Integrazioni · FortiGate
2FA per FortiGate: approvazione sul telefono per VPN e accessi amministrativi
Per le organizzazioni con un FortiGate esposto su internet la cui VPN o console di amministrazione accetta ancora la sola password. Con l’auth-proxy Notakey nel percorso RADIUS, una password trapelata, indovinata o forzata diventa un tentativo fallito anziché un accesso riuscito.
Come si collega
RADIUS standard, con l’approvazione inserita nel mezzo
Un FortiGate può affidare gli accessi VPN e amministrativi a un server RADIUS. L’auth-proxy Notakey si inserisce in quel percorso RADIUS: lascia che il vostro server RADIUS esistente verifichi la password, poi chiede all’utente di approvare sul telefono e risponde sì solo se entrambe le verifiche hanno esito positivo.
Il vostro server RADIUS e gli utenti che contiene restano invariati. Il FortiGate comunica con il proxy tramite RADIUS standard, come qualsiasi altro concentratore VPN. Se non avete un server RADIUS, il plugin RADIUS fornito con l’appliance Notakey può fungere da server di destinazione.
FortiGate supporta anche l’autenticazione remota degli amministratori tramite RADIUS, compreso un account amministratore jolly per tutti i membri di un gruppo RADIUS. In questo modo l’approvazione protegge anche la console che gli attaccanti prendono di mira, non solo la VPN.
Cosa sapere prima di iniziare
- Non abbiamo testato personalmente un FortiGate in laboratorio. Le impostazioni FortiGate provengono dalla documentazione di Fortinet, a cui la guida rimanda; il FortiGate comunica con l’auth-proxy tramite RADIUS standard.
- Per impostazione predefinita FortiGate concede all’intero scambio RADIUS 5 secondi (remoteauthtimeout) e ripete l’invio dopo 5 secondi. Entrambi i valori devono superare ampiamente la finestra di 30 secondi del proxy. Il proxy ignora una richiesta ripetuta, così l’utente non riceve una seconda richiesta di approvazione, ma rendere il timeout di reinvio il più lungo dei due limita lo scambio a una sola richiesta.
- Un’approvazione sul telefono non rimedia a un dispositivo già compromesso: account creati dagli attaccanti, sessioni che mantengono aperte o configurazioni che hanno modificato. Prima chiudete le sessioni, reimpostate le password e verificate la configurazione.
- Un secondo fattore su un’interfaccia di gestione che non dovrebbe essere raggiungibile da internet è il rimedio più debole. Limitate l’amministrazione con trusted host, una policy local-in, oppure eliminate del tutto l’amministrazione da internet.
- Un’approvazione sul telefono, da sola, non ferma un attaccante che inoltra in tempo reale un accesso reale attraverso una pagina falsa. Per i pochi account che amministrano il firewall stesso, vale la pena considerare chiavi legate al sito come FIDO.
- Mantenete un amministratore locale di emergenza con una password lunga e univoca, raggiungibile solo da host fidati, e provatelo prima di averne bisogno.
Da zero alla prima approvazione
- 01
Create l’applicazione e configurate l’auth-proxy
Create un’applicazione VPN nella dashboard Notakey, registrate i telefoni degli utenti e copiate l’Access ID. Configurate l’auth-proxy sull’appliance (o come container accanto al vostro server RADIUS) con quell’Access ID, l’indirizzo del server RADIUS di destinazione e i segreti condivisi.
- 02
Puntate il FortiGate sul proxy e alzate i timeout
Aggiungete il proxy come server RADIUS del FortiGate con lo stesso segreto. Alzate remoteauthtimeout e il timeout del server RADIUS ben oltre la finestra di approvazione di 30 secondi del proxy, ad esempio 60 secondi in totale e 90 prima di un nuovo invio.
- 03
Provate con una seconda sessione aperta
Accedete alla VPN con un utente RADIUS e approvate la notifica push, poi riprovate e rifiutate. Prima di chiudere la sessione funzionante, verificate che il vostro amministratore locale di emergenza riesca ancora ad accedere.
Domande frequenti
- FortiGate richiede un plugin Fortinet per Notakey?
- No. Il FortiGate invia gli accessi VPN e amministrativi all’auth-proxy Notakey tramite RADIUS standard, come qualsiasi altro concentratore VPN, quindi non serve alcun plugin specifico di Fortinet. Le impostazioni FortiGate provengono dalla documentazione di Fortinet; non abbiamo testato personalmente un FortiGate in laboratorio.
- Quali timeout del FortiGate vanno modificati?
- Il remoteauthtimeout del FortiGate concede all’intero scambio RADIUS 5 secondi per impostazione predefinita, e il reinvio parte dopo 5 secondi. Alzate entrambi ben oltre la finestra di approvazione di 30 secondi del proxy, ad esempio 60 secondi in totale e 90 prima di un reinvio.
- L’approvazione sul telefono può proteggere anche gli accessi amministrativi?
- Sì. FortiGate supporta l’autenticazione remota degli amministratori tramite RADIUS, compreso un account amministratore jolly per un gruppo RADIUS, così anche la console riceve la stessa approvazione. Mantenete un amministratore locale di emergenza raggiungibile solo da host fidati.
Guide e documentazione
- FortiBleed: perché una password trapelata bastava per prendere il controllo di un FortiGate
- La 2FA VPN con RADIUS – l’installazione completa dell’auth-proxy
- MFA fatigue, push-bombing e 2FA bombing
- Fortinet: come remoteauthtimeout e il timeout RADIUS agiscono insieme (in inglese)
Prodotti correlati