FortiGate VPN MFA: දේශීය ටෝකනය, RADIUS හෝ SAML?

සෑම FortiGate VPN MFA නිර්මාණයක්ම මුලින්ම එක් ප්රශ්නයකට පිළිතුරු දෙයි: දෙවන සාධකය තහවුරු කරන්නේ කවුද? ගේට්වේම දේශීය ටෝකනයක් හෝ ඊමේල් මගින් යවන ලද කේතයක් සමඟ එය කළ හැක, RADIUS බැකෙන්ඩ් එකකට එය බලාත්මක කර අභියෝගයක් ආපසු යැවිය හැක, නැතහොත් SAML අනන්යතා සපයන්නෙකුට මුළු උත්සවයම බ්රවුසරය තුළ ගත හැක. ඒවායින් එක් එකක් වෙනස් පිවිසුම් අනුපිළිවෙලක්, වෙනස් අසාර්ථක ලකුණක් සහ වෙනස් ප්රතිසාධන ක්රියාපටිපාටියක් නිපදවයි, සහ ඒවා අතර විධාන කොටසක් පිටපත් කිරීමෙන් විශ්වාසදායක ලෙස පෙනෙන නමුත් කිසිවෙකු සත්යාපනය නොකරන වින්යාසයක් සෑදේ. මෙය යාන්ත්රණය පිළිබඳ ලිපියකි: පිවිසීමේදී සෑම නිර්මාණයක්ම සැබවින්ම කරන්නේ කුමක්ද සහ කොහෙද කැඩෙන්නේ.

පිවිසුම් උත්සවය තීරණය කරන්නේ සාධකය කා සතුද කියාය

පළමු නිර්මාණ දෙකේදී FortiGate යනු විශ්වාස කරන පාර්ශ්වයයි. එය අක්තපත්ර එක්රැස් කරයි, දෙවන සාධකය අවශ්යදැයි තීරණය කරයි, සහ එය දේශීයව හෝ අභියෝගයක් ඉල්ලා තහවුරු කරයි. තුන්වන නිර්මාණයේදී ගේට්වේ තහවුරු කරන්නා වීම නවතා රිලේ එකක් බවට පත්වේ: එය සේවාලාභියා අනන්යතා සපයන්නා වෙත හරවා යවයි, ප්රකාශයක් ලබා ගනී, සහ තහවුරු කළ අනන්යතාව පරිශීලකයා සහ කණ්ඩායම සමඟ සිතියම් කරයි. RADIUS නිර්මාණයේදී එය ඒවා අතර සිට ප්රතිපත්තිය ඇති බැකෙන්ඩ් එකක් සමඟ ඉල්ලීම්-ප්රතිචාර හුවමාරුවක් මෙහෙයවයි.

එම වෙනස තීරණය කරන්නේ ඔබට එක්රැස් කළ හැකි සාක්ෂි මොනවාද කියාය. ගේට්වේ තහවුරු කරන විට, එහිම නිදොස් කිරීමේ ප්රතිදානය ඔබට කියයි කුමක් සිදුවුණාද කියා. අනන්යතා සපයන්නෙකු තහවුරු කරන විට, ගේට්වේ දන්නේ ප්රකාශයක් පැමිණි බව පමණි, සහ «MFA සැබවින්ම අවශ්ය වුණාද» යන ප්රශ්නයට පිළිතුර සපයන්නාගේ ලොග් තුළ ඇත, ෆයර්වෝලයේ ලොග් තුළ නොවේ. වැරදි ලොගය කියවීම නිර්මාණයට හරියටම ගැළපෙන ලෙස හැසිරෙන යෙදවීමක් වැරදි ලෙස රෝග විනිශ්චය කිරීමේ වඩාත් පොදු ක්රමයයි. සේවාවමද උත්සවය සීමා කරයි: FortiOS 7.6.3 SSL VPN ටනල් මාදිලිය ඉවත් කරයි සහ IPsec වෙත යයි, නමුත් වෙබ් මාදිලිය ආධාරක ආකෘතිවල Agentless VPN ලෙස දිගටම පවතී, එබැවින් එක් සේවාවක ඔප්පු වූ උත්සවයක් තවත් එකක ස්වයංක්රීයව නොලැබේ.

