FortiGate VPN MFA: ಸ್ಥಳೀಯ ಟೋಕನ್, RADIUS ಅಥವಾ SAML?

ಪ್ರತಿ FortiGate VPN MFA ವಿನ್ಯಾಸವೂ ಮೊದಲು ಒಂದು ಪ್ರಶ್ನೆಗೆ ಉತ್ತರಿಸುತ್ತದೆ: ಎರಡನೇ ಅಂಶವನ್ನು ಯಾರು ಪರಿಶೀಲಿಸುತ್ತಾರೆ? ಗೇಟ್ವೇ ಸ್ವತಃ ಸ್ಥಳೀಯ ಟೋಕನ್ ಅಥವಾ ಇಮೇಲ್ನಿಂದ ಕಳುಹಿಸಿದ ಕೋಡ್ನಿಂದ ಅದನ್ನು ಮಾಡಬಹುದು, RADIUS ಬ್ಯಾಕೆಂಡ್ ಅದನ್ನು ಜಾರಿಗೊಳಿಸಿ ಸವಾಲನ್ನು ಹಿಂತಿರುಗಿಸಬಹುದು, ಅಥವಾ SAML ಗುರುತಿನ ಪೂರೈಕೆದಾರರು ಇಡೀ ವಿಧಿಯನ್ನು ಬ್ರೌಸರ್ನಲ್ಲಿ ತೆಗೆದುಕೊಳ್ಳಬಹುದು. ಅವುಗಳಲ್ಲಿ ಪ್ರತಿಯೊಂದೂ ಬೇರೆ ಲಾಗಿನ್ ಕ್ರಮ, ಬೇರೆ ವೈಫಲ್ಯದ ಗುರುತು ಮತ್ತು ಬೇರೆ ಮರುಪ್ರಾಪ್ತಿ ಕಾರ್ಯವಿಧಾನವನ್ನು ಉತ್ಪಾದಿಸುತ್ತದೆ, ಮತ್ತು ಅವುಗಳ ನಡುವೆ ಆಜ್ಞೆ ಬ್ಲಾಕ್ ಅನ್ನು ನಕಲಿಸುವುದು ನಂಬಲರ್ಹವಾಗಿ ಕಾಣುವ ಮತ್ತು ಯಾರನ್ನೂ ದೃಢೀಕರಿಸದ ಸಂರಚನೆಯನ್ನು ಸೃಷ್ಟಿಸುತ್ತದೆ. ಇದು ಕಾರ್ಯವಿಧಾನದ ಬಗ್ಗೆ ಲೇಖನ: ಲಾಗಿನ್ ಸಮಯದಲ್ಲಿ ಪ್ರತಿ ವಿನ್ಯಾಸವೂ ನಿಜವಾಗಿ ಏನು ಮಾಡುತ್ತದೆ ಮತ್ತು ಎಲ್ಲಿ ಮುರಿಯುತ್ತದೆ.

ಲಾಗಿನ್ ವಿಧಿಯೇ ಅಂಶ ಯಾರ ಬಳಿ ಇದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ

ಮೊದಲ ಎರಡು ವಿನ್ಯಾಸಗಳಲ್ಲಿ FortiGate ನಂಬುವ ಪಕ್ಷವಾಗಿದೆ. ಅದು ರುಜುವಾತುಗಳನ್ನು ಸಂಗ್ರಹಿಸುತ್ತದೆ, ಎರಡನೇ ಅಂಶ ಅಗತ್ಯವೇ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ, ಮತ್ತು ಅದನ್ನು ಸ್ಥಳೀಯವಾಗಿ ಅಥವಾ ಸವಾಲಿನ ಮೂಲಕ ಪರಿಶೀಲಿಸುತ್ತದೆ. ಮೂರನೇ ವಿನ್ಯಾಸದಲ್ಲಿ ಗೇಟ್ವೇ ಪರಿಶೀಲಕನಾಗುವುದನ್ನು ನಿಲ್ಲಿಸಿ ರಿಲೇ ಆಗುತ್ತದೆ: ಅದು ಕ್ಲೈಂಟ್ನ್ನು ಗುರುತಿನ ಪೂರೈಕೆದಾರರ ಬಳಿಗೆ ಮರುನಿರ್ದೇಶಿಸುತ್ತದೆ, ಹೇಳಿಕೆಯನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ ಮತ್ತು ದೃಢೀಕೃತ ಗುರುತನ್ನು ಬಳಕೆದಾರ ಮತ್ತು ಗುಂಪಿಗೆ ನಕ್ಷೆ ಮಾಡುತ್ತದೆ. RADIUS ವಿನ್ಯಾಸದಲ್ಲಿ ಅದು ಎರಡರ ನಡುವೆ ಇದ್ದು ನೀತಿಯನ್ನು ಹೊಂದಿರುವ ಬ್ಯಾಕೆಂಡ್ನೊಂದಿಗೆ ವಿನಂತಿ-ಪ್ರತಿಕ್ರಿಯೆ ವಿನಿಮಯವನ್ನು ನಡೆಸುತ್ತದೆ.

