Problema de conexión la VPN y Forticlient

[FerDG]

Buenos dias,

desde hace un mes vengo teniendo problemas con la conexión de Forticlient a mi empresa.

La conexión se conecta pero a los minutos se desconecta.

He abierto varias incidencias con el 1002 pero a lo más que han llegado ha sido a cambiarme el router Wifi 5 por un Wifi 6, sin solucionarse el problema.

Leyendo los foros y de Movistar y de Forticlient he seguido algunos pasos como bajar el MTU del interfaz de 1500 a 1492, desactivar el NAT, desactivar IP6, activar ALG pero sigo con el mismo problema.

Tengo un Windows 11 Pro con todas las actualizaciones, Forticlient 7.2.4.0972 y conecto a un Fortigate FG201E con FW 7.0.14, con conexión SSL-VPN

Tengo que decir que desde cualquier otra conexión que no es Movistar no tengo ningún problema, ni por redo local y por WIFI.

¿Tenéis alguna idea de que puede estar ocurriendo?

[Theliel]

Buenas @FerDG 

Las redes VPN son un cultivo constante de problemas de todo tipo, sobre todo y en especial por la elección de protocolos VPN no adecuados. Y es que, nos guste o no, no todas las tecnologías VPN son iguales. El segundo problema habitual es la configuración... y no es trivial, ya que además solemos contar con dos extremos, servidor y cliente, y muchas veces tan solo podemos controlar una de las partes.

Desde el punto de vista del Router, a día de hoy hay dos problemas fundamentales con los cliente VPN (No servidores). El primero, implica hacer uso de protocolos VPN totalmente desfasados y nada amigables con NAT. Este por ejemplo es el problema de usar túneles PPTP o L2TP/IPSec. El motivo ya lo he dicho, hacen uso de protocolos que jamás fueron pensados para ser desplegados en entornos con NAT. Pero esto son problemas específicos, es decir, que todos estos problemas son tan sencillos de solventar, como usar protocolos VPN modernos, como pueda ser OpenVPN o mejor aun WireGuard.

Otro problema extremadamente habitual con las VPN es una incorrecta configuración por parte de los técnicos o encargados en mantenerlo, por lo general por no preocupare a afinar la configuración y dejarlo todo por defecto. Es por ejemplo el problema enorme del MTU. Los Frames Ethernet pueden poseer un MTU de 1500... pero no significa que se siempre 1500. La mayoría de gestores dan por sentado que siempre se usará este MTU, y esto rompe cantidad de clientes VPN, en cualquier entorno donde no se use un MTU de 1500. Es totalmente cierto que Movistar al usar PPPoE, el MTU baja hasta 1492. Pero eso no quiere decir ni mucho menos que un tunel VPN pueda usar un MTU de 1492, obviamente. 1492 es el MTU de la conexión general. Un tunel VPN por lo general encapsula tráfico dentro de tráfico.

Si es por ejemplo un túnel SSL, pienso o doy por sentado (puedo estar equivocado, no conozco el protocolo específico de Fortigate) que lo que hace es encapsular el tráfico del túnel dentro de TCP o UDP, el MTU del frame que irá dentro será sensiblemente inferior a 1492 (no el de fuera), ya que como mínimo habría que quitarle 20Bytes por cabeceras IP y otros 20Bytes por cabeceras TCP (8Bytes si son UDP). Y eso como digo dando por sentado que el frame se insertaría directamente como Payload de un paquete TCP/UDP. Eso implica que el MTU usado por la VPN debería de ser como máximo 1452/1464. Y esto tampoco se puede tomar al pie de la letra, ya que no tengo ni idea da la sobrecarga que podría tener, si tiene, la implementación que hagan. Por eso muchas veces se suele uno curar en salud y establecer MTU bastante más bajos.

-----

Que ahora mismo tenga en la cabeza, son los dos únicos problemas que pueden tener cierta afectación por el Router o la conexión usada, que no quiere decir que no podamos tener muchos otros problemas de todo tipo, simplemente que no estarían ya asociados al Router/Conexión. Es más, según cuentas te han cambiado el Router incluso por otro modelo.

Por otro lado si no se está usando un protocolo no amigable con NAT, lo único que nos queda es un problema de configuración del servidor/cliente VPN. En este aspecto ya es más complicado poder ayudar, puesto que se abre un abanico inmenso de posibilidades. Desde la mala elección del protocolo a usar, si se usa TCP o UDP, problemas de tiempos, de MTU por supuesto, fragmentaciones de paquetes o llegadas de orden incorrectos, software en cliente/servidor que provoca los problemas, problemas de rutas.... y un largo etc. En el mercado hay un sin fin de soluciones VPN, sin contar ya con las necesidades de cada uno, lo que hace virtualmente imposible saber exactamente donde pueda esta tu problema específicamente.

Saludos.

