FortiGate VPN MFA: tọ́kẹ̀n ìbílẹ̀, RADIUS tàbí SAML?

Gbogbo àpẹrẹ FortiGate VPN MFA dáhùn ìbéèrè kan kọ́: ta ni ó ń ṣàyẹ̀wò ohun èlò kejì? Ẹnu-ọ̀nà fúnra rẹ̀ lè ṣe é pẹ̀lú tọ́kẹ̀n ìbílẹ̀ tàbí kóòdù tí a fi ímeèlì rán, ẹ̀yìn RADIUS lè fi ipá mú un kí ó sì dá ìpèníjà padà, tàbí olùpèsè ìdánimọ̀ SAML lè gba gbogbo ààtò náà nínú aṣàwákiri. Ọ̀kọ̀ọ̀kan wọ̀nyí ń dá ìtẹ̀lé ìwọlé tó yàtọ̀, àmì ìkùnà tó yàtọ̀ àti ìlànà ìmúpadà tó yàtọ̀, pípèdà blọ́ọ̀kù pàṣẹ láàárín wọn yóò sì dá ìṣètò tó dàbí ẹni pé ó tọ́ tí kò sì ń ṣàyẹ̀wò ẹnikẹ́ni. Àpilẹ̀kọ nípa ẹ̀rọ ni èyí: ohun tí àpẹrẹ kọ̀ọ̀kan ń ṣe ní àkókò ìwọlé, àti ibi tí ó ti ń dá.

Ààtò ìwọlé ni ó pinnu ẹni tí ó ni ohun èlò náà

Nínú àwọn àpẹrẹ méjì àkọ́kọ́, FortiGate ni ẹnìkejì tí ó gbẹ́kẹ̀ lé. Ó ń gba ẹ̀rí ìdánimọ̀, ó ń pinnu bóyá ohun èlò kejì wà ní àìdánilójú, ó sì ń ṣàyẹ̀wò rẹ̀ ní ìbílẹ̀ tàbí nípa pípe nípasẹ̀ ìpèníjà. Nínú àpẹrẹ kẹta, ẹnu-ọ̀nà kò ṣe olùṣàyẹ̀wò mọ́, ó di olùgbéjáde: ó ń darí májẹ́lẹ̀ sí olùpèsè ìdánimọ̀, ó ń gba ìjẹ́rìí, ó sì ń so ìdánimọ̀ tí a jẹ́rìí mọ́ olùlò àti ẹgbẹ́. Nínú àpẹrẹ RADIUS, ó wà ní àárín, ó ń darí ìpààrọ̀ ìbéèrè-ìdáhùn pẹ̀lú ẹ̀yìn tí ó ní ìlànà.

Ìyàtọ̀ yẹn ni ó pinnu irú ẹ̀rí tí o lè gbà. Nígbà tí ẹnu-ọ̀nà bá ṣàyẹ̀wò, àbájáde àtúnṣe rẹ̀ fúnra rẹ̀ sọ ohun tí ó ṣẹlẹ̀. Nígbà tí olùpèsè ìdánimọ̀ bá ṣàyẹ̀wò, ẹnu-ọ̀nà kàn mọ̀ pé ìjẹ́rìí ti dé, ìdáhùn sí “ṣé MFA wà ní àìdánilójú gan-an” wà nínú àkọsílẹ̀ olùpèsè náà, kì í ṣe ti odi iná. Kíkà àkọsílẹ̀ tí kò tọ́ ni ọ̀nà tó wọ́pọ̀ jù láti ṣe àìtọ́ ìwádìí ìgbékalẹ̀ tí ń ṣiṣẹ́ gẹ́gẹ́ bí a ṣe ṣètò rẹ̀. Ìṣẹ́ fúnra rẹ̀ pẹ̀lú ń dín ààtò náà mọ́: FortiOS 7.6.3 yọ ìpò ọ̀nà abẹ́lẹ̀ SSL VPN kúrò fún IPsec, nígbà tí ìpò wẹ́ẹ̀bù ń tẹ̀síwájú gẹ́gẹ́ bí Agentless VPN lórí àwọn àwòrán tí a ṣe àtìlẹ́yìn fún, nítorí náà ààtò tí a fi hàn lórí iṣẹ́ kan kò wà lórí òmíràn lọ́nà aládàáṣe.

