Integracijos · FortiGate
FortiGate 2FA: VPN ir administratorių prisijungimų patvirtinimas telefonu
Organizacijoms, kurių iš interneto pasiekiamas FortiGate į VPN ar administravimo konsolę vis dar įleidžia vien su slaptažodžiu. Kai RADIUS kelyje yra Notakey auth-proxy, nutekėjęs, atspėtas ar nulaužtas slaptažodis tampa nepavykusiu bandymu, o ne prisijungimu.
Kaip jungiama
Standartinis RADIUS, tik su įterptu patvirtinimu
FortiGate gali siųsti VPN ir administratorių prisijungimus RADIUS serveriui. Notakey auth-proxy įsiterpia šiame RADIUS kelyje: leidžia jūsų esamam RADIUS serveriui patikrinti slaptažodį, tada paprašo naudotojo patvirtinti telefone ir atsako teigiamai tik tada, kai sėkmingi abu žingsniai.
Jūsų RADIUS serveris ir jame esantys naudotojai nesikeičia. FortiGate su tarpiniu serveriu bendrauja standartiniu RADIUS protokolu, kaip ir bet kuris kitas VPN koncentratorius. Jei RADIUS serverio neturite, galiniu serveriu gali būti RADIUS papildinys, pateikiamas kartu su Notakey įrenginiu.
FortiGate taip pat palaiko administratorių nuotolinę autentifikaciją per RADIUS, įskaitant bendrą (wildcard) administratoriaus paskyrą visiems RADIUS grupės nariams. Taip patvirtinimas atsiduria ne tik prieš VPN, bet ir prieš konsolę, į kurią taikosi užpuolikai.
Ką žinoti prieš pradedant
- Patys FortiGate laboratorijoje netestavome. FortiGate nustatymai paimti iš Fortinet dokumentacijos, į kurią nuoroda pateikta vadove; FortiGate su auth-proxy bendrauja standartiniu RADIUS protokolu.
- Pagal numatytuosius nustatymus FortiGate visam RADIUS mainų procesui skiria 5 sekundes (remoteauthtimeout) ir užklausą siunčia pakartotinai po 5 sekundžių. Abu laikai turi būti gerokai ilgesni nei 30 sekundžių tarpinio serverio langas. Tarpinis serveris pakartotinę užklausą ignoruoja, todėl naudotojas antro patvirtinimo negauna, tačiau pakartotinio siuntimo laiką nustačius ilgesnį iš abiejų, mainai apsiriboja viena užklausa.
- Patvirtinimas telefone neišsprendžia jau kompromituoto įrenginio problemų: užpuolikų sukurtų paskyrų, jų laikomų sesijų ar pakeistos konfigūracijos. Pirmiausia nutraukite sesijas, pakeiskite slaptažodžius ir peržiūrėkite konfigūraciją.
- Antrasis veiksnys valdymo sąsajoje, kuri apskritai neturėtų būti pasiekiama iš interneto, yra silpnesnis sprendimas. Apribokite administravimą patikimais mazgais (trusted hosts), local-in politika arba visai atsisakykite administravimo per internetą.
- Patvirtinimas telefone pats savaime nesustabdo užpuoliko, kuris realiuoju laiku persiunčia tikrą prisijungimą per netikrą puslapį. Kelioms paskyroms, kurios administruoja pačią ugniasienę, verta apsvarstyti prie svetainės susietus raktus, pavyzdžiui, FIDO.
- Turėkite vietinį avarinį administratorių su ilgu unikaliu slaptažodžiu, pasiekiamą tik iš patikimų mazgų, ir išbandykite jį dar prieš prireikiant.
Nuo nulio iki pirmojo patvirtinimo
- 01
Sukurkite programą ir sukonfigūruokite auth-proxy
Notakey valdymo skydelyje sukurkite VPN programą, užregistruokite naudotojų telefonus ir nukopijuokite Access ID. Sukonfigūruokite auth-proxy įrenginyje (arba kaip konteinerį šalia savo RADIUS serverio), nurodydami tą Access ID, galinio RADIUS serverio adresą ir bendrąsias paslaptis.
- 02
Nukreipkite FortiGate į tarpinį serverį ir padidinkite skirtuosius laikus
Pridėkite tarpinį serverį kaip FortiGate RADIUS serverį su ta pačia paslaptimi. Padidinkite remoteauthtimeout ir RADIUS serverio skirtąjį laiką taip, kad jie gerokai viršytų 30 sekundžių tarpinio serverio patvirtinimo langą, pavyzdžiui, iki 60 sekundžių visiems mainams ir 90 sekundžių iki pakartotinio siuntimo.
- 03
Testuokite palikę atidarytą antrą sesiją
Prisijunkite prie VPN su RADIUS naudotoju ir patvirtinkite push pranešimą, tada pabandykite dar kartą ir užklausą atmeskite. Prieš uždarydami veikiančią sesiją įsitikinkite, kad jūsų vietinis avarinis administratorius vis dar gali prisijungti.
Dažniausiai užduodami klausimai
- Ar FortiGate reikia Fortinet papildinio, kad veiktų su Notakey?
- Ne. FortiGate VPN ir administratorių prisijungimus siunčia Notakey auth-proxy standartiniu RADIUS protokolu, kaip ir bet kuris kitas VPN koncentratorius, todėl Fortinet papildinio nereikia. FortiGate nustatymai paimti iš Fortinet dokumentacijos; patys FortiGate laboratorijoje netestavome.
- Kuriuos FortiGate skirtuosius laikus reikia pakeisti?
- FortiGate remoteauthtimeout pagal numatytuosius nustatymus visiems RADIUS mainams skiria 5 sekundes, o užklausą pakartotinai siunčia po 5 sekundžių. Abu laikus padidinkite taip, kad jie gerokai viršytų tarpinio serverio 30 sekundžių patvirtinimo langą, pavyzdžiui, iki 60 sekundžių visiems mainams ir 90 sekundžių iki pakartotinio siuntimo.
- Ar patvirtinimas telefone gali apsaugoti ir administratorių prisijungimus?
- Taip. FortiGate palaiko nuotolinę administratorių autentifikaciją per RADIUS, įskaitant bendrą (wildcard) administratoriaus paskyrą RADIUS grupei, todėl konsolei taikomas tas pats patvirtinimas. Palikite vietinį avarinį administratorių, pasiekiamą tik iš patikimų mazgų.