FortiClient VPN au Maroc : télétravail sécurisé et ZTNA avec FortiGate

La réponse courte : sur un FortiGate récent, le télétravail se sécurise avec FortiClient en VPN IPsec, protégé par un second facteur FortiToken, et des règles qui n’ouvrent que les serveurs utiles à chaque groupe. Le VPN SSL en mode tunnel, longtemps utilisé par défaut, a disparu de FortiOS à partir de la version 7.6.3. Le client FortiClient VPN gratuit suffit pour un accès distant simple ; la console FortiClient EMS devient nécessaire dès que vous voulez contrôler l’état des postes et passer au ZTNA, qui ouvre une application plutôt qu’un réseau.

Ce guide se concentre sur l’écosystème Fortinet. Pour le choix général entre IPsec, SSL et ZTNA, tous constructeurs confondus, lisez d’abord VPN d’entreprise pour le télétravail : IPsec, SSL ou ZTNA ?. Chez ALLSAFE SOLUTIONS, nous déployons ces accès à Casablanca et partout au Maroc, en tant qu’intégrateur Fortinet au Maroc. Les informations techniques ci-dessous proviennent de la documentation officielle de Fortinet.

Ce qui a changé avec FortiOS 7.6.3

Les notes de version de FortiOS 7.6.3 sont explicites : le mode tunnel du VPN SSL n’est plus disponible, ni dans l’interface graphique ni en ligne de commande. Fortinet le remplace par le VPN IPsec, qui peut être configuré pour utiliser le port TCP 443, c’est-à-dire le port HTTPS rarement bloqué par les réseaux d’hôtels ou de clients. Deux conséquences pratiques :

• Les réglages ne sont pas convertis. Fortinet précise que la configuration du VPN SSL en mode tunnel n’est pas reprise lors de la mise à niveau. Il faut construire l’accès IPsec équivalent avant de mettre à jour, sinon les télétravailleurs perdent leur accès le lendemain matin.
• Le mode web change de nom et de périmètre. L’ancien portail web du VPN SSL s’appelle désormais « Agentless VPN ». Il n’est pas pris en charge sur les séries FortiGate 40F, 60F et 90G, très répandues dans les PME.

Ce changement va dans le sens de la sécurité. Le service VPN SSL de FortiOS a fait l’objet de plusieurs vulnérabilités critiques publiées par Fortinet, dont certaines exploitées sur internet. Nous détaillons la gestion de ces failles dans Mise à jour FortiOS : gérer les vulnérabilités FortiGate sans risque. Si votre FortiGate est resté sur une version antérieure pour conserver le VPN SSL, c’est le signe qu’une migration vers IPsec doit être planifiée, pas repoussée.

Les éditions de FortiClient, sans confusion

Le nom « FortiClient » recouvre plusieurs produits. Fortinet les présente ainsi sur sa page de téléchargement et dans sa documentation :

Édition	Ce qu’elle apporte	Administration	Pour qui
FortiClient VPN (gratuit)	VPN IPsec et SSL de base	Poste par poste, sans console	Petite équipe, accès simple, sans support constructeur
FortiClient Standalone	VPN d’accès distant avec MFA, abonnement FortiIdentity Cloud Basic, support par e-mail	Sans console EMS	Petite structure qui veut un client supporté par Fortinet
FortiClient ZTNA Edition	Accès ZTNA aux applications, contrôle de l’état du poste en continu, VPN amélioré, filtrage web	Console FortiClient EMS	PME qui gère ses postes et veut vérifier leur conformité
FortiClient EPP/APT Edition	Tout le ZTNA, plus protection antivirus et anti-ransomware, contrôle des supports amovibles, inventaire logiciel	Console FortiClient EMS	PME qui veut un seul agent pour l’accès et la protection du poste

La version gratuite n’est pas un piège : pour quelques télétravailleurs qui accèdent à un serveur de fichiers et à un logiciel de gestion, elle fait le travail. Ses limites sont claires. Elle ne vérifie pas si le poste est à jour ou protégé, elle se configure à la main sur chaque machine, et Fortinet n’en assure pas le support. Dès que le nombre de postes augmente, ou que des ordinateurs personnels se connectent, la console EMS change la donne.

