• Casa
• Integrazioni di app
• Integrazioni MFA
• Autenticazione multifattoriale (MFA) per Fortinet Fortigate VPN

Come impostare l'MFA per Fortinet Fortigate VPN?

---

Autenticazione a più fattori o MFA fornisce un ulteriore livello di autenticazione sulla parte superiore della tua Fortinet Fortigate SSL VPN per garantire la sicurezza dell'accesso VPN al tuo client Fortinet. Vari metodi di autenticazione sono disponibili con miniOrange Fortinet FortiGate MFA per proteggere l'accesso all'account utente.

Fortinet VPN fornisce sicurezza di rete ai sistemi dei tuoi utenti e porta in accesso remoto più sicuro alla tua rete interna. L'autenticazione a due fattori utilizzata con Fortinet VPN offre una sicurezza altamente affidabile utilizzando il prodotto miniOrange MFA per un accesso remoto sicuro. RADIUS in Fortinet viene utilizzato per comunicare con miniOrange. Applicare FortiClient MFA durante la configurazione di Fortinet VPN è facile con questa guida dettagliata.

Autenticazione miniOrange 2FA/MFA per l'accesso a Fortinet

miniOrange realizza questo obiettivo agendo come un server RADIUS che accetta il nome utente/password inserito dall'utente come richiesta RADIUS e convalida l'utente rispetto a un archivio utenti come Active Directory (AD). Dopo il primo livello di autenticazione, il soluzione miniOrange MFA Richiede all'utente un secondo fattore di autenticazione e concede o revoca l'accesso in base all'input dell'utente.

1. L'autenticazione primaria inizia con l'invio da parte dell'utente del suo nome utente e della sua password per Fortinet.
2. La richiesta dell'utente agisce come un richiesta di autenticazione al server RADIUS (miniOrange).
3. server RADIUS miniOrange passa le credenziali utente per convalidarle rispetto alle credenziali archiviate in AD (Active Directory)/Database.
4. Una volta convalidato il primo livello di autenticazione dell'utente AD invia la conferma al server RADIUS.
5. Ora il server RADIUS miniOrange richiede un Sfida di autenticazione a due fattori per l'utente.
6. Qui l'utente invia la risposta/codice che riceve sul suo hardware/telefono.
7. Risposta dell'utente viene verificato sul lato server RADIUS di miniOrange.
8. In caso di successo Autenticazione a 2° fattore all'utente viene concesso l'accesso per effettuare il login.

Abilita l'autenticazione a più fattori 2FA/MFA per Fortinet

1. Configurare Fortinet in miniOrange

• Accedi a miniOrange Console di amministrazione.
• Fare clic su Personalizzazione >> Accesso e registrazione Branding nel menu a sinistra della dashboard.
• In Impostazioni di base, impostare il Nome organizzazione come nome custom_domain.
• Clicchi SalvaUna volta impostato, l'URL di accesso con marchio sarà nel formato https://<custom_domain>.xecurify.com/moas/login



• Vai su Appse fare clic su Aggiungi applicazione pulsante.



• In Scegli Applicazione, select RAGGIO (VPN) dal menu a discesa del tipo di applicazione.



• Fare clic su Fortinet scheda applicazione. Se non trovi la tua applicazione clicca su Cliente Raggio scheda applicazione.



• Fare clic su "Visualizza IP RADIUS" per ottenere gli IP del server Radius.



• Copia e salva l'IP del server Radius che sarà necessario per configurare il tuo client Radius.



• Configurare i dettagli seguenti per aggiungere Radius Client.




Nome visualizzato:	Un nome qualsiasi per il tuo riferimento.
IP client:	Indirizzo IP del server VPN che invierà la richiesta di autenticazione Radius.
Segreto condiviso:	Chiave di sicurezza. Per esempio "segretocondiviso" (Tienilo con te, dovrai configurarlo anche sul server VPN).

• Clicchi Avanti.
• Sotto il Mappature degli attributi scheda, abilitare l'interruttore se si desidera inviare attributi personalizzati in risposta.



• Per inviare gruppi in risposta, puoi fare riferimento alla tabella sottostante per gli ID degli attributi del gruppo fornitore.
  

  Nome fornitore	Attributo del fornitore	Tipo di valore	Attributo
  Cisco ASA	Politica_del_gruppo_ASA	Utente	Gruppi
  Fortinet	Nome-gruppo Fortinet	Utente	Gruppi
  palo Alto	Gruppo-utenti-PaloAlto	Utente	Gruppi
  SonicWall	Gruppo utenti Sonicwall	Utente	Gruppi
  Citrix	Gruppi di utenti Citrix	Utente	Gruppi
  Predefinito (può essere utilizzato se il tuo fornitore non è nell'elenco)	ID filtro	Utente	Gruppi

• Il tipo di valore e l'attributo possono essere modificati in base alle esigenze.
• Fare clic su Avanti procedere.
• Accedere a Politiche scheda e fare clic su Aggiungi criterio pulsante.



• Configurare i seguenti dettagli della policy per il client Radius.




Nome del gruppo:	Gruppo a cui si applicherà la politica.
Nome della politica:	Qualsiasi identificatore che specifica il nome della policy.
Primo fattore	Metodo di accesso per gli utenti associati a questa policy.
Abilita autenticazione a 2 fattori	Abilita il secondo fattore durante l'accesso per gli utenti associati a questa policy.
Abilita autenticazione adattiva	Abilita l'autenticazione adattiva per l'accesso degli utenti associati a questa policy.

