[KB3491] Como faço para configurar meu dispositivo Fortinet FortiGate® SSL VPN para uso com o ESET Secure Authentication?

Introdução

Este artigo descreve como configurar um dispositivo Fortinet FortiGate® SSL VPN para autenticar usuários em um servidor ESA. Antes de continuar, verifique se você instalou o componente Servidor RADIUS do ESET Secure Authentication e se pode acessar o serviço RADIUS que permite que sistemas externos autentiquem usuários.

Antes que o dispositivo Fortinet FortiGate® SSL VPN possa utilizar o Servidor ESA para autenticar usuários via RADIUS, ele deve ser configurado como um cliente RADIUS no Servidor ESA. Em seguida, seu servidor que executa o serviço ESA RADIUS deve ser configurado como um servidor RADIUS no dispositivo Fortinet FortiGate® SSL VPN. Depois que essas configurações forem especificadas, você poderá começar a fazer login no dispositivo Fortinet FortiGate® SSL VPN usando ESA OTPs.

Etapa I - Configuração do cliente RADIUS

Para permitir que o dispositivo Fortinet FortiGate® SSL VPN se comunique com o servidor ESA, você deve configurar o dispositivo Fortinet FortiGate® SSL VPN como um cliente RADIUS no servidor ESA:

1. Faça login no Console da Web da ESA.
2. Navegue até Componentes > RADIUS e localize o nome do host do servidor que está executando o serviço ESA RADIUS.
3. Clique no nome do host e, em seguida, clique em Create New Radius Client (Criar novo cliente Radius).
4. Na seção Basic Settings (Configurações básicas)
   1. Dê ao cliente RADIUS um nome memorável para facilitar a referência.
   2. Configure o endereço IP e o segredo compartilhado para o cliente de modo que correspondam à configuração do seu dispositivo VPN. O endereço IP é o endereço IP interno de seu dispositivo. Se o seu dispositivo se comunicar via IPv6, use esse endereço IP junto com o ID de escopo relacionado (ID de interface).
   3. O segredo compartilhado é o segredo compartilhado RADIUS para o autenticador externo que você configurará no seu dispositivo.
5. Na seção Authentication (Autenticação ), aplique as configurações mostradas na Figura 1-1 abaixo.

Figura 1-1

O ESA agora foi configurado para se comunicar com o dispositivo Fortinet FortiGate® SSL VPN . Agora você deve configurar o dispositivo Fortinet FortiGate® SSL VPN para se comunicar com o servidor ESA.

Etapa II - Definir as configurações do servidor RADIUS para seu dispositivo FortiGate

Siga as etapas abaixo:

1. Faça login na interface de administração do FortiGate.
2. Navegue até Authentication → RADIUS Server (Autenticação → Servidor RADIUS).
3. Clique em Create New (Criar novo).
4. Digite um nome para o servidor (por exemplo, ESA RADIUS).
5. Digite o endereço IP de seu servidor ESA RADIUS.
6. Digite o segredo compartilhado que você usou para o servidor RADIUS (consulte a Figura 1-1).
7. Digite as informações do servidor secundário, se você tiver configurado um servidor ESA RADIUS redundante.
8. Clique em OK.

Etapa III - Configurar um grupo de usuários

1. Clique em User (Usuário ) e navegue até User Group → User Group (Grupo de usuários).
2. Clique em Create New (ou edite um grupo existente).
3. Clique em Add e selecione o servidor criado na etapa 1-d (por exemplo, ESA RADIUS).
4. Deixe Firewall e Permitir acesso SSL VPN selecionados.
5. Clique em OK.

Etapa IV - Testar a conexão

Para testar a conexão recém-configurada:

1. Navegue até a URL que você normalmente usa para logins de VPN SSL com seu dispositivo Fortinet FortiGate
2. Insira as credenciais do seu usuário de teste. Certifique-se de que esteja usando uma conta com o aplicativo móvel 2FA usando ESA ativado. Quando for solicitada uma senha, anexe o OTP gerado pelo aplicativo móvel à sua senha do AD. Por exemplo, se o usuário tiver uma senha do AD de Esa123 e uma OTP de 999111, você deverá digitar Esa123999111.

Solução de problemas

Se você não conseguir se autenticar por meio do servidor ESA RADIUS, verifique se executou as etapas a seguir:

1. Execute um teste de fumaça em seu servidor RADIUS, conforme o documento "Verificação da funcionalidade do ESA RADIUS".
2. Se nenhuma falha tiver sido corrigida e você ainda não conseguir se conectar, reverta para uma configuração de login existente que não use a 2FA e verifique se você consegue se conectar.
3. Se você conseguir se conectar usando as configurações antigas, restaure as novas configurações e verifique se não há nenhum firewall bloqueando o UDP 1812 entre o dispositivo VPN e o servidor RADIUS.
4. Se ainda não conseguir se conectar, entre em contato com o suporte técnico da ESET.