FortiGate VPN MFA: token maxalli ah, RADIUS ama SAML?

Naqshad kasta oo FortiGate VPN MFA ah waxay marka hore ka jawaabtaa hal su'aal: yaa xaqiijiya qodobka labaad? Lammaanaha laftiisu wuu ku samayn karaa token maxalli ah ama koodh iimayl lagu soo diray, RADIUS backend wuu ku qasbi karaa oo wuu soo celin karaa caqabad, ama SAML bixiye aqoonsi wuu qaadan karaa dhammaan munaasabadda browserka dhexdiisa. Mid kasta oo ka mid ah waxay soo saartaa isku xigxig gelitaan oo kala duwan, calaamad guuldarro oo kala duwan iyo hab soo kabasho oo kala duwan, koobi ka mid ah block amarro ah oo dhexdooda ahna waxay soo saartaa jaangooyo u eg mid la aqbali karo oo aan cidna xaqiijin. Kani waa maqaal ku saabsan habka: waxa naqshad kastaa dhab ahaan sameeyo inta lagu jiro gelitaanka, iyo halka uu ka jabto.

Munaasabadda gelitaanka ayaa go'aamisa yaa leh qodobka

Labada naqshadood ee ugu horreeya FortiGate waa dhinaca aaminka ah. Wuxuu ururiyaa aqoonsiga, go'aamiyaa haddii qodob labaad loo baahan yahay, oo wuxuu ku xaqiijiyaa gudaha ama caqabad dalbasho. Naqshadda saddexaad lammaanuhu wuu joojiyaa inuu noqdo xaqiijiyaha oo wuxuu noqdaa gudbiye: macmiilka wuxuu u leexiyaa bixiyaha aqoonsiga, wuxuu qaataa sheegasho oo wuxuu aqoonsiga la xaqiijiyay ku xirtaa isticmaale iyo koox. Naqshadda RADIUS wuxuu ku dhex jiraa labadooda oo wuxuu la socodsiiyaa isweydaarsiga codsi-jawaab backendka haysta siyaasadda.

Farqigaas ayaa go'aamiya caddaynta aad ururin karto. Marka lammaanuhu xaqiijiyo, soo-saarkiisa debug ayaa kuu sheegaya waxa dhacay. Marka bixiye aqoonsi xaqiijiyo, lammaanuhu wuxuu kaliya ogyahay in sheegasho timid, jawaabta su'aasha «MFA dhab ahaan loo baahnaa» waxay ku jirtaa diiwaannada bixiyaha, ma aha diiwaannada firewallka. Akhrinta diiwaanka khaldan waa habka ugu caansan ee si khaldan loo ogaado baahinta sida saxda ah ugu shaqaynaysa sidii loo qorsheeyay. Adeegga laftiisuna wuu xaddidaa munaasabadda: FortiOS 7.6.3 wuxuu meesha ka saarayaa habka tunnel-ka SSL VPN isagoo u rogaya IPsec, halka habka web uu sii socdo sida Agentless VPN moodoollada la taageeray, sidaas darteed munaasabad lagu caddeeyay hal adeeg kama heli karo mid kale si otomaatig ah.

Xaqiijinta gudaha: token iyo koodhadhka iimaylka

Qodobbada FortiGate maamulo waxay ku xiran yihiin shayga isticmaalaha. FortiToken ama isku-dhufasho token oo la diiwaangeliyay waxay u baahan tahay diiwaangelin, munaasabadda xaqiijinta la taageeray, shati halka ay khusayso, iyo hab beddelaad. Koodhka iimaylka lagu soo diray wuxuu u baahan yahay dariiqa SMTP shaqeeya iyo sanduuq boosto oo isticmaaluhu gaari karo ka hor inta aan tunnelku jirin, ku-tiirsanaan aan wax xiriir ah la lahayn cryptography oo dhan xiriir la leh haddii qof geli karo.

config user local
    edit "jdoe"
        set type password
        set two-factor fortitoken
        set fortitoken FTKMOB1234567890
    next
end

Gaarsiinta iimaylka waa qayb ka mid ah helitaanka xaqiijinta. Sanduuq boosto oo kaliya VPN lagu gaari karo wuxuu abuuraa wareeg aan cidna iskeed u xallin, gaarsiin daahid, ansaxnimada koodhka iyo waqtiga xaddidan ee xaqiijinta fog ayaa saddex xaddid gaar ah. Midkood kordhintiisu ma dayactirto sanduuq boosto aan la gaari karin, naqshad aan waligeed tijaabin wareegga waxay ku ogaan doontaa dib-u-dejinta password-ka ugu horreeya fasaxa ka dib.

