FortiGate VPN MFA: yerel token, RADIUS veya SAML?

Ağ geçidi, RADIUS arka ucu veya SAML sağlayıcısı faktörü doğrulayabilir ve her biri farklı şekilde başarısız olur. Hizmeti, istemciyi ve kurtarma yolunu eşleştirin.

Her FortiGate VPN MFA tasarımı önce tek bir soruyu yanıtlar: ikinci faktörü kim doğrular? Ağ geçidinin kendisi bunu yerel bir token veya e-postayla gönderilen kodla yapabilir, bir RADIUS arka ucu bunu zorunlu kılıp bir meydan okuma döndürebilir ya da bir SAML kimlik sağlayıcısı tüm töreni tarayıcıda üstlenebilir. Bunların her biri farklı bir oturum açma sırası, farklı bir hata imzası ve farklı bir kurtarma prosedürü üretir; komut bloğunu aralarında kopyalamak ise inandırıcı görünen ama kimseyi kimlik doğrulamayan bir yapılandırma üretir. Bu bir mekanizma makalesidir: her tasarımın oturum açma sırasında gerçekte ne yaptığı ve nerede kırıldığı.

Oturum açma töreni faktörün kime ait olduğunu belirler

İlk iki tasarımda FortiGate güvenen taraftır. Kimlik bilgisini toplar, ikinci bir faktörün gerekip gerekmediğine karar verir ve onu yerel olarak veya meydan okuma isteyerek doğrular. Üçüncü tasarımda ağ geçidi doğrulayıcı olmayı bırakıp bir aktarıcıya dönüşür: istemciyi kimlik sağlayıcısına yönlendirir, bir iddia alır ve doğrulanan kimliği bir kullanıcı ve grupla eşler. RADIUS tasarımında arada durur ve politikayı elinde tutan bir arka uçla istek-yanıt alışverişi yürütür.

Bu fark hangi kanıtları toplayabileceğinizi belirler. Ağ geçidi doğruladığında kendi hata ayıklama çıktısı size ne olduğunu söyler. Bir kimlik sağlayıcısı doğruladığında ağ geçidi yalnızca bir iddianın geldiğini bilir ve «MFA gerçekten gerekli miydi» sorusunun yanıtı sağlayıcının günlüklerinde, güvenlik duvarının günlüklerinde değil. Yanlış günlüğü okumak, tam olarak tasarlandığı gibi davranan bir kurulumu yanlış teşhis etmenin en yaygın yoludur. Hizmetin kendisi de töreni sınırlar: FortiOS 7.6.3 SSL VPN tünel modunu kaldırır ve IPsec lehine geçer, web modu ise desteklenen modellerde Agentless VPN olarak devam eder, bu nedenle bir hizmette kanıtlanan tören otomatik olarak diğerinde kullanılamaz.

Yerel doğrulama: tokenlar ve e-posta kodları

FortiGate tarafından yönetilen faktörler kullanıcı nesnesine bağlanır. Bir FortiToken veya belgelenmiş token entegrasyonu kayıt, desteklenen doğrulama töreni, geçerli olduğu yerde lisanslama ve bir değiştirme prosedürü gerektirir. E-postayla gönderilen bir kod, çalışan bir SMTP yolu ve kullanıcının tünel var olmadan önce erişebileceği bir posta kutusu gerektirir; bu, kriptografiyle hiçbir ilgisi olmayan ve tamamen birinin oturum açıp açamamasıyla ilgili bir bağımlılıktır.

config user local
    edit "jdoe"
        set type password
        set two-factor fortitoken
        set fortitoken FTKMOB1234567890
    next
end

E-posta teslimi kimlik doğrulamanın kullanılabilirliğinin bir parçasıdır. Yalnızca VPN üzerinden erişilebilen bir posta kutusu, kimse için kendiliğinden çözülmeyen bir döngü yaratır; teslim gecikmesi, kodun geçerliliği ve uzaktan kimlik doğrulama zaman aşımı ise üç ayrı kısıttır. Birini yükseltmek erişilemeyen bir posta kutusunu onarmaz ve döngüyü hiç test etmemiş bir tasarım bunu tatilden sonraki ilk parola sıfırlamasında keşfedecektir.

