FortiClient: VPN IKEv2 falha após importação XML parcial sem PSK

Problema

Após distribuir um perfil VPN IKEv2 por importação XML parcial, a nova ligação não funcionava em dois computadores Windows, apesar de a VPN já estar operacional. O FortiClient apresentava Failed Unknown.

Causa confirmada neste caso: o XML parcial não incluía a Pre-Shared Key (PSK), e a chave não tinha sido reintroduzida no perfil importado. Após introduzir a PSK correta, a ligação foi estabelecida.

Este diagnóstico não é universal: outras falhas de IKEv2/EAP podem apresentar mensagens semelhantes.

Ambiente

• FortiClient VPN-only 7.4.3 para Windows
• FortiGate com VPN dial-up IPsec IKEv2
• PSK para autenticação do gateway
• EAP-TTLS/PAP para credenciais LDAP/Active Directory
• Computadores com outras VPN existentes que não deviam ser eliminadas

Diferença entre importação completa e parcial

A importação parcial foi testada na versão indicada, preservando as outras ligações. Deve confirmar o comportamento em outras versões do FortiClient.

1. Verificar a PSK do perfil importado

No FortiClient, aceda a Remote Access, edite a VPN importada e confirme:

1. O endereço do gateway corresponde ao FortiGate.
2. A versão IKE é IKEv2.
3. A autenticação da ligação utiliza Pre-shared Key.
4. Foi introduzida manualmente a PSK correta após importar o XML.
5. O cliente está configurado para pedir as credenciais do utilizador conforme o método EAP escolhido.

Não publique a PSK em exemplos XML, repositórios Git, capturas de ecrã ou tickets.

2. Confirmar EAP-TTLS

Na versão testada, <eap_method>2</eap_method> seleciona EAP-TTLS/PAP no contexto <ike_settings>. Isto não substitui a PSK do gateway.

<ike_settings>
    <version>2</version>
    <eap_method>2</eap_method>
</ike_settings>

O código é apenas um fragmento da configuração.

Na instalação Windows observada, a consulta do registo permitiu confirmar o valor efetivo:

Get-ItemProperty -Path 'HKLM:\SOFTWARE\Fortinet\FortiClient\IPSEC\Tunnels\Corporate VPN\P1' -Name eap_method |
    Select-Object eap_method

O valor esperado é 2. Altere Corporate VPN para o nome do perfil local. A consulta é de leitura e não altera a configuração.

3. Interpretar os logs IKE do FortiGate

A análise da tentativa falhada apresentou a sequência:

matched proposal id 1
SA proposal chosen, matched gateway VPN-IKEV2
NAT detected: PEER
gw validation OK
responder preparing EAP identity request
sent IKE msg (AUTH_RESPONSE)
...
negotiation timeout, deleting

Interpretação correta: a escolha de propostas IKE foi aceite e o gateway enviou um pedido EAP, mas a sequência não foi concluída. Isto, por si só, não prova que a PSK foi aceite nem demonstra qualquer falha LDAP.

Um packet capture limitado mostrou tráfego bidirecional UDP/500 e UDP/4500 na fase inicial:

client:500   -> gateway:500   (IKE_SA_INIT)
gateway:500  -> client:500
client:4500  -> gateway:4500  (IKE_AUTH)
gateway:4500 -> client:4500  (EAP identity request)

Exemplo de comando para obter evidência restrita:

diagnose sniffer packet <wan-interface> 'host 198.51.100.22 and (udp port 500 or udp port 4500)' 4 0 a

Substitua a interface e o IP de documentação pelos valores reais e não divulgue identificadores sensíveis dos utilizadores.

4. Sintomas no FortiClient

Os logs do cliente apresentavam:

vpn connection failed (reason: "Failed Unknown")
disconnection reason: 13, ("Failed Unknown")

A mensagem é genérica e não deve ser atribuída automaticamente a problemas de credenciais AD, LDAP ou firewall policies.

Se a PSK já estiver corretamente introduzida, investigue os logs FortiClient/IKE, a cadeia de confiança do certificado EAP-TTLS, a identidade do gateway e o caminho de comunicação. Não altere grupos AD sem evidências.

Solução validada

1. Editar a VPN recém-importada.
2. Introduzir a mesma Pre-Shared Key configurada no FortiGate.
3. Guardar a configuração.
4. Repetir a tentativa com as credenciais AD.
5. Confirmar que a VPN fica estabelecida.
6. Confirmar que as outras VPN não foram removidas.

Resultado: a ligação funcionou após introduzir a PSK, sem necessidade de alterar LDAP, grupos de segurança ou propostas criptográficas no FortiGate.

Prevenção

• Guardar um backup completo das VPN do cliente antes de importar configurações.
• Indicar claramente que o XML parcial omite a PSK e que esta deve ser introduzida após a importação.
• Fornecer a chave separadamente, através de um canal seguro.
• Testar a importação num computador novo e noutro com VPN existentes.
• Não reutilizar valores PSK encriptados e dependentes de outra máquina sem confirmação de suporte.

Segurança e rollback

O debug IKE pode expor dados sensíveis, incluindo material de sessão. Remova SK_ei, SK_er, SK_ai, SK_ar, identificadores de utilizador, MACs e payloads hexadecimais antes de partilhar logs.

Em caso de falha, elimine apenas o perfil importado ou restaure o backup completo anteriormente exportado. Não utilize um XML contendo uma só VPN para um restore completo que possa apagar perfis necessários.

Fontes

Consulte as referências oficiais Fortinet nos metadados do artigo original.