[Técnico-Movistar]

Hola @FerDG 

Por el historial de otras consultas nos consta que la línea fija asociada al contrato de fibra es el *******05. Comprobamos que la conectividad a través del router es correcta. 

Esperamos que la información facilitada por @Theliel, al quien agradecemos su respuesta, te haya servido de ayuda en tu consulta. 

Un saludo.

Flor

[FerDG]

No me soluciona nada el problema

y lo que no he probado es un repetidor wifi 6 pero me niego a pagarlo asi que voy a ponerme en contacto con Orange y voy a pedir la portabilidad

para un mal servicio al menos pagaré 100€ menos

[Theliel]

Buenas @FerDG 

Si un repetidor solucionase el problema, no sería problema por ende ni de la línea ni del Router, sería únicamente de tus condiciones WIFI de tu entorno, y esto sería aplicable a cualquier ISP.

En lo tocante a al resto, ya te he explicado la afectación que puede o no tener el Router en todo ello. Que te sirva o no te sirva, me temo que eso ya no está en mi control. Te cuento como funcionan las cosas, como entenderás no tengo la menor idea de como está configurado el servidor VPN o el cliente VPN, ni tampoco el Router por tu lado ni el que esté al otro lado, ni tampoco tu propio equipo. He tenido diferentes equipos de Movistar, hago uso habitual de redes VPN tanto como cliente desde casa como servidor desde casa, y jamás he tenido un solo problema, y con diferentes protocolos por cierto.

Intentar solucionar problemas específicos y muy concretos que pueda tener un usuario, por real que sea, es cuanto menos imposible cuando no es posible replicar su casuística, que implicaría obviamente replicar dispositivos, configuraciones etc etc etc. Los HGU no los usas tú solo, los usamos no se... miles, decenas de miles de clientes? centena de miles?? Y dentro de todos ellos te puedo asegurar que no son pocos los que hacen uso de clientes VPN de todo tipo.

Por supuesto que los HGU tienen problemas,  y cada uno sus propias peculiaridades. Y precisamente por el gran número de usuarios que hay con los diferentes modelos, podemos saber más o menos bastante bien los problemas "conocidos" que existen. Si 1 usuario me dice que tiene un problema de conexión con una VPN usando el equipo X, cuando dicho problema se puede explicar de varias razones diferentes, no me lo tomo como algo falso, sino como un problema que tiene el usuario de configuración o incompatibilidad particular que ea. y ante ello te digo lo más probable que esté pasando. En cambio, si vemos a 100 usuarios con el mismo problema, igual es que algo raro está pasando, sobre todo si todos ellos coinciden con el mismo modelo.

Paso bastante tempo por aquí, y no me consta que exista actualmente ningún problema realista con ningún HGU y conexiones VPN. Eso no quiere decir que no puedan existir problemas concretos y muy específicos de configuraciones que producen incompatibilidades (sobre todo protocolos no amigables con NAT). Lo que quiere decir es que el 99% de ellos son solucionables configurando correctamente el cliente/servidor VPN.

Por supuesto, libre eres de ir al ISP que estimes compañero. Si fuese por ejemplo un problema de configuración de MTU por parte del servidor/cliente y Orange usa un MTU de 1500, funcionará a la primera sin mayor problema, o podría tener otros problemas diferentes si se hace uso de protocolos VPN problemáticos con NAT y sus equipos no poseen los ayudantes necesarios.

Saludos y suerte.

[Comercial-movistar]

Hola @FerDG,

En caso de que des de baja las líneas, el servicio Movistar Cloud se dará de baja.

Con respecto al terminal en régimen de arrendamiento, tienes 2 opciones:

Ejercer la compra, para ello tienes que llamar al teléfono 900108704 y pagar el valor del coste del mismo actualizado, teniendo en cuenta el tiempo transcurrido y el coste del terminal.

Devolver el dispositivo (en su embalaje original, en buenas condiciones y sin ningún tipo de bloqueo) y pagar un importe proporcional al tiempo restante.

Si lo deseas, podemos comprobar la cantidad que tienes que pagar en ambos casos, para ello necesitamos que nos envíes en un mensaje privado el DNI del titular.

Un saludo. Marta.

[Comercial-movistar]

Hola @FerDG,

Estamos pendientes de que nos indiques, si lo deseas, en un mensaje privado el DNI del titular para indicarte la cantidad que tendrías que pagar en caso de comprar el terminal o devolverlo en una tienda.

Un saludo. Marta.

[Comercial-movistar]

Hola @FerDG,

Al no recibir respuesta por tu parte desde hace unos días, entendemos que la consulta que tenías ha sido resuelta.

Cualquier otra duda o consulta que tengas, vuelve a ponerte en contacto con nosotros y estaremos encantados de atenderte.

Gracias por participar en la Comunidad.

Un saludo. Marta.