FortiGate IPsec VPN på Linux: Slutligen en guide som funkar

💡 Så här fixar du FortiGate IPsec på Linux utan att vilja kasta datorn

Vi har alla varit där. Måndag morgon, kaffe i handen, redo att jobba – och bam. FortiGate VPN-klienten nekansluter. Eller den ansluter men inget fungerar. Inga interna sidor, ingen databas, inget SSH till jump-servern. Endast tystnad och en gammal “VPN connected” ikon som loggar.

Om du kör Linux vet du smärtan. Företaget säger “använd FortiClient”. Men Linux-versionen är… säga 半吊子 (banjiazi – halvgjord). Och nu med Fedora 45 som drar pluggen på de gamla NetworkManager-pluginsen? [Fedora Magazine, 2026-11-03] Det är inte bara ett varningsskylt – det är en vägg.

Men här är goda nyheter: det går att fixa. Riktigt bra. Med strongSwan, rätt config, och lite förståelse för hur FortiGate egentligen tänker. Den här guiden är baserad på verkliga fel jag kört in i (och fixat) på Fedora 40, Ubuntu 24.04, Arch, och en Raspberry Pi 4 som gateway. Inget copy-paste från vendor docs – bara vad som fungerar i praktiken.

Vi går igenom:

• Varför de gamla verktygen dog (och vad du ska göra nu)
• Tre sätt att sätta upp tunneln: NetworkManager GUI, strongSwan CLI, FortiClient (om du måste)
• Vanliga felsökningssteg som sparar timmar
• Routing-triks för att köra företags-VPN + personlig VPN samtidigt

Och ja – jag lovar: inget “sudo systemctl restart networkmanager” som magisk lösning. Vi fixar rotorsaken.

📊 VPN-uppsättningsmetoder på Linux – vad funkar bäst 2026?

Tabellen visar tydligt: NetworkManager med strongSwan-backend är sweet spot för de flesta. Du får systemintegration, GUI, systemd-loggar, och det fungerar efter omstarter. strongSwan-konfigfiler är bäst om du kör server eller vill versionhantera din VPN-config i git (ja, jag gör det – ~/.config/strongswan/ i dotfiles-repot). FortiClient? Endast om IT säger “policy kräver vår klient”. Då kör du det i en container/VM för att isolera skiten.

Och viktigt: NetworkManager-fortisslvpn och NetworkManager-vpnc är döda. Fedora 45 tog bort dem helt. Ubuntu 24.10+ och Arch följer snart. [Fedora Magazine, 2026-11-03] Om du uppgraderar och VPN slutar funka – det här är varför. Migrera nu, inte nästa måndag morgon.

😎 MaTitie SHOW TIME

Hej, jag är MaTitie – skribenten till det här inlägget, en man som stolt jagar goda erbjudanden, syndiga nöjen och kanske lite för mycket stil. Jag har testat hundratals VPNs och utforskat fler “blockerade” hörn av internet än jag borde erkänna.
Låt oss vara ärliga – här är det som gäller 👇

Tillgång till plattformar som Phub*, OnlyFans, eller TikTok i Sverige blir svårare – och din favorit kan vara nästa. Om du letar efter hastighet, integritet och riktig strömningsåtkomst – skippa gissningsarbetet.
👉 🔐 Prova NordVPN nu — 30 dagar riskfritt. 💥 🎁 Det fungerar som en dröm i Sverige, och du kan få full återbetalning om det inte är för dig.
Inga risker. Inga dramat. Bara ren åtkomst. Det här inlägget innehåller affiliate-länkar. Om du köper något genom dem kan MaTitie tjäna en liten provision.
(Tack så mycket, broder – pengar betyder verkligen mycket. Tack på förhand! Många kramar ❤️)

💡 Steg-för-steg: Sätt upp FortiGate IPsec via NetworkManager + strongSwan (den enkla vägen)

Förutsättning: Du har gateway-adress, användarnamn, lösenord (eller certifikat), och eventuellt pre-shared key från IT-avdelningen. Om de säger “vi använder certifikat” – be om .p12 eller .pem filer + CA-cert. Om de säger “PSK” – be om nyckeln. Utan det går ingen väg.