Güvence gereksinimleri de buraya aittir, ürün seçiminden önce. NIST SP 800-63B e-postayı bant dışı kimlik doğrulama için kabul edilemez bulur; bu nedenle uyumluluk iddia eden bir kurulum ne kadar pratik olursa olsun e-posta kodunu ikinci faktör olarak kullanamaz. Bir özelliğin cihazda bulunması, o özelliğin belirli bir standardı karşıladığı beyanı değildir.

RADIUS: ağ geçidi sorar, arka uç karar verir

RADIUS ile FortiGate kimlik bilgisini faktör politikasını elinde tutan bir arka uca gönderir. Alışveriş basit bir kabul veya ret olabilir ya da istemcinin yanıtlaması gereken bir meydan okuma içerebilir; bu da hem VPN hizmetinin hem de istemcinin o meydan okuma biçimini desteklemesi gerektiği anlamına gelir. Push onayı zorunlu kılan bir arka uç ile parolaya yalnızca altı haneli bir kod eklemeyi bilen bir istemci ortada buluşmaz.

config user radius
    edit "corp-radius"
        set server "10.10.20.15"
        set secret ENCXXXXXXXX
        set secondary-server "10.10.20.16"
    next
end
diagnose test authserver radius corp-radius pap jdoe <password>

Tüneli suçlamadan önce arka ucu ayrı olarak test edin. authserver testi başarılı olup VPN oturum açması olmuyorsa fark kimlik bilgisinde değil meydan okumanın ele alınışındadır ve ağ geçidinin kimlik doğrulama daemonunun hata ayıklaması bunun göründüğü yerdir:

diagnose debug application fnbamd -1
diagnose debug enable

SAML: tarayıcı ağ geçidinden ayrılır

Bir SAML tasarımında istemci kimlik sağlayıcısına yönlendirilir, orada kimlik doğrular ve ağ geçidinin bir güven ilişkisi ve grup eşlemesine karşı doğruladığı bir iddiayla geri döner. Ağ geçidi parolayı veya ikinci faktörü asla görmez; bu aynı zamanda hem güvenlik iyileştirmesi hem de operasyonel bir karmaşıklıktır: hata artık güvenlik duvarının inceleyemediği bir tarayıcı oturumunda gerçekleşir.

Bir iddiayı kabul etmek, sağlayıcının o oturum açma için MFA talep ettiğini kanıtlamaz. MFA'yı bazı uygulamalara uygulayıp diğerlerine uygulamayan bir sağlayıcı politikası tam olarak istediğiniz oturum açmayı verir ve varsaydığınız güvenceden hiçbir şey vermez. Sağlayıcının politikasını bu belirli uygulama için kontrol edin ve grup iddialarının FortiGate gruplarına eşlenmesinin her iki taraftaki herhangi bir yeniden adlandırmadan sonra hâlâ eşleştiğini kontrol edin.

İstemci desteği burada her yerden daha önemlidir. Bazı VPN istemcileri tarayıcıya devretmeyi yerel olarak ele alır, bazıları sistem tarayıcısını açar ve başsız veya komut satırı istemcileri akışı hiç tamamlayamayabilir. Profili yayımlamadan önce kullanıcıların gerçekten çalıştırdığı istemciyle ve gerçekten kullandıkları platformlarda test edin.

Kurtarma mekanizmanın bir parçasıdır

Yukarıdaki her tasarımın, aynı anda tek bir kullanıcı için başarısız olabilecek bir bağımlılığı vardır: erişilemeyen bir posta kutusu, kaybolan bir token, meydan okumayı reddeden bir arka uç, kilitlenmiş bir kimlik sağlayıcı hesabı. Erişimi kimin geri getirebileceğine, hangi desteklenen prosedürle ve talep eden kişinin hangi doğrulamasıyla yapılacağına şimdi karar verin. VPN yolundan ayrı tutulan acil durum yerel yönetici hesabı bir kontroldür; ve açıklanmayan yalnızca parolaya dayalı bir atlatma, keşfedilmeyi bekleyen bir olaydır.

Ardından kurulumdan önce üç oturum açmayı test edin: normal olanı, reddedilen veya süresi dolmuş bir faktörü ve kaybolan bir kimlik doğrulayıcının onaylanmış kurtarılmasını. Her birinin hangi günlükte göründüğünü not edin. O kayıt, «MFA etkin» ifadesini başka birinin işletebileceği bir tasarıma dönüştüren şeydir.

İlgili makaleler