FortiGate VPN MFA: lokalen Token, RADIUS oder SAML?

All FortiGate VPN MFA-Design beäntwert fir d'éischt eng Fro: wien verifizéiert den zweete Faktor? D'Gateway selwer kann et mat engem lokalen Token oder engem Code maachen, deen per E-Mail geschéckt gëtt, e RADIUS-Backend kann et duerchsetzen an eng Erausfuerderung zréckschécken, oder e SAML-Identitéitsprovider kann déi ganz Zeremonie an engem Browser iwwerhuelen. Jidderee vun dëse produzéiert eng aner Login-Sequenz, eng aner Feelsignatur an eng aner Erhuelungsprozedur, an e Kommandoblock tëscht hinne kopéieren produzéiert eng Konfiguratioun, déi plausibel ausgesäit an keen authentifizéiert. Dëst ass en Artikel iwwer de Mechanismus: wat all Design wierklech wärend engem Login mécht, a wou et brécht.

D'Login-Zeremonie entscheet wien de Faktor besitzt

An den éischten zwou Designen ass de FortiGate déi Partei, déi vertraut. Et sammelt d'Berechtegungsdaten, entscheet ob en zweete Faktor néideg ass, a verifizéiert en lokal oder duerch eng Erausfuerderung. Am drëtten Design hält d'Gateway op Verifizéierer ze sinn a gëtt en Iwwerleefer: et leet de Client op de Identitéitsprovider ëm, kritt eng Assertioun a mappt déi bestätegt Identitéit op e Benotzer an eng Grupp. Am RADIUS-Design läit et tëscht hinnen a féiert en Ufro-Antwert-Austausch mat engem Backend, deen d'Politik huet.

Dësen Ënnerscheed entscheet, wéi eng Beweiser Dir sammelt. Wann d'Gateway verifizéiert, seet seng eegen Debug-Ausgab Iech wat geschitt ass. Wann en Identitéitsprovider verifizéiert, weess d'Gateway just datt eng Assertioun ukomm ass, an d'Äntwert op „war MFA wierklech néideg“ läit an den Logs vum Provider, net an deene vun der Firewall. De falschen Log liesen ass dee geleefegste Wee fir eng Ausrullung falsch ze diagnostizéieren, déi sech genee wéi entworfen behält. Den Service selwer begrenzt och d'Zeremonie: FortiOS 7.6.3 entfernt den SSL VPN-Tunnelmodus zugonschte vun IPsec, während de Webmodus als Agentless VPN op ënnerstëtzte Modeller weiderleeft, sou datt eng Zeremonie, déi op engem Service bewisen ass, net automatesch op engem aneren disponibel ass.

Lokal Verifikatioun: Tokenen an E-Mail-Coden

Faktore vum FortiGate hänke vum Benotzerobjekt of. En FortiToken oder eng dokumentéiert Token-Integratioun brauch Aschreiwung, déi ënnerstëtzt Verifikatiounszeremonie, Lizenzéierung wou et gëllt, an eng Ersatzprozedur. En E-Mail-Code brauch e funktionéierende SMTP-Wee an e Mailbox, deen de Benotzer erreeche kann ier den Tunnel existéiert, eng Ofhängegkeet déi näischt mat Kryptografie ze dinn huet an alles domat, ob iergendeen sech alogge kann.

config user local
    edit "jdoe"
        set type password
        set two-factor fortitoken
        set fortitoken FTKMOB1234567890
    next
end

E-Mail-Liwwerung ass Deel vun der Disponibilitéit vun der Authentifizéierung. Eng Mailbox, déi nëmmen iwwer d'VPN erreechbar ass, schaaft eng Schläif, déi sech fir keen eleng léist, a Liwwerungsverzögerung, Codegëltegkeet an den Timeout vun der Fernauthentifizéierung sinn dräi getrennte Contrainten. Een dovun erhéijen reparéiert keng onerreechbar Mailbox, an en Design deen d'Schläif ni getest huet wäert se beim éischte Passwuert-Reset no de Vakanzen entdecken.

Sécherheetsufuerderungen gehéieren och hei, virun der Produktwiel. NIST SP 800-63B hält E-Mail fir Out-of-Band-Authentifizéierung fir onakzeptabel, sou datt eng Implementatioun, déi Konformitéit behaapt, keen E-Mail-Code als zweiten Faktor benotze kann, sou bequem wéi en och ass. Datt eng Funktioun um Apparat existéiert, ass keng Ausso datt d'Funktioun en definéierte Standard erfëllt.