ಈ ವ್ಯತ್ಯಾಸವೇ ನೀವು ಯಾವ ಸಾಕ್ಷ್ಯವನ್ನು ಸಂಗ್ರಹಿಸಬಹುದು ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ. ಗೇಟ್ವೇ ಪರಿಶೀಲಿಸಿದಾಗ, ಅದರ ಸ್ವಂತ ಡೀಬಗ್ ಔಟ್ಪುಟ್ ಏನಾಯಿತು ಎಂದು ಹೇಳುತ್ತದೆ. ಗುರುತಿನ ಪೂರೈಕೆದಾರರು ಪರಿಶೀಲಿಸಿದಾಗ, ಗೇಟ್ವೇಗೆ ಹೇಳಿಕೆ ಬಂದಿದೆ ಎಂದಷ್ಟೇ ಗೊತ್ತು, ಮತ್ತು «MFA ನಿಜವಾಗಿ ಅಗತ್ಯವಿತ್ತೇ» ಎಂಬ ಪ್ರಶ್ನೆಗೆ ಉತ್ತರ ಪೂರೈಕೆದಾರರ ಲಾಗ್ಗಳಲ್ಲಿ ಇರುತ್ತದೆ, ಫೈರ್ವಾಲ್ ಲಾಗ್ಗಳಲ್ಲಿ ಅಲ್ಲ. ತಪ್ಪು ಲಾಗ್ ಓದುವುದು ವಿನ್ಯಾಸಕ್ಕೆ ನಿಖರವಾಗಿ ಹೊಂದಿಕೊಂಡು ನಡೆಯುತ್ತಿರುವ ನಿಯೋಜನೆಯನ್ನು ತಪ್ಪಾಗಿ ನಿರ್ಣಯಿಸುವ ಅತ್ಯಂತ ಸಾಮಾನ್ಯ ಮಾರ್ಗ. ಸೇವೆಯೂ ಸಹ ವಿಧಿಯನ್ನು ಮಿತಿಗೊಳಿಸುತ್ತದೆ: FortiOS 7.6.3 SSL VPN ಟನಲ್ ಮೋಡ್ ಅನ್ನು ತೆಗೆದುಹಾಕುತ್ತದೆ ಮತ್ತು IPsec ಪರವಾಗಿ ಹೋಗುತ್ತದೆ, ಆದರೆ ವೆಬ್ ಮೋಡ್ ಬೆಂಬಲಿತ ಮಾದರಿಗಳಲ್ಲಿ Agentless VPN ಆಗಿ ಮುಂದುವರಿಯುತ್ತದೆ, ಆದ್ದರಿಂದ ಒಂದು ಸೇವೆಯಲ್ಲಿ ಸಾಬೀತಾದ ವಿಧಿ ಇನ್ನೊಂದರಲ್ಲಿ ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಲಭ್ಯವಿಲ್ಲ.

