FortiClient VPN Konfiguration mit Intune

Der “FortiClient VPN” lässt sich mit dem korrekten MSI-Packet und einer exportierten Konfiguration-Datei auch ohne die Fortinet / FortiGate Premium EMS Features mit beispielsweise Intune verteilen. Die einzelnen Schritte sind, wenn man weiss wie, nicht sehr aufwändig.

Um das Paket mit Intune möglichst einfach zu halten, habe ich dir eine Vorlage erstellt. Wenn du die Datei “FortiClient VPN.zip” auswählst, kannst du gleich das ganze herunterladen.

GitHub Repo

FortiClient VPN Konfiguration exportieren

Als erstes erstellen und exportieren wir die gewünschte Konfiguration des FortiClient’s. Den Export kannst du im Client selbst in den Einstellungen anstossen. Wähle dazu einfach das Zahnrad oben rechts, Backup, einen Speicher Ort und setzte ein Passwort.

Das soeben erstellte Backup File benennst du am besten “FortiClientVPN.conf” und packst es in die heruntergeladene Vorlage. Zusätzlich musst du das definierte Kennwort in der Datei “install.ps1” in der zwieten Zeile ($ConfigPW) eintragen.

$PackageName = "FortiClientVPN"
$ConfigPW = "Kateoih785" # insert your password here!

Extrahieren der MSI des Forti Client VPN

Nun müssen wir nur noch das aktuelle MSI aus der Installation extrahieren.
Dazu kannst du hier die aktuelle EXE des “FortiClient VPN only” herunterladen.
Anschliessend führst du die EXE aus und kopierts das MSI aus dem %temp% Verzeichnis heraus.

Das extrahierte MSI packen wir ebenfalls in die Vorlage. Der Ordner dürfte dann so aussehen:

Erkennungsregel anpassen

In der Erkennungsregel (check.ps1) wird die Version des FortiClient VPN und das hinterlegte Profil überprüft. Dazu musst du in der zweiten und dritten Zeile die Parameter “$ProfileName” und “$ProgramVersion_target” anpassen. Der Profilname ist dabei der, den du im FortiClient definiert hast.

$ProfileName = "DEMO scloud" # Change to your Profilename!
$ProgramVersion_target = '7.0.2.90' # Set to version from MSI

Intunewin erstellen

Aus diesem Paket erstellen wir nun mithilfe des Microsoft Win32 Content Prep Tool das Intunewin-File. Das Setup File ist das “install.ps1”.

Das erstellte File “install.intunewin” können wir nun im Endpoint Manger unter “Apps > Windows + Add” hochladen und verteilen.

Die Program-Parameter sind:

Install command	%SystemRoot%\sysnative\WindowsPowerShell\v1.0\powershell.exe -executionpolicy bypass -command .\install.ps1
Uninstall command	%SystemRoot%\sysnative\WindowsPowerShell\v1.0\powershell.exe -executionpolicy bypass -command .\uninstall.ps1

Bei der Detection Rule kannst du das vorbereitete “check.ps1” verwenden. Aber ACHTUNG, passe den Profilnamen und die Version in der Erkennungsregel zuerst an.

Abhängigkeiten braucht das Paket nicht, du musst das es nur noch zuweisen und speichern.
So hast du den FortiClient VPN per Intune sehr einfach verteiltun und kannst ihn mit dem gleichen Mechanismus auch updaten.