FortiGate VPN MFA: tocyn lleol, RADIUS neu SAML?

Mae pob dyluniad FortiGate VPN MFA yn ateb un cwestiwn yn gyntaf: pwy sy'n gwirio'r ail ffactor? Gall y giât ei hun wneud hynny gyda thocyn lleol neu god a anfonir trwy e-bost, gall ôl-ddodiad RADIUS ei orfodi a dychwelyd her, neu gall darparwr hunaniaeth SAML feddiannu'r seremoni gyfan mewn porwr. Mae pob un ohonynt yn cynhyrchu dilyniant mewngofnodi gwahanol, llofnod methiant gwahanol a gweithdrefn adfer wahanol, ac mae copïo bloc gorchmynion rhyngddynt yn cynhyrchu cyfluniad sy'n edrych yn gredadwy ac nad yw'n dilysu neb. Erthygl am y mecanwaith yw hon: beth mae pob dyluniad yn ei wneud mewn gwirionedd yn ystod mewngofnodi, a lle mae'n torri.

Y seremoni fewngofnodi sy'n penderfynu pwy sy'n berchen ar y ffactor

Yn y ddau ddyluniad cyntaf, y FortiGate yw'r parti sy'n dibynnu. Mae'n casglu'r cymhwyster, yn penderfynu a oes angen ail ffactor, ac yn ei wirio'n lleol neu drwy ofyn am her. Yn y trydydd dyluniad mae'r giât yn peidio bod yn wiriedydd ac yn dod yn gyfryngwr: mae'n ailgyfeirio'r cleient at y darparwr hunaniaeth, yn derbyn haeriad, ac yn mapio'r hunaniaeth a haerir i ddefnyddiwr a grŵp. Yn nulluniad RADIUS mae yn y canol, gan yrru cyfnewidiad cais-ac ateb ag ôl-ddodiad sy'n dal y polisi.

Mae'r gwahaniaeth hwnnw'n penderfynu pa dystiolaeth y gallwch ei chasglu. Pan mae'r giât yn gwirio, mae ei allbwn dadfygio ei hun yn dweud wrthych beth ddigwyddodd. Pan mae darparwr hunaniaeth yn gwirio, dim ond gwybod bod haeriad wedi cyrraedd y mae'r giât, ac mae'r ateb i „a oedd MFA wir yn ofynnol“ yn byw yng nghofnodion y darparwr, nid yng nghofnodion y wal dân. Darllen y cofnod anghywir yw'r ffordd fwyaf cyffredin o gamddiagnosio rholio allan sy'n ymddwyn yn union fel y'i cynlluniwyd. Mae'r gwasanaeth ei hun yn cyfyngu'r seremoni hefyd: Mae FortiOS 7.6.3 yn dileu modd tiwnel SSL VPN o blaid IPsec, tra bo modd gwe yn parhau fel Agentless VPN ar fodelau a gefnogir, felly nid yw seremoni a brofwyd ar un gwasanaeth ar gael yn awtomatig ar un arall.

Gwirio lleol: tocynnau a chodau trwy e-bost

Mae ffactorau a reolir gan FortiGate yn ymlynu wrth wrthrych y defnyddiwr. Mae FortiToken neu integreiddiad tocyn dogfenedig angen cofrestru, y seremoni wirio a gefnogir, trwyddedu lle bo'n berthnasol, a gweithdrefn amnewid. Mae cod a anfonir trwy e-bost angen llwybr SMTP gweithredol a blwch post y gall y defnyddiwr gyrraedd cyn bod y tiwnel yn bodoli, sy'n ddibyniaeth heb ddim i wneud â chryptograffeg a phopeth i wneud â ph'un a all unrhyw un fewngofnodi.

config user local
    edit "jdoe"
        set type password
        set two-factor fortitoken
        set fortitoken FTKMOB1234567890
    next
end

Mae dosbarthu e-bost yn rhan o argaeledd dilysu. Mae blwch post y gellir ei gyrraedd trwy VPN yn unig yn creu dolen nad yw'n datrys ei hun i neb, ac mae oedi dosbarthu, dilysrwydd cod a'r terfyn amser dilysu o bell yn dri chyfyngiad ar wahân. Nid yw codi un yn atgyweirio blwch post anghyraeddadwy, a bydd dyluniad sydd erioed wedi profi'r ddolen yn ei darganfod yn ystod yr ailosod cyfrinair cyntaf ar ôl gwyliau.

Mae gofynion sicrwydd yn perthyn yma hefyd, cyn dewis y cynnyrch. Mae NIST SP 800-63B yn ystyried e-bost yn annerbyniol ar gyfer dilysu allan o fand, felly ni all defnydd sy'n honni cydymffurfiad ddefnyddio cod e-bost fel ei ail ffactor, waeth pa mor gyfleus yw hi. Nid yw nodwedd yn bodoli ar y ddyfais yn datganiad bod y nodwedd yn bodloni safon benodol.

