Cómo solucionar problemas al usar 2FA con el cliente VPN nativo de Windows

Este artículo aborda un problema común con la configuración de VPN en los dispositivos FortiGate relacionado con el uso de FortiTokens y la autenticación de usuarios a través del cliente VPN nativo de Windows. Comprender este asunto es crucial ya que afecta la seguridad y la conectividad de las redes corporativas. A través de este artículo, se proporcionarán pasos detallados para solucionar el problema y garantizar un funcionamiento adecuado.

Descripción del problema

El artículo trata sobre cómo utilizar un FortiToken con el cliente VPN nativo de Windows mediante L2TP. Si no se configura correctamente, los usuarios pueden tener problemas para conectarse, lo que puede llevar a interrupciones en el servicio.

Alcance

Este problema se aplica a dispositivos que ejecutan FortiOS, donde se configuró el servicio L2TP.

Diagnóstico paso a paso

Para diagnosticar el problema, se debe realizar lo siguiente:

1. Verificar si el usuario local está configurado con un FortiToken y está incluido en el grupo especificado en la configuración de L2TP.
2. Intentar iniciar sesión sin token para observar que el túnel no se establece.



3. También se puede utilizar un comando de depuración para identificar si hay errores en la autenticación.

Solución recomendada

Para habilitar la autenticación con FortiToken, es necesario anexar el token a la contraseña durante el proceso de inicio de sesión. Por ejemplo, si la contraseña es “miContraseña” y el token es “123456”, el usuario debe ingresar “miContraseña123456”.

Al realizar esta acción, la conexión debería establecerse correctamente, como lo muestran las imágenes a continuación:

Comandos CLI utilizados

Para realizar un diagnóstico adecuado, los administradores pueden utilizar comandos en la CLI (Interfaz de Línea de Comandos) como los siguientes:

• diagnose vpn ike status – Este comando muestra el estado de las conexiones VPN IKE.
• get vpn l2tp status – Este comando proporciona el estado de la VPN L2TP.

Buenas prácticas y recomendaciones

Es recomendable seguir estas buenas prácticas al configurar el acceso VPN:

• Asegurarse de que todos los usuarios tengan configurado correctamente su FortiToken.
• Probar la conexión en un entorno controlado antes de implementarla en producción.
• Mantener actualizados tanto el firmware de FortiGate como el cliente VPN para evitar incompatibilidades.

Notas adicionales

El comportamiento descrito también se puede replicar en la conexión de VPN IPsec en dispositivos iOS que ejecutan versiones como la 18.2. Adicionalmente, el depurado de FNBAMD utilizado durante la autenticación puede confirmarse, donde un código de retorno distinto de cero indica un error.

Recuerde siempre revisar los registros de autenticación para identificar posibles problemas específicos en la configuración de los usuarios.