FortiGate IPsec VPN einrichten: IKEv2 mit FortiClient

1. Version bestimmen: Warum ist IKEv2 wichtig?

FortiClient Windows 7.4.4 unterstützt IKEv1 für IPsec nicht mehr. Eine alte IKEv1-Anleitung kann mit diesem Client zu Verbindungsproblemen führen. Ab FortiOS 7.6.3 ersetzt IPsec den SSL-VPN-Tunnelmodus auf allen FortiGate-Modellen; bisherige Tunnelmodus-Einstellungen werden beim Upgrade nicht übernommen. Schließen Sie die Migration vor dem Upgrade ab. Dies bedeutet nicht, dass sämtliche SSL-VPN-Funktionen in jeder 7.6-Version gleichermaßen entfallen.

Für die erste WAN-, LAN- und Administratoranbindung siehe den FortiGate-Leitfaden zur Grundeinrichtung . Hier geht es um einen berechtigten Benutzer, der von außerhalb auf das Büronetz zugreift.

2. IP-Plan und Benutzergruppe vorbereiten

Sichern Sie die Konfiguration und notieren Sie Modell, FortiOS-Build, Client-Betriebssystem und FortiClient-Version. Bereiten Sie unter User & Authentication die für VPN zugelassene Gruppe vor. Bei LDAP/RADIUS prüfen Sie Verzeichnisverbindung und Gruppenzuordnung vor dem VPN; unterscheiden Sie die Benutzerauthentifizierung von der Geräteauthentifizierung per PSK oder Zertifikat. Planen Sie die vom Unternehmen unterstützte Mehrfaktorauthentifizierung gesondert.

Die folgenden Adressen sind hypothetisch. Der VPN-Pool darf sich nicht mit Büro-, Zweigstellen- oder lokalem Netz des entfernten Benutzers überschneiden. Tragen Sie hier keine Passwörter oder gemeinsamen Schlüssel ein.

3. Tunnel mit dem IPsec Wizard erstellen

Wählen Sie unter VPN → IPsec Wizard die Optionen Remote Access und Client-based → FortiClient. Geben Sie dem Tunnel einen eindeutigen Namen. Wählen Sie bei Incoming Interface die tatsächliche WAN-Schnittstelle und unter Authentication die vorgesehene PSK- oder Zertifikatsmethode. Verteilen Sie einen langen, zufälligen und nur hierfür verwendeten PSK über einen sicheren Kanal.

Tragen Sie unter Policy & Routing die interne Schnittstelle, das Zieladressobjekt und den Client-Pool ein. Bei aktiviertem Split-Tunneling werden nur definierte Unternehmensnetze durch den Tunnel geleitet. Für den gesamten Internetverkehr sind eine separate Internetzugriffsregel und Kapazitätsplanung nötig. Wählen Sie einen erreichbaren Unternehmens-DNS für interne Namen. Prüfen Sie die vom Assistenten erzeugten Regeln vor dem Speichern.

4. IKEv2, EAP und Zugriffsregel vervollständigen

Da der dokumentierte Assistentenablauf für 7.4.9 mit IKEv1 beginnen kann, prüfen Sie den erstellten Tunnel. Schließen Sie die Umstellung auf IKEv2 und die EAP-Benutzerauthentifizierung nach der offiziellen Anleitung dieser Version ab. Eine einzelne Gruppe lässt sich im Tunnel mit authusrgrp festlegen. Bei Gruppenvererbung aus Regeln gehört die betreffende Gruppe in das Quellfeld der Firewall Policy. Prüfen Sie die Gruppenzuordnung bei mehreren Gruppen gesondert. Ein Wechsel der IKE-Version allein erhält die Benutzergruppe nicht zwingend.

Begrenzen Sie unter Policy & Objects → Firewall Policy in der Regel von der VPN-Schnittstelle zum LAN/VLAN den Quellpool, die gewählte Gruppenmethode, Zieladressen und benötigte Dienste. Lassen Sie keine dauerhafte ALL/ALL-Freigabe bestehen, nur damit die Verbindung funktioniert. Entscheiden Sie über NAT zusammen mit dem Rückweg; normaler gerouteter Zugriff ins interne Netz benötigt meist kein NAT. Phase-1/2-Vorschläge, DH/PFS und Laufzeiten müssen an beiden Enden übereinstimmen.

5. FortiClient-Profil abstimmen

Wählen Sie im Fernzugriffsprofil von FortiClient oder EMS IPsec VPN, das tatsächliche Remote Gateway und IKE Version 2. PSK-/Zertifikatsmethode, Benutzerauthentifizierung, Mode-Config-Adressvergabe, Phase 1/2 und Transportoptionen müssen zu FortiGate passen. Setzen Sie bei einem EMS-verwalteten Client und dem kostenlosen VPN-Client keine identischen Menüs und Funktionen voraus. Prüfen Sie Version und Funktionsumfang des installierten Pakets.

Bei einer UDP-Konfiguration prüfen Sie den für IKE und NAT-T erforderlichen Netzzugriff. IPsec over TCP/443 oder ein UDP-zu-TCP-Fallback setzt Unterstützung und denselben Transportmodus an beiden Enden voraus. Laut FortiOS-7.4.9-Dokumentation kann TCP/443 mit dem HTTPS-Verwaltungszugriff kollidieren. Prüfen Sie vorhandene Dienste und den Administratorzugang vor Portänderungen. TCP/443 allein garantiert keine Verbindung.

6. Verbunden, aber kein Zugriff auf das interne Netz: Prüfreihenfolge

Ein verbundener VPN-Status bestätigt noch keinen Anwendungszugriff. Prüfen Sie zuerst Phase 1 und Phase 2 in der IPsec-Ansicht unter Dashboard → Network. Kontrollieren Sie dann Client-IP, Zielroute, passende Regel, Rückroute und die eigene Firewall des Servers. Funktioniert der Zugriff per IP, aber nicht per Name, untersuchen Sie DNS. Ping kann blockiert sein; testen Sie auch den tatsächlich erlaubten Anwendungsport.

Prüfen Sie mit einem berechtigten Benutzer sowohl den Zugriff auf erlaubte Ressourcen als auch die Sperre unerlaubter Ressourcen. Halten Sie Datum, Versionen, Zieldienst, Regel-ID und Ergebnis fest. Dieser Artikel behauptet keinen Test in einer echten Kundenumgebung. Vollständige Diagnoseausgaben können Sitzungsschlüssel oder Benutzerinformationen enthalten. Entfernen Sie vertrauliche Felder vor der Weitergabe.

Technische Ressourcen

• Fortinet — FortiOS 7.4.9: IKEv2- und FortiClient-Konfiguration
• Fortinet — IKEv2-Benutzergruppen und Regelzuordnung
• Fortinet — Besondere Hinweise zu FortiClient Windows 7.4.4
• Fortinet — Änderung des SSL-VPN-Tunnelmodus in FortiOS 7.6.3

Quellen geprüft: 5. November 2026. Bewertungstabelle, Schritte und hypothetisches Beispiel sind eigene Arbeitsvorschläge von Quad Bilişim; sie stellen keine Preis- oder Ergebnisgarantie dar.