Pourquoi cette migration devient nécessaire

Depuis FortiOS 7.6, Fortinet a arrêté la prise en charge du SSLVPN :

• Les FortiGate 50G, 70G et 90G ne prennent plus en charge le SSL-VPN à partir de FortiOS 7.4.8 ;
• Les modèles disposant de 2 Go de RAM, notamment les 40F et 60F, perdent le SSL-VPN à partir de FortiOS 7.6 ;
• À partir de FortiOS 7.6.3, le SSLVPN en mode tunnel disparaît de tous les modèles FortiGate ;
• Le SSLVPN en mode kiosque web est renommé Agentless VPN, avec certaines limitations matérielles.

Conséquence : de nombreuses infrastructures utilisant actuellement SSLVPN devront migrer vers IPsec.

Il ne faut pas considérer cette migration comme une simple conversion de configuration SSLVPN vers IPsec. Les deux technologies fonctionnent différemment et une migration est souvent l’occasion de repenser l’architecture d’accès distant.

IKEv1 ou IKEv2

IKEv1 est désormais considéré comme obsolète. L’IETF l’a officiellement déprécié en avril 2023. Même s’il reste possible de sécuriser correctement IKEv1 avec des algorithmes modernes comme AES-256, SHA-2 et des groupes DH suffisamment robustes, ce n’est plus le choix recommandé.

IKEv2 apporte notamment :

• une meilleure sécurité ;
• de meilleures performances ;
• un mécanisme d’échange de clés plus robuste ;
• fragmentation IKE intégrée ;
• NAT-T ;
• Dead Peer Detection ;
• meilleure adéquation aux nouveaux développements IPsec.

FortiClient 7.4.4 et supérieur ne prend plus en charge IKEv1.

Choix cryptographiques

La migration est aussi l’occasion de revoir les algorithmes utilisés, afin de respecter les bonnes pratiques actuelles :

• le chiffrement ;
• l’authentification/intégrité ;
• l’échange Diffie-Hellman.

Transformer une contrainte technique en opportunité de modernisation

La fin du SSLVPN est avant tout une évolution d’architecture qu’il convient d’anticiper. Inventaire des usages existants, choix d’IKEv2, stratégie MFA, déploiement FortiClient, gestion EMS et accompagnement des utilisateurs doivent être pensés comme un ensemble. Une migration maîtrisée permet ainsi de transformer une contrainte imposée par l’évolution de FortiOS en une opportunité de moderniser et de renforcer durablement la sécurité des accès distants.