1. Installera rätt paket

# Fedora 40/41
sudo dnf install NetworkManager-strongswan strongswan

# Ubuntu 24.04/24.10
sudo apt update && sudo apt install network-manager-strongswan strongswan-charon

# Arch / Manjaro
sudo pacman -S networkmanager-strongswan strongswan

Starta om NetworkManager: sudo systemctl restart NetworkManager (eller logga ut/in).

2. Skapa anslutningen i GUI

Öppna Inställningar → Nätverk → VPN → + → Välj “IPsec” (ikonen med sköld, inte “Cisco IPsec” eller “Fortinet SSL-VPN”).

Fyll i:

• Namn: Jobb-FortiGate-IPsec (vad du vill)
• Gateway: vpn.företaget.se (eller IP)
• Autentisering: Välj “Certifikat (filer)” eller “Fördelad nyckel”
  • Certifikat: Lägg till Användarcertifikat (.pem/.crt), CA-certifikat (.crt), Privat nyckel (.pem/.key). Lösenord för nyckel om krypterad.
  • PSK: Klistra in Fördelad nyckel (Identity kan stå tom eller vara ditt användarnamn).
• Användarnamn / Lösenord: Dina AD/LDAP-uppgifter (ofta samma som e-post/inlogg).
• Avancerat (klicka på knappen):
  • IKEv2: På (FortiGate defaultar till IKEv2 nu, IKEv1 är deprecated)
  • Algoritmer: Lämna tom (auto-negotiation fungerar 99% av tiden). Om IT säger specifika: AES256-SHA256-MODP2048 för Phase 1, AES256-SHA256 för Phase 2.
  • Inaktivera “Använd standardväg” (Use default route) ← KRITISKT om du vill behålla personlig VPN aktiv (se routing-sektion nedan).
  • DNS: Lägg till företagets DNS-servrar (t.ex. 10.0.1.10, 10.0.1.11) och sökdomäner (företaget.local, corp.företaget.se).

Klicka Lägg till. Klar.

3. Testa anslutningen

Klicka på VPN-ikonen i panelen → välj din nya anslutning. Om det misslyckas: kolla loggarna direkt:

journalctl -u NetworkManager -f | grep -i -e strongswan -e charon -e ipsec -e vpn

Vanliga fel:

• no trusted RSA public key found → CA-cert saknas eller fel fil.
• authentication failed → Fel användarnamn/lösenord/PSK. Kolla versaler.
• no config found → Gateway-adress matchar inte right= i config. Dubbelkolla DNS/IP.
• TS_UNACCEPTABLE → Traffic Selectors matchar inte. FortiGate kan kräva specifika subnät. Be IT om “Phase 2 selectors” eller prova leftsubnet=0.0.0.0/0 i strongSwan-konfig (se nedan).

💡 Steg-för-steg: strongSwan med swanctl.conf (för dig som vill ha kontroll)

Om du kör headless server, container, eller bara vill ha en config-fil du kan versionhantera – här är min fungerande mall för FortiGate IKEv2 med EAP-MSCHAPv2 (användarnamn/lösenord) + PSK:

# /etc/swanctl/conf.d/fortigate.conf
connections {
    fortigate-ikev2 {
        version = 2
        local_addrs  = %any
        remote_addrs = vpn.företaget.se
        local {
            auth = psk
            id = "användarnamn@företaget.se"  # ofte e-postformat
        }
        remote {
            auth = psk
            id = "vpn.företaget.se"
        }
        children {
            net {
                local_ts  = 0.0.0.0/0       # eller din lokala IP/subnet
                remote_ts = 10.0.0.0/8, 192.168.10.0/24  # företagets subnät - FRÅGA IT!
                start_action = start
                esp_proposals = aes256gcm16-prfsha384-ecp384,aes256-sha256-modp2048
            }
        }
        send_certreq = no
        mobike = yes
        rekey_time = 10800
        reauth_time = 0
        fragmentation = yes
        dpd_delay = 30s
    }
}

secrets {
    ike-fortigate {
        id-1 = "användarnamn@företaget.se"
        id-2 = "vpn.företaget.se"
        secret = "DIN_PSK_HÄR"  # base64 eller plaintext
    }
    eap-fortigate {
        id = "användarnamn@företaget.se"
        secret = "DITT_LÖSENORD_HÄR"
    }
}

