Le SSLVPN de Fortinet a longtemps constitué une solution de référence pour offrir un accès distant sécurisé aux collaborateurs. Cependant, les évolutions des menaces, des usages et des architectures réseau conduisent aujourd’hui Fortinet à faire évoluer son offre. La disparition progressive du SSLVPN historique sur les nouvelles générations de FortiGate marque un tournant qu’il est important d’anticiper. Attendre la dernière minute pourrait compliquer les migrations et retarder l’adoption de fonctionnalités plus modernes.

Une solution plus performante et plus sécurisée

FortiClient EMS associé au VPN IPsec over TCP représente la nouvelle approche recommandée par Fortinet. Cette solution garantit un accès distant fiable, même dans les environnements où les flux IPsec traditionnels sont filtrés, tout en offrant de meilleures performances et une plus grande stabilité des connexions. Elle permet également de renforcer la sécurité grâce à une authentification avancée, une meilleure gestion des certificats et une intégration native avec les mécanismes Zero Trust (#ZTNA), afin de contrôler plus finement les accès aux ressources de l’entreprise.

IPsec, combiné à l’encapsulation TCP/443, permet d’avoir une connectivité tout-terrain, compatible avec les hotspots ou portails captifs, que l’utilisateur en déplacement pourrait être amené à rencontrer.

Une administration centralisée qui simplifie le quotidien

Au-delà de la connectivité VPN, FortiClient EMS apporte une véritable valeur ajoutée aux équipes informatiques. Les postes de travail sont administrés depuis une console unique, permettant de déployer automatiquement les profils VPN, de gérer les mises à jour, de vérifier la conformité des équipements et d’appliquer des politiques de sécurité homogènes. Cette centralisation réduit les opérations manuelles, améliore la visibilité sur le parc informatique et facilite le maintien en conditions opérationnelles de l’ensemble des postes nomades.

FortiSASE : une alternative pour les environnements distribués

Pour les organisations qui souhaitent aller plus loin dans la modernisation de leurs accès distants, FortiSASE constitue une alternative particulièrement pertinente. En s’appuyant sur une architecture cloud, cette solution combine les fonctions de sécurité réseau (Secure Web Gateway, #CASB, Firewall as a Service, #ZTNA, etc.) et les services d’accès sécurisé dans une plateforme unique.

Elle est particulièrement adaptée aux entreprises multi-sites, aux collaborateurs en télétravail ou aux utilisateurs fortement mobiles, qui bénéficient d’une protection cohérente où qu’ils se connectent, sans dépendre exclusivement des infrastructures VPN traditionnelles. La plateforme FortiSASE utilise le même client endpoint unique FortiClient, et se positionne comme une évolution plus complète. Vous aurez ainsi tous les avantages de l’EMS, qui est inclut dans la plateforme unifiée FortiSASE.

Le choix entre ces deux solutions dépendra de l’architecture existante et des objectifs de transformation de l’entreprise.

Anticiper la migration pour préparer l’avenir

Migrer vers FortiClientEMS ou vers une architecture SASE ne consiste pas seulement à remplacer une technologie en fin de vie. C’est l’occasion de moderniser les accès distants, d’améliorer l’expérience utilisateur et de renforcer durablement le niveau de cybersécurité. Une migration préparée en amont permet de limiter les impacts sur les utilisateurs tout en bénéficiant rapidement des innovations de l’écosystème Fortinet.

Besoin d’être accompagné dans votre migration ?

En tant qu’intégrateur et expert certifié Fortinet, nous accompagnons nos clients à chaque étape de leur projet : audit de l’existant, définition de l’architecture cible, déploiement de FortiClient EMS, mise en œuvre de FortiSASE, migration progressive des utilisateurs et transfert de compétences vers vos équipes.

