Integratsioonid · FortiGate
FortiGate’i 2FA: telefonikinnitus VPN-ile ja administraatori sisselogimisele
Organisatsioonidele, kelle internetile avatud FortiGate’i VPN või halduskonsool lubab endiselt sisse ainult parooliga. Kui Notakey auth-proxy on RADIUS-teel, jääb lekkinud, pihustusründega leitud või murtud parool lihtsalt ebaõnnestunud katseks.
Kuidas see ühendub
Tavaline RADIUS, keskele lisatud kinnitusega
FortiGate saab VPN-i ja administraatorite sisselogimise saata RADIUS-serverile. Notakey auth-proxy paikneb sellel RADIUS-teel: see laseb teie olemasoleval RADIUS-serveril parooli kontrollida, palub seejärel kasutajal telefonis kinnitada ja vastab jaatavalt alles siis, kui mõlemad õnnestuvad.
Teie RADIUS-server ja selle kasutajad jäävad samaks. FortiGate suhtleb proksiga standardse RADIUS-e kaudu nagu iga teine VPN-kontsentraator. Kui teil RADIUS-serverit pole, võib allavoolu serveriks olla Notakey seadmega kaasas olev RADIUS-plugin.
FortiGate toetab ka administraatorite kaugautentimist RADIUS-e vastu, sealhulgas metamärgiga administraatorikontot kõigile ühe RADIUS-grupi liikmetele. Nii jõuab kinnitus ka selle konsooli ette, mida ründajad sihivad, mitte ainult VPN-i ette.
Mida enne alustamist teada
- Me pole FortiGate’i ise laboris katsetanud. FortiGate’i seaded pärinevad Fortineti dokumentatsioonist, mis on juhendis viidatud; FortiGate suhtleb auth-proxyga standardse RADIUS-e kaudu.
- Vaikimisi annab FortiGate kogu RADIUS-vahetusele 5 sekundit (remoteauthtimeout) ja saadab päringu 5 sekundi pärast uuesti. Mõlemad peavad olema proksi 30-sekundilisest aknast tublisti pikemad. Proksi eirab uuesti saadetud päringut, nii et kasutaja ei saa teist kinnitustaotlust, kuid kui uuesti saatmise ajalimiit on kahest pikem, jääb vahetus ühe päringu piiresse.
- Telefonikinnitus ei paranda seadet, mis on juba ohustatud: ründajate loodud kontosid, nende käes olevaid seansse ega muudetud seadistust. Lõpetage kõigepealt seansid, lähtestage paroolid ja vaadake seadistus üle.
- Teine tegur haldusliidesel, mis ei tohiks üldse internetist kättesaadav olla, on nõrgem lahendus. Piirake haldust usaldusväärsete hostide või local-in-poliitikaga või loobuge internetipoolsest haldusest täielikult.
- Telefonikinnitus üksi ei peata ründajat, kes vahendab päris sisselogimist võltslehe kaudu reaalajas. Nende üksikute kontode puhul, millega tulemüüri ennast hallatakse, tasub kaaluda saidiga seotud võtmeid, näiteks FIDO-t.
- Hoidke alles kohalik hädaolukorra administraatorikonto, millel on pikk ja ainulaadne parool ja millele pääseb ligi ainult usaldusväärsetest hostidest, ning katsetage seda enne, kui seda vaja läheb.
Nullist esimese kinnituseni
- 01
Looge rakendus ja seadistage auth-proxy
Looge Notakey halduspaneelil VPN-i rakendus, registreerige kasutajate telefonid ja kopeerige Access ID. Seadistage auth-proxy seadmes (või konteinerina RADIUS-serveri kõrval) selle Access ID, allavoolu RADIUS-serveri aadressi ja jagatud saladustega.
- 02
Suunake FortiGate proksile ja tõstke ajalimiite
Lisage proksi FortiGate’i RADIUS-serveriks sama saladusega. Tõstke remoteauthtimeout ja RADIUS-serveri ajalimiit proksi 30-sekundilisest kinnitusaknast tunduvalt kõrgemale, näiteks 60 sekundit kogu vahetuse jaoks ja 90 enne uuesti saatmist.
- 03
Katsetage, hoides teist seanssi avatuna
Logige VPN-i sisse RADIUS-kasutajaga ja kinnitage tõuketeavitus, seejärel proovige uuesti ja keelduge. Enne töötava seansi sulgemist veenduge, et kohalik hädaolukorra administraator pääseb endiselt sisse.
Korduma kippuvad küsimused
- Kas FortiGate vajab Notakey jaoks Fortineti pistikprogrammi?
- Ei. FortiGate saadab VPN-i ja administraatorite sisselogimised Notakey auth-proxyle standardse RADIUS-e kaudu nagu iga teine VPN-kontsentraator, nii et Fortineti-spetsiifilist pistikprogrammi pole vaja. FortiGate’i seaded pärinevad Fortineti dokumentatsioonist; me pole FortiGate’i ise laboris katsetanud.
- Milliseid FortiGate’i ajalimiite tuleb muuta?
- FortiGate’i remoteauthtimeout annab kogu RADIUS-vahetusele vaikimisi 5 sekundit ja päring saadetakse 5 sekundi pärast uuesti. Tõstke mõlemad proksi 30-sekundilisest kinnitusaknast tublisti kõrgemale, näiteks 60 sekundit kogu vahetuse jaoks ja 90 enne uuesti saatmist.
- Kas telefonikinnitus saab kaitsta ka administraatorite sisselogimist?
- Jah. FortiGate toetab administraatorite kaugautentimist RADIUS-e vastu, sealhulgas metamärgiga administraatorikontot ühe RADIUS-grupi jaoks, nii et ka konsool on sama kinnituse taga. Hoidke alles kohalik hädaolukorra administraator, kellele pääseb ligi ainult usaldusväärsetest hostidest.
Juhendid ja dokumentatsioon
- FortiBleed: miks lekkinud paroolist piisas FortiGate'i ülevõtmiseks
- VPN-i 2FA RADIUS-ega – auth-proxy täielik seadistus
- MFA-väsimus, push-pommitamine ja 2FA-pommitamine (2FA bombing)
- Fortinet: kuidas remoteauthtimeout ja RADIUS-e ajalimiit koos töötavad (inglise keeles)
Seotud tooted