Viktiga fält att justera:

• remote_addrs: Gateway hostname/IP
• local.id / remote.id: FortiGate är känslig för ID-matchning. Ofta kräver de id = "user@domain" på lokal sida och gateway-fqdn på remote. Fråga IT om “IKE ID” eller “Peer ID”.
• children.net.remote_ts: Traffic Selectors. FortiGate nekansluter om du skickar 0.0.0.0/0 men de bara tillåter 10.0.0.0/8. Be om “Phase 2 remote networks”.
• esp_proposals: FortiGate default: aes256-sha256-modp2048 (Phase 1), aes256-sha256 (Phase 2). Ovanstående täcker de flesta.

Ladda och starta:

sudo systemctl restart strongswan
sudo swanctl --load-all
sudo swanctl --initiate --child net --ike fortigate-ikev2

Kolla status: swanctl --list-sas. Fungerar? Lägg till systemctl enable strongswan för autostart.

💡 Routing-hack: Kör företags-VPN OCH personlig VPN (NordVPN/Surfshark) samtidigt

Detta är den fråga jag får oftast: “Kan jag ha NordVPN igång för min egna grejer och FortiGate för jobb?”
Kort svar: Ja. Men du måste styra routing manuellt.

Problemet

När FortiGate ansluter pusha de oftast default route (0.0.0.0/0) via DHCP/options → all din trafik går genom företagsnätverket. Din personliga VPN-tunnel drar inte (eller läcker).

Lösning 1: Policy-based routing med network namespaces (renast)

Skapa en separat namespace för jobb-VPN:

sudo ip netns add workvpn
sudo ip link add veth0 type veth peer name veth1
sudo ip link set veth1 netns workvpn
sudo ip addr add 10.200.0.1/30 dev veth0
sudo ip netns exec workvpn ip addr add 10.200.0.2/30 dev veth1
sudo ip link set veth0 up
sudo ip netns exec workvpn ip link set veth1 up
sudo ip netns exec workvpn ip route add default via 10.200.0.1
# Starta strongSwan INOM namespacet:
sudo ip netns exec workvpn systemctl start strongswan

Nu kör du jobb-verktyg med: ip netns exec workvpn ssh server.företaget.se
Din huvud-miljö (webbläsare, terminal, NordVPN) är opåverkad.

Lösning 2: Inaktivera default route + manuella routes (enklare)

I NetworkManager GUI: Avancerat → Avmarkera “Använd standardväg”.
I strongSwan: Ta bort local_ts = 0.0.0.0/0 och sätt local_ts = %dynamic (din VPN-IP).

Lägg sedan till routes manuellt för företagets subnät:

# Efter VPN-uppkoppling:
sudo ip route add 10.0.0.0/8 dev <vpn-interface>  # t.ex. ipsec0
sudo ip route add 192.168.10.0/24 dev <vpn-interface>

Hitta interface: ip link show | grep -E 'ipsec|vti'

Varning: DNS-läckage risk. Använd systemd-resolved med per-interface DNS:

# /etc/systemd/resolved.conf.d/fortigate.conf
[Resolve]
DNS=10.0.1.10 10.0.1.11
Domains=företaget.local corp.företaget.se

Koppla till interface via systemd-networkd eller NetworkManager dispatcher-script. Det är lite fummel – men det fungerar.

🛠️ Felsöknings-checklista (spara den här – du kommer behöva den)

Pro-tips: Aktivera debug-loggning tillfälligt:

# strongSwan
sudo swanctl --log-level 3

# NetworkManager
nmcli general logging level DEBUG domain VPN
# ...reproduce error...
nmcli general logging level INFO

Loggarna i journalctl -u NetworkManager -f visar exakt vad som skickas/emot i IKE-handskakningen. Guld värd.

🙋 Frequently Asked Questions

❓ Varför slutat min FortiGate VPN funka efter uppgradering till Fedora 45?

💬 Fedora 45 skrotade de gamla NetworkManager-pluginsen (vpnc och fortisslvpn) för säkerhetsskull. De var unmaintained i åratal. Du måste byta till strongSwan-baserad lösning eller använda FortiClient Linux-appen. Det tråkiga är att inget varnar dig vid uppgraderingen – tunneln dyker bara upp som ‘misslyckad’ utan förklaring. Kolla Fedora Magazine-artikeln om du vill ha tekniska detaljer om EOL-tidslinjen.