Shuruudaha dammaanadna halkan ayay ku muuqdaan, ka hor xulashada badeecada. NIST SP 800-63B wuxuu iimaylka u arkaa mid aan la aqbali karin xaqiijinta ka baxsan xariiqda, sidaas darteed baahin sheegta u hoggaansanaan ma isticmaali karto koodh iimayl sida qodobka labaad, si kasta oo ay ku habboon tahay. Jiritaanka sifo qalabka dushiisa ma aha bayaan sheegaya in sifadu buuxiso halbeeg la bixiyay.

RADIUS: lammaanuhu wuu weyddiistaa, backendku wuu go'aamiyaa

RADIUS lammaanuhu FortiGate wuxuu aqoonsiga u dirayaa backend haysta siyaasadda qodobbada. Isweydaarsigu wuxuu noqon karaa aqbal ama diidmo fudud, ama wuxuu ku lug yeelan karaa caqabad ay tahay in macmiilku ka jawaabo, taas oo macnaheedu yahay in adeegga VPN iyo macmiilka labaduba ay taageeraan qaabkaas caqabadda. Backend ku qasba ansixinta push iyo macmiil kaliya yaqaan inuu password-ka ku daro koodh lix god ah isma waafaqaan bartamaha.

config user radius
    edit "corp-radius"
        set server "10.10.20.15"
        set secret ENCXXXXXXXX
        set secondary-server "10.10.20.16"
    next
end
diagnose test authserver radius corp-radius pap jdoe <password>

Tijaabi backendka si madax bannaan ka hor inta aadan tunnelka eedayn. Haddii tijaabada authserver guulaysato oo gelitaanka VPN uusan guulaysan, farqigu wuxuu ku jiraa maaraynta caqabadda ee ma aha aqoonsiga, debugga daemonka xaqiijinta lammaanaha ayaa ah meesha taas ka muuqato:

diagnose debug application fnbamd -1
diagnose debug enable

SAML: browserku wuu ka baxaa lammaanaha

Naqshadda SAML macmiilka waxaa loo leexiyaa bixiyaha aqoonsiga, halkaas ayuu ku xaqiijiyaa, oo wuxuu ku soo noqdaa sheegasho uu lammaanuhu ku xaqiijiyo xiriirka aaminaad iyo khariidad koox. Lammaanuhu waligiis ma arko password-ka ama qodobka labaad, taas oo isku mar ah horumar amni iyo dhibaateyn hawleed: guuldarrada hadda waxay ku dhacdaa fadhi browser oo firewallku baari karin.

Aqbalidda sheegasho ma caddayso in bixiyuhu u baahday MFA gelitaankaas. Siyaasadda bixiye ku dabaqda MFA qaar ka mid ah codsiyada oo aan ku dabaqin kuwa kale waxay siin doontaa si sax ah gelitaanka aad weyddiisatay oo waxba kama bixin dammaanadda aad u qaatay. Hubi siyaasadda bixiyaha codsigan gaarka ah, oo hubi in khariidadda sheegashooyinka koox ee kooxaha FortiGate ay weli is waafaqaan ka dib magac-beddel kasta oo dhinac kasta.

Taageerada macmiilka halkan ayaa ka muhiimsan meel kasta oo kale. Qaar ka mid ah macmiillada VPN waxay si dabiici ah u maareeyaan gudbinta browserka, kuwa kale waxay furaan browserka nidaamka, iyo macmiillada aan madax lahayn ama khadka amarka ah waxaa laga yaabaa inaysan socodka dhammeystirin. Tijaabi macmiilka isticmaalayaashu dhab ahaan ordhayaan, iyo barnaamijyada ay dhab ahaan isticmaalaan, ka hor inta aadan daabicin profile-ka.

Soo kabashadu waa qayb ka mid ah habka

Naqshad kasta oo sare leh waxay leedahay ku-tiirsanaan ku guuldareysan karta hal isticmaale markiiba: sanduuq boosto aan la gaari karin, token lumay, backend diida caqabad, akoon bixiye aqoonsi oo xiran. Go'aanso hadda yaa soo celin kara gelitaanka, hab tee la taageeray, iyo xaqiijin tee oo qofka weyddiistay. Akoon maamule maxalli ah oo degdeg ah oo ka soocan dariiqa VPN waa kontorool; iyo dhaafid aan sharraxnayn oo kaliya password ah waa dhacdo sugaysa in la ogaado.

Kadib tijaabi saddex gelitaan ka hor baahinta: kan caadiga ah, qodob la diiday ama dhacay, iyo soo kabashada la ansixiyay ee xaqiijiyaha lumay. Diiwaangeli diiwaanka ay mid kastaa ka muuqato. Diiwaankaas ayaa «MFA waa shaqaynayaa» u beddela naqshad qof kale maamuli karo.