[KB3491] Hogyan konfigurálhatom a Fortinet FortiGate® SSL VPN eszközömet az ESET Secure Authentication használatára?

Bevezetés

Ez a cikk azt írja le, hogyan kell konfigurálni egy Fortinet FortiGate® SSL VPN eszközt a felhasználók hitelesítésére egy ESA-kiszolgálóval szemben. A folytatás előtt ellenőrizze, hogy telepítette-e az ESET Secure Authentication RADIUS Server komponensét, és hozzáfér-e a RADIUS szolgáltatáshoz, amely lehetővé teszi a külső rendszerek számára a felhasználók hitelesítését.

Mielőtt a Fortinet FortiGate® SSL VPN eszköz az ESA-kiszolgálót használhatná a felhasználók RADIUS-on keresztüli hitelesítésére, RADIUS-ügyfélként kell beállítani az ESA-kiszolgálón. Ezután az ESA RADIUS szolgáltatást futtató kiszolgálót RADIUS-kiszolgálóként kell beállítani a Fortinet FortiGate® SSL VPN eszközön. Miután ezeket a konfigurációkat megadta, elkezdhet bejelentkezni a Fortinet FortiGate® SSL VPN eszközére az ESA OTP-k használatával.

I. lépés - RADIUS-ügyfél konfigurálása

Ahhoz, hogy a Fortinet FortiGate® SSL VPN eszköz kommunikálhasson az ESA-kiszolgálóval, a Fortinet FortiGate® SSL VPN eszközt RADIUS-ügyfélként kell konfigurálnia az ESA-kiszolgálón:

1. Jelentkezzen be a ESA webkonzolra.
2. Navigáljon a Components > RADIUS webhelyre, és keresse meg az ESA RADIUS szolgáltatást futtató kiszolgáló állomásnevét.
3. Kattintson az állomásnévre, majd kattintson a Új sugárzási ügyfél létrehozása gombra.
4. A Alapbeállítások szakaszban:
   1. Adjon a RADIUS-ügyfélnek egy megjegyezhető nevet a könnyű hivatkozás érdekében.
   2. Állítsa be a IP-címet és a megosztott titkot az ügyfél számára úgy, hogy azok megfeleljenek a VPN-berendezés konfigurációjának. Az IP-cím a készülék belső IP-címe. Ha a készülék IPv6-on keresztül kommunikál, használja ezt az IP-címet és a hozzá tartozó hatókör-azonosítót (interfész-azonosító).
   3. A megosztott titok a RADIUS megosztott titka a külső hitelesítőhöz, amelyet a készüléken konfigurál.
5. A Hitelesítés szakaszban alkalmazza az alábbi 1-1. ábrán látható beállításokat.

1-1. ábra

Az ESA-t most úgy konfigurálták, hogy kommunikálni tudjon a Fortinet FortiGate® SSL VPN eszközzel. Most a Fortinet FortiGate® SSL VPN-t kell konfigurálnia eszközt az ESA-kiszolgálóval való kommunikációra.

II. lépés - A RADIUS-kiszolgáló beállításainak konfigurálása a FortiGate® készülékhez

Kövesse az alábbi lépéseket:

1. Jelentkezzen be a FortiGate admin felületére.
2. Navigáljon a Hitelesítés → RADIUS-kiszolgáló menüpontra.
3. Kattintson az Új létrehozása gombra.
4. Adja meg a kiszolgáló nevét (például ESA RADIUS).
5. Adja meg az ESA RADIUS-kiszolgáló IP-címét.
6. Írja be a RADIUS-kiszolgálóhoz használt megosztott titkot (lásd az 1-1. ábrát).
7. Adja meg a másodlagos kiszolgáló adatait, ha redundáns ESA RADIUS-kiszolgálót konfigurált.
8. Kattintson az OK gombra.

III. lépés - Felhasználói csoport konfigurálása

1. Kattintson a Felhasználó gombra, és navigáljon a Felhasználói csoport → Felhasználói csoport menüpontra.
2. Kattintson az Új csoport létrehozása (vagy egy meglévő csoport szerkesztése) gombra.
3. Kattintson a Hozzáadás gombra, és válassza ki az 1-d lépésben létrehozott kiszolgálót (például ESA RADIUS).
4. Hagyja bejelölve a Tűzfal és az SSL VPN hozzáférés engedélyezése lehetőséget.
5. Kattintson az OK gombra.

IV. lépés - A kapcsolat tesztelése

Az újonnan konfigurált kapcsolat tesztelése:

1. Navigáljon arra az URL-címre, amelyet általában az SSL VPN bejelentkezésekhez használ a Fortinet FortiGate készülékkel
2. Adja meg a tesztfelhasználó hitelesítő adatait. Győződjön meg róla, hogy olyan fiókot használ, amelyben az ESA-t használó mobilalkalmazás 2FA engedélyezve van. Amikor jelszó megadására kérik, a mobilalkalmazás által generált OTP-t csatolja az AD-jelszóhoz. Ha például a felhasználó AD-jelszava Esa123, OTP-je pedig 999111, akkor írja be az Esa123999111 jelszót.

Hibaelhárítás

Ha nem tud az ESA RADIUS-kiszolgálón keresztül hitelesíteni, győződjön meg arról, hogy elvégezte a következő lépéseket:

1. Futtasson egy füstpróbát a RADIUS-kiszolgálóval a "Verifying ESA RADIUS Functionality" dokumentum szerint.
2. Ha a hibák nem lettek kijavítva, és továbbra sem tud csatlakozni, térjen vissza egy meglévő, a 2FA-t nem használó bejelentkezési konfigurációhoz, és ellenőrizze, hogy képes-e csatlakozni.
3. Ha a régi beállításokkal tud csatlakozni, állítsa vissza az új beállításokat, és ellenőrizze, hogy nincs-e olyan tűzfal, amely blokkolja az UDP 1812-t a VPN-eszköz és a RADIUS-kiszolgáló között.
4. Ha továbbra sem tud csatlakozni, forduljon az ESET technikai támogatásához.