FortiGate VPN MFA: yerli token, RADIUS yoxsa SAML?

Hər FortiGate VPN MFA dizaynı əvvəlcə bir suala cavab verir: ikinci faktoru kim yoxlayır? Şlüzün özü bunu yerli token və ya e-poçtla göndərilən kodla edə bilər, RADIUS arxa planı bunu tətbiq edib çağırış qaytara bilər, ya da SAML kimlik provayderi bütün mərasimi brauzerdə öz üzərinə götürə bilər. Bunların hər biri fərqli giriş ardıcıllığı, fərqli uğursuzluq imzası və fərqli bərpa proseduru yaradır; aralarında əmr blokunu kopyalamaq isə inandırıcı görünən, lakin heç kimi autentifikasiya etməyən konfiqurasiya yaradır. Bu, mexanizm məqaləsidir: hər dizayn giriş zamanı əslində nə edir və harada sınır.

Giriş mərasimi faktorun kimə aid olduğunu müəyyən edir

İlk iki dizaynda FortiGate etibar edən tərəfdir. Etimad məlumatını toplayır, ikinci faktorun tələb olunub-olunmadığını qərarlaşdırır və onu yerli olaraq və ya çağırış vasitəsilə yoxlayır. Üçüncü dizaynda şlüz yoxlayıcı olmaqdan çıxıb ötürücüyə çevrilir: klienti kimlik provayderinə yönləndirir, təsdiq alır və təsdiqlənmiş kimliyi istifadəçi və qrupla əlaqələndirir. RADIUS dizaynında isə ortada dayanır və siyasəti saxlayan arxa planla sorğu-cavab mübadiləsi aparır.

Bu fərq hansı sübutları toplaya biləcəyinizi müəyyən edir. Şlüz yoxladıqda onun öz sazlama çıxışı nə baş verdiyini bildirir. Kimlik provayderi yoxladıqda şlüz yalnız təsdiqin gəldiyini bilir, «MFA həqiqətən tələb olunurdumu» sualının cavabı isə provayderin jurnallarında olur, firewall-un jurnallarında yox. Yanlış jurnalı oxumaq, dizayna tam uyğun işləyən buraxılışı səhv diaqnoz etməyin ən geniş yayılmış yoludur. Xidmətin özü də mərasimi məhdudlaşdırır: FortiOS 7.6.3 SSL VPN tunel rejimini silir və onu IPsec ilə əvəz edir, veb rejimi isə dəstəklənən modellərdə Agentless VPN kimi davam edir, buna görə bir xidmətdə sübut edilmiş mərasim avtomatik olaraq digərində mövcud deyil.

Yerli yoxlama: tokenlər və e-poçtla göndərilən kodlar

FortiGate-in idarə etdiyi faktorlar istifadəçi obyektinə bağlanır. FortiToken və ya sənədləşdirilmiş token inteqrasiyası qeydiyyat, dəstəklənən yoxlama mərasimi, tətbiq olunduğu yerdə lisenziyalaşdırma və dəyişdirmə proseduru tələb edir. E-poçtla göndərilən kod isə işlək SMTP yolu və istifadəçinin tunel yaranmadan əvvəl çata bildiyi poçt qutusu tələb edir; bu, kriptoqrafiya ilə heç bir əlaqəsi olmayan, tamamilə kiminsə daxil ola bilməsindən asılı olan bir asılılıqdır.

config user local
    edit "jdoe"
        set type password
        set two-factor fortitoken
        set fortitoken FTKMOB1234567890
    next
end

E-poçt çatdırılması autentifikasiya mövcudluğunun bir hissəsidir. Yalnız VPN vasitəsilə çatılan poçt qutusu heç kim üçün öz-özünə həll olunmayan dövr yaradır və çatdırılma gecikməsi, kodun etibarlılığı və uzaq autentifikasiya taym-autu üç ayrı məhdudiyyətdir. Birini artırmaq əlçatmaz poçt qutusunu düzəltmir və dövrü heç vaxt sınamamış dizayn bunu bayramdan sonrakı ilk parol sıfırlamasında kəşf edəcək.