Ìṣàyẹ̀wò ìbílẹ̀: àwọn tọ́kẹ̀n àti kóòdù ímeèlì

Àwọn ohun èlò tí FortiGate ń ṣàkóso so mọ́ ohun olùlò. FortiToken tàbí ìsopọ̀ tọ́kẹ̀n tí a kọ sílẹ̀ nílò ìforúkọsílẹ̀, ààtò ìṣàyẹ̀wò tí a ṣe àtìlẹ́yìn fún, ìwé àṣẹ níbi tí ó bá yẹ, àti ìlànà ìrọ́pò. Kóòdù tí a fi ímeèlì rán nílò ọ̀nà SMTP tí ń ṣiṣẹ́ àti àpótí ìfìsẹ́ tí olùlò lè dé kí ọ̀nà abẹ́lẹ̀ tó wà, èyí tí ó jẹ́ ìgbẹ́kẹ̀lé tí kò ní í ṣe pẹ̀lú cryptography rárá ṣùgbọ́n tí ó ní í ṣe pẹ̀lú bóyá ẹnìkan lè wọlé.

config user local
    edit "jdoe"
        set type password
        set two-factor fortitoken
        set fortitoken FTKMOB1234567890
    next
end

Ìfìsẹ́ ímeèlì jẹ́ apá kan ìwàlẹ̀ ìdánimọ̀. Àpótí ìfìsẹ́ tí a kàn lè dé nípasẹ̀ VPN ń dá ìyí tí kò yanjú fún ẹnikẹ́ni, ìdádúró ìfìsẹ́, ìwọ̀n àkókò kóòdù àti àkókò ìdánimọ̀ ọ̀nà jíjìn jẹ́ àwọn ìdíwọ́ mẹ́ta ọ̀tọ̀ọ̀tọ̀. Gbígbé ọ̀kan ga kò tún àpótí ìfìsẹ́ tí kò dé ṣe, àpẹrẹ tí kò tíì dán ìyí náà wò yóò sì rí i ní ìtúnsí ọ̀rọ̀ìpamọ́ àkọ́kọ́ lẹ́yìn ìsinmi.

Àwọn ohun tí a nílò fún ìdánilójú wà níbí pẹ̀lú, kí a tó yan ọjà. NIST SP 800-63B kà ímeèlì sí èyí tí kò yẹ fún ìdánimọ̀ àìsí ìsopọ̀, nítorí náà ìgbékalẹ̀ tí ń sọ pé ó bá ìlànà mu kò lè lo kóòdù ímeèlì gẹ́gẹ́ bí ohun èlò kejì rẹ̀, bó ti wù kí ó rọrùn tó. Ẹ̀rọ kan ní ẹ̀yà kan kì í ṣe ìkéde pé ẹ̀yà yẹn bá ìlànà kan mu.

RADIUS: ẹnu-ọ̀nà béèrè, ẹ̀yìn pinnu

Pẹ̀lú RADIUS, FortiGate ń fi ẹ̀rí ìdánimọ̀ ránṣẹ́ sí ẹ̀yìn tí ó ní ìlànà ohun èlò. Ìpààrọ̀ náà lè jẹ́ gbígba tààrà tàbí kíkọ̀, tàbí ó lè ní ìpèníjà tí májẹ́lẹ̀ gbọ́dọ̀ dáhùn, èyí tí ó túmọ̀ sí pé iṣẹ́ VPN àti májẹ́lẹ̀ méjèèjì gbọ́dọ̀ ṣe àtìlẹ́yìn fún ìrísí ìpèníjà yẹn. Ẹ̀yìn tí ń fi ipá mú ìfọwọ́sí títì àti májẹ́lẹ̀ tí kàn mọ̀ bí a ṣe ń so kóòdù oní-nọ́mbà mẹ́fà mọ́ ọ̀rọ̀ìpamọ́ kò ní pàdé ní àárín.

config user radius
    edit "corp-radius"
        set server "10.10.20.15"
        set secret ENCXXXXXXXX
        set secondary-server "10.10.20.16"
    next
end
diagnose test authserver radius corp-radius pap jdoe <password>

