FortiGate: SSL-VPN-Tunnelmodus entfällt ab FortiOS 7.6.3

Ab FortiOS 7.6.3 ersetzt Fortinet den SSL-VPN-Tunnelmodus auf allen FortiGate-Modellen durch IPsec-VPN. Eine bestehende Tunnelkonfiguration wird beim Upgrade nicht übernommen. Unternehmen müssen den Fernzugriff deshalb vor dem Update migrieren und testen.

FortiOS 7.6.3: SSL-VPN-Tunnelmodus entfällt

Mit FortiOS 7.6.3 ist der SSL-VPN-Tunnelmodus weder in der grafischen Oberfläche noch in der Kommandozeile verfügbar. Die Änderung gilt laut Fortinet Release Notes für alle FortiGate-Modelle.

Wichtig für die Planung: Beim Upgrade werden die bisherigen SSL-VPN-Tunneleinstellungen nicht übernommen. Fortinet verlangt deshalb, die Konfiguration vor dem Upgrade auf IPsec-VPN umzustellen. Ein Backup allein ersetzt diese Migration nicht. Wer zuerst aktualisiert, riskiert, dass der bisherige Fernzugriff anschließend nicht mehr verfügbar ist.

IPsec-VPN kann so konfiguriert werden, dass es weiterhin TCP-Port 443 nutzt. Das kann die Umstellung für Nutzerinnen und Nutzer erleichtern. Es handelt sich dennoch um eine andere VPN-Technik, deren Konfiguration, Client-Verteilung und Regeln getestet werden müssen.

Agentless VPN: Webzugriff bleibt, aber nicht überall

Der browserbasierte SSL-VPN-Webmodus bleibt unter dem Namen Agentless VPN verfügbar. Er ermöglicht den Zugriff auf interne Webanwendungen ohne VPN-Client auf dem Endgerät.

Die Funktion wird jedoch nicht auf allen Modellen unterstützt. Fortinet nennt unter anderem FortiGate 40F-, 60F-, 61F- und 90G-Serien sowie bestimmte FGR-60F-Varianten. Die genaue Liste und Einschränkungen stehen in den Release Notes zu Agentless VPN. Prüfen Sie das konkrete Modell, bevor Sie Agentless VPN als Ersatz einplanen.

Fernzugriff: Drei Wege zur Ablösung

IPsec-VPN, Zero Trust Network Access (ZTNA) und FortiSASE kommen als Zielarchitekturen infrage. Sie lösen unterschiedliche Anforderungen und können in einer Umgebung auch kombiniert werden.

IPsec-VPN für den direkten Wechsel

IPsec ist Fortinets vorgesehener Ersatz für den Tunnelmodus. Der Zugriff auf ein Netzsegment kann erhalten bleiben. Das passt vor allem, wenn die bestehende Netzwerksegmentierung weiter genutzt werden soll und der direkte Wechsel im Vordergrund steht. Fortinet stellt dafür Migrationsanleitungen für FortiOS 7.6 bereit.

ZTNA für anwendungsbezogenen Zugriff

ZTNA prüft Zugriffe auf einzelne Anwendungen, statt ein ganzes Netzsegment freizugeben. Je nach Ausprägung läuft der Zugriff über FortiClient oder über ein browserbasiertes Agentless-ZTNA-Portal. Welche Variante passt, hängt unter anderem davon ab, wie die Endgeräte verwaltet werden und welche Modelle im Einsatz sind.

FortiSASE für verteilte Teams

FortiSASE verlagert Sicherheitsfunktionen in die Cloud und wird pro Nutzer lizenziert. Der Ansatz kann zu Unternehmen mit vielen mobilen Mitarbeitenden oder kleineren Standorten passen. Nutzerzahl, Standortstruktur, vorhandene Hardware und Betriebsmodell bestimmen, ob sich die Lösung eignet.

CVE-2026-84393: Agentless-ZTNA prüfen

Wer Agentless ZTNA nutzt, sollte zusätzlich den Patchstand prüfen. Fortinet veröffentlichte am 8. September 2026 das Advisory FG-IR-26-174 zu CVE-2026-84393.

Die Schwachstelle betrifft das Agentless-ZTNA-Portal in FortiOS 7.6.1 bis 7.6.6 sowie FortiProxy 7.6.2 bis 7.6.6. Ursache ist eine unzureichende Zertifikatsprüfung zwischen Portal und Zielanwendung. Ein Angreifer im Netzwerkpfad kann dadurch die Verbindung zwischen beiden Endpunkten abfangen oder verändern, ohne sich vorher anzumelden.

Fortinet weist für CVSSv3 einen Basiswert von 8,1 und einen zeitlichen Score von 7,3 aus. Die Korrektur ist für FortiOS und FortiProxy ab Version 7.6.7 enthalten. Laut Advisory war bei Veröffentlichung keine Ausnutzung bekannt. Prüfen Sie die betroffene Version und folgen Sie vor dem Update dem für das jeweilige Gerät vorgesehenen Upgrade-Pfad.

Lifecycle: Supportstatus jetzt prüfen

Neben dem SSL-VPN-Wechsel gehört der Firmware-Lebenszyklus in die Planung. Laut Fortinet Product Life Cycle Portal endete der Support für FortiOS 7.2 am 30. September 2026. Dieser Termin ist inzwischen verstrichen. Da Fortinet Supportzeiträume ändern kann, prüfen Sie dort den Status der installierten und geplanten Version, bevor Sie den Upgrade-Pfad festlegen.

Migration: Vor dem Upgrade umstellen

Ein geplanter Wechsel beginnt mit einer Bestandsaufnahme und endet mit einem getesteten Zugriff. Diese Schritte helfen, den Umfang überschaubar zu halten:

1. Erfassen Sie FortiGate-Modelle, Firmwarestände, Nutzerzahlen und bestehende Fernzugriffsregeln.
2. Wählen Sie die Zielarchitektur anhand von Anwendungen, Endgeräten, Standorten und Betriebsanforderungen.
3. Richten Sie die neue Verbindung parallel ein und testen Sie Anmeldung, Erreichbarkeit und Berechtigungen.
4. Planen Sie die Client-Verteilung und berücksichtigen Sie kompatible Versionen von FortiManager, FortiAnalyzer, FortiAP, FortiSwitch und FortiClient.
5. Aktualisieren Sie erst nach erfolgreichem Test und kontrollieren Sie den Upgrade-Pfad mit Fortinets Upgrade Path Tool.

Fazit: Fernzugriff vor dem Firmwarewechsel migrieren

FortiOS 7.6.3 entfernt den SSL-VPN-Tunnelmodus auf allen FortiGate-Modellen. Die alte Konfiguration wird nicht übernommen. Wer vor dem Upgrade auf IPsec, ZTNA oder eine passende SASE-Lösung wechselt, das konkrete Modell prüft und den Zugriff testet, kann den Versionswechsel planbar durchführen. Bei Agentless ZTNA gehört außerdem die Prüfung auf CVE-2026-84393 zum Patchprozess.

Unterstützung durch enthus

enthus unterstützt bei der Bestandsaufnahme, der Auswahl einer passenden Zielarchitektur und der Planung von Pilot und Rollout. Auf Wunsch begleitet enthus auch den laufenden Betrieb und das Patch-Management für die neue Fernzugriffslösung.

Sprechen Sie uns an, wenn Sie Ihre FortiGate-Umgebung vor dem nächsten Upgrade prüfen möchten.

Jetzt Kontakt aufnehmen →