FortiClient bloccato al 98%: disattiva IPv6 su quell'adattatore

La barra arriva al 98%, il client resta lì, e ridigitare la password non cambia nulla. Questo è l'indizio utile: il client ha già accettato il certificato del gateway, inviato le credenziali e ricevuto una configurazione del tunnel. Ciò che resta è sollevare l'adattatore virtuale e confermare che il tunnel trasporta traffico. Quando quell'ultimo passo non si completa mai, il guasto è locale, e nessuna quantità di credenziali ridigitate lo raggiunge.

Quattro passi, e il primo è leggere il registro invece della barra.

Che cosa segnala davvero il contatore del 98%

La percentuale è il contatore delle fasi del client stesso, non una misura di throughput. Un blocco sullo stesso numero a ogni tentativo significa che il client raggiunge una fase precisa e attende; per questo una connessione lenta e un client bloccato appaiono diversi nel registro. Un problema di credenziali stamperebbe un errore di credenziali invece di una pausa silenziosa.

Fortinet ha documentato questo sintomo rispetto a una causa lato client: IPv6 attivo sull'adattatore che il client usa. Questo rende l'impostazione dell'adattatore la prima cosa da provare, non una spiegazione universale per ogni SSL-VPN blocco.

Passo 1: leggi il registro prima della barra

Prima di cambiare qualsiasi cosa, cattura le righe immediatamente precedenti al blocco. Stai cercando se l'adattatore del tunnel è stato creato, se è stato assegnato un indirizzo e se il client ha smesso di attendere una famiglia di indirizzi. Un blocco a un'altra percentuale è un'altra fase con la sua diagnosi, e un avviso di certificato o un indirizzo di gateway errato produce il proprio messaggio invece di un'attesa silenziosa. Annota la marca temporale, perché il tentativo successivo aggiunge un altro blocco allo stesso file.

Se il registro mostra un accesso completato seguito da nulla, sei nella configurazione locale e l'adattatore è un sospetto legittimo.

Passo 2: limita la modifica IPv6 a un solo adattatore

La modifica riguarda l'adattatore, non la macchina. Nelle proprietà dell'adattatore di Windows ciò significa deselezionare Internet Protocol Version 6 (TCP/IPv6) sull'interfaccia specifica, e da una shell è Disable-NetAdapterBinding -Name "Ethernet 2" -ComponentID ms_tcpip6. Conferma lo stato con Get-NetAdapterBinding -ComponentID ms_tcpip6 prima di riconnetterti. Poi riconnettiti e osserva se la barra supera il 98% invece di fermarsi lì.

Prima delimita, poi prova. Disattivare IPv6 a livello globale è una modifica più ampia di quanto richieda la questione e tocca servizi che non intendevi modificare.

Passo 3: verifica che cosa nascondeva il blocco

Un tunnel che si connette non è un tunnel che funziona. Controlla l'indirizzo assegnato dal client, le rotte installate dal profilo e la risoluzione dei nomi per un host interno: Resolve-DnsName files.corp.example. Un client che si connette e non risolve nulla ha un problema DNS, ed è facile leggerlo male come il ritorno dello stesso guasto.

Prova una risorsa interna per nome e una destinazione pubblica, così che un tunnel diviso rotto non venga scambiato per un client riparato.

Passo 4: rendi ripetibile la correzione

Se l'impostazione deve raggiungere una flotta, mettila nel pacchetto di distribuzione o nella configurazione dell'adattatore invece che in un passo manuale ripetuto su ogni portatile. Annota nel ticket che il blocco al 98% era legato a IPv6 sull'interfaccia di rete, e indica che altro sull'host dipendeva da IPv6 prima che qualcuno lo riattivi per correggere qualcosa di non correlato.

Una correzione che esiste solo nella memoria di un ingegnere è una correzione che torna il trimestre successivo.

Se la barra si ferma ancora al 98% con IPv6 disattivato, la nota del fornitore non lo spiega più e il registro è la tua prossima prova. Smetti di trattare il sintomo e torna al contatore delle fasi.