Hvorfor Fortigate VPN diagnose-kommandoer er guld vĂŠrd i hverdagen

Hvis du sidder med en Fortigate i maskinrummet, kender du sikkert scenariet:

  • Brugere kan ikke logge pĂ„ SSL-VPN
  • IPsec site‑to‑site dĂžr kl. 09:01 hver mandag
  • Remote-brugere brokker sig over langsom adgang til RDP og filer

GUI’en viser bare “Down” eller “Disconnected” – men ikke hvorfor.
Det er her diagnose vpn 
 og de andre CLI-kommandoer gþr forskellen mellem panik og en rolig “giv mig 5 minutter”.

I en tid hvor kompromitterede konti og lĂŠk af data er hverdagsstof (se fx gennemgangen af hackede Gmail-konti og login-overvĂ„gning hos Times of India), er en stabil og korrekt konfigureret VPN ikke bare “nice to have”, men et sikkerhedskrav.

Denne guide gÄr praktisk til vÊrks:

  • Hvad de vigtigste Fortigate diagnose-kommandoer gĂžr
  • Konkrete eksempler pĂ„ IPsec- og SSL-VPN fejlsĂžgning
  • Hvordan du lĂŠser output og omsĂŠtter det til handling
  • SmĂ„ best practices, sĂ„ du ikke selv skaber nedetid kl. 15:55 en fredag

Alt er skrevet til dig, der rent faktisk stĂ„r med Fortigate i hĂ„nden – ikke bare lĂŠser marketingbrochurer.

Hvad er Fortigate VPN diagnose-kommandoer egentlig?

PĂ„ Fortigate er diagnose-kommandoer en sĂŠrlig gruppe CLI-kommandoer, typisk startet med diagnose, der:

  • giver real-time status (tunneler, sessions, hĂ„ndtryk)
  • viser detaljerede fejlkoder (IKE, XAuth, certifikater, SSL)
  • kan slĂ„ debug til/fra for specifikke moduler (fx ike, sslvpn, flow)
  • hjĂŠlper dig med at skelne mellem:
    • fejl i konfiguration (phase1/phase2 mismatch)
    • fejl i routing/policies
    • fejl i klient, internet eller remote side

PĂ„ VPN-delen drejer det sig isĂŠr om:

  • diagnose vpn tunnel ... (IPsec status)
  • diagnose vpn ike ... (IKE-fasen)
  • diagnose debug application ike / sslvpn
  • diagnose debug flow (trafikflow gennem firewall)

Hvis du kan de 10–15 vigtigste kommandoer i sþvne, kan du typisk halvere din fejlsþgningstid.

De mest brugte Fortigate VPN diagnose-kommandoer

Lad os starte med en lille “toolbox” du kan copy‑paste og bygge videre pĂ„.

1. Overblik over IPsec-tunneler

Liste alle IPsec-tunneler og deres status

diagnose vpn tunnel list

Giver dig bl.a.:

  • navn pĂ„ tunnel (phase1-interface)
  • status (up/down)
  • lokale og fjern-IP’er
  • bytes sendt/modtaget

Filtrér pÄ én specifik tunnel

diagnose vpn tunnel list name <navn-pÄ-phase1>

Godt nÄr du har 20+ tunneler, men kun én, der driller.

2. IKE-status og fejlkoder

Aktive IKE SA’er

diagnose vpn ike gateway list

Her kan du se:

  • om IKE overhovedet er etableret
  • hvilken version (IKEv1/IKEv2)
  • hvilken peer IP og port

Detaljeret debug af IKE

diagnose debug reset
diagnose debug disable
diagnose debug application ike -1
diagnose debug enable

Lad trafikken kÞre (fx forsÞg et nyt login eller genstart tunnel), og afslut sÄ:

diagnose debug disable

Typiske ting du spotter:

  • proposal mismatch (encryption/hash)
  • forkert pre‑shared key
  • certifikatproblemer
  • “no proposal chosen” / “AUTH failed”

3. SSL-VPN status og fejlfinding

Se aktive SSL-VPN sessions

diagnose vpn sslvpn status

Viser bl.a.:

  • antal aktive brugere
  • hvilken portal de bruger
  • evt. fejlstatistik

Detaljeret SSL-VPN debug

diagnose debug reset
diagnose debug disable
diagnose debug application sslvpn -1
diagnose debug enable

Igen: reproducer problemet, og slÄ sÄ debug fra. Outputtet fortÊller typisk, om fejlen ligger i:

  • brugerlogin (forkert kode / locked account)
  • to-faktor
  • certifikat / TLS handshake
  • portal- / firewall-policy

4. Trafikflow: nĂ„r tunnelen er “up”, men intet virker

Mange gange er VPN-tunnelen faktisk oppe, men trafikken bliver droppet af en policy eller tager en forkert route.

