FortiGate VPN MFA: token na gida, RADIUS ko SAML?

Kowanne tsarin FortiGate VPN MFA yana amsa tambaya ɗaya da farko: wa ke tabbatar da factor na biyu? Ƙofar da kanta za ta iya yin hakan da token na gida ko lambar da ake aikawa ta imel, RADIUS backend na iya tilasta shi kuma ya mayar da ƙalubale, ko kuma SAML mai ba da shaida zai iya ɗaukar dukan bikin a cikin browser. Kowanne daga cikinsu yana samar da jerin shiga daban, alamar gazawa daban da hanyar dawo da asusu daban, kuma kwafin block na umarni tsakaninsu yana samar da saitin da ya yi kama da gaskiya kuma ba ya tabbatar da kowa. Wannan labari ne kan inji: abin da kowanne tsari ke yi da gaske a lokacin shiga, da inda yake karyewa.

Bikin shiga ne ke ƙayyade wanda ya mallaki factor ɗin

A cikin tsari biyu na farko, FortiGate shine ɓangaren da ya dogara. Yana tattara takardar shaidar, yana ƙayyade ko ana buƙatar factor na biyu, kuma yana tabbatar da ita a gida ko ta hanyar neman ƙalubale. A tsari na uku ƙofar ta daina zama mai tabbatarwa kuma ta zama mai miƙa: tana tura abokin ciniki zuwa mai ba da shaida, tana karɓar tabbaci kuma tana danganta shaidar da aka tabbatar da mai amfani da rukuni. A tsarin RADIUS tana tsakiyar su kuma tana jagorantar musayar buƙata da amsa tare da backend da ke riƙe da manufar.

Wannan bambanci ne ke ƙayyade irin shaidun da za ka iya tattarawa. Lokacin da ƙofar ke tabbatarwa, fitar da gyaran kuskuren ta yana gaya maka abin da ya faru. Lokacin da mai ba da shaida ke tabbatarwa, ƙofar tana sanin kawai cewa tabbaci ya iso, kuma amsar tambayar «shin da gaske ana buƙatar MFA» tana cikin tarihin mai bayarwa, ba cikin tarihin firewall ɗin ba. Karanta tarihin da bai dace ba ita ce hanya mafi yawa ta yin kuskuren ganewar matsala a ɓarkewar da ke gudana daidai da yadda aka tsara. Sabis ɗin da kansa ma yana iyakance bikin: FortiOS 7.6.3 yana cire yanayin tunnel na SSL VPN don neman IPsec, yayin da yanayin yanar gizo ke ci gaba a matsayin Agentless VPN a kan samfuran da ake tallafawa, don haka bikin da aka tabbatar a sabis ɗaya ba ya samuwa kai tsaye a wani.

Tabbatarwa ta gida: tokens da lambobin imel

Abubuwan da FortiGate ke sarrafawa suna manne wa abin mai amfani. FortiToken ko haɗin token da aka rubuta na buƙatar rajista, bikin tabbatarwa da ake tallafawa, lasisi inda ya dace, da hanyar maye gurbi. Lambar imel na buƙatar hanyar SMTP mai aiki da akwatin wasiƙa da mai amfani zai iya isa kafin tunnel ɗin ya wanzu, dogaro da ba shi da alaƙa da cryptography kuma yana da alaƙa da ko wani zai iya shiga.

config user local
    edit "jdoe"
        set type password
        set two-factor fortitoken
        set fortitoken FTKMOB1234567890
    next
end

Isar da imel wani ɓangare ne na samuwar tabbatarwa. Akwatin wasiƙar da za a iya isa ta VPN kawai yana haifar da madauki wanda ba ya warwarewa da kansa ga kowa, kuma jinkirin isarwa, ingancin lambar da lokacin ƙarewar tabbatarwa daga nesa abubuwa uku ne daban. Ɗaya daga cikinsu ba ya gyara akwatin wasiƙa marar isa, kuma tsarin da bai taɓa gwada madaukin ba zai gano shi a lokacin sake saita kalmar sirri na farko bayan hutu.

