Puertos VPN SSL en FortiGate: Puerto por Defecto, Cómo Cambiarlo y Configuración Completa

Puertos por Defecto de la VPN SSL en FortiGate

FortiGate utiliza TCP como protocolo de transporte para la VPN SSL. El puerto por defecto es TCP 443, el mismo que utiliza HTTPS. Esto significa que la VPN SSL puede atravesar la mayoría de firewalls corporativos y redes restrictivas sin problemas, ya que el puerto 443 rara vez está bloqueado. Sin embargo, si la interfaz de administración web del FortiGate también usa el puerto 443, se produce un conflicto que obliga a cambiar uno de los dos.

¿UDP o TCP? Diferencias en VPN SSL FortiGate

La VPN SSL de FortiGate usa TCP para el establecimiento del túnel y la negociación TLS. Sin embargo, FortiClient puede usar DTLS (Datagram TLS sobre UDP) para el tráfico de datos una vez establecido el túnel, lo que mejora el rendimiento en conexiones con latencia. DTLS usa el mismo número de puerto que la VPN SSL (443 o el que hayas configurado), pero sobre UDP en lugar de TCP. Si necesitas máximo rendimiento, asegúrate de abrir tanto TCP como UDP en el puerto elegido.

• TCP 443 — Protocolo principal para establecer el túnel VPN SSL y para web mode. Obligatorio.
• UDP 443 (DTLS) — Opcional, pero recomendado. FortiClient lo usa para mejorar rendimiento del túnel.
• Si solo abres TCP, la VPN funciona pero con mayor latencia en aplicaciones interactivas (RDP, VoIP).
• En CLI: «config vpn ssl settings → set dtls-tunnel enable» para activar DTLS.
• Si tu ISP o firewall intermedio bloquea UDP 443, FortiClient caerá automáticamente a TCP sin intervención del usuario.
• IPsec usa UDP 500/4500 y es un protocolo completamente diferente — no confundir con VPN SSL.

Cómo Cambiar el Puerto VPN SSL en FortiGate

Cambiar el puerto es recomendable cuando la administración web del FortiGate ya ocupa el 443, o cuando quieres usar un puerto no estándar por seguridad. El cambio se hace desde la GUI en VPN → SSL-VPN Settings o desde CLI. Tras el cambio, recuerda actualizar las políticas de firewall, las reglas del router/NAT externo y la configuración de FortiClient en todos los clientes.

• Desde GUI: VPN → SSL-VPN Settings → Listen on Port → cambiar a 10443 (u otro) → Apply.
• Desde CLI: «config vpn ssl settings → set port 10443 → end».
• Actualizar la política de firewall que permite el tráfico VPN SSL al nuevo puerto.
• Actualizar el NAT/port forwarding en el router de borde si el FortiGate está detrás de NAT.
• En FortiClient: cambiar el puerto en el perfil de conexión (ejemplo: vpn.empresa.com:10443).
• Verificar con «diagnose vpn ssl statistics» que las conexiones llegan al nuevo puerto.
• Si usas HA (alta disponibilidad), el cambio se replica automáticamente al nodo secundario.

Conflictos de Puerto Habituales y Cómo Resolverlos

El conflicto más común es entre la VPN SSL y la interfaz de administración HTTPS, ambos en TCP 443. Otro problema frecuente es cuando un servidor web interno también necesita el 443. FortiOS muestra una advertencia cuando detecta el conflicto, pero no siempre impide guardar la configuración, lo que causa errores difíciles de diagnosticar.

• Conflicto admin HTTPS vs VPN SSL: mover admin a un puerto alternativo (8443) con «config system global → set admin-sport 8443».
• Conflicto con servidor web en DMZ: usar un puerto VPN SSL diferente (10443) o separar por interfaz.
• VPN SSL no aparece en la GUI: verificar que la licencia incluye VPN SSL y que «set sslvpn enable» está activo en la interfaz.
• Habilitar VPN Settings en la GUI: System → Feature Visibility → SSL-VPN debe estar marcado.
• Puerto bloqueado por ISP: probar con puerto 443 (rara vez bloqueado) o 8443 como alternativa.
• Verificar que no hay otra sesión ocupando el puerto: «diagnose sys session filter dport 10443» → «diagnose sys session list».

Reglas de Firewall Necesarias para VPN SSL

No basta con configurar el puerto de escucha — necesitas una política de firewall que permita el tráfico desde la interfaz WAN al FortiGate en el puerto VPN SSL, y otra política que permita el tráfico del túnel VPN hacia los recursos internos. Sin estas políticas, la conexión VPN se establecerá pero el usuario no podrá acceder a nada.

• Política de entrada: WAN → ssl.root (interfaz de túnel), origen «all», destino la IP del FortiGate, servicio SSL-VPN.
• Política de tráfico: ssl.root → LAN, origen el grupo de usuarios VPN, destino la subred interna, servicios necesarios.
• Si usas split tunneling: solo el tráfico hacia las subredes definidas pasa por el túnel.
• Si usas full tunneling: todo el tráfico del cliente pasa por el FortiGate, incluido Internet.
• NAT en la política de tráfico: activar si los recursos internos no tienen ruta de vuelta hacia la subred VPN.
• Logging: activar «Log Allowed Traffic → All Sessions» en ambas políticas para diagnóstico.