Настройка FortiGate

Сценарий взаимодействия FortiGate с Контур.ID

Сотрудник открывает страницу входа в Fortinet FortiGate VPN.
Указывает логин и пароль и нажимает «Войти».
FortiGate по RADIUS-протоколу подключается к RADIUS-адаптеру Контур.ID.
Адаптер проверяет учётные данные пользователя в Active Directory или Network Policy Server и запрашивает второй фактор аутентификации.
Если у сотрудника:
- настроен второй фактор:
  1. в приложении Контур.Коннект приходит push-уведомление или OTP-код на мобильное устройство сотрудника.
  2. сотрудник подтверждает доступ с помощью нажатия кнопки на уведомлении на своем устройстве или вводом OTP-кода на странице Fortinet FortiGate VPN.
- не настроен второй фактор для подтверждения доступа, ему будет предложено пройти регистрацию и произвести настройку.

Двухфакторная аутентификация для бизнеса Контур.ID

Попробовать бесплатно

Шаги, необходимые для настройки двухфакторной аутентификации в FortiGate:

Шаг 1. Создание конфигурации ресурса
Шаг 2. Настройка RADIUS-адаптера
Шаг 3. Настройка RADIUS-сервера FortiGate VPN
Шаг 4. Настройка группы пользователей
Шаг 5. Настройка политики доступа
Шаг 6. Увеличение таймаута ожидания ответа RADIUS-сервера

Шаг 1

Создание конфигурации ресурса

Зайдите в кабинет администратора.
Перейдите в «Ресурсы» и выберите FortiGate.
Добавьте новую конфигурацию.
Заполните настройки:
- Название конфигурации: укажите любое имя, например, Kontur.ID.
- Платформа: укажите операционную систему, на которой будет развернут серверный компонент RADIUS.
- Порт Radius Adapter: укажите порт адреса машины, на которой будет развернут серверный компонент RADIUS.
- Shared Secret: скопируйте и сохраните секрет — он понадобится для настройки FortiGate.
- Основной фактор: укажите Active Directory, OTP-код или Radius.
- Второй фактор: выберите второй фактор — OTP-код или Push/звонок.
- Запрос второго фактора: укажите «У всех» или настройте ограничения по группам пользователей.
- Саморегистрация пользователей: включите или отключите саморегистрацию.
- Домен: укажите домен, в котором серверный компонент RADIUS будет проверять логин и пароль.
Нажмите на кнопку «Сохранить и скачать».

В результате вы получите zip-архив, в котором содержится папка с настройками двухфакторной аутентификации.

Файлы конфигурации уже настроены и готовы к использованию для защиты на второй фактор.

Шаг 2

Настройка RADIUS-адаптера

Для правильной работы добавьте блок ResponseTransformConfiguration с настройками конфигурации в appsettings.json:

Пример добавления блока

// Добавляем ResponseTransformConfiguration
"ResponseTransformConfiguration": {
  "UserGroupsTransformRule": {
    "Attribute": "Fortinet-Group-Name",
    "TransferMode": "Multiple",
    "GroupNameTemplate": "{GroupName}",
    // KnownGroups можно убрать, тогда будет впускать по всем группам
    "KnownGroups": [
      "Group1", //Имя группы, по которой впускает пользователей
      "Group2",
      "Group3"
    ]
  }
}

Шаг 3

Настройка RADIUS-сервера FortiGate VPN

Зайдите в учётную запись FortiGate.
Перейдите в консоль администратора «Admin console».
В боковом меню выберите вкладку «User & Device».
Выберите «Authentication → RADIUS Servers» для изменения настроек RADIUS-сервера или создайте новый сервер.
Заполните настройки:
- Name (произвольное): Kontur.ID_Radius.
- Authentication method: PAP.
- IP/Name: укажите IP сервера, на котором установлен RADIUS-адаптер.
- Secret: скопируйте Shared Secret из панели управления Контур.ID или из файла appsettings.json.

Шаг 4

Настройка группы пользователей

В разделе «User & Device» → «User» → «User Groups» создайте группу пользователей «SSL VPN Users».
Выберите «Type Firewall» и добавьте «Kontur.ID_Radius» в «Remote Servers».
В «GroupName» введите название группы из «Active Directory», которую нужно пропускать. Эта группа указана как значение в файле appsettings.json в блоке ResponseTransformConfiguration в KnownGroups.

Шаг 5

Настройка политики доступа

В разделе «Policy & Objects» → «Policy» → «IPv4» создайте новую политику для доступа пользователей SSL VPN к внутренней сети или измените существующую.
Заполните настройки:
- Incoming interface: ssl.root (SSL VPN interface).
- Source Users: SSL VPN Users.

Шаг 6

Увеличение таймаута ожидания ответа RADIUS-сервера

Для аутентификации через PUSH-уведомления увеличьте время ожидания ответа RADIUS-сервера. Для этого откройте консоль (CLI) и выполните команды:

# config system global
    set remoteauthtimeout 60
end


# config user radius
    edit Kontur.ID_Radius
        set timeout 60
end

Настройка двухфакторной аутентификации в FortiGate VPN завершена.