Integrationen · FortiGate
FortiGate 2FA: Bestätigung am Telefon für VPN und Admin-Anmeldung
Für Organisationen mit einer aus dem Internet erreichbaren FortiGate, deren VPN oder Administrationskonsole noch ein Passwort allein akzeptiert. Mit dem Notakey Auth-Proxy im RADIUS-Pfad wird ein geleaktes, per Password Spraying erratenes oder geknacktes Passwort zu einem gescheiterten Versuch statt zu einer Anmeldung.
So wird es angebunden
Standard-RADIUS, mit der Bestätigung dazwischen
Eine FortiGate kann VPN- und Administratoranmeldungen an einen RADIUS-Server weiterleiten. Der Notakey Auth-Proxy sitzt in diesem RADIUS-Pfad: Er lässt Ihren bestehenden RADIUS-Server das Passwort prüfen, bittet den Benutzer anschließend um eine Bestätigung auf dem Telefon und antwortet erst mit Ja, wenn beides erfolgreich war.
Ihr RADIUS-Server und die darin angelegten Benutzer bleiben unverändert. Die FortiGate spricht mit dem Proxy über Standard-RADIUS, wie jeder andere VPN-Konzentrator auch. Betreiben Sie keinen RADIUS-Server, kann das mit der Notakey-Appliance gelieferte RADIUS-Plugin als nachgelagerter Server dienen.
Die FortiGate unterstützt außerdem die Remote-Authentifizierung von Administratoren gegen RADIUS, einschließlich eines Wildcard-Admin-Kontos für alle Mitglieder einer RADIUS-Gruppe. Damit steht die Bestätigung auch vor der Konsole, auf die es Angreifer abgesehen haben, und nicht nur vor dem VPN.
Was Sie vorab wissen sollten
- Wir haben eine FortiGate nicht selbst im Labor getestet. Die FortiGate-Einstellungen stammen aus der Dokumentation von Fortinet, die in der Anleitung verlinkt ist; die FortiGate spricht mit dem Auth-Proxy über Standard-RADIUS.
- Standardmäßig gibt die FortiGate dem gesamten RADIUS-Austausch 5 Sekunden (remoteauthtimeout) und sendet nach 5 Sekunden erneut. Beide Werte müssen deutlich über dem 30-Sekunden-Fenster des Proxys liegen. Der Proxy ignoriert eine erneut gesendete Anfrage, sodass der Benutzer keine zweite Bestätigungsanfrage erhält. Ist der Timeout für die erneute Übertragung jedoch der längere der beiden Werte, bleibt es von vornherein bei einer einzigen Anfrage.
- Eine Bestätigung am Telefon repariert kein Gerät, das bereits kompromittiert ist: von Angreifern angelegte Konten, von ihnen gehaltene Sitzungen oder geänderte Konfigurationen bleiben bestehen. Beenden Sie zuerst die Sitzungen, setzen Sie die Passwörter zurück und prüfen Sie die Konfiguration.
- Ein zweiter Faktor vor einer Verwaltungsoberfläche, die gar nicht aus dem Internet erreichbar sein sollte, ist die schwächere Lösung. Beschränken Sie die Administration über Trusted Hosts oder eine Local-in-Policy – oder verzichten Sie ganz auf die Administration über das Internet.
- Eine Bestätigung am Telefon allein stoppt keinen Angreifer, der eine echte Anmeldung in Echtzeit über eine gefälschte Seite weiterleitet. Für die wenigen Konten, die die Firewall selbst verwalten, lohnen sich an die Website gebundene Schlüssel wie FIDO.
- Halten Sie einen lokalen Notfall-Administrator mit einem langen, nirgends sonst verwendeten Passwort bereit, der nur von Trusted Hosts aus erreichbar ist, und testen Sie ihn, bevor Sie ihn brauchen.
Von null zur ersten Bestätigung
- 01
Anwendung anlegen und Auth-Proxy konfigurieren
Legen Sie im Notakey-Dashboard eine VPN-Anwendung an, registrieren Sie die Telefone der Benutzer und kopieren Sie die Access ID. Konfigurieren Sie den Auth-Proxy auf der Appliance (oder als Container neben Ihrem RADIUS-Server) mit dieser Access ID, der Adresse des nachgelagerten RADIUS-Servers und den Shared Secrets.
- 02
FortiGate auf den Proxy umstellen und die Timeouts erhöhen
Tragen Sie den Proxy mit demselben Secret als RADIUS-Server der FortiGate ein. Erhöhen Sie remoteauthtimeout und den Timeout des RADIUS-Servers deutlich über das 30-Sekunden-Bestätigungsfenster des Proxys, etwa auf 60 Sekunden insgesamt und 90 Sekunden bis zu einer erneuten Übertragung.
- 03
Mit einer zweiten offenen Sitzung testen
Melden Sie sich mit einem RADIUS-Benutzer am VPN an und bestätigen Sie den Push, dann versuchen Sie es noch einmal und lehnen ab. Prüfen Sie, ob Ihr lokaler Notfall-Administrator weiterhin hineinkommt, bevor Sie die funktionierende Sitzung schließen.
Häufig gestellte Fragen
- Braucht die FortiGate ein Fortinet-Plugin für Notakey?
- Nein. Die FortiGate sendet VPN- und Administratoranmeldungen über Standard-RADIUS an den Notakey Auth-Proxy, wie jeder andere VPN-Konzentrator auch; ein Fortinet-spezifisches Plugin ist daher nicht nötig. Die FortiGate-Einstellungen stammen aus der Dokumentation von Fortinet; wir haben eine FortiGate nicht selbst im Labor getestet.
- Welche Timeouts muss ich an der FortiGate ändern?
- Der remoteauthtimeout der FortiGate gibt dem gesamten RADIUS-Austausch standardmäßig 5 Sekunden, und nach 5 Sekunden sendet sie die Anfrage erneut. Erhöhen Sie beide Werte deutlich über das 30-Sekunden-Bestätigungsfenster des Proxys, zum Beispiel auf 60 Sekunden insgesamt und 90 Sekunden bis zu einer erneuten Übertragung.
- Kann die Bestätigung am Telefon auch Administratoranmeldungen schützen?
- Ja. Die FortiGate unterstützt die Remote-Authentifizierung von Administratoren gegen RADIUS, einschließlich eines Wildcard-Admin-Kontos für eine RADIUS-Gruppe, sodass auch die Konsole dieselbe Bestätigung verlangt. Halten Sie einen lokalen Notfall-Administrator bereit, der nur von Trusted Hosts aus erreichbar ist.
Anleitungen und Dokumentation
- FortiBleed: Warum ein geleaktes Passwort genügte, um eine FortiGate zu übernehmen
- VPN-2FA mit RADIUS – das komplette Auth-Proxy-Setup
- MFA-Fatigue, Push-Bombing und 2FA-Bombing
- Fortinet: Wie remoteauthtimeout und der RADIUS-Timeout zusammenspielen (Englisch)
Verwandte Produkte