🛠️ Vad är enklast – NetworkManager UI eller strongSwan-konfigfiler?

💬 Om du kör GNOME/KDE och vill ha ’next-next-finish’: NetworkManager med strongSwan-backend (nm-strongswan paketet). Fungerar smidigt med certifikatfiler och preshared keys. Men om du vill ha full kontroll, logging, eller köra headless server: skriv strongSwan ipsec.conf / swanctl.conf själv. Det är mer jobb initialt men du slipper GUI-buggar och vet exakt vad som händer. Jag kör strongSwan config på min hemma-server sedan 2021 – noll problem.

🧠 Kan jag köra FortiGate IPsec samtidigt som min personliga VPN (typ NordVPN)?

💬 Ja, men routing blir knepigt. FortiGate brukar pusha ‘default route’ så all din trafik går genom företagsnätverket – då drar din personliga VPN inte. Lösning: 1) Konfigurera FortiGate-klienten att INTE sätta default route (rightsourceip=%config, leftsubnet=0.0.0.0/0 ta bort), 2) Eller använd network namespaces / container för att separera tunnlarna. 3) Enklast: koppla från personliga VPN när du jobbar. Risken annars är att du läcker DNS eller IP till fel interface. Testade detta med NordVPN + starkSwan förra veckan – fungerar om du ställer in policy-based routing rätt.

🧩 Final Thoughts…

Sätta upp FortiGate IPsec på Linux 2026 är inte raketen vetenskap – men det kräver att du vet vilka verktyg som lever. De gamla NetworkManager-pluginsen är döda. strongSwan är nu standard, oavsett om du kör det via NetworkManager GUI eller egna konfigfiler.

Min rekommendation:

• Desktop/laptop: NetworkManager + strongSwan GUI. 5 min setup, fungerar med systemd, loggar i journalctl.
• Server/headless/automation: strongSwan swanctl.conf. Versionhantera din config. Använd systemd drop-ins för DNS/routes.
• Undvik FortiClient om du kan. Den är proprietary, loggar dåligt, och bryter vid kernel-uppgraderingar.

Och om IT-avdelningen knorrar: visa dem den här guiden. Be dem ge dig IKEv2 + EAP-MSCHAPv2 + PSK med korrekta Traffic Selectors och Peer IDs. Det är standard 2026. Om de säger “vi stöder bara IKEv1” – skratta och be dem uppgradera sin FortiGate-firmware (7.0+ har full IKEv2-stöd sedan 2021).

Lycka till – och kom ihåg: journalctl -f är din bästa vän. 🫡

📚 Further Reading

Här är 3 nyliga artiklar som ger mer kontext till ämnet – alla utvalda från verifierade källor. Känn dig fri att utforska 👇

🔸 How to Choose a Business VPN for a Remote Team
🗞️ Source: dev.to – 📅 2026-11-04
🔗 Read Article

🔸 The 10 best VPN services for 2026, reviewed by experts
🗞️ Source: Digital Trends – 📅 2026-11-04
🔗 Read Article

🔸 Migrating away from unmaintained NetworkManager VPN plugins (vpnc and fortisslvpn)
🗞️ Source: Fedora Magazine – 📅 2026-11-03
🔗 Read Article

😅 A Quick Shameless Plug (Hope You Don’t Mind)

Let’s be honest — most VPN review sites put NordVPN at the top for a reason.
It’s been our go-to pick at Top3VPN for years, and it consistently crushes our tests.

💡 It’s fast. It’s reliable. It works almost everywhere.

Yes, it’s a bit more expensive than others —
But if you care about privacy, speed, and real streaming access, this is the one to try.

🎁 Bonus: NordVPN offers a 30-day money-back guarantee.
You can install it, test it, and get a full refund if it’s not for you — no questions asked.

📌 Disclaimer

This post blends publicly available information with a touch of AI assistance. It’s meant for sharing and discussion purposes only — not all details are officially verified. Please take it with a grain of salt and double-check when needed. If anything weird pops up, blame the AI, not me—just ping me and I’ll fix it 😅.