Her er diagnose debug flow din ven.

Klassisk flow-debug

diagnose debug reset
diagnose debug disable
diagnose debug flow filter clear
diagnose debug flow filter addr <client-ip-eller-server-ip>
diagnose debug flow show function-name enable
diagnose debug flow trace start 50
diagnose debug enable

Lad en ping eller RDP-kĂžrsel ske – og lĂŠs sĂ„ output:

  • Hvilken policy rammer trafikken?
  • Bliver den NAT’et korrekt?
  • Droppes den pga. reverse path check eller anden sikkerhed?

Stop igen:

diagnose debug disable
diagnose debug flow trace stop

Fejlsþgning af IPsec VPN – trin for trin

Lad os tage et klassisk scenarie: Site‑to‑site IPsec VPN mellem Fortigate (HQ) og en router hos et datterselskab. Brugerne siger “vi kan ikke komme pĂ„ systemerne i KĂžbenhavn”.

Trin 1: Er tunnelen faktisk oppe?

diagnose vpn tunnel list name HQ-DK-Branch1

Kig efter:

  • status=up
  • rx-bytes / tx-bytes stiger, nĂ„r du pinger en host

Hvis den er nede:

  1. Tjek IKE status:

    diagnose vpn ike gateway list

  2. KĂžr diagnose debug application ike -1 og genstart tunnelen.

Se efter fejlkoder som:

  • “no response from peer” → problem med remote side eller NAT/portblock
  • “no proposal chosen” → encryption/hash/PRF mismatch
  • “AUTHENTICATION_FAILED” → forkert PSK eller cert

Trin 2: Tunnelen er oppe – men ingen trafik

Her skiller vi VPN-laget fra routing/policies.

  1. Fra Fortigate CLI:

    execute ping <remote-vpn-subnet-ip>
    • Hvis Fortigate kan pinge, men klienterne ikke kan → routing/segmentering i HQ.
    • Hvis hverken Fortigate eller klienter kan pinge → sandsynligvis policy eller remote-siden.

  2. Se policies:

    • Er der en policy HQ-LAN → VPN-INTERFACE med korrekt service (fx ALL / TCP/UDP/ICMP)?
    • Er der retur-policy fra VPN-INTERFACE → HQ-LAN?

  3. Flow-debug pÄ en konkret klient:

    diagnose debug flow filter addr 10.10.10.25
diagnose debug flow trace start 50

    Her kan du se, om trafikken overhovedet rammer VPN-interfacet, eller om den ryger ud pÄ internettet pga. forkert route.

Trin 3: Intermitterende problemer (tunnelen falder ned)

Hvis forbindelsen dĂžr med jĂŠvne mellemrum:

  • Tjek log events for tunnel op/ned
  • Se, om det korrelerer med tidsplan for backup, ISP-drop, eller at nogen roder med WAN-policy

Brug:

diagnose vpn ike gateway list
diagnose vpn tunnel list

i kombination med logreview og evt. diagnose debug application ike pÄ det tidspunkt, fejlen sker.

SSL-VPN: typiske problemer og hurtige checks

SSL-VPN er tit “front facing” for medarbejdere pĂ„ farten, freelancere og eksterne konsulenter. Hvis det dĂžr, dĂžr produktiviteten – isĂŠr i en hybrid hverdag, hvor enterprise-browsere og webadgang er helt centrale, som ITWeb beskriver.

1. Brugeren kan ikke logge ind

Checkliste:

  1. Er brugeren lÄst?

    • Brugertabellen (local/LDAP/RADIUS)
    • Fejl i debug: “user disabled”, “auth failed”

  2. MFA / token-fejl?

    • Fejl i debug: “otp mismatch”, “token expired”

  3. Portal tildeling

    • Har brugeren overhovedet lov til at bruge den portal, klienten prĂžver at tilgĂ„?

Kommando:

diagnose vpn sslvpn status
diagnose debug application sslvpn -1

2. Logind virker, men ingen adgang til interne ressourcer

Her er det typisk:

  • forkert eller manglende IPv4-split-tunnel-rute
  • policy fra ssl.root (eller hvad interfacet nu hedder) til LAN
  • DNS-problemer (klienten kan ikke resolve interne navne)

Tjek:

  1. Hvilket IP-interval fÄr SSL-klienten?
  2. Find policy: ssl.root → internal.
  3. Brug diagnose debug flow pÄ en IP fra SSL-poolen.