Chaque organisation possède ses propres contraintes techniques, réglementaires et opérationnelles ; c’est pourquoi nous privilégions une approche sur mesure. Si vous souhaitez anticiper la fin du SSLVPN historique ou étudier la solution la plus adaptée à votre environnement, contactez nos experts. Nous serons ravis d’échanger avec vous pour construire une stratégie de migration performante, sécurisée et pérenne.

L’article Migration du SSLVPN Fortinet : pourquoi passer à FortiClient EMS dès aujourd’hui est apparu en premier sur IRONIE.

Vous trouverez ci-dessous les dernières nouveautés de l’offre FortiSASE, qui arrive à partir du 16/06 en version 26.2.1

Scope

Anticipated Impact: Potential for short interruption of customer instances and configuration portal during the window.

The Operations team will be installing a rolling software update. There is potential for short connectivity impact (approximately ~1-2 minutes) for each customer instance and the configuration portal while these components are updated. No other impact on service delivery is expected.

Tenant upgrades to 26.2.1 will be processed Tuesday, June 16th through Thursday, June 18th. Upgrades will follow your assigned maintenance window, consistent with prior scheduled maintenances. Customers who have configured a preferred maintenance window in the FortiSASE portal will be upgraded during their selected hours. For details on maintenance window scheduling, see:

https://docs.fortinet.com/document/fortisase/latest/administration-guide/190872/appendix-e-monthly-maintenance

For Feature release

• Integrated FortiCASB-SSPM basic cloud access security broker (CASB) management and advanced SaaS security posture management (SSPM) into FortiSASE for secure SaaS access. A FortiSASE SSPM Protection add-on subscription is required to integrate with several SaaS applications via connectors and to access advanced SSPM features.
• Granular control of pre-logon tunnels has been implemented through Secure Private Access (SPA) and Secure Internet Access (SIA) policy management.
• Added support for LDAP user authentication with IPsec agent tunnels for both Windows and macOS using the EAP for LDAP authentication setting. This setting is only supported on instances supporting FortiClient 7.4.
• Security PoPs can be created, disabled/enabled, decommissioned, and migrated in the Operations > Infrastructure page.
• A FortiClient 7.4.7 ARM installer for Windows is available for endpoint onboarding.
• In Endpoint management > Endpoint profiles, the On connect script and On disconnect script fields allow the entry of Windows and macOS scripts that will trigger actions when connecting to or disconnecting from Secure Internet Access (SIA), IPsec, or SSL tunnels.
• The Security PoP icons and naming convention have been updated to the format City, State (Country) when provisioning a FortiSASE instance and in Operations > Infrastructure. When selecting an entry, hover over the Security PoP name to see more details.
• Added support for bring your own device (BYOD) enrollment to a mobile device management (MDM) platform used for installing FortiClient and automatically provisioning a ZTNA client certificate to a device. Currently, only iOS mobile devices are supported with the Intune and JAMF platforms.
• When FortiPAM integration is enabled, added support for adding the FortiPAM agent to the FortiClient installer available on the FortiSASE portal. Also, when FortiPAM integration is disabled in FortiSASE, added support for removing the FortiPAM agent from the FortiClient installer and for removing the FortiPAM browser extension.
• Improved usability of the Connection tab in an endpoint profile to clearly indicate that local LAN access options apply when connected to a tunnel and that the network lockdown option applies when not connected to a tunnel.
• Added option for administrators to override global FortiSASE Cloud Security Tunnel encapsulation to IPsec over TCP via endpoint profile. This allows for IPsec remote user connectivity in cases when Auto option for FortiSASE Cloud Security Tunnel encapsulation is not working since initial IKE negotiation over UDP works fine but ISP blocks UDP ports 500/4500 so fail back to TCP never occurs.
• For new instances or existing instances provisioned in 25.4.c Feature or later supporting FortiClient 7.4, added support for the Show Vulnerability Popup toggle that allows administrators to control whether a vulnerability scan summary popup is shown when a scan finds vulnerabilities on a given endpoint.
• Updated support for Fortinet security PoPs: Burnaby – Canada.