Təminat tələbləri də buraya aiddir, məhsul seçimindən əvvəl. NIST SP 800-63B e-poçtu zolaqdan kənar autentifikasiya üçün qəbuledilməz hesab edir, buna görə uyğunluq iddia edən quraşdırma nə qədər rahat olsa da, e-poçt kodunu ikinci faktor kimi istifadə edə bilməz. Cihazda funksiyanın olması həmin funksiyanın verilmiş standarta cavab verdiyini ifadə etmir.

RADIUS: şlüz soruşur, arxa plan qərar verir

RADIUS ilə FortiGate etimad məlumatını faktor siyasətinə sahib arxa plana göndərir. Mübadilə sadə qəbul və ya rədd ola bilər, ya da klientin cavab verməli olduğu çağırışı əhatə edə bilər; bu isə VPN xidmətinin və klientin hər ikisinin həmin çağırış formasını dəstəkləməsi deməkdir. Push təsdiqi tətbiq edən arxa plan və parola altı rəqəmli kod əlavə etməkdən başqa heç nə bilməyən klient ortada görüşməyəcək.

config user radius
    edit "corp-radius"
        set server "10.10.20.15"
        set secret ENCXXXXXXXX
        set secondary-server "10.10.20.16"
    next
end
diagnose test authserver radius corp-radius pap jdoe <password>

Tuneli günahlandırmadan əvvəl arxa planı ayrıca sınayın. authserver testi keçsə və VPN girişi keçməzsə, fərq etimad məlumatında deyil, çağırışın idarə olunmasındadır və şlüzün autentifikasiya demonunun sazlaması bunun göründüyü yerdir:

diagnose debug application fnbamd -1
diagnose debug enable

SAML: brauzer şlüzü tərk edir

SAML dizaynında klient kimlik provayderinə yönləndirilir, orada autentifikasiya olunur və şlüzün etibar əlaqəsi və qrup xəritələnməsi ilə yoxladığı təsdiqlə qayıdır. Şlüz parolu və ya ikinci faktoru heç vaxt görmür; bu, eyni zamanda həm təhlükəsizlik yaxşılaşması, həm də əməliyyat çətinliyidir: uğursuzluq artıq firewall-un yoxlaya bilmədiyi brauzer sessiyasında baş verir.

Təsdiqi qəbul etmək provayderin həmin giriş üçün MFA tələb etdiyini sübut etmir. MFA-nı bəzi tətbiqlərə tətbiq edib digərlərinə etməyən provayder siyasəti məhz istədiyiniz girişi verəcək və güman etdiyiniz təminatın heç birini verməyəcək. Provayderin siyasətini məhz bu tətbiq üçün yoxlayın və hər iki tərəfdə hər hansı ad dəyişikliyindən sonra FortiGate qruplarına xəritələnən qrup iddialarının hələ də uyğun olduğunu yoxlayın.

Klient dəstəyi burada hər yerdən çox vacibdir. Bəzi VPN klientləri brauzer ötürməsini yerli şəkildə idarə edir, bəziləri sistem brauzerini açır, başsız və ya əmr sətri klientləri isə axını ümumiyyətlə tamamlaya bilməyə bilər. Profili dərc etməzdən əvvəl istifadəçilərin həqiqətən işlətdiyi klientlə, həqiqətən istifadə etdikləri platformalarda sınayın.

Bərpa mexanizmin bir hissəsidir

Yuxarıdakı hər dizaynın bir anda bir istifadəçi üçün uğursuz ola bilən asılılığı var: əlçatmaz poçt qutusu, itirilmiş token, çağırışı rədd edən arxa plan, kilidlənmiş kimlik provayderi hesabı. İndi kimin girişi bərpa edə biləcəyini, hansı dəstəklənən prosedurla və soruşan şəxsin hansı yoxlanması ilə qərar verin. VPN yolundan ayrı saxlanılan fövqəladə yerli administrator hesabı bir nəzarətdir; izahsız yalnız-parol keçidi isə aşkar edilməyi gözləyən hadisədir.

Sonra yayımdan əvvəl üç girişi sınayın: normal olanı, rədd edilmiş və ya vaxtı keçmiş faktoru və təsdiqlənmiş itirilmiş-autentifikator bərpasını. Hər birinin hansı jurnalda göründüyünü qeyd edin. Bu qeyd «MFA aktivdir» ifadəsini başqasının idarə edə biləcəyi dizayna çevirən şeydir.