Buƙatun tabbatarwa ma suna nan, kafin zaɓin samfur. NIST SP 800-63B yana ɗaukar imel a matsayin mara karɓuwa don tabbatarwa daga waje, don haka ɓarkewar da ke da'awar bin ka'ida ba za ta iya amfani da lambar imel a matsayin factor na biyu ba, komai sauƙin sa. Kasancewar wata fasali a na'urar ba sanarwa ba ce cewa fasalin ya cika wata ƙa'ida.

RADIUS: ƙofar tana tambaya, backend ɗin yana yanke hukunci

Da RADIUS, FortiGate yana aika takardar shaidar zuwa backend da ke da manufar factor. Musayar na iya zama karɓa ko ƙi kawai, ko kuma tana iya haɗawa da ƙalubalen da abokin ciniki zai amsa, wanda ke nufin duka sabis ɗin VPN da abokin ciniki dole ne su goyi bayan wannan siffar ƙalubale. Backend da ke tilasta amincewar push da abokin ciniki wanda ya san kawai ƙara lamba shida a kalmar sirri ba za su haɗu a tsakiya ba.

config user radius
    edit "corp-radius"
        set server "10.10.20.15"
        set secret ENCXXXXXXXX
        set secondary-server "10.10.20.16"
    next
end
diagnose test authserver radius corp-radius pap jdoe <password>

Gwada backend ɗin da kansa kafin ka zargi tunnel ɗin. Idan gwajin authserver ya yi nasara amma shiga VPN bai yi ba, bambancin yana cikin yadda ake sarrafa ƙalubalen ba cikin takardar shaidar ba, kuma gyaran kuskuren daemon na tabbatarwar ƙofar shine inda hakan ke bayyana:

diagnose debug application fnbamd -1
diagnose debug enable

SAML: browser ɗin yana barin ƙofar

A tsarin SAML ana tura abokin ciniki zuwa mai ba da shaida, yana tabbatarwa a can, sannan ya dawo da tabbacin da ƙofar ke tabbatarwa bisa alaƙar amincewa da taswirar rukuni. Ƙofar ba ta taɓa ganin kalmar sirri ko factor na biyu, wanda a lokaci ɗaya haɓakar tsaro ce da rikicewar aiki: gazawar yanzu tana faruwa a zaman browser da firewall ba zai iya duba ba.

Karɓar tabbaci ba ya tabbatar da cewa mai bayarwa ya buƙaci MFA don wannan shiga. Manufar mai bayarwa da ke amfani da MFA ga wasu aikace-aikace ba ga wasu ba za ta samar da daidai shigar da ka nema kuma babu komai daga tabbacin da ka yi tsammani. Duba manufar mai bayarwa don wannan takamaiman aikace-aikacen, kuma duba cewa taswirar da'awar rukuni zuwa rukunin FortiGate har yanzu sun dace bayan kowane canjin suna a kowane ɓangare.

Tallafin abokin ciniki ya fi mahimmanci a nan fiye da ko'ina. Wasu abokan cinikin VPN suna sarrafa miƙawar browser ta asali, wasu suna buɗe browser ɗin tsarin, kuma abokan ciniki marasa kai ko na layin umarni ƙila ba za su kammala kwararar kwata-kwata ba. Gwada da abokin cinikin da masu amfani ke gudanarwa da gaske, a kan dandamali da suke amfani da su da gaske, kafin ka wallafa bayanin.

Dawo da asusu wani ɓangare ne na inji

Kowanne tsari a sama yana da dogaro da zai iya gazawa ga mai amfani ɗaya a lokaci ɗaya: akwatin wasiƙa marar isa, ɓataccen token, backend da ke ƙin ƙalubale, asusun mai ba da shaida da aka kulle. Yanzu yanke shawara wanene zai iya maido da shiga, ta wace hanya da ake tallafawa, da wace tabbatarwa ta mai neman. Asusun admin na gida na gaggawa da aka ware daga hanyar VPN sarrafawa ne; kuma ketarewar kalmar sirri kawai da ba a bayyana ba lamari ne da ke jiran a gano.

Sannan gwada shiga uku kafin ɓarkewa: na al'ada, factor da aka ƙi ko ya ƙare, da amincewar maido da mai tabbatarwa da ya ɓace. Rubuta a wace tarihi kowanne ya bayyana. Wannan rikodin ne ke mai da «MFA yana aiki» tsarin da wani zai iya tafiyar da shi.