FortiClient es bloqueja al 98%: desactiva l'IPv6 en aquest adaptador

La barra arriba al 98%, el client s'hi queda, i tornar a escriure la contrasenya no canvia res. Aquesta és la pista útil: el client ja ha acceptat el certificat de la passarel·la, ha enviat les credencials i ha rebut una configuració de túnel. El que queda és aixecar l'adaptador virtual i confirmar que el túnel transporta trànsit. Quan aquest darrer pas no s'acaba mai, la fallada és local, i cap quantitat de reintroduir credencials hi arriba.

Quatre passos, i el primer és llegir el registre en lloc de la barra.

Què informa realment el comptador del 98%

El percentatge és el comptador d'etapes propi del client, no una mesura de cabal. Un bloqueig al mateix número a cada intent vol dir que el client arriba a una etapa concreta i espera; per això una connexió lenta i un client encallat es veuen diferents al registre. Un problema de credencials hauria imprès un error de credencials en lloc d'una pausa silenciosa.

Fortinet va documentar aquest símptoma contra una causa del costat del client: l'IPv6 activat a l'adaptador que fa servir el client. Això converteix el paràmetre de l'adaptador en la primera cosa a provar, no en una explicació universal per a cada SSL-VPN bloqueig.

Pas 1: llegeix el registre abans que la barra

Abans de canviar res, captura les línies immediatament anteriors al bloqueig. Busques si es va crear l'adaptador de túnel, si es va assignar una adreça i si el client va deixar d'esperar una família d'adreces. Un bloqueig en un percentatge diferent és una etapa diferent amb el seu propi diagnòstic, i un avís de certificat o una adreça de passarel·la incorrecta produeix el seu propi missatge en lloc d'una espera silenciosa. Anota la marca de temps, perquè el proper intent afegeix un altre bloc al mateix fitxer.

Si el registre mostra una connexió completada seguida de res, ets a la configuració local i l'adaptador és un sospitós legítim.

Pas 2: limita el canvi d'IPv6 a un sol adaptador

El canvi pertany a l'adaptador, no a la màquina. A les propietats de l'adaptador de Windows això vol dir desmarcar Internet Protocol Version 6 (TCP/IPv6) a la interfície concreta, i des d'un shell és Disable-NetAdapterBinding -Name "Ethernet 2" -ComponentID ms_tcpip6. Confirma l'estat amb Get-NetAdapterBinding -ComponentID ms_tcpip6 abans de tornar a connectar. Després reconnecta i mira si la barra passa del 98% en lloc d'aturar-s'hi.

Primer delimita l'abast, després prova. Desactivar l'IPv6 globalment és un canvi més gran del que demana la qüestió i afecta serveis que no tenies intenció de tocar.

Pas 3: verifica què amagava el bloqueig

Un túnel que connecta no és un túnel que funciona. Comprova l'adreça que va assignar el client, les rutes que va instal·lar el perfil i la resolució de noms per a un host intern: Resolve-DnsName files.corp.example. Un client que connecta i no resol res té un problema de DNS, i és fàcil de malinterpretar com la mateixa fallada que torna.

Prova un recurs intern pel nom i una destinació pública, perquè un túnel dividit trencat no es confongui amb un client arreglat.

Pas 4: fes la correcció repetible

Si el paràmetre ha d'arribar a una flota, posa'l al paquet de desplegament o a la configuració de l'adaptador en lloc d'un pas manual repetit a cada portàtil. Anota al tiquet que el bloqueig del 98% estava lligat a l'IPv6 a la interfície de xarxa, i indica què més de l'amfitrió depenia de l'IPv6 abans que algú el torni a activar per arreglar una cosa no relacionada.

Una correcció que només existeix a la memòria d'un enginyer és una correcció que torna el proper trimestre.

Si la barra encara s'atura al 98% amb l'IPv6 desactivat, la nota del proveïdor ja no ho explica i el registre és la teva propera evidència. Deixa de tractar el símptoma i torna al comptador d'etapes.