For Mature release

• The Security PoP icons and naming convention have been updated to the format City, State (Country) when provisioning a FortiSASE instance. When selecting an entry, hover over the Security PoP name to see more details.
• Updated support for Fortinet security PoPs: Burnaby – Canada.
• Mature to Feature migrations: For selected customer Mature instances, migration to Feature is being incrementally deployed. These customers will receive a notification in the FortiSASE portal in advance. If no action is taken by the week of July 20, 2026, remaining Mature instances will be automatically migrated during a maintenance window to be scheduled shortly thereafter. For details on migrating earlier, see the Mature Admin Guide, specifically, the FAQs > Mature to Feature migration topic or the System > Software audit & version > New major features available topic.

Documentation

For further information on what’s new: https://docs.fortinet.com/document/fortisase/latest/release-notes/661728/whats-new

L’article Mise à jour FortiSASE : 26.2.1 est apparu en premier sur IRONIE.

C’est dans ce contexte qu’a émergé une nouvelle approche : le ZTNA (Zero Trust Network Access), qui redéfinit la manière dont les entreprises contrôlent et sécurisent leurs accès distants.

Définition

VPN est l’abréviation anglaise de « Virtual Private Network »,.

En d’autres termes, Le VPN permet de créer un tunnel chiffré entre un réseau ou poste distant, et le réseau interne d’une entreprise ou organisme. Il garantit la confidentialité des échanges même lorsque les connexions passent par des réseaux non maîtrisés (wifi d’hôtel, d’aéroport ou de café).

Le VPN sert avant tout à :

• Donner aux collaborateurs un accès sécurisé aux ressources internes depuis n’importe où ;
• Permettre à des prestataires externes un accès limité et contrôlé à leurs environnements ;
• Sécuriser les connexions depuis des réseaux publics.

Nos équipes configurent des matrices de flux précises, afin que chaque utilisateur accède uniquement aux ressources nécessaires à son activité. En pratique, il s’agit d’un tableau répertoriant les flux autorisés (ou interdits) entre les différentes zones du système d’information : réseau interne, DMZ, cloud, postes utilisateurs, prestataires, etc.

Grâce à cette approche, il devient possible d’anticiper les besoins en communication entre les services ou les partenaires, tout en bloquant les flux inutiles ou risqués.

Limites du VPN

Le modèle traditionnel basé sur les VPN présente aujourd’hui plusieurs limites majeures :

• Le VPN repose sur un modèle de confiance implicite : une fois connecté, l’utilisateur dispose souvent d’un accès étendu au réseau interne, sans que l’entreprise ne puisse vérifier l’état de son poste ou sa conformité ;

• Par la suite, le VPN ne contrôle pas l’état du poste utilisé avant d’autoriser l’accès au réseau. Par exemple, un collaborateur qui travaille depuis son ordinateur personnel, non protégé par un antivirus ou des mises à jour régulières. Si ce poste est infecté par un malware, la connexion VPN crée un tunnel direct vers le réseau interne de l’entreprise, permettant au virus de se propager librement mettant en danger les données et les systèmes internes ;

• Le VPN présente également une vulnérabilité face aux identifiants volés. Sans double authentification forte, un mot de passe compromis peut suffire à donner à un tiers un accès complet au réseau, sans aucun contrôle sur le poste utilisé. Dans ce cas, le VPN ne distingue pas l’utilisateur légitime de l’attaquant.

ZTNA : la nouvelle génération de sécurité réseau

C’est précisément pour répondre à ce type de risque que le ZTNA a été pensée. Le modèle de Zéro Trust Architecture (ZTA) repose sur un principe fondamental :

« Ne jamais faire confiance, toujours vérifier »

Ce modèle part du postulat qu’aucun utilisateur ni appareil n’est fiable. L’accès aux applications et aux ressources est donc accordé uniquement aux utilisateurs autorisés et vérifiés en continu, selon des critères de conformité strictement définis.

