Intégrations · FortiGate
FortiGate 2FA : approbation sur le téléphone pour le VPN et les administrateurs
Pour les organisations dont le FortiGate exposé à Internet accepte encore un simple mot de passe pour le VPN ou la console d’administration. Avec l’auth-proxy Notakey sur le chemin RADIUS, un mot de passe divulgué, deviné par pulvérisation ou cassé ne mène plus qu’à une tentative échouée, et non à une connexion.
Comment s’établit la connexion
Du RADIUS standard, avec l’approbation intercalée
Un FortiGate peut confier les connexions VPN et administrateur à un serveur RADIUS. L’auth-proxy Notakey se place sur ce chemin RADIUS : il laisse votre serveur RADIUS existant vérifier le mot de passe, demande ensuite à l’utilisateur d’approuver sur son téléphone, et ne répond oui que si les deux réussissent.
Votre serveur RADIUS et ses utilisateurs restent inchangés. Le FortiGate dialogue avec le proxy en RADIUS standard, comme n’importe quel autre concentrateur VPN. Si vous n’avez pas de serveur RADIUS, le plugin RADIUS fourni avec l’appliance Notakey peut jouer le rôle de serveur de destination.
FortiGate prend aussi en charge l’authentification distante des administrateurs via RADIUS, y compris un compte administrateur générique pour tous les membres d’un groupe RADIUS. L’approbation protège ainsi la console que visent les attaquants, et pas seulement le VPN.
À savoir avant de commencer
- Nous n’avons pas testé de FortiGate dans notre propre laboratoire. Les réglages FortiGate proviennent de la documentation de Fortinet, référencée dans le guide ; le FortiGate dialogue avec l’auth-proxy en RADIUS standard.
- Par défaut, FortiGate accorde 5 secondes à l’ensemble de l’échange RADIUS (remoteauthtimeout) et renvoie la requête au bout de 5 secondes. Ces deux délais doivent dépasser largement la fenêtre de 30 secondes du proxy. Le proxy ignore une requête renvoyée, si bien que l’utilisateur ne reçoit pas de seconde demande d’approbation, mais faire du délai de renvoi le plus long des deux limite l’échange à une seule requête.
- Une approbation sur le téléphone ne répare pas un équipement déjà compromis : comptes créés par les attaquants, sessions qu’ils détiennent ou configuration qu’ils ont modifiée. Fermez d’abord les sessions, réinitialisez les mots de passe et passez la configuration en revue.
- Ajouter un second facteur à une interface d’administration qui ne devrait pas être joignable depuis Internet est le moins bon des deux correctifs. Restreignez l’administration à des hôtes de confiance, par une politique local-in, ou supprimez tout accès d’administration depuis Internet.
- Une approbation sur le téléphone n’arrête pas, à elle seule, un attaquant qui relaie en temps réel une vraie connexion via une fausse page. Pour la poignée de comptes qui administrent le pare-feu lui-même, des clés liées au site telles que FIDO méritent d’être envisagées.
- Conservez un administrateur local d’urgence doté d’un mot de passe long et unique, joignable uniquement depuis des hôtes de confiance, et testez-le avant d’en avoir besoin.
De zéro à la première approbation
- 01
Créer l’application et configurer l’auth-proxy
Créez une application VPN dans le tableau de bord Notakey, enrôlez les téléphones des utilisateurs et copiez l’Access ID. Configurez l’auth-proxy sur l’appliance (ou en conteneur à côté de votre serveur RADIUS) avec cet Access ID, l’adresse du serveur RADIUS de destination et les secrets partagés.
- 02
Pointer le FortiGate vers le proxy et relever les délais
Déclarez le proxy comme serveur RADIUS du FortiGate avec le même secret. Relevez remoteauthtimeout et le délai d’expiration du serveur RADIUS bien au-delà de la fenêtre d’approbation de 30 secondes du proxy, par exemple 60 secondes au total et 90 avant un renvoi.
- 03
Tester en gardant une seconde session ouverte
Connectez-vous au VPN avec un utilisateur RADIUS et approuvez la notification push, puis réessayez en refusant. Vérifiez que votre administrateur local d’urgence peut toujours se connecter avant de fermer la session qui fonctionne.
Questions fréquentes
- Le FortiGate a-t-il besoin d’un plugin Fortinet pour Notakey ?
- Non. Le FortiGate envoie les connexions VPN et administrateur à l’auth-proxy Notakey en RADIUS standard, comme n’importe quel autre concentrateur VPN : aucun plugin propre à Fortinet n’est donc nécessaire. Les réglages FortiGate proviennent de la documentation de Fortinet ; nous n’avons pas testé de FortiGate dans notre propre laboratoire.
- Quels délais faut-il modifier sur le FortiGate ?
- Sur le FortiGate, remoteauthtimeout accorde par défaut 5 secondes à l’ensemble de l’échange RADIUS, et le renvoi intervient au bout de 5 secondes. Relevez ces deux délais bien au-delà de la fenêtre d’approbation de 30 secondes du proxy, par exemple 60 secondes au total et 90 avant un renvoi.
- L’approbation sur le téléphone peut-elle aussi protéger les connexions administrateur ?
- Oui. FortiGate prend en charge l’authentification distante des administrateurs via RADIUS, y compris un compte administrateur générique pour un groupe RADIUS : la console bénéficie ainsi de la même approbation. Conservez un administrateur local d’urgence joignable uniquement depuis des hôtes de confiance.
Guides et documentation
- FortiBleed : pourquoi un mot de passe divulgué suffisait pour prendre le contrôle d’un FortiGate
- La 2FA VPN avec RADIUS – l’installation complète de l’auth-proxy
- Lassitude MFA, push-bombing et 2FA bombing
- Fortinet : comment remoteauthtimeout et le délai RADIUS fonctionnent ensemble (en anglais)
Produits associés