Nach dem Update einer Fortigate auf v4.3.1 kann es vorkommen, das einige IPSec-VPNs (Interface Mode) nicht mehr funktionieren. Das liegt meistens daran, dass beim Update fälschlicherweise das “mode-cfg”-Flag gesetzt wird. In den Release Notes ist dieses sogar vermerkt:
Description: Option “mode-cfg” was turn on by default and thus can cause phase1 mismatch during tunnel initialization when interface mode IPSec Phase1 was configured via Web UI.
Bug ID: 146113
Workaround: Use the CLI command “config vpn ipsec phase1-interface>set mode-cfg disable” to disable it.
Status: To be fixed in a future release.
Gut, dass die Beschreibung des Workarounds gleich dabei ist. Hier noch mal alle notwendigen CLI Befehle:
config vpn ipsec phase1-interface edit <name-der-phase1> set mode-cfg disable end
Hope that helps.
Wie sich heraus gestellt hat, wird dieser Config-Mode auch per default bei allen neuen VPNs im Interface Mode aktiviert…. Also bitte ausschalten, wenn die Gegenseite damit nicht umgehen kann.