[KB3491] 如何配置 Fortinet FortiGate® SSL VPN 设备以便与 ESET 安全身份验证一起使用？

简介

本文介绍了如何配置 Fortinet FortiGate® SSL VPN 设备，以通过 ESA 服务器验证用户身份。在继续之前，请确认您已经安装了 ESET 安全身份验证的 RADIUS 服务器组件，并且可以访问允许外部系统验证用户的 RADIUS 服务。

在 Fortinet FortiGate® SSL VPN 设备使用 ESA 服务器通过 RADIUS 验证用户身份之前，必须在 ESA 服务器上将其设置为 RADIUS 客户端。其次，运行 ESA RADIUS 服务的服务器必须设置为 Fortinet FortiGate® SSL VPN 设备上的 RADIUS 服务器。指定这些配置后，您就可以开始使用 ESA OTP 登录 Fortinet FortiGate® SSL VPN 设备。

步骤 I - RADIUS 客户端配置

要让 Fortinet FortiGate® SSL VPN 设备与 ESA 服务器通信，必须在 ESA 服务器上将 Fortinet FortiGate® SSL VPN 设备配置为 RADIUS 客户端：

1. 登录ESA Web 控制台。
2. 导航至组件 > RADIUS，找到运行 ESA RADIUS 服务的服务器主机名。
3. 单击主机名，然后单击创建新的 Radius 客户端。
4. 在 "基本设置"部分
   1. 给 RADIUS 客户端起一个好记的名字，以便于参考。
   2. 为客户端配置IP 地址和共享密文，使其与 VPN 设备的配置相对应。IP 地址是设备的内部 IP 地址。如果设备通过 IPv6 通信，则使用该 IP 地址以及相关的范围 ID（接口 ID）。
   3. 共享密文是您将在设备上配置的外部验证器的 RADIUS 共享密文。
5. 在 "身份验证"部分应用下图 1-1 所示的设置。

图 1-1

现在已配置 ESA 与 Fortinet FortiGate® SSL VPN设备 通信 。现在您必须配置 Fortinet FortiGate® SSL VPN设备与 ESA 服务器通信。

步骤 II - 为 FortiGate® 设备配置 RADIUS 服务器设置

请按照以下步骤操作：

1. 登录 FortiGate 管理界面。
2. 导航至身份验证 → RADIUS 服务器。
3. 单击创建新服务器。
4. 输入服务器名称（例如，ESA RADIUS）。
5. 输入 ESA RADIUS 服务器的 IP 地址。
6. 输入 RADIUS 服务器使用的共享密文（见图 1-1）。
7. 如果配置了冗余 ESA RADIUS 服务器，请输入辅助服务器信息。
8. 单击确定。

步骤 III - 配置用户组

1. 单击用户并导航至用户组→ 用户组。
2. 单击创建新组（或编辑现有组）。
3. 单击添加并选择在步骤 1-d 中创建的服务器（例如，ESA RADIUS）。
4. 保持选择 "防火墙"和 "允许 SSL VPN 访问"。
5. 单击确定。

第四步 - 测试连接

测试新配置的连接：

1. 导航到通常用于 Fortinet FortiGate 设备 SSL VPN 登录的 URL
2. 输入测试用户的凭据。确保您使用的帐户已启用使用 ESA 的移动应用程序 2FA。提示输入密码时，将移动应用程序生成的 OTP 附加到 AD 密码中。例如，如果用户的 AD 密码为 Esa123，OTP 为 999111，则应输入 Esa123999111。

故障排除

如果无法通过 ESA RADIUS 服务器进行身份验证，请确保已执行以下步骤：

1. 根据 "验证 ESA RADIUS 功能"文档，对RADIUS服务器进行烟雾测试。
2. 如果没有修复故障且仍无法连接，请恢复到不使用 2FA 的现有登录配置，并验证是否能够连接。
3. 如果使用旧设置可以连接，请恢复新设置，并确认 VPN 设备和 RADIUS 服务器之间没有防火墙阻止 UDP 1812。
4. 如果仍然无法连接，请联系 ESET 技术支持。