Integraciones · FortiGate
2FA para FortiGate: aprobación en el teléfono para la VPN y el acceso de administración
Para organizaciones con un FortiGate expuesto a internet cuya VPN o consola de administración sigue aceptando solo una contraseña. Con el auth-proxy de Notakey en la ruta RADIUS, una contraseña filtrada, adivinada por rociado o descifrada se queda en un intento fallido en lugar de convertirse en un acceso.
Cómo se conecta
RADIUS estándar, con la aprobación añadida en medio
Un FortiGate puede enviar los inicios de sesión de la VPN y de los administradores a un servidor RADIUS. El auth-proxy de Notakey se sitúa en esa ruta RADIUS: deja que su servidor RADIUS existente compruebe la contraseña, pide después al usuario que apruebe en el teléfono y solo responde afirmativamente cuando ambas cosas se cumplen.
Su servidor RADIUS y los usuarios que contiene no cambian. El FortiGate se comunica con el proxy por RADIUS estándar, como cualquier otro concentrador VPN. Si no tiene servidor RADIUS, el plugin RADIUS incluido en el appliance de Notakey puede hacer de servidor de destino.
FortiGate también admite la autenticación remota de administradores contra RADIUS, incluida una cuenta de administrador comodín para todos los miembros de un grupo RADIUS. Así la aprobación protege la consola que buscan los atacantes, y no solo la VPN.
Qué debe saber antes de empezar
- No hemos probado un FortiGate en nuestro laboratorio. Los ajustes de FortiGate proceden de la documentación de Fortinet, enlazada desde la guía; el FortiGate se comunica con el auth-proxy por RADIUS estándar.
- Por defecto, FortiGate concede 5 segundos a todo el intercambio RADIUS (remoteauthtimeout) y reenvía la petición a los 5 segundos. Ambos valores deben superar holgadamente la ventana de 30 segundos del proxy. El proxy ignora las peticiones reenviadas, de modo que el usuario no recibe una segunda solicitud de aprobación, pero si el tiempo de reenvío es el más largo de los dos, el intercambio se limita a una sola petición.
- Una aprobación en el teléfono no arregla un equipo que ya está comprometido: cuentas creadas por los atacantes, sesiones que mantienen abiertas o configuración que han modificado. Primero cierre sesiones, restablezca contraseñas y revise la configuración.
- Añadir un segundo factor a una interfaz de administración que no debería ser accesible desde internet es la solución más débil. Restrinja la administración mediante hosts de confianza o una política local-in, o directamente no permita administrar el equipo desde internet.
- Una aprobación en el teléfono no detiene por sí sola a un atacante que retransmite en tiempo real un inicio de sesión legítimo a través de una página falsa. Para las pocas cuentas que administran el propio firewall, merece la pena considerar claves vinculadas al sitio, como FIDO.
- Mantenga un administrador local de emergencia con una contraseña larga y única, accesible solo desde hosts de confianza, y pruébelo antes de necesitarlo.
De cero a la primera aprobación
- 01
Cree la aplicación y configure el auth-proxy
Cree una aplicación de VPN en el panel de Notakey, registre los teléfonos de los usuarios y copie el Access ID. Configure el auth-proxy en el appliance (o como contenedor junto a su servidor RADIUS) con ese Access ID, la dirección del servidor RADIUS de destino y los secretos compartidos.
- 02
Apunte el FortiGate al proxy y amplíe los tiempos de espera
Añada el proxy como servidor RADIUS del FortiGate con el mismo secreto. Amplíe remoteauthtimeout y el tiempo de espera del servidor RADIUS muy por encima de la ventana de aprobación de 30 segundos del proxy, por ejemplo 60 segundos en total y 90 antes de un reenvío.
- 03
Pruebe con una segunda sesión abierta
Inicie sesión en la VPN con un usuario de RADIUS y apruebe la notificación push; después inténtelo de nuevo y deniéguela. Confirme que su administrador local de emergencia sigue pudiendo entrar antes de cerrar la sesión de trabajo.
Preguntas frecuentes
- ¿Necesita FortiGate un plugin de Fortinet para Notakey?
- No. El FortiGate envía los inicios de sesión de la VPN y de los administradores al auth-proxy de Notakey por RADIUS estándar, como cualquier otro concentrador VPN, así que no hace falta ningún plugin específico de Fortinet. La configuración del FortiGate procede de la documentación de Fortinet; nosotros no hemos probado un FortiGate en laboratorio.
- ¿Qué tiempos de espera de FortiGate hay que cambiar?
- El remoteauthtimeout de FortiGate concede por defecto 5 segundos a todo el intercambio RADIUS, y el reenvío se produce a los 5 segundos. Amplíe ambos valores muy por encima de la ventana de aprobación de 30 segundos del proxy, por ejemplo 60 segundos en total y 90 antes de un reenvío.
- ¿Puede la aprobación en el teléfono proteger también el acceso de los administradores?
- Sí. FortiGate admite la autenticación remota de administradores contra RADIUS, incluida una cuenta de administrador comodín para un grupo RADIUS, de modo que la consola recibe la misma aprobación. Mantenga un administrador local de emergencia accesible solo desde hosts de confianza.
Guías y documentación
- FortiBleed: por qué bastó una contraseña filtrada para tomar el control de un FortiGate
- VPN 2FA con RADIUS: la configuración completa del auth-proxy
- Fatiga de MFA, push-bombing y 2FA bombing
- Fortinet: cómo interactúan remoteauthtimeout y el tiempo de espera RADIUS (en inglés)
Productos relacionados