FortiGate VPN MFA: comhartha áitiúil, RADIUS nó SAML?

Freagraíonn gach dearadh FortiGate VPN MFA ceist amháin ar dtús: cé a fhíoraíonn an dara fachtóir? Is féidir leis an ngeata féin é sin a dhéanamh le comhartha áitiúil nó le cód a sheoltar trí ríomhphost, is féidir le cúlra RADIUS é a fhorchur agus dúshlán a thabhairt ar ais, nó is féidir le soláthraí féiniúlachta SAML an searmanas iomlán a shealbhú i mbrabhsálaí. Táirgeann gach ceann díobh seicheamh logála isteach difriúil, síniú teipe difriúil agus nós imeachta aisghabhála difriúil, agus má chóipeáiltear bloc ordaithe idir iad cruthaítear cumraíocht a bhféachann sé go bhfuil sí inchreidte agus nach bhfíoraíonn sí aon duine. Is alt meicníochta é seo: cad a dhéanann gach dearadh i ndáiríre le linn logála isteach, agus cá dtéann sé ó mhaith.

Socraíonn searmanas an logála isteach cé a shealbhaíonn an fachtóir

Sa chéad dá dhearadh, is é an FortiGate an páirtí a bhfuil muinín aige. Bailíonn sé an dáilteán, socraíonn sé an bhfuil dara fachtóir ag teastáil, agus fíoraíonn sé go háitiúil é nó trí dhúshlán a iarraidh. Sa tríú dearadh stopann an geata de bheith ina fhíoraitheoir agus éiríonn sé ina sheoltóir: atreoraíonn sé an cliant chuig an soláthraí féiniúlachta, faigheann sé dearbhú, agus mapaíonn sé an fhéiniúlacht dhearbhaithe chuig úsáideoir agus grúpa. I ndearadh RADIUS tá sé idir eatarthu, ag tiomáint malartú iarratais-agus-freagra le cúlra a shealbhaíonn an beartas.

Socraíonn an difríocht sin cén fhianaise is féidir leat a bhailiú. Nuair a fhíoraíonn an geata, insíonn a aschur dífhabhtaithe féin duit cad a tharla. Nuair a fhíoraíonn soláthraí féiniúlachta, níl a fhios ag an ngeata ach gur tháinig dearbhú, agus tá an freagra ar «ar éilíodh MFA i ndáiríre» i logaí an tsoláthraí, ní i logaí an bhalla dhóiteáin. Is é an loga mícheart a léamh an bealach is coitianta chun mí-dhiagnóis a dhéanamh ar rolladh amach a iompraíonn é féin go díreach mar a dearadh é. Cuireann an tseirbhís féin teorainn leis an searmanas freisin: Baineann FortiOS 7.6.3 mód tolláin SSL VPN i bhfabhar IPsec, agus leanann mód gréasáin mar Agentless VPN ar shamhlacha a dtacaítear leo, mar sin ní bhíonn searmanas a cruthaíodh ar sheirbhís amháin ar fáil go huathoibríoch ar sheirbhís eile.

Fíorú áitiúil: comharthaí agus cóid ríomhphoist

Ceanglaítear fachtóirí a bhainistíonn FortiGate le réad an úsáideora. Teastaíonn clárú, an searmanas fíoraithe a dtacaítear leis, ceadúnú nuair a bhaineann sé le hábhar, agus nós imeachta athsholáthair ó FortiToken nó ó chomhtháthú comhartha doiciméadaithe. Teastaíonn cosán SMTP oibre agus bosca poist ar féidir leis an úsáideoir rochtain a fháil air sula mbíonn an tollán ann ó chód ríomhphoist, spleáchas nach bhfuil baint ar bith aige le cripteagrafaíocht agus a bhfuil baint iomlán aige le cibé an féidir le duine ar bith logáil isteach.

config user local
    edit "jdoe"
        set type password
        set two-factor fortitoken
        set fortitoken FTKMOB1234567890
    next
end

Tá seachadadh ríomhphoist mar chuid de infhaighteacht an fhíordheimhnithe. Cruthaíonn bosca poist nach féidir a shroicheadh ach trí VPN lúb nach réitítear do aon duine di féin, agus is trí shrianta ar leith iad moill seachadta, bailíocht an chóid agus teorainn ama an fhíordheimhnithe chianda. Ní dheisíonn ardú ceann acu bosca poist dorochtana, agus gheobhaidh dearadh nár thástáil an lúb riamh amach é le linn an chéad athshocraithe focal faire tar éis saoire.