දේශීය තහවුරු කිරීම: ටෝකන සහ ඊමේල් කේත

FortiGate කළමනාකරණය කරන සාධක පරිශීලක වස්තුවට සම්බන්ධ වේ. FortiToken එකක් හෝ ලේඛනගත ටෝකන ඒකාබද්ධතාවයකට ලියාපදිංචිය, ආධාරක තහවුරු කිරීමේ උත්සවය, අදාළ වන තැන බලපත්රලාභය සහ ප්රතිස්ථාපන ක්රියාපටිපාටිය අවශ්ය වේ. ඊමේල් කේතයකට ක්රියාකාරී SMTP මාර්ගයක් සහ ටනලය පවත්වන පෙර පරිශීලකයාට ළඟා විය හැකි තැපැල් පෙට්ටියක් අවශ්ය වේ; මෙය ගුප්තකේතනය සමඟ කිසිදු සම්බන්ධයක් නැති සහ යමෙකුට පිවිසිය හැකිද යන්න සමඟ සම්පූර්ණයෙන් සම්බන්ධ වූ යැපීමකි.

config user local
    edit "jdoe"
        set type password
        set two-factor fortitoken
        set fortitoken FTKMOB1234567890
    next
end

ඊමේල් බෙදාහැරීම සත්යාපනයේ ලබා ගත හැකි බවේ කොටසකි. VPN හරහා පමණක් ළඟා විය හැකි තැපැල් පෙට්ටියක් කිසිවෙකුට තමන් විසින්ම නොවිසඳෙන ලූපයක් සාදයි, සහ බෙදාහැරීමේ ප්රමාදය, කේතයේ වලංගුතාව සහ දුරස්ථ සත්යාපනයේ කාල සීමාව වෙනස් සීමා තුනකි. එකක් ඉහළ දැමීමෙන් ළඟා විය නොහැකි තැපැල් පෙට්ටියක් හදිසි නොවේ, සහ ලූපය කිසිදා පරීක්ෂා නොකළ නිර්මාණයක් නිවාඩුවෙන් පසු පළමු මුරපද යළි සැකසීමේදී එය සොයා ගනී.

සහතික කිරීමේ අවශ්යතාද මෙහි අයත් වේ, නිෂ්පාදන තේරීමට පෙර. NIST SP 800-63B ඊමේල් තීරුවෙන් පිටත සත්යාපනය සඳහා පිළිගත නොහැකි ලෙස සලකයි, එබැවින් අනුකූලතාවය ප්රකාශ කරන යෙදවීමකට කොතරම් පහසු වුවත් ඊමේල් කේතයක් දෙවන සාධකය ලෙස භාවිත කළ නොහැක. උපාංගයේ විශේෂාංගයක් තිබීම එම විශේෂාංගය දී ඇති ප්රමිතියක් සපුරාලන බවට ප්රකාශයක් නොවේ.

RADIUS: ගේට්වේ අසයි, බැකෙන්ඩ් තීරණය කරයි

RADIUS සමඟ FortiGate අක්තපත්ර සාධක ප්රතිපත්තිය ඇති බැකෙන්ඩ් වෙත යවයි. හුවමාරුව සරල පිළිගැනීමක් හෝ ප්රතික්ෂේපයක් විය හැක, නැතහොත් සේවාලාභියා පිළිතුරු දිය යුතු අභියෝගයක් ඇතුළත් විය හැක, එනම් VPN සේවාව සහ සේවාලාභියා දෙදෙනාම එම අභියෝග හැඩය ආධාර කළ යුතුය. පුෂ් අනුමැතිය බලාත්මක කරන බැකෙන්ඩ් එකක් සහ මුරපදයට ඉලක්කම් හයක කේතයක් එකතු කිරීම පමණක් දන්නා සේවාලාභියෙක් මැදදී හමු නොවේ.

config user radius
    edit "corp-radius"
        set server "10.10.20.15"
        set secret ENCXXXXXXXX
        set secondary-server "10.10.20.16"
    next
end
diagnose test authserver radius corp-radius pap jdoe <password>

