Örnek	Kurulum kararı
İç ağ	10.40.10.0/24	Erişilecek alt ağı açıkça sınırlandırın.
VPN havuzu	10.40.250.10–10.40.250.50	Çakışmayan istemci adresleri ayırın.
Uzak ağ geçidi	vpn.example.com	Gerçek WAN adresine çözülen kendi alan adınızı kullanın.
Grup ve DNS	VPN-Ofis / kurum DNS’i	İzinli grubu ve iç adları çözen DNS’i kaydedin.

3. IPsec Wizard ile tüneli oluşturun

VPN → IPsec Wizard yolunda Remote Access ve Client-based → FortiClient seçin. Tünele ayırt edici bir ad verin. Incoming Interface alanında gerçek WAN arayüzünü, Authentication bölümünde kurumun seçtiği PSK veya sertifika yöntemini belirleyin. PSK kullanılıyorsa uzun, rastgele ve başka yerde kullanılmayan bir anahtarı güvenli kanalla dağıtın.

Policy & Routing adımında iç arayüzü, erişilecek adres nesnesini ve istemci havuzunu girin. Split tunnel açıksa yalnızca tanımlanan kurumsal ağlar tünele yönlenir; tüm internet trafiğini tünele almak ayrı internet çıkış kuralı ve kapasite planı gerektirir. İç adlar için ulaşılabilir kurum DNS’ini seçin. Sihirbazın oluşturduğu kuralları kaydetmeden önce gözden geçirin.

4. IKEv2, EAP ve erişim kuralını tamamlayın

7.4.9 belgesindeki sihirbaz akışı IKEv1 ile başlayabildiğinden oluşturulan tüneli kontrol edin; IKEv2’ye dönüştürme ve EAP kullanıcı doğrulama ayarlarını ilgili sürümün resmi adımlarıyla tamamlayın. Tek grup tünelde authusrgrp ile tanımlanabilir; politika üzerinden grup mirası seçilmişse ilgili grup Firewall Policy kaynak alanına eklenmelidir. Birden çok grup tasarımında grup eşleşmesini ayrıca doğrulayın. Yalnızca IKE sürümünü değiştirip kullanıcı grubunun korunacağını varsaymayın.

Policy & Objects → Firewall Policy altında VPN arayüzünden ilgili LAN/VLAN’a giden kuralda kaynak havuzunu, seçilen grup yöntemini, hedef adresleri ve gerekli servisleri sınırlandırın. Bağlantıyı çalıştırmak için kalıcı ALL/ALL izin açmayın. NAT kararını dönüş rotasıyla birlikte verin; standart yönlendirilmiş iç ağ erişiminde NAT çoğunlukla gerekmez. Phase 1/2 teklifleri, DH/PFS ve süreler iki uçta uyumlu olmalıdır.

5. FortiClient profilini eşleştirin

FortiClient veya EMS uzaktan erişim profilinde IPsec VPN, gerçek Remote Gateway ve IKE Version 2 seçin. PSK/sertifika yöntemi, kullanıcı doğrulaması, Mode Config adres ataması, Phase 1/2 ve taşıma seçenekleri FortiGate ile aynı olmalıdır. EMS profiliyle yönetilen istemciyi, ücretsiz VPN istemcisinin her menü ve özelliği aynıymış gibi değerlendirmeyin; kurulu sürüm ve paket desteğini kontrol edin.

UDP ile başlayan kurulumda IKE ve NAT-T için gereken ağ erişimini doğrulayın. IPsec over TCP/443 veya UDP’den TCP’ye fallback kullanılacaksa her iki uçta destek ve aynı taşıma modu gerekir. FortiOS 7.4.9 belgesinde TCP/443’ün yönetim HTTPS erişimiyle çakışabileceği belirtilir. Portu değiştirmeden önce mevcut servisleri ve yönetim erişimini kontrol edin; TCP/443 seçmek tek başına bağlantıyı garanti etmez.

6. Bağlandı ama iç ağa erişmiyor: kontrol sırası

VPN durumunun bağlı görünmesi, uygulamaya erişimin tamamlandığını göstermez. Önce Phase 1 ve Phase 2 durumunu Dashboard → Network içindeki IPsec görünümünden inceleyin. Ardından istemciye verilen IP’yi, hedefe rotayı, politika eşleşmesini, dönüş rotasını ve sunucunun kendi güvenlik duvarını kontrol edin. IP ile erişim çalışıp adla çalışmıyorsa DNS’i araştırın. Ping engellenmiş olabilir; izin verilen gerçek uygulama portunu da deneyin.

Yetkili bir kullanıcıyla izin verilen kaynağa erişimi ve izin verilmeyen kaynağın engellendiğini doğrulayın. Test kaydına tarih, sürümler, hedef servis, kural kimliği ve sonucu ekleyin. Bu yazı gerçek bir müşteri ortamında test yapıldığı iddiası taşımaz. Tam teşhis çıktıları oturum anahtarları veya kullanıcı bilgileri içerebilir; paylaşmadan önce gizli alanları çıkarın.

FortiGate VPN kurulum kapsamını netleştirin

FortiGate destek hizmeti için cihaz modeli, yazılım sürümü, istemci sayısı ve erişilecek uygulamaları paylaşabilirsiniz. Lisans ve destek süresini ayrıca FortiGate lisans kontrol rehberiyle değerlendirin. Buradaki sürümler arayüz örneğidir; dağıtım için güncel desteklenen sürümü ve güvenlik duyurularını kontrol edin.

Teknik kaynaklar

Kaynak kontrolü: 5 Kasım 2026. Değerlendirme tablosu, işlem adımları ve varsayımsal örnek Quad Bilişim’in özgün çalışma önerileridir; fiyat veya sonuç garantisi değildir.