Baineann ceanglais árachais leis seo freisin, roimh rogha an táirge. Measann NIST SP 800-63B go bhfuil ríomhphost do-ghlactha le haghaidh fíordheimhnithe lasmuigh den bhand, mar sin ní féidir le himscaradh a mhaíonn comhréireacht cód ríomhphoist a úsáid mar a dhara fachtóir, is cuma cé chomh háisiúil agus atá sé. Ní ráiteas é go bhfuil gné ann ar an bhfeiste go gcomhlíonann an ghné caighdeán ar leith.

RADIUS: fiafraíonn an geata, socraíonn an cúlra

Le RADIUS, seolann an FortiGate an dáilteán chuig cúlra a shealbhaíonn beartas na bhfachtóirí. D'fhéadfadh an malartú a bheith ina ghlacadh nó ina dhiúltú simplí, nó d'fhéadfadh dúshlán a bheith i gceist a gcaithfidh an cliant freagra a thabhairt air, rud a chiallaíonn go gcaithfidh an tseirbhís VPN agus an cliant araon tacú leis an gcruth dúshláin sin. Ní thagann cúlra a fhorchuireann ceadú push agus cliant nach bhfuil a fhios aige ach cód sé dhigit a chur le focal faire le chéile sa lár.

config user radius
    edit "corp-radius"
        set server "10.10.20.15"
        set secret ENCXXXXXXXX
        set secondary-server "10.10.20.16"
    next
end
diagnose test authserver radius corp-radius pap jdoe <password>

Tástáil an cúlra go neamhspleách sula gcuireann tú an locht ar an tollán. Má éiríonn leis an tástáil authserver agus mura n-éiríonn le logáil isteach VPN, tá an difríocht i láimhseáil an dúshláin seachas sa dáilteán, agus is é dífhabhtú daemon fíordheimhnithe an gheata an áit a dtagann sé sin chun solais:

diagnose debug application fnbamd -1
diagnose debug enable

SAML: fágann an brabhsálaí an geata

I ndearadh SAML atreoraítear an cliant chuig an soláthraí féiniúlachta, déanann sé fíordheimhniú ansin, agus filleann sé le dearbhú a bhailíochtaíonn an geata i gcoinne caidrimh mhuiníne agus mapála grúpa. Ní fheiceann an geata an focal faire ná an dara fachtóir riamh, rud is feabhsú slándála agus deacracht oibriúcháin ag an am céanna: tarlaíonn an teip anois i seisiún brabhsálaí nach féidir leis an mballa dóiteáin scrúdú a dhéanamh air.

Ní chruthaíonn glacadh le dearbhú go n-éiligh an soláthraí MFA don logáil isteach sin. Cruthóidh beartas soláthraí a chuireann MFA i bhfeidhm ar roinnt feidhmchlár agus nach gcuireann ar dhaoine eile go díreach an logáil isteach a d'iarr tú agus aon chuid den árachas a ghlac tú leis. Seiceáil beartas an tsoláthraí don fheidhmchlár ar leith seo, agus seiceáil go dtagann mapáil na n-éileamh grúpa chuig grúpaí FortiGate fós le chéile tar éis aon athainmnithe ar gach taobh.

Tá tacaíocht cliaint níos tábhachtaí anseo ná áit ar bith eile. Láimhseálann roinnt cliant VPN an t-aistriú brabhsálaí go dúchasach, osclaíonn daoine eile brabhsálaí an chórais, agus b'fhéidir nach gcríochnóidh cliaint gan cheann nó cliaint líne ordaithe an sreabhadh ar chor ar bith. Tástáil leis an gcliant a ritheann úsáideoirí i ndáiríre, ar na hardáin a úsáideann siad i ndáiríre, sula bhfoilsíonn tú an phróifíl.

Tá aisghabháil mar chuid den mheicníocht

Tá spleáchas ag gach dearadh thuas a d'fhéadfadh teip ar úsáideoir amháin ag an am: bosca poist dorochtana, comhartha caillte, cúlra a dhiúltaíonn dúshlán, cuntas soláthraí féiniúlachta atá faoi ghlas. Socraigh anois cé a fhéadann rochtain a athbhunú, trí cén nós imeachta tacaíochta, agus le cén fíorú ar an duine a iarrann é. Is riail í cuntas riarthóra áitiúil éigeandála a choinnítear ar leithligh ó chosán an VPN; agus is eachtra í seachbhóthar gan mhíniú nach bhfuil ann ach focal faire ag feitheamh le fáil amach.

Ansin tástáil trí logáil isteach roimh an imscaradh: an ceann normal, fachtóir a diúltaíodh nó a chuaigh as feidhm, agus aisghabháil cheadaithe fíordheimhnitheora chaillte. Taifead i gcén loga a fheictear gach ceann. Is é an taifead sin a iompaíonn «tá MFA cumasaithe» ina dhearadh ar féidir le duine éigin eile a oibriú.