Le ZTNA (Zero Trust Network Access) constitue la mise en œuvre concrète de ce modèle. Elle désigne un ensemble de technologies et de fonctionnalités qui permettent un accès sécurisé aux applications internes pour les utilisateurs à distance.

Contrairement au VPN classique, la ZTNA ne se contente pas d’autoriser une connexion : elle vérifie la conformité et la sécurité du poste avant d’autoriser l’accès aux ressources de l’entreprise. Le ZTNA permet un accès granulaire, limité à des ressources spécifiques et uniques.

Cette approche réduit considérablement les risques de failles de sécurité et notamment de latéralisation d’une attaque, puisque chaque utilisateur ne peut atteindre que ce qui lui est strictement nécessaire.

Le rôle clé de la conformité

Avant d’autoriser une connexion, la solution vérifie la conformité et la sécurité du poste. Chaque appareil se voit attribuer des tags de conformité qui conditionnent l’accès selon des critères définis par l’entreprise, tels que :

• Authentification de l’utilisateur via MFA (Multi Facteur Authentification) ;
• Le poste est connecté au domaine de l’entreprise ;
• Antivirus installé, activé et à jour ;
• Pare-feu Windows actif ;
• Mises à jour Windows appliquées ;
• Chiffrement BitLocker activé.

Ainsi, même avec les bons identifiants, un poste non conforme (obsolète, infecté, ou personnel non contrôlé) n’obtient pas l’accès aux ressources de l’entreprise. De même, un tiers vole des identifiants, il ne pourra se connecter sans un poste client enrôlé répondant à tous ces critères.

Pour pallier ces failles le ZTNA est devenu la solution privilégiée.

Pourquoi adopter le ZTNA

Sécurité renforcée : contrôle de l’utilisateur, du terminal et du contexte avant chaque accès.

Segmentation fine : chaque utilisateur n’accède qu’aux ressources autorisées.

Traçabilité complète : suivi des connexions et conformité centralisée.

Expérience fluide : accès direct aux applications sans tunnel global.

Compatibilité cloud et hybride : le ZTNA s’intègre parfaitement aux infrastructure modernes.

Nous accompagnons nos clients dans la modernisation de leur stratégie de sécurité réseau, en combinant le VPN et la précision du ZTNA.

L’article ZTNA ou VPN ? est apparu en premier sur IRONIE.

Pour relever ce défi, IRONIE et Fortinet recommandent une migration graduelle vers le réseau Secure SD-WAN, depuis un simple firewall d’entreprise FortiGate, complété de l’offre SASE (Secure Access Service Edge). 

La solution Secure SD-WAN séduit un nombre croissant d’organisations distribuées et de réseaux de franchisés. Reconfigurable par logiciel, elle permet aux administrateurs de définir et d’appliquer des politiques sur l’ensemble du réseau en temps réel. Ce dernier s’adapte ainsi au nombre d’utilisateurs, de terminaux et d’agences à raccorder, tout en offrant une protection et une supervision unifiées. 

Chaque année depuis quatre ans, le cabinet d’analyse Gartner distingue Fortinet comme l’équipementier ayant la vision la plus complète et la meilleure capacité d’exécution dans le domaine du Secure SD-WAN. Le pare-feu d’entreprise Fortinet répond aux critères de performances de sécurité les plus exigeants, sans bouleverser l’infrastructure.

Déploiement rapide et simplifié

La méthode de migration hybride consiste à combiner des réseaux déjà en place avec une infrastructure plus sécurisée pour garantir une continuité de services tout en optimisant les ressources partagées. Les deux réseaux peuvent co-exister sans perturber l’exploitation des services ni l’organisation de l’entreprise. Les contrôleurs de commutateurs locaux et de bornes d’accès sans fil intégrés au pare-feu FortiGate autorisent le pilotage à distance des réseaux d’agences sans exiger de licence supplémentaire. Leur supervision à distance permet de lisser les coûts de raccordement. 