Dán ẹ̀yìn náà wò ní ọ̀tọ̀ọ̀tọ̀ kí o tó dá tunnel lẹ́bi. Bí ìdánwò authserver bá ṣe àṣeyọrí tí ìwọlé VPN kò ṣe, ìyàtọ̀ wà nínú ìmúṣiṣẹ́ ìpèníjà kì í ṣe nínú ẹ̀rí ìdánimọ̀, àtúnṣe ẹ̀rọ ìdánimọ̀ ẹnu-ọ̀nà sì ń fi yẹn hàn:

diagnose debug application fnbamd -1
diagnose debug enable

SAML: aṣàwákiri fi ẹnu-ọ̀nà sílẹ̀

Nínú àpẹrẹ SAML, a ń darí májẹ́lẹ̀ sí olùpèsè ìdánimọ̀, ó ń ṣàyẹ̀wò níbẹ̀, ó sì ń padà wá pẹ̀lú ìjẹ́rìí tí ẹnu-ọ̀nà ń ṣàyẹ̀wò ní ìbámu pẹ̀lú ìbáṣepọ̀ ìgbẹ́kẹ̀lé àti ìsopọ̀ ẹgbẹ́. Ẹnu-ọ̀nà kò rí ọ̀rọ̀ìpamọ́ tàbí ohun èlò kejì rí, èyí tí ó jẹ́ ìlera ààbò àti ìdàpọ̀ ìṣiṣẹ́ ní àkókò kan náà: ìkùnà wà nísinsìnyí nínú àkókò aṣàwákiri tí odi iná kò lè yẹ̀wò.

Gbígba ìjẹ́rìí kò fi hàn pé olùpèsè béèrè MFA fún ìwọlé yẹn. Ìlànà olùpèsè tí ń fi MFA sí àwọn ohun èlò kan tí kò sì fi sí àwọn mìíràn yóò dá ìwọlé tí o béèrè gan-an àti kò sí ìdánilójú tí o rò. Ṣàyẹ̀wò ìlànà olùpèsè fún ohun èlò yìí gan-an, kí o sì ṣàyẹ̀wò pé àwọn ìjẹ́rìí ẹgbẹ́ tí ń so mọ́ àwọn ẹgbẹ́ FortiGate ṣìbá mu lẹ́yìn ìyípadà orúkọ èyíkéyìí ní ẹ̀gbẹ́ méjèèjì.

Àtìlẹ́yìn májẹ́lẹ̀ ṣe pàtàkì níbí ju ibòmíràn lọ. Àwọn májẹ́lẹ̀ VPN kan ń gba ìfàṣẹ́ aṣàwákiri lọ́nà àdánidá, àwọn mìíràn ń ṣí aṣàwákiri ẹ̀rọ, àti àwọn májẹ́lẹ̀ tí kò ní ojú tàbí tí ń lo ìlà pàṣẹ lè má lè parí ìṣàn náà. Dán wò pẹ̀lú májẹ́lẹ̀ tí àwọn olùlò ń lò gan-an, lórí àwọn pẹpẹ tí wọ́n ń lò gan-an, kí o tó tẹ ìlànà náà jáde.

Ìmúpadà jẹ́ apá kan ẹ̀rọ náà

Gbogbo àpẹrẹ tó wà lókè ní ìgbẹ́kẹ̀lé tí ó lè kùnà fún olùlò kan ní àkókò kan: àpótí ìfìsẹ́ tí kò dé, tọ́kẹ̀n tí ó sọnù, ẹ̀yìn tí ó kọ̀ ìpèníjà, àkọsílẹ̀ olùpèsè ìdánimọ̀ tí ó ti kọlọ́. Pinnu nísinsìnyí ẹni tí ó lè mú ìwọlé padà, nípasẹ̀ ìlànà tí a ṣe àtìlẹ́yìn fún wo, àti pẹ̀lú ìṣàyẹ̀wò wo fún ẹni tí ń béèrè. Àkọsílẹ̀ alákóso ìbílẹ̀ pàjáwìrì tí a pa mọ́ kúrò ní ọ̀nà VPN jẹ́ ìkóso; nígbà tí àbáwọlé àìlóye tí ó kàn ní ọ̀rọ̀ìpamọ́ jẹ́ ìṣẹ̀lẹ̀ tí ń dúró láti wá.

Lẹ́yìn náà dán ìwọlé mẹ́ta wò kí ìgbékalẹ̀ tó bẹ̀rẹ̀: èyí tó wà lẹ́sẹ̀, èyí tí a kọ̀ tàbí tí ó ti pẹ́, àti ìmúpadà ohun ìdánimọ̀ tí ó sọnù tí a fọwọ́ sí. Ṣàkọsílẹ̀ àkọsílẹ̀ tí ọ̀kọ̀ọ̀kan ń farahàn nínú. Àkọsílẹ̀ yẹn ni ó ń sọ “MFA ti ṣí” di àpẹrẹ tí ẹlòmíràn lè ṣiṣẹ́.