Integrācijas · FortiGate
FortiGate 2FA: VPN un administratoru pieteikšanās ar apstiprinājumu tālrunī
Organizācijām, kuru no interneta sasniedzamā FortiGate VPN vai administrēšanas konsole joprojām pieņem paroli vien. Kad RADIUS ceļā ir Notakey auth-proxy, nopludināta, uzminēta vai uzlauzta parole kļūst par neveiksmīgu mēģinājumu, nevis pieteikšanos.
Kā tas tiek pieslēgts
Standarta RADIUS, pa vidu pievienots apstiprinājums
FortiGate var nodot VPN un administratoru pieteikšanos RADIUS serverim. Notakey auth-proxy atrodas šajā RADIUS ceļā: tas ļauj jūsu esošajam RADIUS serverim pārbaudīt paroli, pēc tam lūdz lietotāju apstiprināt pieteikšanos tālrunī un atbild apstiprinoši tikai tad, ja izdevušās abas pārbaudes.
Jūsu RADIUS serveris un tajā esošie lietotāji paliek bez izmaiņām. FortiGate ar proxy sazinās pa standarta RADIUS kā jebkurš cits VPN koncentrators. Ja jums nav RADIUS servera, par lejupējo serveri var kalpot RADIUS spraudnis, kas ir Notakey iekārtas komplektā.
FortiGate atbalsta arī administratoru attālo autentifikāciju pret RADIUS, tostarp aizstājējzīmes (wildcard) administratora kontu visiem kādas RADIUS grupas dalībniekiem. Tādējādi apstiprinājums aizsargā ne tikai VPN, bet arī konsoli, uz kuru tēmē uzbrucēji.
Kas jāzina pirms sākšanas
- FortiGate paši savā laboratorijā neesam testējuši. FortiGate iestatījumi ņemti no Fortinet dokumentācijas, uz kuru ir saite ceļvedī; FortiGate ar auth-proxy sazinās pa standarta RADIUS.
- Pēc noklusējuma FortiGate visai RADIUS apmaiņai atvēl 5 sekundes (remoteauthtimeout) un pieprasījumu nosūta atkārtoti pēc 5 sekundēm. Abām vērtībām jābūt ar rezervi garākām par proxy 30 sekunžu logu. Proxy atkārtoti nosūtītu pieprasījumu ignorē, tāpēc lietotājs otru apstiprinājuma pieprasījumu nesaņem, taču, ja atkārtotas nosūtīšanas noildze ir garākā no abām, apmaiņa notiek ar vienu vienīgu pieprasījumu.
- Apstiprinājums tālrunī nenovērš sekas, ja ierīce jau ir kompromitēta: uzbrucēju izveidotos kontus, viņu turētās sesijas vai mainīto konfigurāciju. Vispirms pārtrauciet sesijas, atiestatiet paroles un pārskatiet konfigurāciju.
- Otrais faktors pārvaldības saskarnei, kurai nemaz nevajadzētu būt sasniedzamai no interneta, ir vājākais risinājums. Ierobežojiet administrēšanu ar uzticamajiem resursdatoriem (trusted hosts), local-in politiku vai pilnībā atsakieties no administrēšanas no interneta.
- Apstiprinājums tālrunī pats par sevi neaptur uzbrucēju, kurš caur viltotu lapu reāllaikā pārsūta īstu pieteikšanos. Tiem dažiem kontiem, ar kuriem administrē pašu ugunsmūri, vērts apsvērt pie vietnes piesaistītas atslēgas, piemēram, FIDO.
- Uzturiet lokālu ārkārtas administratora kontu ar garu, unikālu paroli, kas sasniedzams tikai no uzticamiem resursdatoriem, un pārbaudiet to, pirms tas patiešām vajadzīgs.
No nulles līdz pirmajam apstiprinājumam
- 01
Izveidojiet lietotni un konfigurējiet auth-proxy
Notakey vadības panelī izveidojiet VPN lietotni, reģistrējiet lietotāju tālruņus un nokopējiet Access ID. Konfigurējiet auth-proxy iekārtā (vai kā konteineru blakus RADIUS serverim) ar šo Access ID, lejupējā RADIUS servera adresi un koplietotajām slepenajām atslēgām.
- 02
Novirziet FortiGate uz proxy un palieliniet noildzes
Pievienojiet proxy kā FortiGate RADIUS serveri ar to pašu slepeno atslēgu. Palieliniet remoteauthtimeout un RADIUS servera noildzi krietni virs proxy 30 sekunžu apstiprinājuma loga, piemēram, 60 sekundes kopumā un 90 sekundes līdz atkārtotai nosūtīšanai.
- 03
Pārbaudiet, atstājot atvērtu otru sesiju
Piesakieties VPN ar RADIUS lietotāju un apstipriniet push paziņojumu, tad mēģiniet vēlreiz un noraidiet. Pirms aizverat strādājošo sesiju, pārliecinieties, ka lokālais ārkārtas administrators joprojām var pieteikties.
Bieži uzdotie jautājumi
- Vai FortiGate vajadzīgs Fortinet spraudnis, lai strādātu ar Notakey?
- Nē. FortiGate nodod VPN un administratoru pieteikšanos Notakey auth-proxy pa standarta RADIUS tāpat kā jebkurš cits VPN koncentrators, tāpēc īpašs Fortinet spraudnis nav vajadzīgs. FortiGate iestatījumi ņemti no Fortinet dokumentācijas; FortiGate paši savā laboratorijā neesam testējuši.
- Kuras FortiGate noildzes jāmaina?
- FortiGate remoteauthtimeout pēc noklusējuma visai RADIUS apmaiņai atvēl 5 sekundes, un pieprasījumu tas nosūta atkārtoti pēc 5 sekundēm. Palieliniet abas vērtības krietni virs proxy 30 sekunžu apstiprinājuma loga, piemēram, līdz 60 sekundēm kopumā un 90 sekundēm līdz atkārtotai nosūtīšanai.
- Vai apstiprinājums tālrunī var aizsargāt arī administratoru pieteikšanos?
- Jā. FortiGate atbalsta administratoru attālo autentifikāciju ar RADIUS, tostarp aizstājējzīmes (wildcard) administratora kontu RADIUS grupai, tāpēc arī konsole saņem to pašu apstiprinājumu. Uzturiet lokālu ārkārtas administratora kontu, kas sasniedzams tikai no uzticamiem resursdatoriem.