FortiClient error -7200: causas y solución (VPN SSL FortiGate)
Error «La configuración de credenciales o sslvpn es incorrecta (-7200)» en FortiClient: qué significa, cómo diagnosticarlo con el debug del FortiGate y cómo resolver las causas más habituales, con los comandos exactos.
Si al conectar la VPN SSL de tu FortiGate con FortiClient aparece «La configuración de credenciales o sslvpn es incorrecta. (-7200)» (en inglés, «Credential or SSLVPN configuration is wrong. (-7200)»), no significa necesariamente que la contraseña esté mal. El -7200 es un error genérico del lado del FortiGate durante la autenticación de la SSL-VPN en modo túnel, y agrupa varias causas de configuración. En esta guía explicamos qué significa realmente, cómo diagnosticarlo con el debug del FortiGate y cómo resolver las causas más frecuentes, con los comandos exactos.
¿Qué significa el error -7200 de FortiClient?
El mensaje aparece cuando el túnel TLS se establece, pero el FortiGate rechaza al usuario en la fase de autenticación/autorización de la SSL-VPN en modo túnel. Ocurre con cualquier método de autenticación (local, LDAP, RADIUS o SAML/MFA) y suele quedarse atascado alrededor del 48% cuando hay un problema con el segundo factor. Al ser un error genérico, el primer paso NO es cambiar la contraseña, sino activar el debug en el FortiGate para ver el motivo real (por ejemplo sslvpn_login_cert_checked_error o sslvpn_login_unknown_reason).
Paso 1: diagnostica con el debug del FortiGate
Antes de tocar nada, ejecuta este debug en la CLI del FortiGate mientras el usuario intenta conectarse. Te indicará la causa exacta:
- diagnose debug reset
- diagnose vpn ssl debug-filter src-addr4 <IP-pública-del-usuario>
- diagnose debug application fnbamd -1
- diagnose debug application sslvpn -1
- diagnose debug console timestamp enable
- diagnose debug enable
- Al terminar, desactívalo: diagnose debug disable y diagnose debug reset
Causas y soluciones en el FortiGate
Estas son las causas verificadas más frecuentes según la base de conocimiento de Fortinet, y cómo resolverlas:
| Causa | Solución |
|---|---|
| El usuario no está en un grupo referenciado en la SSL-VPN, o la política no lo incluye | Verifica que el usuario pertenece a un grupo de la authentication-rule de «vpn ssl settings» y que la política de firewall SSL-VPN incluye ese grupo como origen. Debe existir además un portal por defecto para el resto de usuarios. |
| Realm incorrecto | Con realms configurados, el usuario debe conectarse a la URL con el realm correcto (https://gateway:puerto/realm); el FortiGate solo valida los grupos de ese realm. |
| Nombre de usuario sensible a mayúsculas (LDAP/RADIUS) | Desactiva la sensibilidad en el usuario: en FortiOS 7.0.1 y superior «set username-sensitivity disable»; en 6.4 y anteriores «set username-case-sensitivity disable». |
| El portal exige certificado de cliente | Si el debug muestra sslvpn_login_cert_checked_error y el cliente no debe presentar certificado: VPN → SSL-VPN Settings → desmarca «Require Client Certificate». |
| Ciphersuite más débil que la exigida por la regla | Sube la fuerza del cifrado a 168 bits o más, o restablece el valor por defecto: en «config vpn ssl settings» ejecuta «unset ciphersuite». |
| Tras actualizar a FortiOS 7.6.3, el modo túnel queda deshabilitado | Vuelve a habilitar el tunnel mode en el portal SSL-VPN y asigna el IP Pool correcto. |
| FortiGate en conserve mode o interfaz ssl.root caída | Comprueba «diagnose hardware sysinfo conserve» y que la interfaz ssl.root está «up». |
Comprobaciones en el lado de FortiClient (Windows)
Si la configuración del FortiGate es correcta, revisa el cliente:
- Confirma usuario y contraseña, respetando las mayúsculas si el servidor de autenticación es sensible a ellas.
- Actualiza FortiClient a la última versión compatible con tu versión de FortiOS.
- En Opciones de Internet → Seguridad, baja el nivel de «Alto» a «Medio-alto» o «Medio».
- Verifica que el gateway/FQDN y el puerto son correctos y alcanzables (DNS y firewall intermedio).
- Si usas autenticación de terceros (RADIUS/LDAP/SAML), prueba antes con un usuario local para aislar el problema.
Importante: la SSL-VPN en modo túnel está deprecada
Desde FortiOS 7.6.3, Fortinet ha deprecado la VPN SSL en modo túnel y recomienda migrar a IPsec VPN o a acceso Agentless/ZTNA. Si estás planificando la red o actualizando firmware, es buen momento para valorar la migración. En FirewallPro te ayudamos a diseñarla y ejecutarla con soporte en español.
Conclusión
El error -7200 casi nunca es «la contraseña está mal»: es un error genérico de configuración de la SSL-VPN del FortiGate. La clave es activar el debug para ver la causa real y aplicar la solución concreta. Si necesitas ayuda, nuestro equipo certificado NSE ofrece soporte técnico Fortinet en español.
Preguntas Frecuentes
¿El error -7200 significa que la contraseña es incorrecta?
No necesariamente. Es un error genérico del FortiGate en la fase de autenticación de la SSL-VPN; puede deberse a grupos o políticas mal configurados, realm incorrecto, certificado de cliente, ciphersuite o a un upgrade de firmware. Activa el debug del FortiGate para ver la causa exacta.
¿Por qué FortiClient se queda en el 48%?
Suele indicar un problema en la fase de autenticación o de segundo factor (2FA). Revisa la pertenencia del usuario al grupo, el realm y, si usas MFA, la configuración del token.
¿Cómo veo la causa real del error -7200?
En la CLI del FortiGate, activa el debug de sslvpn y fnbamd filtrando por la IP pública del usuario mientras se conecta. El log mostrará el motivo concreto, por ejemplo sslvpn_login_cert_checked_error o sslvpn_login_unknown_reason.
¿La VPN SSL de Fortinet sigue soportada?
El modo túnel de SSL-VPN está deprecado desde FortiOS 7.6.3. Sigue funcionando en versiones anteriores, pero Fortinet recomienda migrar a IPsec VPN o a acceso Agentless/ZTNA.
¿Necesitas ayuda para elegir el firewall ideal?
Nuestros expertos en FirewallPro España te asesorarán gratuitamente
Consulta GratuitaProductos Relacionados
Artículos Relacionados
FortiClient VPN SSL: Guía Completa para Teletrabajo Seguro
Configura VPN SSL con FortiClient para trabajadores remotos. Tutorial paso a paso: instalación, configuración, troubleshooting. Compatible con Windows, Mac, Linux, iOS y Android.
Leer más →TutorialesVPN SSL vs IPSec: Diferencias y Cuándo Usar Cada Una
Diferencias entre VPN SSL y VPN IPsec en FortiGate: rendimiento, seguridad y en qué casos conviene usar cada una. Guía práctica para teletrabajo y conexión entre sedes.
Leer más →TutorialesCómo Configurar FortiGate por Primera Vez: Guía Paso a Paso
Tutorial para configurar un FortiGate desde cero: acceso inicial, interfaces, políticas de firewall, DNS y rutas. Guía paso a paso para dejar tu firewall operativo.
Leer más →