Dans le cadre d’une migration sur une centaine de sites, le pare-feu nouvelle génération (NGFW) FortiGate est installé sur le cœur du réseau et déployé sur un échantillon de sites. Le déploiement est ensuite industrialisé sans exiger le déplacement d’un administrateur sur les sites distants. Les configurations et les règles de sécurité de tous les sites sont consolidées via la console d’administration FortiManager. 

Une fois les agences interconnectées et sécurisées, l’ensemble des utilisateurs bénéficie d’accès internet et de partages sécurisés, où que soient hébergés les services. 

Approche ZTNA

Face au développement du travail hybride, les utilisateurs doivent bénéficier du même niveau de sécurité où qu’ils se trouvent. La deuxième étape consiste donc à combiner l’offre FortiSASE et l’appliance FortiGate pour garantir des connexions sécurisées entre les salariés et leurs applications, quels que soient le terminal, l’emplacement et le réseau retenu. 

L’approche ZTNA sécurise le poste de travail et vérifie sa conformité. Les terminaux sont évalués en permanence afin de s’assurer que c’est bien le bon collaborateur qui se connecte à partir du bon « device » référencé par son entreprise. 

Parmi les bénéfices perceptibles pour l’utilisateur : la qualité de service est identique partout et il gagne en agilité. L’expérience utilisateur et la productivité sont améliorées pour toutes les équipes réparties. 

Parmi les bénéfices perceptibles pour l’organisation : la solution FortiAnalyzer réduit la complexité de gestion des tâches réseau et de sécurité, tout en améliorant la détection des menaces. Les équipes peuvent anticiper les incidents et cyberattaques ; elles n’agissent plus seulement en réaction. 

Migration pas à pas

La migration graduelle démarre par un état des lieux afin d’inventorier les applications et partages critiques pour les collaborateurs des agences et leurs correspondants. Cette étape permet d’identifier des opportunités de performances, de sécurité et d’économies.
Ensuite, nous prenons en compte le planning, la configuration, les tests, le déploiement et la supervision des réseaux distants, dans le but d’offrir le meilleur suivi possible des accès aux services en ligne et aux applications, la configuration de sécurité des postes clients et des périphériques étant assurée par l’agent unifié FortiClient. 

La démarche proposée consiste à s’appuyer sur l’offre Fortinet pour étendre, pas à pas, la sécurité réseau du siège aux infrastructures locales des agences, à l’aide de licences associées au pare-feu FortiGate. On peut ainsi déployer ses propres règles d’accès et de filtrage de contenus jusqu’aux agences, notamment pour assurer l’égalité d’accès au réseau Internet entre les employés, conformément à la politique d’usages de l’entreprise. L’uniformisation des règles de sécurité maintient le même niveau de sécurité, peu importe l’endroit où l’on travaille. 

Contrôle des applications critiques

Déployer les solutions SASE et ZTNA permet de sécuriser les partages de données et la collaboration en tout lieu. Cette intégration assure un déploiement centralisé et permet de déléguer la supervision des interconnexions à une équipe d’experts en infrastructures. 

Dernier atout de l’offre SASE de Fortinet, le ZTNA permet de monter simplement des tunnels applicatifs. Ces canaux chiffrés autorisent l’accès aux services s’exécutant sur un cloud privé ainsi qu’aux services délivrés en mode SaaS. On conserve ainsi un contrôle de la posture des terminaux en fonction de la criticité des applications. 

SD-WAN / SASE ?

