Si tu acceso remoto hoy pasa por FortiClient hacia un FortiGate, puedes mantener el firewall y cambiar solo cómo entran las personas: cada usuario llega al recurso autorizado, sin túnel a toda la red.
5 €/usuario/mes (mínimo 5 usuarios) + 40 €/mes por gateway, sin IVA.
FortiClient, junto con un FortiGate, es un modelo conocido: se instala el cliente, el usuario se autentica y se abre un túnel hacia el firewall. Funciona, y hay mucha base instalada.
Las fricciones aparecen cuando el acceso remoto se convierte en un problema de operación, no solo de producto:
Si estás en este punto, no hace falta sustituir el FortiGate. Hace falta decidir si quieres otra VPN o un acceso por recurso.
Hay que ser precisos. Fortinet no ha abandonado el acceso remoto ni las VPN. Lo que ha eliminado es SSL VPN en modo túnel a partir de FortiOS 7.6.3: esa función deja de aparecer en la interfaz y en la CLI, y las configuraciones de túnel SSL VPN no se conservan al actualizar. Fortinet recomienda migrar esas configuraciones a IPsec VPN. En determinados modelos de entrada con 2 GB de memoria, la retirada empezó antes.
La ruta oficial del fabricante (SSL VPN → IPsec) es válida, sobre todo si quieres seguir usando el FortiGate como concentrador de acceso remoto. IPsec sigue siendo la opción adecuada para enlaces permanentes entre sedes.
La pregunta añadida es otra: si de todas formas vas a tocar el acceso de los usuarios, ¿quieres cambiar de protocolo VPN o pasar a un modelo Zero Trust, en el que se autoriza el recurso y no la red? El análisis de esa decisión está en Alternativa a FortiGate SSL VPN y en el artículo FortiGate elimina SSL VPN: ¿IPsec o ZTNA?. Esta página se centra en la alternativa a FortiClient como cliente de acceso remoto. La comparativa genérica está en VPN vs ZTNA.
ConnectaSec no pretende sustituir al FortiGate como firewall. El FortiGate sigue teniendo sentido para el perímetro, la inspección, el filtrado, la segmentación, SD-WAN, la protección de la LAN y los túneles IPsec entre sedes.
Lo que puede cambiar es una función concreta: el acceso remoto de usuarios.
El firewall protege la red. ConnectaSec controla quién accede a qué recurso remoto. Las dos piezas conviven. La comparativa funcional está en ConnectaSec vs FortiClient.
| Criterio | FortiClient + SSL VPN / IPsec | ConnectaSec ZTNA |
|---|---|---|
| Modelo de acceso | Túnel a la red (políticas en el firewall) | Acceso por usuario, dispositivo y recurso |
| FortiGate como firewall | Sí | Sí; no es un requisito para el acceso remoto |
| Modelo de publicación | Concentrador VPN como vía principal de entrada | El acceso es al recurso autorizado, no a un concentrador VPN propio como vía principal |
| Cliente en el dispositivo | FortiClient | Cliente ConnectaSec, desplegable con Intune, GPO o MDM |
| Precio de entrada publicado | Variable según hardware y licencias | 5 €/usuario/mes (mín. 5) + 40 €/mes por gateway, sin IVA |
Fortinet, FortiGate, FortiOS y FortiClient son marcas de sus respectivos propietarios; la comparativa se basa en información pública.
No hace falta apagar FortiClient el primer día. El enfoque es por fases:
Qué usuarios se conectan hoy con FortiClient y a qué llegan de verdad: ERP, RDP, SQL, NAS, aplicaciones internas.
Un grupo reducido pasa a acceso por recurso mientras la VPN actual sigue operativa.
Se autoriza expresamente cada recurso. El equipo se vincula con un token de un solo uso.
Se migran el resto de perfiles y se reduce el uso de FortiClient a los casos que de verdad sigan necesitándolo.
El FortiGate no se toca como firewall. IPsec entre sedes, si lo tienes, puede quedarse.
Requisitos del cliente ZTNA: Windows 10/11, macOS 11 o superior, Android 8 o superior, iOS 26 y Linux. El cliente se puede desplegar de forma centralizada con Intune, GPO o MDM. Detalle en Descarga el cliente. Si alguien solo necesita una aplicación web y no puede instalar software, ConnectaSec Access funciona desde el navegador, gratis hasta 50 usuarios (a partir de 50, consultar). El detalle de precio está en Precios.
Es la ruta que recomienda el fabricante para sustituir SSL VPN en modo túnel, y es coherente si quieres conservar el FortiGate como concentrador. Lo que no cambia es el modelo: el usuario sigue entrando a una red. ZTNA responde a otra pregunta: que cada persona llegue solo al recurso autorizado. La comparativa punto a punto está en VPN vs ZTNA.
Validamos tus aplicaciones (SAP incluido) en una prueba piloto; no publicamos una lista de compatibilidad certificada. En ZTNA, la identidad es MFA en el panel + token de un solo uso ligado al equipo. El SSO Microsoft 365 / SAML está disponible en ConnectaSec Access, para aplicaciones web desde el navegador. La navegación web del ZTNA pasa por el gateway dedicado, con filtrado DNS y web.
El ZTNA sí requiere el cliente ConnectaSec. Se puede desplegar con Intune, GPO o MDM. Una vez enrolado el dispositivo con un token de un solo uso ligado a esa máquina, el usuario no introduce usuario y contraseña cada vez. Si el caso es solo una aplicación web interna, Access no instala cliente en el usuario.
El diagrama público está en Arquitectura. Gateway dedicado, cifrado WireGuard y datos del servicio alojados en España. En ZTNA, la identidad es MFA en el panel + token de un solo uso ligado al equipo.
ConnectaSec está dentro del alcance del certificado ISO 27001 y está en proceso de certificación ENS, sin fecha publicada. Cifrado ZTNA: WireGuard (Curve25519, ChaCha20-Poly1305 y BLAKE2s).
Para un MSP que gestiona varios clientes Fortinet y quiere ofrecer el acceso remoto como servicio, ver ZTNA para MSPs. Las condiciones de partner no se detallan aquí. También: VPN para empresas y ZTNA para pymes.
En una demo de 10 minutos recorremos el acceso por recurso, el cliente y cómo convive con tu firewall actual.
Solicitar demo