ಸ್ಥಳೀಯ ಪರಿಶೀಲನೆ: ಟೋಕನ್ಗಳು ಮತ್ತು ಇಮೇಲ್ ಕೋಡ್ಗಳು

FortiGate ನಿರ್ವಹಿಸುವ ಅಂಶಗಳು ಬಳಕೆದಾರ ವಸ್ತುವಿಗೆ ಜೋಡಣೆಯಾಗಿವೆ. FortiToken ಅಥವಾ ದಾಖಲಿತ ಟೋಕನ್ ಸಂಯೋಜನೆಗೆ ನೋಂದಣಿ, ಬೆಂಬಲಿತ ಪರಿಶೀಲನಾ ವಿಧಿ, ಅನ್ವಯವಾಗುವಲ್ಲಿ ಪರವಾನಗಿ ಮತ್ತು ಬದಲಿ ಕಾರ್ಯವಿಧಾನ ಬೇಕು. ಇಮೇಲ್ ಕೋಡ್ಗೆ ಕಾರ್ಯನಿರ್ವಹಿಸುವ SMTP ಮಾರ್ಗ ಮತ್ತು ಟನಲ್ ಇರುವ ಮೊದಲೇ ಬಳಕೆದಾರರು ತಲುಪಬಹುದಾದ ಮೇಲ್ಬಾಕ್ಸ್ ಬೇಕು; ಇದು ಕ್ರಿಪ್ಟೋಗ್ರಫಿಗೆ ಸಂಬಂಧವಿಲ್ಲದ ಮತ್ತು ಯಾರಾದರೂ ಲಾಗಿನ್ ಮಾಡಬಹುದೇ ಎಂಬುದಕ್ಕೆ ಸಂಪೂರ್ಣ ಸಂಬಂಧವಿರುವ ಅವಲಂಬನೆ.

config user local
    edit "jdoe"
        set type password
        set two-factor fortitoken
        set fortitoken FTKMOB1234567890
    next
end

ಇಮೇಲ್ ವಿತರಣೆ ದೃಢೀಕರಣದ ಲಭ್ಯತೆಯ ಭಾಗ. VPN ಮೂಲಕ ಮಾತ್ರ ತಲುಪಬಹುದಾದ ಮೇಲ್ಬಾಕ್ಸ್ ಯಾರಿಗೂ ತಾನಾಗಿ ಬಗೆಹರಿಯದ ಲೂಪ್ ಸೃಷ್ಟಿಸುತ್ತದೆ, ಮತ್ತು ವಿತರಣಾ ವಿಳಂಬ, ಕೋಡ್ನ ಸಿಂಧುತ್ವ ಮತ್ತು ದೂರದೃಷ್ಟಿ ದೃಢೀಕರಣದ ಕಾಲಮಿತಿ ಮೂರು ಪ್ರತ್ಯೇಕ ನಿರ್ಬಂಧಗಳು. ಒಂದನ್ನು ಹೆಚ್ಚಿಸುವುದರಿಂದ ತಲುಪಲಾಗದ ಮೇಲ್ಬಾಕ್ಸ್ ಸರಿಯಾಗುವುದಿಲ್ಲ, ಮತ್ತು ಲೂಪ್ ಅನ್ನು ಎಂದೂ ಪರೀಕ್ಷಿಸದ ವಿನ್ಯಾಸ ರಜೆಯ ನಂತರದ ಮೊದಲ ಪಾಸ್ವರ್ಡ್ ಮರುಹೊಂದಿಕೆಯಲ್ಲಿ ಅದನ್ನು ಕಂಡುಕೊಳ್ಳುತ್ತದೆ.