Pour la protection des postes eux-mêmes, l’édition EPP/APT n’est qu’une option parmi d’autres ; nous comparons les approches dans EDR ou antivirus : que choisir pour une PME.

Construire un accès IPsec propre avec FortiClient

Un VPN IPsec bien conçu repose sur quelques principes simples, que nous appliquons à chaque déploiement :

1. Un tunnel d’accès distant dédié, distinct des tunnels qui relient vos agences. Pour l’interconnexion de sites, voir SD-WAN avec FortiGate.
2. Des groupes d’utilisateurs, pas des comptes isolés : comptabilité, commerciaux, direction, prestataires. Chaque groupe reçoit ses propres règles.
3. Des règles qui n’ouvrent que le nécessaire : le serveur de fichiers et l’ERP pour la comptabilité, pas tout le réseau local. Les profils de sécurité du FortiGate s’appliquent aussi au trafic VPN.
4. Le port TCP 443 en solution de repli, pour les réseaux qui filtrent l’IPsec classique, comme le prévoit Fortinet depuis la version 7.6.3.
5. Un choix assumé entre tunnel complet et split tunneling, expliqué dans notre guide VPN général.
6. Des journaux de connexion conservés hors du boîtier, pour savoir qui s’est connecté, quand et depuis où.

Côté utilisateur, FortiClient se configure une fois, puis la connexion se résume à un identifiant, un mot de passe et une validation sur le téléphone. Avec la console EMS, la configuration du tunnel est poussée automatiquement sur les postes : plus besoin d’intervenir machine par machine.

Un dernier point est souvent négligé : les personnes qui utiliseront réellement le VPN. Un mode opératoire court avec captures d’écran, une session de test avec chaque groupe avant la bascule et un contact clairement identifié pendant les premiers jours évitent la plupart des appels au support. Nous convenons aussi à l’avance de la marche à suivre en cas de perte ou de changement de téléphone, puisqu’il porte le second facteur : qui désactive le jeton, qui en attribue un nouveau, et comment l’utilisateur prouve son identité.

Le MFA avec FortiToken : non négociable

Un VPN protégé par un simple mot de passe est l’une des premières portes d’entrée des attaquants, notamment après une campagne de phishing. Chez Fortinet, le second facteur passe naturellement par FortiToken :

• FortiToken Mobile, une application sur smartphone qui génère des codes ou reçoit une notification à approuver ;
• FortiToken physique, un porte-clés à code, pour les personnes sans smartphone professionnel ou les postes partagés.

La documentation Fortinet indique qu’un FortiGate inclut des jetons FortiToken Mobile gratuits, dont le nombre s’affiche dans la console, à importer une fois le boîtier enregistré. Nous les réservons en priorité aux comptes d’administration du pare-feu. Pour les utilisateurs, on achète des jetons supplémentaires ou on s’appuie sur une méthode d’authentification déjà en place. Dans un cluster de haute disponibilité, les jetons FortiToken Mobile sont enregistrés sur le boîtier principal et synchronisés sur le second, comme nous l’expliquons dans FortiGate haute disponibilité. Pour la méthode de déploiement auprès des équipes, voir Déployer le MFA dans une PME.

ZTNA avec FortiGate et FortiClient EMS

Le VPN classique, une fois la connexion établie, fait entrer le poste dans le réseau. Le ZTNA de Fortinet fonctionne autrement. Le FortiGate joue le rôle de proxy d’accès : il publie une application précise (un intranet, un bureau à distance, un partage de fichiers) et ne la sert qu’après plusieurs vérifications.

