Integrációk · FortiGate
FortiGate 2FA: telefonos jóváhagyás VPN- és adminisztrátori bejelentkezéshez
Azoknak a szervezeteknek, amelyeknek az internet felől elérhető FortiGate-jén a VPN vagy az adminisztrációs konzol még mindig beéri egy jelszóval. Ha a Notakey auth-proxy a RADIUS-útvonalba kerül, a kiszivárgott, jelszószórással eltalált vagy feltört jelszóból sikertelen próbálkozás lesz, nem bejelentkezés.
Hogyan csatlakozik
Szabványos RADIUS, középen a jóváhagyással
A FortiGate a VPN- és az adminisztrátori bejelentkezéseket RADIUS-szerverhez tudja küldeni. A Notakey auth-proxy ebben a RADIUS-útvonalban helyezkedik el: a jelszót a meglévő RADIUS-szerverrel ellenőrizteti, majd jóváhagyást kér a felhasználó telefonján, és csak akkor válaszol igennel, ha mindkettő sikeres.
A RADIUS-szerver és a benne lévő felhasználók változatlanok maradnak. A FortiGate szabványos RADIUS-on beszél a proxyval, mint bármely más VPN-koncentrátor. Ha nem üzemeltet RADIUS-szervert, a Notakey készülékkel együtt szállított RADIUS-bővítmény lehet a mögöttes szerver.
A FortiGate az adminisztrátorok távoli, RADIUS-alapú hitelesítését is támogatja, akár egyetlen helyettesítő (wildcard) adminisztrátori fiókkal egy RADIUS-csoport minden tagja számára. Így a jóváhagyás nemcsak a VPN, hanem a támadók által célba vett konzol elé is odakerül.
Amit érdemes tudni, mielőtt belekezd
- FortiGate-et saját laborunkban nem teszteltünk. A FortiGate-beállítások a Fortinet dokumentációjából származnak, amelyre az útmutató hivatkozik; a FortiGate szabványos RADIUS-on kommunikál az auth-proxyval.
- A FortiGate alapértelmezés szerint 5 másodpercet ad a teljes RADIUS-párbeszédre (remoteauthtimeout), és 5 másodperc után újraküld. Mindkettőnek bőven hosszabbnak kell lennie a proxy 30 másodperces ablakánál. A proxy figyelmen kívül hagyja az újraküldött kérést, így a felhasználó nem kap második jóváhagyási kérést, de ha az újraküldési időkorlát a hosszabb a kettő közül, a párbeszéd egyetlen kérésből áll.
- A telefonos jóváhagyás nem hozza rendbe a már kompromittált eszközt: a támadók által létrehozott fiókokat, az általuk nyitva tartott munkameneteket vagy az általuk módosított konfigurációt. Előbb bontsa a munkameneteket, állítsa vissza a jelszavakat, és vizsgálja át a konfigurációt.
- Egy olyan felügyeleti felületen, amelynek eleve nem kellene az internetről elérhetőnek lennie, a második faktor a gyengébb megoldás. Korlátozza az adminisztrációt megbízható hosztokra (trusted hosts) vagy local-in szabállyal, vagy tiltsa le teljesen az internet felőli adminisztrációt.
- A telefonos jóváhagyás önmagában nem állítja meg azt a támadót, aki egy hamis oldalon keresztül valós időben közvetít egy valódi bejelentkezést. Azon kevés fióknál, amely magát a tűzfalat adminisztrálja, érdemes webhelyhez kötött kulcsokat, például FIDO-t fontolóra venni.
- Tartson fenn egy helyi vészhelyzeti adminisztrátort hosszú, egyedi jelszóval, amely csak megbízható hosztokról érhető el, és próbálja ki, mielőtt szüksége lenne rá.
A nulláról az első jóváhagyásig
- 01
Hozza létre az alkalmazást, és konfigurálja az auth-proxyt
Hozzon létre egy VPN-alkalmazást a Notakey irányítópulton, regisztrálja a felhasználók telefonját, és másolja ki az Access ID-t. Konfigurálja az auth-proxyt a készüléken (vagy konténerként a RADIUS-szerver mellett) ezzel az Access ID-val, a mögöttes RADIUS-szerver címével és a megosztott titkokkal.
- 02
Irányítsa a FortiGate-et a proxyra, és emelje meg az időkorlátokat
Vegye fel a proxyt a FortiGate RADIUS-szervereként ugyanazzal a titokkal. Emelje a remoteauthtimeout és a RADIUS-szerver időkorlátját jóval a proxy 30 másodperces jóváhagyási ablaka fölé, például összesen 60 másodpercre, az újraküldés előtti várakozást pedig 90-re.
- 03
Teszteljen nyitva hagyott második munkamenettel
Jelentkezzen be a VPN-be egy RADIUS-felhasználóval, és hagyja jóvá a push értesítést, majd próbálja újra, és utasítsa el. Mielőtt bezárná a működő munkamenetet, ellenőrizze, hogy a helyi vészhelyzeti adminisztrátor továbbra is be tud lépni.
Gyakran ismételt kérdések
- Kell Fortinet-bővítmény a FortiGate-re a Notakeyhez?
- Nem. A FortiGate a VPN- és az adminisztrátori bejelentkezéseket szabványos RADIUS-on küldi a Notakey auth-proxynak, mint bármely más VPN-koncentrátor, így Fortinet-specifikus bővítményre nincs szükség. A FortiGate-beállítások a Fortinet dokumentációjából származnak; FortiGate-et saját laborunkban nem teszteltünk.
- Mely FortiGate-időkorlátokat kell módosítani?
- A FortiGate remoteauthtimeout beállítása alapértelmezés szerint 5 másodpercet ad a teljes RADIUS-párbeszédre, és 5 másodperc után újraküld. Emelje mindkettőt jóval a proxy 30 másodperces jóváhagyási ablaka fölé, például összesen 60 másodpercre, az újraküldés előtti várakozást pedig 90-re.
- Az adminisztrátori bejelentkezéseket is védheti a telefonos jóváhagyás?
- Igen. A FortiGate támogatja az adminisztrátorok távoli, RADIUS-alapú hitelesítését, akár egyetlen helyettesítő (wildcard) adminisztrátori fiókkal egy RADIUS-csoport számára, így a konzol elé is ugyanaz a jóváhagyás kerül. Tartson fenn egy helyi vészhelyzeti adminisztrátort, amely csak megbízható hosztokról érhető el.
Útmutatók és dokumentáció
- FortiBleed: miért volt elég egy kiszivárgott jelszó egy FortiGate átvételéhez
- VPN 2FA RADIUS-szal: az auth-proxy teljes beállítása
- MFA-kifáradás, push-bombing és 2FA-bombázás (2FA bombing)
- Fortinet: hogyan működik együtt a remoteauthtimeout és a RADIUS-időkorlát
Kapcsolódó termékek