ටනලයට දොස් පැවරීමට පෙර බැකෙන්ඩ් එක වෙන වෙනම පරීක්ෂා කරන්න. authserver පරීක්ෂණය සාර්ථක වී VPN පිවිසුම අසාර්ථක වුවහොත්, වෙනස අක්තපත්රවල නොව අභියෝගය හැසිරවීමේ ඇත, සහ ගේට්වේයේ සත්යාපන ඩේමන්නේ නිදොස් කිරීම එය පෙනෙන තැනයි:

diagnose debug application fnbamd -1
diagnose debug enable

SAML: බ්රවුසරය ගේට්වේ හැර යයි

SAML නිර්මාණයකදී සේවාලාභියා අනන්යතා සපයන්නා වෙත හරවා යවනු ලැබේ, එහි සත්යාපනය කරයි, සහ ගේට්වේ විශ්වාස සම්බන්ධතාවයක් සහ කණ්ඩායම් සිතියම්කරණයක් සමඟ තහවුරු කරන ප්රකාශයක් සමඟ ආපසු පැමිණේ. ගේට්වේ කිසිදා මුරපදය හෝ දෙවන සාධකය නොදකියි, එය එකම වේලාවක ආරක්ෂක වැඩිදියුණුවක් සහ මෙහෙයුම් සංකීර්ණතාවයකි: අසාර්ථකත්වය දැන් සිදුවන්නේ ෆයර්වෝලයට පරීක්ෂා කළ නොහැකි බ්රවුසර සැසියක ය.

ප්රකාශයක් පිළිගැනීම එම පිවිසුමට සපයන්නා MFA ඉල්ලා සිටියා බව ඔප්පු නොකරයි. සමහර යෙදුම්වලට MFA යොදන සහ අනෙක්වාට නොයොදන සපයන්නා ප්රතිපත්තියක් ඔබ ඉල්ලූ පිවිසුම හරියටම ලබා දෙන අතර ඔබ උපකල්පනය කළ සහතිකයෙන් කිසිවක් නොදේ. මෙම නිශ්චිත යෙදුම සඳහා සපයන්නාගේ ප්රතිපත්තිය පරීක්ෂා කරන්න, සහ කිසිදු පාර්ශ්වයක නාම වෙනසකින් පසුවත් කණ්ඩායම් හිමිකම් FortiGate කණ්ඩායම්වලට සිතියම් වීම තවමත් ගැළපෙනවාදැයි පරීක්ෂා කරන්න.

සේවාලාභී ආධාරය මෙහි වෙනත් ඕනෑම තැනකට වඩා වැදගත් වේ. සමහර VPN සේවාලාභීන් බ්රවුසර භාරදීම ස්වදේශීයව හසුරුවයි, අනෙක් අය පද්ධති බ්රවුසරය විවෘත කරයි, සහ හෙඩ්ලස් හෝ විධාන රේඛා සේවාලාභීන්ට ප්රවාහය සම්පූර්ණ කළ නොහැකි විය හැක. පැතිකඩ ප්රකාශයට පත් කිරීමට පෙර පරිශීලකයන් සැබවින්ම ධාවනය කරන සේවාලාභියා සමඟ සහ ඔවුන් සැබවින්ම භාවිත කරන වේදිකාවල පරීක්ෂා කරන්න.

ප්රතිසාධනය යාන්ත්රණයේ කොටසකි

ඉහත සෑම නිර්මාණයකටම එක් වරකට එක් පරිශීලකයෙකුට අසාර්ථක විය හැකි යැපීමක් ඇත: ළඟා විය නොහැකි තැපැල් පෙට්ටියක්, නැති වූ ටෝකනයක්, අභියෝගය ප්රතික්ෂේප කරන බැකෙන්ඩ් එකක්, අගුළු දැමූ අනන්යතා සපයන්නා ගිණුමක්. කවුරුන්ට ප්රවේශය ප්රතිසාධනය කළ හැකිද, කුමන ආධාරක ක්රියාපටිපාටියකින් සහ ඉල්ලන්නාගේ කුමන තහවුරු කිරීමකින්ද යන්න දැන් තීරණය කරන්න. VPN මාර්ගයෙන් වෙන් කර තබන හදිසි දේශීය පරිපාලක ගිණුමක් පාලනයකි; සහ පැහැදිලි නොකළ මුරපදය-පමණක් මගහැරීම සොයා ගැනීමට බලා සිටින සිදුවීමකි.

පසුව යෙදවීමට පෙර පිවිසුම් තුනක් පරීක්ෂා කරන්න: සාමාන්ය, ප්රතික්ෂේප වූ හෝ කල් ඉකුත් වූ සාධකය, සහ අනුමත නැති වූ සත්යාපකය ප්රතිසාධනය. එක් එක් අය පෙනෙන්නේ කුමන ලොගයේදැයි සටහන් කරන්න. එම වාර්තාව «MFA සක්රීයයි» යන්න තවත් අයෙකුට මෙහෙයවිය හැකි නිර්මාණයක් බවට පත් කරයි.