Le mécanisme, tel que le décrit Fortinet :

1. Les postes équipés de FortiClient sous licence s’enregistrent auprès de FortiClient EMS, qu’ils soient au bureau ou à l’extérieur.
2. EMS collecte l’état du poste (utilisateur connecté, système, protection) et lui attribue des étiquettes ZTNA selon des règles que vous définissez.
3. Ces étiquettes et le certificat du client sont synchronisés en temps réel avec le FortiGate.
4. Le FortiGate vérifie l’identité par le certificat et autorise ou refuse l’accès selon les étiquettes. Un poste marqué comme compromis est bloqué, même avec un mot de passe valide.

L’intérêt pour une PME est double. L’utilisateur ne voit que les applications auxquelles il a droit, et un ordinateur personnel non conforme n’accède à rien. C’est l’un des chantiers décrits dans Zero Trust pour une PME : par où commencer.

Le ZTNA demande en revanche des prérequis : des postes inventoriés et gérés, une console EMS, des licences FortiClient, et une liste claire des applications à publier. Ce n’est pas un point de départ, c’est la suite logique d’un VPN IPsec bien tenu.

VPN IPsec, VPN avec EMS ou ZTNA : que choisir ?

Situation	Notre recommandation
Quelques télétravailleurs, postes de l’entreprise, accès à un serveur de fichiers	FortiClient VPN gratuit en IPsec, avec FortiToken
Des dizaines de postes à configurer et à suivre	FortiClient sous licence avec console EMS, configuration poussée à distance
Ordinateurs personnels ou prestataires externes	ZTNA, ou accès limité à une seule application
Applications web internes, bureau à distance	ZTNA avec le FortiGate en proxy d’accès
Téléphonie IP, logiciels métier anciens	VPN IPsec, en parallèle du ZTNA si besoin
FortiGate encore sur VPN SSL en mode tunnel	Migration vers IPsec avant toute mise à jour vers 7.6.3 ou au-delà

Les erreurs que nous corrigeons

1. Le VPN SSL conservé « parce qu’il marche », sur une version de FortiOS jamais mise à jour pour ne rien casser. C’est exactement la configuration visée par les attaques.
2. Une mise à jour lancée sans migration préalable : le mode tunnel disparaît et les télétravailleurs se retrouvent bloqués.
3. Aucun second facteur, ou un MFA activé pour la direction seulement.
4. Une règle VPN vers « tout le réseau », alors que chaque groupe n’a besoin que de deux ou trois serveurs.
5. Des comptes VPN d’anciens salariés toujours actifs, faute de procédure de départ.
6. Le client FortiClient installé sur des ordinateurs personnels sans aucun contrôle de leur état.
7. Des journaux de connexion conservés uniquement sur le pare-feu, perdus en cas d’incident.

Checklist de migration du VPN SSL vers IPsec

• Relever la version de FortiOS, le modèle de FortiGate et le nombre d’utilisateurs VPN actifs.
• Lister les groupes, les ressources autorisées et les méthodes d’authentification du VPN SSL actuel.
• Construire le tunnel IPsec d’accès distant, avec MFA et règles par groupe, en parallèle de l’existant.
• Tester avec un groupe pilote, y compris depuis un réseau 4G et un réseau d’hôtel, avec le port TCP 443 si nécessaire.
• Mettre à jour FortiClient sur les postes et diffuser un mode opératoire simple.
• Basculer tous les utilisateurs, puis désactiver le VPN SSL.
• Planifier ensuite la mise à jour de FortiOS, en suivant le chemin de mise à niveau de Fortinet.

Comment nous procédons

Nous commençons par un audit offert de votre accès distant : version de FortiOS, mode de VPN utilisé, comptes actifs, MFA, règles et journaux. Nous vous proposons ensuite la cible adaptée, du simple VPN IPsec avec FortiToken jusqu’au ZTNA avec FortiClient EMS, et nous fournissons les licences et jetons nécessaires, avec ou sans installation. La migration se fait en parallèle de l’existant, groupe par groupe, sans couper les télétravailleurs. Une fois en production, le FortiGate et les connexions sont supervisés 24/7, et un incident critique est pris en charge en moins de 15 minutes.

Retrouvez notre approche globale de la cybersécurité au Maroc, les statuts de nos partenariats sur la page Certifications, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.