Secure SD-WAN et SASE procurent des fonctions logicielles complémentaires pour sécuriser et optimiser les connexions d’agences réparties, tout en répondant aux enjeux de migration vers le cloud. Secure SD-WAN connecte les utilisateurs et leurs terminaux au cœur du réseau de l’organisation. L’offre SASE tient compte de l’identité et du contexte de la demande, de l’état et du comportement du terminal et de la sensibilité des données. Selon les besoins, la combinaison des deux solutions renforce l’infrastructure multisites et permet d’appliquer les mêmes règles de sécurité, partout où les collaborateurs interagissent. 

A lire en ligne sur le site de Fortinet : https://www.fortinet.com/blog/business-and-technology/fortinet-named-a-leader-in-gartner-magic-quadrant-for-sd-wan-for-fifth-year

L’article SASE : une réponse aux défis de cybersécurité est apparu en premier sur IRONIE.

This is a What’s new preview for the next FortiSASE release. Please note that any support tickets raised for additional questions will not be considered. Other than this preview section, FortiSASE documentation still reflects the current 25.1.51 (25.1.b) release and will be updated at the end of the FortiSASE maintenance window. For details about FortiSASE maintenance, see Appendix E – Monthly maintenance.

• Added support for displaying endpoint details in Network > Managed Endpoints > Endpoints and Network > Connected Users including FortiSASE VPN Tunnel IP and FortiSASE agent session details, and the Last Seen timestamp in Managed Endpoints. The FortiSASE VPN Tunnel IP can be used with server-client applications with server traffic originating from SPA hubs destined for a FortiSASE managed endpoint.
• Added support for displaying the learned BGP multi-exit discriminator (MED) values in Health and VPN Tunnel Status > View Learned BGP Routes when Network > Network Configuration is configured with Hub selection method as BGP MED.
• Added datacenter support for Querétaro, Mexico and Sydney, Australia as Public Cloud locations.
• Added datacenter support for Sao Paulo, Brazil as a Fortinet Cloud location.

What’s new for 25.1.51 (25.1.b)

• Added support for the SD-WAN On-Ramp connection add-on license for 1-2000 FortiGate IPsec connections. Since you can purchase a maximum of eight SD-WAN On-Ramp locations for a single account, with SD-WAN On-Ramp connection add-on licenses it is possible for an account to have a maximum of 16000 SD-WAN On-Ramp connections. See SD-WAN On-Ramp.
• Added support for the agentless zero trust network access (ZTNA) bookmark portal to show private applications’ bookmarks based on the authenticated user’s permission level which is controlled by Agentless ZTNA bookmark policies. See Configuring the bookmark portal.
• Added enhancements to the Network Lockdown feature by enabling FortiClient endpoints to enter strict lockdown with a configurable grace period of 0 seconds. Also added support for detecting and exempting traffic to captive portals and domains specified under Exempt destinations. See Network lockdown.
• Added enhancements to the Geofencing feature by enabling granular control over prioritization of connection attempts and failover to connections of type On-premise device and Security PoP based on the endpoint’s country or region. See Geofencing.
• Added support for administrators to clone endpoint profiles using an existing endpoint profile, simplifying profile management and reducing configuration time. See Profiles.
• Added support to configuration of ZTNA application gateway and ZTNA destinations under Configuration > Agent-based ZTNA. These configuration settings can now be easily referenced and applied to individual endpoint profiles under ZTNA tab, streamlining ZTNA configuration. See ZTNA.
• Added enhancements to Digital Experience Monitoring (DEM), enabling FortiSASE administrators to view TCP latency metrics for endpoints as a Beta feature, offering deeper visibility into underlay network performance from the endpoint to FortiSASE Security PoP. See Digital experience: TCP latency.
• Added support for an increased maximum number of FortiAP edge devices that FortiSASE supports. See SIA for FortiAP site-based remote users.
• Added datacenter support for Madrid, Spain as a Fortinet Cloud location. See Global data centers.
• Added support for signing a preconfigured FortiClient installer using your own CA certificate or using the Fortinet CA certificate via FortiCare Support ticket request.

L’article Mise à jour FortiSASE : 25.1.51 est apparu en premier sur IRONIE.