RADIUS: y giât yn gofyn, yr ôl-ddodiad yn penderfynu

Gyda RADIUS, mae'r FortiGate yn anfon y cymhwyster at ôl-ddodiad sy'n berchen ar bolisi'r ffactor. Gall y cyfnewidiad fod yn dderbyniad neu'n wrthodiad syml, neu gall gynnwys her y mae'n rhaid i'r cleient ei hateb, sy'n golygu bod yn rhaid i'r gwasanaeth VPN a'r cleient ill dau gefnogi'r siâp her hwnnw. Ni fydd ôl-ddodiad sy'n gorfodi cymeradwyaeth wthio a chleient nad yw'n gwybod dim ond atodi cod chwe digid at gyfrinair yn cyfarfod yn y canol.

config user radius
    edit "corp-radius"
        set server "10.10.20.15"
        set secret ENCXXXXXXXX
        set secondary-server "10.10.20.16"
    next
end
diagnose test authserver radius corp-radius pap jdoe <password>

Profwch yr ôl-ddodiad yn annibynnol cyn beio'r tiwnel. Os yw prawf authserver yn llwyddo ac nid yw mewngofnodi VPN yn llwyddo, mae'r gwahaniaeth yn y trin her yn hytrach nag yn y cymhwyster, a dadfygio daemon dilysu'r giât yw'r lle mae hynny'n ymddangos:

diagnose debug application fnbamd -1
diagnose debug enable

SAML: mae'r porwr yn gadael y giât

Mewn dyluniad SAML, mae'r cleient yn cael ei ailgyfeirio at y darparwr hunaniaeth, yn dilysu yno, ac yn dychwelyd ag haeriad y mae'r giât yn ei wirio yn erbyn perthynas ymddiriedaeth a mapio grŵp. Nid yw'r giât byth yn gweld y cyfrinair na'r ail ffactor, sy'n welliant diogelwch ac yn gymhlethdod gweithredol ar yr un pryd: mae'r methiant bellach yn digwydd mewn sesiwn porwr na all y wal dân ei harchwilio.

Nid yw derbyn haeriad yn profi bod y darparwr wedi gofyn am MFA ar gyfer y mewngofnodi hwnnw. Bydd polisi darparwr sy'n cymhwyso MFA i rai cymwysiadau ac nid i eraill yn cynhyrchu'n union y mewngofnodi y gofynnoch amdano a dim o'r sicrwydd y gwnaethoch ei dybio. Gwiriwch bolisi'r darparwr ar gyfer y cymhwysiad penodol hwn, a gwiriwch fod yr haeriadau grŵp sy'n mapio i grwpiau FortiGate yn dal i gyd-fynd ar ôl unrhyw ailenwi ar y naill ochr neu'r llall.

Mae cymorth cleient yn bwysicach yma nag yn unrhyw le arall. Mae rhai cleientiaid VPN yn trin y trosglwyddiad porwr yn frodorol, mae eraill yn agor porwr y system, a efallai na fydd cleientiaid heb ben neu gleientiaid llinell orchymyn yn cwblhau'r llif o gwbl. Profwch gyda'r cleient y mae defnyddwyr yn ei redeg mewn gwirionedd, ar y platfformau y maent yn eu defnyddio mewn gwirionedd, cyn i chi gyhoeddi'r proffil.

Mae adfer yn rhan o'r mecanwaith

Mae gan bob dyluniad uchod ddibyniaeth a all fethu i un defnyddiwr ar y tro: blwch post anghyraeddadwy, tocyn coll, ôl-ddodiad sy'n gwrthod her, cyfrif darparwr hunaniaeth sydd wedi'i gloi. Penderfynwch nawr pwy all adfer mynediad, drwy ba weithdrefn a gefnogir, a chyda pha wirio o'r person sy'n gofyn. Mae cyfrif gweinyddwr lleol brys a gedwir ar wahân i lwybr VPN yn rheolaeth; ac mae osgoi digyfrifiad sy'n defnyddio cyfrinair yn unig yn ddigwyddiad sy'n aros i gael ei ddarganfod.

Yna profwch dri mewngofnodi cyn rholio allan: yr un arferol, ffactor a wrthodwyd neu sydd wedi dod i ben, ac adferiad cymeradwy autenticetor coll. Cofnodwch ym mha gofnod y mae pob un yn ymddangos. Y cofnod hwnnw sy'n troi „MFA wedi'i alluogi“ yn ddyluniad y gall rhywun arall ei weithredu.