FortiGate SSL VPN'e Google ve Microsoft Authenticator ile iki faktörlü doğrulama
FortiGate yerel kullanıcılar için iki faktörlü doğrulamayı FortiToken, e-posta veya SMS ile sunar; Google ya da Microsoft Authenticator listede yoktur. Bu uygulamaları kullanmanın standart yolu, şifreyi ve doğrulama kodunu birlikte kontrol eden bir RADIUS sunucusudur. AdeGate bu sunucuyu hazır getirir, ek FortiToken lisansı gerekmez.
FortiGate ekleme, VPN MFA kaydı ve yönetici onaylı VPN girişi, adım adım.
FortiGate'in kendi iki faktörlü doğrulama seçenekleri
FortiOS'ta yerel bir kullanıcıya iki faktörlü doğrulama açıldığında üç yol sunulur:
- FortiToken Mobile veya FortiToken Cloud: Fortinet'in kendi doğrulama uygulaması. Cihazla sınırlı sayıda ücretsiz lisans gelir, daha fazlası için lisans satın alınır.
- E-posta ile kod: FortiGate'te SMTP ayarı gerektirir. Kod, kullanıcının e-posta hesabına bağlıdır; o hesap ele geçirilirse ikinci faktör de ele geçer.
- SMS ile kod: FortiGuard mesajlaşma servisi veya ayrı bir SMS altyapısı gerektirir.
Kullanıcılarınız telefonlarında zaten Google veya Microsoft Authenticator kullanıyorsa, bu seçeneklerin hiçbiri o uygulamayı doğrudan kullanmanıza izin vermez.
RADIUS ile nasıl çalışır?
Fortinet'in de belgelediği yöntem, kullanıcıyı FortiGate'te RADIUS kullanıcısına çevirmektir. Şifre ve kod kontrolünü RADIUS sunucusu yapar:
- Kullanıcı FortiClient'ta kullanıcı adını ve şifresini girer.
- FortiGate isteği RADIUS sunucusuna iletir. Sunucu şifreyi doğrular ve bir sonraki adım için kod ister.
- FortiClient kullanıcıya ikinci bir alan açar, kullanıcı telefonundaki 6 haneli kodu girer.
- RADIUS sunucusu kodu doğrular ve bağlantıya izin verir.
AdeGate ile kurulum
- AdeGate paneline FortiGate'inizi REST API anahtarıyla ekleyin.
- VPN MFA sayfası, FortiGate'te RADIUS sunucusu tanımlı değilse yapıştırmaya hazır komutu gösterir. Komutu FortiGate'te çalıştırın.
- Kullanıcıyı seçip 30 dakika geçerli kayıt linkini gönderin. Kullanıcı QR kodu kendi telefonunda okutur.
- Kayıt tamamlandıktan sonra panelin gösterdiği komutla kullanıcıyı FortiGate'te RADIUS kullanıcısına çevirin.
Bilinmesi gerekenler
- SSL VPN ve IPsec: FortiClient ile hem SSL VPN hem IPsec VPN bağlantılarında çalışır. FortiOS 7.6.3 ile SSL VPN tunnel mode kalktığı için IPsec geçiş rehberine bakın.
- FortiClient gerekir. İşletim sistemlerinin kendi VPN istemcileri ikinci kod alanını göstermez.
- Kapsam: Yerel FortiGate kullanıcıları içindir.
- Kullanıcı sayısı: Free planda 2, Pro'da 25, Enterprise'da 50 VPN kullanıcısı.
- Bir adım daha: İsterseniz koddan sonra yöneticinin onayını da isteyebilirsiniz. Ayrıntılar VPN oturum onayı sayfasında.
Sık sorulanlar
Ek FortiToken lisansı gerekir mi?
Hayır. Kodları kullanıcının telefonundaki Google veya Microsoft Authenticator üretir, doğrulamayı AdeGate'in RADIUS servisi yapar. FortiToken lisansı gerekmez.
Hangi doğrulama uygulamaları desteklenir?
Google Authenticator, Microsoft Authenticator ve standart TOTP kodu üreten diğer uygulamalar.
Kullanıcının VPN grubu veya güvenlik politikaları değişir mi?
Hayır. Kullanıcı nesnesi aynı adla kalır, sadece kimlik doğrulama yöntemi RADIUS olarak değişir. Grup üyelikleri ve politikalar olduğu gibi çalışır.
Doğrulama kodları yöneticinin elinden geçer mi?
Hayır. Yönetici kullanıcıya 30 dakika geçerli, tek kullanımlık bir kayıt linki gönderir. Kullanıcı QR kodu kendi telefonuyla okutur.