跳至主要內容

解锁 SSL VPN 源 IP

2025/10/29SSL VPN≥ 7.2.6大约 2 分钟

解锁 SSL VPN 源 IP

重要

此功能在 FortiOS 7.2.6 及以上版本、7.4.1 及以上版本、7.6.0 及以上版本支持。

功能介绍

  1. 默认配置下，同一源 IP 在 60 秒内连续 2 次提交错误的用户名/密码组合后，该源 IP 会被锁定 60 秒。不同用户从同一源 IP 登录失败也会累计次数。login-block-time 同时决定失败次数的统计窗口和锁定时长。

    config vpn ssl settings
    set login-attempt-limit 2
    set login-block-time 60
end

  2. 源 IP 被锁定后，从该地址使用 FortiClient 登录会有如下提示。

    image-20241227154241486

  3. FortiGate 的 SSL VPN Debug 会有如下提示。

    diagnose debug application sslvpn -1
diagnose debug enable

[15356:root:6]req: /remote/logincheck
[15356:root:6]fsv_blocklist_check:65 locked: rowid=1,host=192.168.100.177
[15356:root:6]Transfer-Encoding n/a
[15356:root:6]Content-Length 75
[15356:root:6]readPostEnter:19 Post Data length 0.
[15356:root:6]sslConnGotoNextState:318 error (last state: 1, closeOp: 0)
[15356:root:6]Destroy sconn 0x7fb0ea2800, connSize=0. (root)
[15356:root:6]SSL state:warning close notify (192.168.100.177)

重要

  • 如果多个用户共用同一个 NAT 出口地址，其中一个用户触发源 IP 锁定后，其他用户从该地址登录 SSL VPN 也会受到影响。
  • 使用 SAML 认证时，用户名和密码由身份提供方验证，FortiGate 无法按上述方式统计每次密码错误。

解锁方法

  1. 查看 SSL VPN blocklist。输出中的 addr 是源 IP，status 为 locked 表示该地址已被锁定，其他字段包含首次和最后一次登录尝试时间、登录失败次数及所属 VDOM ID。

    FortiGate # diagnose vpn ssl blocklist list
|id|addr|status|first-attempt|last-attempt|fail-count|vfid|
|1|192.168.100.177|locked|2024-12-27 15:51:07|2024-12-27 15:51:11|2|0|
Total 1 entry.

  2. 通过 FortiView 页面“按认证失败排名”可以查看特定时间范围内各用户的认证失败次数。该页面按用户展示统计结果，是否被 SSL VPN blocklist 锁定应以源 IP 查询结果为准。

    image-20241227160315500

  3. 通过如下 CLI 命令可以删除 SSL VPN blocklist 中的条目，解锁源 IP。

    FortiGate # diagnose vpn ssl blocklist del <all|vfid|addr>
    • all：删除所有 blocklist 条目。
    • vfid：删除指定 VDOM ID 下的所有 blocklist 条目。
    • addr：删除指定源 IP 的 blocklist 条目。

  4. 指定源 IP 192.168.100.177 删除条目，再次查看 blocklist，确认该地址不再列出。

    FortiGate # diagnose vpn ssl blocklist del 192.168.100.177

FortiGate # diagnose vpn ssl blocklist list
|id|addr|status|first-attempt|last-attempt|fail-count|vfid|
最近更新: