Cómo resolver el error de OneLogin SAML en SSL VPN tras la actualización a FortiOS 7.0.15 o 7.4.3

En este artículo, abordaremos un problema que afecta a los usuarios de FortiGate que utilizan la SSL VPN con OneLogin como proveedor de identidad (IdP) después de realizar una actualización a las versiones de FortiOS 7.0.15 o 7.4.3. Este problema es significativo, ya que impide a los usuarios conectarse a la VPN, lo que podría afectar la productividad y la seguridad. A continuación, se describen los pasos necesarios para diagnosticar y solucionar este problema.

Descripción del problema

Después de actualizar FortiGate a FortiOS v7.0.15 o v7.4.3, los usuarios de SSL VPN que utilizan OneLogin pueden encontrar dificultades para conectarse a la VPN. Este problema puede ser verificado examinando los registros del sistema, mostrando errores específicos durante el proceso de autenticación.

Alcance

Este artículo es aplicable a las versiones de FortiGate v7.0.15 y v7.4.3.

Diagnóstico paso a paso

Para diagnosticar el problema, se pueden utilizar los siguientes comandos diversos que permiten habilitar la depuración y observar los logs generados. Estos comandos son fundamentales para entender la raíz del problema:

diagnose debug application samld -1

diagnose debug application sslvpnd -1

diagnose debug enable

Una vez habilitada la depuración, se recomienda reproducir el problema y observar los logs que se generan. Un ejemplo del log podría ser el siguiente:

2024-04-24 11:40:39 [15580:root:a]req: /remote/saml/login

2024-04-24 11:40:40 [15580:root:a]readPostLeave:151 invalid character (13) in payload (/remote/saml/login).

Solución recomendada

Este problema ha sido resuelto en las versiones v6.4.16, v7.2.9, v7.4.5 y v7.6.0. Para resolver el problema, se recomienda actualizar a una de estas versiones que corrigen el error. Asegúrese de tomar las precauciones necesarias antes de realizar cualquier actualización.

Comandos CLI utilizados

A continuación, se detallan los comandos utilizados para el diagnóstico y la solución del problema:

1. Debugs:
   1. diagnose debug application samld -1
   2. diagnose debug application sslvpnd -1
   3. diagnose debug timestamp enable
   4. diagnose debug enable
   5. <Reproducir el problema>
   6. diag debug disable
2. Informe TAC:

execute tac report

3. El archivo de configuración del FortiGate.

Para deshabilitar los procesos de depuración, presione ‘Ctrl+C’ y escriba ‘diagnose debug disable’.

Buenas prácticas y recomendaciones

Es importante mantener siempre actualizado el software de FortiGate, ya que las nuevas versiones no solo corrigen errores, sino que también incluyen mejoras en la seguridad y funcionalidades. Realizar copias de seguridad antes de las actualizaciones y seguir las guías de actualización recomendadas por Fortinet también es crucial para evitar problemas en la configuración.

Notas adicionales

Asegúrese de revisar los logs y ejecutar diagnósticos recurrentemente, incluso después de solucionar problemas, para garantizar el correcto funcionamiento del sistema. Si persisten problemas, no dude en contactar al soporte técnico de Fortinet para obtener asistencia adicional.