ಖಾತರಿ ಅಗತ್ಯಗಳೂ ಇಲ್ಲಿಗೆ ಸೇರುತ್ತವೆ, ಉತ್ಪನ್ನ ಆಯ್ಕೆಯ ಮೊದಲು. NIST SP 800-63B ಇಮೇಲ್ ಅನ್ನು ಬ್ಯಾಂಡ್ನ ಹೊರಗಿನ ದೃಢೀಕರಣಕ್ಕೆ ಸ್ವೀಕಾರಾರ್ಹವಲ್ಲ ಎಂದು ಪರಿಗಣಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಅನುಸರಣೆಯನ್ನು ಪ್ರತಿಪಾದಿಸುವ ನಿಯೋಜನೆ ಎಷ್ಟೇ ಅನುಕೂಲಕರವಾಗಿದ್ದರೂ ಇಮೇಲ್ ಕೋಡ್ ಅನ್ನು ಎರಡನೇ ಅಂಶವಾಗಿ ಬಳಸಲಾಗದು. ಸಾಧನದಲ್ಲಿ ವೈಶಿಷ್ಟ್ಯವಿರುವುದು ಆ ವೈಶಿಷ್ಟ್ಯ ನಿರ್ದಿಷ್ಟ ಮಾನದಂಡವನ್ನು ಪೂರೈಸುತ್ತದೆ ಎಂಬ ಹೇಳಿಕೆಯಲ್ಲ.

RADIUS: ಗೇಟ್ವೇ ಕೇಳುತ್ತದೆ, ಬ್ಯಾಕೆಂಡ್ ನಿರ್ಧರಿಸುತ್ತದೆ

RADIUS ನೊಂದಿಗೆ FortiGate ರುಜುವಾತುಗಳನ್ನು ಅಂಶ ನೀತಿಯನ್ನು ಹೊಂದಿರುವ ಬ್ಯಾಕೆಂಡ್ಗೆ ಕಳುಹಿಸುತ್ತದೆ. ವಿನಿಮಯ ಸರಳ ಸ್ವೀಕಾರ ಅಥವಾ ನಿರಾಕರಣೆಯಾಗಿರಬಹುದು, ಅಥವಾ ಕ್ಲೈಂಟ್ ಉತ್ತರಿಸಬೇಕಾದ ಸವಾಲನ್ನು ಒಳಗೊಂಡಿರಬಹುದು, ಅಂದರೆ VPN ಸೇವೆ ಮತ್ತು ಕ್ಲೈಂಟ್ ಎರಡೂ ಆ ಸವಾಲಿನ ರೂಪವನ್ನು ಬೆಂಬಲಿಸಬೇಕು. ಪುಶ್ ಅನುಮೋದನೆಯನ್ನು ಜಾರಿಗೊಳಿಸುವ ಬ್ಯಾಕೆಂಡ್ ಮತ್ತು ಪಾಸ್ವರ್ಡ್ಗೆ ಆರು ಅಂಕಿಗಳ ಕೋಡ್ ಸೇರಿಸುವುದನ್ನು ಮಾತ್ರ ತಿಳಿದಿರುವ ಕ್ಲೈಂಟ್ ಮಧ್ಯದಲ್ಲಿ ಭೇಟಿಯಾಗುವುದಿಲ್ಲ.

config user radius
    edit "corp-radius"
        set server "10.10.20.15"
        set secret ENCXXXXXXXX
        set secondary-server "10.10.20.16"
    next
end
diagnose test authserver radius corp-radius pap jdoe <password>

ಟನಲ್ಗೆ ದೋಷಾರೋಪ ಮಾಡುವ ಮೊದಲು ಬ್ಯಾಕೆಂಡ್ ಅನ್ನು ಸ್ವತಂತ್ರವಾಗಿ ಪರೀಕ್ಷಿಸಿ. authserver ಪರೀಕ್ಷೆ ಯಶಸ್ವಿಯಾಗಿ VPN ಲಾಗಿನ್ ಆಗದಿದ್ದರೆ, ವ್ಯತ್ಯಾಸ ರುಜುವಾತುಗಳಲ್ಲ, ಸವಾಲಿನ ನಿರ್ವಹಣೆಯಲ್ಲಿ, ಮತ್ತು ಗೇಟ್ವೇಯ ದೃಢೀಕರಣ ಡೀಮನ್ನ ಡೀಬಗ್ ಅದು ಕಾಣುವ ಸ್ಥಳ:

diagnose debug application fnbamd -1
diagnose debug enable

SAML: ಬ್ರೌಸರ್ ಗೇಟ್ವೇಯನ್ನು ಬಿಡುತ್ತದೆ

SAML ವಿನ್ಯಾಸದಲ್ಲಿ ಕ್ಲೈಂಟ್ ಗುರುತಿನ ಪೂರೈಕೆದಾರರ ಬಳಿಗೆ ಮರುನಿರ್ದೇಶಿಸಲ್ಪಡುತ್ತದೆ, ಅಲ್ಲಿ ದೃಢೀಕರಿಸುತ್ತದೆ, ಮತ್ತು ಗೇಟ್ವೇ ವಿಶ್ವಾಸ ಸಂಬಂಧ ಮತ್ತು ಗುಂಪು ನಕ್ಷೆಯ ವಿರುದ್ಧ ಪರಿಶೀಲಿಸುವ ಹೇಳಿಕೆಯೊಂದಿಗೆ ಹಿಂತಿರುಗುತ್ತದೆ. ಗೇಟ್ವೇ ಪಾಸ್ವರ್ಡ್ ಅಥವಾ ಎರಡನೇ ಅಂಶವನ್ನು ಎಂದೂ ನೋಡುವುದಿಲ್ಲ, ಇದು ಒಂದೇ ಸಮಯದಲ್ಲಿ ಭದ್ರತಾ ಸುಧಾರಣೆ ಮತ್ತು ಕಾರ್ಯಾಚರಣೆಯ ಸಂಕೀರ್ಣತೆ: ವೈಫಲ್ಯ ಈಗ ಫೈರ್ವಾಲ್ ಪರಿಶೀಲಿಸಲಾಗದ ಬ್ರೌಸರ್ ಅಧಿವೇಶನದಲ್ಲಿ ಸಂಭವಿಸುತ್ತದೆ.

ಹೇಳಿಕೆಯನ್ನು ಸ್ವೀಕರಿಸುವುದು ಆ ಲಾಗಿನ್ಗೆ ಪೂರೈಕೆದಾರರು MFA ಕೇಳಿದ್ದಾರೆ ಎಂದು ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ. ಕೆಲವು ಅನ್ವಯಗಳಿಗೆ MFA ಅನ್ನು ಅನ್ವಯಿಸಿ ಇತರರಿಗೆ ಅನ್ವಯಿಸದ ಪೂರೈಕೆದಾರ ನೀತಿ ನೀವು ಕೇಳಿದ ಲಾಗಿನ್ ಅನ್ನೇ ನೀಡುತ್ತದೆ ಮತ್ತು ನೀವು ಊಹಿಸಿದ ಖಾತರಿಯ ಯಾವುದನ್ನೂ ನೀಡುವುದಿಲ್ಲ. ಈ ನಿರ್ದಿಷ್ಟ ಅನ್ವಯಕ್ಕೆ ಪೂರೈಕೆದಾರರ ನೀತಿಯನ್ನು ಪರಿಶೀಲಿಸಿ, ಮತ್ತು ಯಾವುದೇ ಬದಿಯಲ್ಲಿ ಯಾವುದೇ ಮರುನಾಮಕರಣದ ನಂತರವೂ ಗುಂಪು ಹಕ್ಕುಗಳ FortiGate ಗುಂಪುಗಳಿಗೆ ನಕ್ಷೆ ಇನ್ನೂ ಹೊಂದಿಕೆಯಾಗುತ್ತದೆಯೇ ಎಂದು ಪರಿಶೀಲಿಸಿ.

ಕ್ಲೈಂಟ್ ಬೆಂಬಲ ಇಲ್ಲಿ ಬೇರೆಲ್ಲಿಗಿಂತಲೂ ಮುಖ್ಯ. ಕೆಲವು VPN ಕ್ಲೈಂಟ್ಗಳು ಬ್ರೌಸರ್ ಹಸ್ತಾಂತರವನ್ನು ಸ್ಥಳೀಯವಾಗಿ ನಿರ್ವಹಿಸುತ್ತವೆ, ಕೆಲವು ಸಿಸ್ಟಮ್ ಬ್ರೌಸರ್ ತೆರೆಯುತ್ತವೆ, ಮತ್ತು ಹೆಡ್ಲೆಸ್ ಅಥವಾ ಆಜ್ಞಾ ಸಾಲಿನ ಕ್ಲೈಂಟ್ಗಳು ಹರಿವನ್ನು ಪೂರ್ಣಗೊಳಿಸದೇ ಇರಬಹುದು. ಪ್ರೊಫೈಲ್ ಪ್ರಕಟಿಸುವ ಮೊದಲು ಬಳಕೆದಾರರು ನಿಜವಾಗಿ ಚಲಾಯಿಸುವ ಕ್ಲೈಂಟ್ನೊಂದಿಗೆ ಮತ್ತು ನಿಜವಾಗಿ ಬಳಸುವ ಪ್ಲಾಟ್ಫಾರ್ಮ್ಗಳಲ್ಲಿ ಪರೀಕ್ಷಿಸಿ.