Logs, debug og “do’s & don’ts”

Debug er stĂŠrkt – men kan ogsĂ„ belaste boksen, hvis du skyder med kanoner pĂ„ en travl produktions-Fortigate.

Gode vaner

  • KĂžr altid:

    diagnose debug reset
diagnose debug disable

    fĂžr du starter ny fejlsĂžgning.

  • BegrĂŠns debug:

    • brug filter addr, filter daddr, filter port osv.
    • sĂŠt et fornuftigt antal trace-linjer: trace start 50 i stedet for 5000.

  • Husk at slukke igen:

    diagnose debug disable

Typiske moduler for VPN

  • diagnose debug application ike -1 → IPsec IKE
  • diagnose debug application sslvpn -1 → SSL-VPN
  • diagnose debug application fgfmd -1 → FortiManager-relateret (hvis relevant)
  • diagnose debug flow → generelt trafikflow

Hurtigt overblik: nĂžgle-kommandoer og hvad de viser

đŸ§‘â€đŸ’» Kommando🎯 FormĂ„l📈 Typisk brugsscenarie✅ SvĂŠrhedsgrad
diagnose vpn tunnel listSe status pĂ„ alle IPsec-tunnelerFĂžrste check nĂ„r “site-to-site er nede”Let
diagnose vpn ike gateway listDetaljer om IKE SA’erMismatches i proposals / PSKMellem
diagnose debug application ike -1Real-time IKE debugFind prĂŠcis fejlkode ved opstart af tunnelMellem
diagnose vpn sslvpn statusStatus pÄ SSL-VPN og aktive sessionsNÄr remote-brugere ikke kan logge pÄLet
diagnose debug application sslvpn -1SSL-VPN login- og portaldebugFejl omkring MFA, certifikater og portalerMellem
diagnose debug flow ...Viser hele pakkeflowet gennem firewallTunnel “up” men ingen trafik eller mérkelige dropsØvet

Kort sagt: tunnel list og sslvpn status er dine hurtige “er lyset tĂŠndt?”‑checks, mens debug application og debug flow er vĂŠrktĂžjerne, du hiver frem, nĂ„r du virkelig skal rode i maskinrummet.

Sikkerhed og privacy: VPN er mere end “bare” en tunnel

NĂ„r du sidder med Fortigate, handler det tit om tilgĂŠngelighed og drift – men bagved lurer sikkerheden:

  • Kompromitterede konti kan misbruges til at hoppe gennem VPN’en og ind i kernenettet (jvf. fokus pĂ„ kontoovertagelser og login-overvĂ„gning hos Times of India).
  • LĂŠk af credentials ender pĂ„ dark web, hvor de kan handles videre (som Clubic beskriver).
  • Moderne angreb gĂ„r direkte pĂ„ browseren og brugerfladen, og enterprise-browsere er blevet en ny frontlinje (ITWeb).

Derfor:

  • KombinĂ©r diagnose-kommandoer med stram adgangsstyring:
    • individuelle brugerkonti
    • 2FA
    • roll‑baserede portaler
  • Brug log-output aktivt:
    • uventede logins fra udlandet
    • massefejllogins fra samme IP
  • SĂžrg for, at remote-brugere ogsĂ„ har en personlig VPN pĂ„ deres egne enheder (fx NordVPN), sĂ„ trafikken til din Fortigate ikke fĂžrst bliver snuset pĂ„ et Ă„bent hotel-wifi.

MaTitie Showtid: derfor betyder din VPN noget 🔐

Lad os vĂŠre ĂŠrlige: for mange brugere er “VPN” bare noget, der skal virke, sĂ„ de kan komme pĂ„ RDP, Teams og interne systemer. Men fra MaTitie‑perspektiv handler VPN om noget stĂžrre:

  • Privacy: at din trafik ikke kan lĂŠses pĂ„ cafĂ©-wifi eller af nysgerrige mellemled
  • Streaming & geo: at du kan hĂžre BBC Radio 5 Live, se sport og serier, selv nĂ„r du er uden for hjemlandet
  • Adgang: at du kan arbejde sikkert fra hvor som helst – uden at gamble med virksomhedens data

PÄ virksomhedssiden er Fortigate knaldgod til central VPN, firewall og segmentering. Men pÄ personlige enheder (private laptops, mobiler, tablets) giver det vildt god mening at kombinere med en stÊrk, simpel VPN-tjeneste.

