Integrace · FortiGate
FortiGate 2FA: schválení telefonem pro VPN i přihlášení administrátorů
Pro organizace s FortiGate přístupným z internetu, jehož VPN nebo administrační konzole stále přijímá samotné heslo. S Notakey auth-proxy v RADIUS cestě se z uniklého, uhodnutého nebo prolomeného hesla stane neúspěšný pokus místo přihlášení.
Jak se připojuje
Standardní RADIUS se schválením vloženým doprostřed
FortiGate umí posílat přihlášení k VPN i přihlášení administrátorů na RADIUS server. Notakey auth-proxy stojí v této RADIUS cestě: heslo nechá ověřit vaším stávajícím RADIUS serverem, pak požádá uživatele o schválení na telefonu a kladně odpoví jen tehdy, když uspějí obě kontroly.
Váš RADIUS server i uživatelé v něm zůstávají beze změny. FortiGate komunikuje s proxy standardním protokolem RADIUS, stejně jako jakýkoli jiný VPN koncentrátor. Pokud žádný RADIUS server neprovozujete, může jako cílový server posloužit RADIUS plugin, který je součástí zařízení Notakey.
FortiGate podporuje také vzdálené ověřování administrátorů proti RADIUSu, včetně zástupného (wildcard) administrátorského účtu pro všechny členy RADIUS skupiny. Schválení tak stojí i před konzolí, na kterou útočníci míří, nejen před VPN.
Co vědět, než začnete
- FortiGate jsme sami v laboratoři netestovali. Nastavení FortiGate vychází z dokumentace Fortinetu, na kterou návod odkazuje; FortiGate komunikuje s auth-proxy standardním protokolem RADIUS.
- Ve výchozím nastavení dává FortiGate celé RADIUS výměně 5 sekund (remoteauthtimeout) a po 5 sekundách požadavek odesílá znovu. Obě hodnoty musí být s rezervou delší než 30sekundové okno proxy. Proxy opakovaně odeslaný požadavek ignoruje, takže uživateli nepřijde druhá žádost o schválení; pokud ale jako delší z obou hodnot nastavíte timeout pro opakované odeslání, zůstane celá výměna u jediného požadavku.
- Schválení na telefonu nenapraví zařízení, které už bylo kompromitováno: účty, které útočníci vytvořili, relace, které drží, ani konfiguraci, kterou změnili. Nejprve ukončete relace, resetujte hesla a zkontrolujte konfiguraci.
- Druhý faktor na administračním rozhraní, které by z internetu vůbec nemělo být dostupné, je slabší řešení. Omezte administraci na důvěryhodné hosty, politikou local-in, nebo administraci z internetu úplně vypněte.
- Schválení na telefonu samo o sobě nezastaví útočníka, který skutečné přihlášení v reálném čase přeposílá přes podvrženou stránku. Pro hrstku účtů, které spravují samotný firewall, stojí za zvážení klíče vázané na konkrétní web, například FIDO.
- Ponechte si lokálního nouzového administrátora s dlouhým jedinečným heslem, dostupného jen z důvěryhodných hostů, a vyzkoušejte ho dřív, než ho budete potřebovat.
Od nuly k prvnímu schválení
- 01
Vytvořte aplikaci a nakonfigurujte auth-proxy
V dashboardu Notakey vytvořte aplikaci pro VPN, zaregistrujte telefony uživatelů a zkopírujte Access ID. Na zařízení (nebo jako kontejner vedle vašeho RADIUS serveru) nakonfigurujte auth-proxy s tímto Access ID, adresou cílového RADIUS serveru a sdílenými tajemstvími.
- 02
Nasměrujte FortiGate na proxy a zvyšte timeouty
Přidejte proxy jako RADIUS server FortiGate se stejným tajemstvím. Hodnotu remoteauthtimeout i timeout RADIUS serveru nastavte výrazně nad 30sekundové okno proxy pro schválení, například 60 sekund celkem a 90 sekund před opakovaným odesláním.
- 03
Testujte s otevřenou druhou relací
Přihlaste se k VPN jako RADIUS uživatel a schvalte push notifikaci, pak to zkuste znovu a žádost odmítněte. Než zavřete fungující relaci, ověřte, že se váš lokální nouzový administrátor stále přihlásí.
Časté dotazy
- Potřebuje FortiGate pro Notakey nějaký plugin od Fortinetu?
- Ne. FortiGate posílá přihlášení k VPN i přihlášení administrátorů na Notakey auth-proxy standardním protokolem RADIUS, stejně jako kterýkoli jiný VPN koncentrátor, takže žádný plugin specifický pro Fortinet není potřeba. Nastavení FortiGate vychází z dokumentace Fortinetu; FortiGate jsme sami v laboratoři netestovali.
- Které timeouty je na FortiGate potřeba změnit?
- Hodnota remoteauthtimeout dává na FortiGate celé RADIUS výměně ve výchozím nastavení 5 sekund a po 5 sekundách FortiGate požadavek odesílá znovu. Obě hodnoty zvyšte s rezervou nad 30sekundové okno proxy pro schválení, například na 60 sekund celkem a 90 sekund před opakovaným odesláním.
- Může schválení na telefonu chránit i přihlášení administrátorů?
- Ano. FortiGate podporuje vzdálené ověřování administrátorů proti RADIUSu, včetně zástupného (wildcard) administrátorského účtu pro RADIUS skupinu, takže schválení stojí i před konzolí. Ponechte si lokálního nouzového administrátora, dostupného jen z důvěryhodných hostů.