ಮರುಪ್ರಾಪ್ತಿ ಕಾರ್ಯವಿಧಾನದ ಭಾಗ

ಮೇಲಿನ ಪ್ರತಿ ವಿನ್ಯಾಸಕ್ಕೂ ಒಂದೇ ಸಮಯದಲ್ಲಿ ಒಬ್ಬ ಬಳಕೆದಾರನಿಗೆ ವಿಫಲವಾಗಬಹುದಾದ ಅವಲಂಬನೆ ಇದೆ: ತಲುಪಲಾಗದ ಮೇಲ್ಬಾಕ್ಸ್, ಕಳೆದುಹೋದ ಟೋಕನ್, ಸವಾಲನ್ನು ನಿರಾಕರಿಸುವ ಬ್ಯಾಕೆಂಡ್, ಲಾಕ್ ಆದ ಗುರುತಿನ ಪೂರೈಕೆದಾರ ಖಾತೆ. ಯಾರು ಪ್ರವೇಶವನ್ನು ಮರುಸ್ಥಾಪಿಸಬಹುದು, ಯಾವ ಬೆಂಬಲಿತ ಕಾರ್ಯವಿಧಾನದಿಂದ ಮತ್ತು ಕೇಳುವ ವ್ಯಕ್ತಿಯ ಯಾವ ಪರಿಶೀಲನೆಯೊಂದಿಗೆ ಎಂದು ಈಗ ನಿರ್ಧರಿಸಿ. VPN ಮಾರ್ಗದಿಂದ ಪ್ರತ್ಯೇಕವಾಗಿ ಇಟ್ಟಿರುವ ತುರ್ತು ಸ್ಥಳೀಯ ನಿರ್ವಾಹಕ ಖಾತೆ ಒಂದು ನಿಯಂತ್ರಣ; ಮತ್ತು ವಿವರಣೆಯಿಲ್ಲದ ಕೇವಲ-ಪಾಸ್ವರ್ಡ್ ಬೈಪಾಸ್ ಪತ್ತೆಯಾಗಲು ಕಾಯುತ್ತಿರುವ ಘಟನೆ.

ನಂತರ ನಿಯೋಜನೆಯ ಮೊದಲು ಮೂರು ಲಾಗಿನ್ಗಳನ್ನು ಪರೀಕ್ಷಿಸಿ: ಸಾಮಾನ್ಯ, ನಿರಾಕರಿಸಲಾದ ಅಥವಾ ಅವಧಿ ಮುಗಿದ ಅಂಶ, ಮತ್ತು ಅನುಮೋದಿತ ಕಳೆದುಹೋದ ದೃಢೀಕರಣಕಾರನ ಮರುಪ್ರಾಪ್ತಿ. ಪ್ರತಿಯೊಂದೂ ಯಾವ ಲಾಗ್ನಲ್ಲಿ ಕಾಣುತ್ತದೆ ಎಂದು ದಾಖಲಿಸಿ. ಆ ದಾಖಲೆಯೇ «MFA ಸಕ್ರಿಯವಾಗಿದೆ» ಎಂಬುದನ್ನು ಬೇರೆಯವರು ನಿರ್ವಹಿಸಬಹುದಾದ ವಿನ್ಯಾಸವಾಗಿ ಬದಲಾಯಿಸುತ್ತದೆ.