FortiClient queda no 98 %: desactiva IPv6 nese adaptador

A barra chega ao 98 %, o cliente queda alí e volver escribir o contrasinal non cambia nada. Esa é a pista útil: o cliente xa aceptou o certificado da pasarela, enviou as credenciais e recibiu unha configuración de túnel. O que queda é levantar o adaptador virtual e confirmar que o túnel transporta tráfico. Cando ese último paso nunca se completa, a falla é local, e ningunha cantidade de reintroducir credenciais chega a ela.

Catro pasos, e o primeiro é ler o rexistro en lugar da barra.

Que informa realmente o contador do 98 %

A porcentaxe é o contador de etapas do propio cliente, non unha medida de rendemento. Un bloqueo no mesmo número en cada intento significa que o cliente chega a unha etapa concreta e espera; por iso unha conexión lenta e un cliente atascado vense distintos no rexistro. Un problema de credenciais imprimiría un erro de credenciais en lugar dunha pausa silenciosa.

Fortinet documentou este síntoma contra unha causa do lado do cliente: IPv6 activado no adaptador que usa o cliente. Iso converte o axuste do adaptador no primeiro que hai que probar, non nunha explicación universal para cada SSL-VPN bloqueo.

Paso 1: le o rexistro antes que a barra

Antes de cambiar nada, captura as liñas inmediatamente anteriores ao bloqueo. Buscas se se creou o adaptador de túnel, se se asignou un enderezo e se o cliente deixou de esperar unha familia de enderezos. Un bloqueo noutra porcentaxe é outra etapa co seu propio diagnóstico, e un aviso de certificado ou un enderezo de pasarela incorrecto produce a súa propia mensaxe en lugar dunha espera silenciosa. Anota a marca de tempo, porque o seguinte intento engade outro bloque ao mesmo ficheiro.

Se o rexistro mostra un inicio de sesión completado seguido de nada, estás na configuración local e o adaptador é un sospeitoso lexítimo.

Paso 2: limita o cambio de IPv6 a un só adaptador

O cambio corresponde ao adaptador, non ao equipo. Nas propiedades do adaptador de Windows iso significa desmarcar Internet Protocol Version 6 (TCP/IPv6) na interface concreta, e desde un shell é Disable-NetAdapterBinding -Name "Ethernet 2" -ComponentID ms_tcpip6. Confirma o estado con Get-NetAdapterBinding -ComponentID ms_tcpip6 antes de volver conectar. Despois reconecta e observa se a barra pasa do 98 % en lugar de deterse alí.

Primeiro delimita o alcance, despois proba. Desactivar IPv6 de forma global é un cambio maior do que esixe a cuestión e afecta servizos que non pretendías tocar.

Paso 3: verifica que ocultaba o bloqueo

Un túnel que conecta non é un túnel que funciona. Comproba o enderezo que asignou o cliente, as rutas que instalou o perfil e a resolución de nomes para un host interno: Resolve-DnsName files.corp.example. Un cliente que conecta e non resolve nada ten un problema de DNS, e iso malinterprétase facilmente como o regreso da mesma falla.

Proba un recurso interno por nome e un destino público, para que un túnel dividido roto non se confunda cun cliente arranxado.

Paso 4: fai que a corrección sexa repetible

Se o axuste ten que chegar a unha frota, pono no paquete de despregamento ou na configuración do adaptador en lugar dun paso manual repetido en cada portátil. Anota no tícket que o bloqueo do 98 % estaba ligado a IPv6 na interface de rede, e sinala que máis do host dependía de IPv6 antes de que alguén o reactive para arranxar algo non relacionado.

Unha corrección que só existe na memoria dun enxeñeiro é unha corrección que volve o próximo trimestre.

Se a barra segue deténdose no 98 % con IPv6 desactivado, a nota do provedor xa non o explica e o rexistro é a túa seguinte evidencia. Deixa de tratar o síntoma e volve ao contador de etapas.