RADIUS: d'Gateway freet, de Backend entscheet

Mat RADIUS schéckt de FortiGate d'Berechtegungsdaten un e Backend, deen d'Faktorpolitik huet. Den Austausch kann eng einfach Akzeptanz oder Oflehnung sinn, oder eng Erausfuerderung enthalen, déi de Client beäntwere muss, wat heescht datt souwuel de VPN-Service wéi och de Client dës Form vun Erausfuerderung mussen ënnerstëtzen. En Backend deen eng Push-Approbatioun duerchsetzt an e Client deen nëmmen weess wéi een sechstellige Code un e Passwuert u hänkt, wäerten sech net an der Mëtt treffen.

config user radius
    edit "corp-radius"
        set server "10.10.20.15"
        set secret ENCXXXXXXXX
        set secondary-server "10.10.20.16"
    next
end
diagnose test authserver radius corp-radius pap jdoe <password>

Test de Backend onofhängeg ier Dir den Tunnel beschëllegt. Wann den authserver-Test geléngt an e VPN-Login net, ass den Ënnerscheed an der Behandlung vun der Erausfuerderung an net an de Berechtegungsdaten, an den Debug vum Authentifizéierungsdaemon vun der Gateway ass wou dat sech weist:

diagnose debug application fnbamd -1
diagnose debug enable

SAML: de Browser verléisst d'Gateway

An engem SAML-Design gëtt de Client op den Identitéitsprovider ëmgeleet, authentifizéiert sech do, a kënnt mat enger Assertioun zréck, déi d'Gateway géint eng Vertrauensbezéiung an eng Gruppemapping validéiert. D'Gateway gesäit ni d'Passwuert nach den zweete Faktor, wat gläichzäiteg eng Sécherheetsverbesserung an eng operationell Komplikatioun ass: de Feeler geschitt elo an enger Browsersitzung, déi d'Firewall net ka kontrolléieren.

Eng Assertioun akzeptéieren beweise net datt de Provider MFA fir dee Login gefrot huet. Eng Providerpolitik déi MFA op e puer Applikatiounen uwent an op anerer net, gëtt genee dee Login deen Dir gefrot hutt an näischt vun der Sécherheet déi Dir ugeholl hutt. Kontrolléiert d'Politik vum Provider fir dës spezifesch Applikatioun, a kontrolléiert datt d'Mapping vun de Gruppebehauptungen op FortiGate-Gruppen nach ëmmer iwwereneen ass no enger Ëmbenennung op béide Säiten.

Clientënnergrëtzung ass hei méi wichteg wéi soss anzwuesch. E puer VPN-Clienten iwwerhuelen d'Iwwergab un de Browser nativ, anerer maachen de Systembrowser op, an headless oder Kommandozeil-Clienten droen de Floss vläicht guer net fäerdeg. Test mam Client deen d'Benotzer wierklech lafen, op de Plattformen déi se wierklech notzen, ier Dir de Profil publizéiert.

Erhuelung ass Deel vum Mechanismus

All Design uewen huet eng Ofhängegkeet déi fir een Benotzer gläichzäiteg versoe kann: eng onerreechbar Mailbox, en verluerenen Token, e Backend deen eng Erausfuerderung refuséiert, e gespaarte Kont beim Identitéitsprovider. Entscheet elo wien den Zougang restauréiere kann, duerch wéi eng ënnerstëtzt Prozedur an mat wéi enger Verifikatioun vun der Persoun déi freet. En Noutfall-lokalen Administrateurkonte getrennt vum VPN-Wee gehalen ass eng Kontroll; an eng onerkläert Ëmgoe nëmme mat Passwuert ass en Tëschefall deen drop waart entdeckt ze ginn.

Test duerno dräi Loginen virun der Ausrullung: déi normal, e refuséierte oder ofgelafene Faktor, an déi genehmegt Erhuelung vun engem verluerenen Authentifizéierer. Notéiert a wéi engem Log jidderee sech weist. Dee Rekord ass et wat „MFA ass aktivéiert“ an en Design ëmwandelt, deen een aneren bedreiwen kann.