Her er NordVPN et virkelig solidt bud:

  • Hurtig pĂ„ bĂ„de danske og udenlandske servere
  • God app-oplevelse pĂ„ Windows, macOS, Android, iOS
  • Ekstra features som kill switch og beskyttelse mod ondsindede sider

Hvis du bÄde vil skÊrpe din egen sikkerhed og give brugerne et godt privat vÊrktÞj, er det oplagt at teste NordVPN af:

🔐 Try NordVPN – 30-day risk-free

MaTitie tjener en lille kommission, hvis du vélger at kþbe – prisen er den samme for dig.

FAQ: spÞrgsmÄl jeg tit fÄr i indbakken

1. Skal jeg vÊre bange for at tÊnde diagnose debug pÄ en produktions-Fortigate?

Kort svar: nej – hvis du gþr det kontrolleret.

  • Brug altid diagnose debug reset + diagnose debug disable fĂžrst
  • BegrĂŠns debug til relevante moduler (fx kun ike eller sslvpn)
  • Brug filtre (IP/port) og lavt antal trace-linjer

Det, der normalt skaber problemer, er ufiltreret, massiv debug pÄ en i forvejen presset boks. Sund fornuft og tidsbegrÊnset debug, sÄ er du safe.

2. Hvordan skelner jeg mellem “Fortigate-problem” og “klient-problem” pĂ„ SSL-VPN?

God tommelfingerregel:

  • Kan ingen logge pĂ„ → hĂžj sandsynlighed for Fortigate / backend / certifikat-problem
  • Kan nogle logge pĂ„, men enkelte ikke → ofte klient, brugerprofil eller MFA

Kombinér:

  • diagnose vpn sslvpn status for generelt health
  • diagnose debug application sslvpn -1 for specifikke brugere

Og test altid med en kendt god testbruger fra en ren klient (evt. din egen).

3. Er det overkill at kombinere Fortigate VPN og en kommerciel VPN-tjeneste?

Det kommer an pÄ use case:

  • Til virksomhedens interne systemer er Fortigate eller tilsvarende gateway‑VPN det rigtige.
  • Til privat browsing, streaming og rejser er en tjeneste som NordVPN oplagt.
  • For remote medarbejdere kan kombinationen faktisk vĂŠre ekstra sikker:
    • NordVPN beskytter dem pĂ„ offentlige netvĂŠrk
    • Fortigate sikrer selve adgangen til virksomhedens kernenet

Det vigtigste er, at du har styr pĂ„ policies, sĂ„ du ikke utilsigtet tillader “VPN‑i‑VPN” ind i segmenter, hvor det ikke giver mening.

Yderligere lĂŠsning og perspektiv

Hvis du vil lidt bredere rundt om VPN, netvĂŠrk og sikkerhed, er disse artikler et kig vĂŠrd:

  • “How to listen to BBC Radio 5 Live from anywhere in the world”, TechRadar (2025‑12‑03) – om, hvordan geo‑blokering og streaming hĂŠnger sammen med VPN-brug.
    LĂŠs hos TechRadar

  • “WatchGuard Firebox M695 review: Powerful enterprise network security at a sensible price”, ITPro (2025‑12‑03) – giver et godt indblik i, hvordan andre enterprise-firewalls tackler sikkerhed og performance.
    LĂŠs hos ITPro

  • “Public Key Infrastructure Market Is Growing at a CAGR of 18.79% During the Forecast Period 2025 - 2035”, OpenPR (2025‑12‑03) – sĂŠtter fokus pĂ„ PKI og certifikater, som ogsĂ„ spiller ind i IPsec og SSL-VPN.
    LĂŠs hos OpenPR

CTA: Test NordVPN, mens du tuner din Fortigate

NĂ„r du alligevel sidder og strammer skruerne pĂ„ dine Fortigate VPN’er, er det et godt tidspunkt ogsĂ„ at styrke din egen digitale hverdag.

NordVPN er:

  • hurtig nok til 4K-streaming og tunge downloads
  • nem at rulle ud pĂ„ bĂ„de private og arbejdsrelaterede enheder
  • dĂŠkket af 30 dages fuld returret, sĂ„ du kan prĂžve uden risiko

Mit ĂŠrlige take: kĂžr et par uger med NordVPN pĂ„ dine primĂŠre devices, samtidig med at du finpudser dine Fortigate-konfigurationer. MĂŠrk selv forskellen pĂ„ wifi i lufthavne, hoteller og cafĂ©er – bĂ„de pĂ„ fart og tryghed.

Disclaimer

Denne artikel er skrevet pÄ baggrund af offentligt tilgÊngelig information, generel brancherfaring og assistance fra AI-vÊrktÞjer. Indholdet er kun til informationsbrug og erstatter ikke professionel rÄdgivning. Dobbelttjek altid konfigurationer og sikkerhedsvalg i din egen miljÞ, fÞr du Êndrer driftskritiske systemer.