• Dopo aver configurato i dettagli sopra indicati, fare clic su Invio pulsante.
Nota: Puoi seguire questa guida, se si desidera configurare Radius MFA utilizzando il protocollo MSCHAPv2.

NOTA: Per On-Premise versione seguire i passaggi sottostanti prima di testare la connettività.



Solo per la versione on-premise

Aprire le porte del firewall.

• Per ricevere la richiesta RADIUS è necessario traffico UDP aperto sui porti 1812 e 1813 per la macchina su cui è distribuito On-Premise IdP.
• Se la macchina di hosting è una Windows Macchina allora puoi seguire questo documento.
• Se la macchina di hosting è una Linux Macchina allora puoi seguire questo documento.

NOTA: Se la tua macchina è ospitata su AWS, abilita le porte dal pannello AWS.

2. Configurare RADIUS in Fortinet

• Accedi a Fortinet FortiGate Console di amministrazione per l'applicazione VPN.
• Vai su Utente e dispositivo >> Server RADIUS nella barra di navigazione a sinistra e fare clic su Crea nuovo.



• Qui è necessario configurare il Server RADIUS.



• Per aggiungere il server Radius, configurare i dettagli di seguito.

Nome	Nome appropriatoAd esempio: mo-radius-server
Metodo di autenticazione	Fare clic su Specificare e quindi selezionare PAP nel menu a discesa.
IP/nome del server primario	Per la versione on-premise: IP del server su cui è installato IDP(miniOrange) Per la versione cloud: Utilizza gli IP del server Radius che hai ottenuto da Step1.
Segreto del server primario	Chiave segreta per l'app Fortinet (RADIUS) definita nel passaggio 1
IP/nome del server secondario	Opzionale
Segreto del server secondario	Opzionale

• A Salva queste impostazioni cliccano OK.

Prova la connettività Fortinet Fortigate

• Ora puoi verificare la connettività cliccando su Test connettività.

Crea un gruppo di utenti in Fortinet Fortigate

• NOTA: Se hai un gruppo di utenti esistente, allora aggiungi semplicemente miniOrange Radius Server come server remoto. In caso contrario, segui i passaggi sottostanti.
• Seleziona Utente e dispositivo >> Utente >> Gruppi di utenti.
• Per creare un nuovo gruppo, fare clic su Crea nuovo.



• Seleziona firewall in Tipo. Clicca su Aggiungi nella sezione Gruppo remoto e seleziona Server Radius miniOrange come server remoto.



• Fare clic su Ok.

Configurare la VPN nella Fortigate Admin Console.

VPN IPSec

SSL VPN

• Creare un Tunnel IPSec utilizzando la procedura guidata IPSec se non è stato configurato alcun tunnel. Clicca qui per saperne di più.
• Seleziona VPN >> Tunnel IPSec e seleziona il tunnel IPSec che hai configurato.



• Fare clic su Converti in tunnel personalizzato se il tunnel non è un tunnel personalizzato.



• Fare clic su Modifica pulsante per Autenticazione X .
• Seleziona Server PAP nel menu a discesa Tipo.



• Seleziona il Gruppo di utenti configurato in Fase 4 nel menu a discesa Gruppo utenti.



• Fare clic su Ok.

• Per prima cosa imposta un SSL-VPN. Fai clic Qui. per maggiori informazioni.
• Accedere a Politica e oggetti >> Politica IPV4.
  NOTA: In alcuni casi, ci sarà solo Politica del firewall opzione invece di Politica IPV4
• Crea/modifica la policy relativa alla tua interfaccia SSL-VPN.
• Modifica la Sorgente, aggiungi lo spazio di indirizzamento richiesto e il Gruppo che abbiamo configurato in Fase 4.



• Clicchi OK a applica e salva le impostazioni.
• Successivamente, definiremo l'autenticazione/mappatura del portale.
• Accedere a VPN >> Impostazioni SSL-VPN, quindi vai alla sezione Autenticazione/Mappatura del portale
• Crea una nuova mappatura o modificane una esistente per concedere l'accesso al gruppo utenti del firewall che abbiamo creato in Fase 4.



• Clicchi APPLICA e salva le impostazioni.

Configurare il timeout di Fortinet con il server RADIUS miniOrange

• Predefinito Fortinet Fortigate timeout è 5 secondi, che è insufficiente durante la configurazione di MFA. Dobbiamo riconfigurare il timeout per secondi 30.
• Quindi connettersi alla CLI dell'appliance.
• Ed eseguire i comandi seguenti nella riga di comando: #config system global #set remoteauthtimeout 30 #end

3. Configura la tua directory utente

miniOrange fornisce l'autenticazione utente da varie fonti esterne, che possono essere Directory (come ADFS, Microsoft Active Directory, Microsoft Entra ID, OpenLDAP, Google, AWS Cognito ecc.), Provider di identità (come Okta, Shibboleth, Ping, OneLogin, KeyCloak), Database (come MySQL, Maria DB, PostgreSQL) e molti di piùPuoi configurare la tua directory/archivio utenti esistente o aggiungere utenti in miniOrange.

Imposta AD/LDAP come directory utente

Imposta miniOrange come directory utente

Configura le directory esistenti come Microsoft Active Directory, Microsoft Entra ID, OpenLDAP, ecc.

• Fare clic su Provider di identità >> Aggiungi provider di identità nel menu a sinistra della dashboard.



• In Scegli provider di identità, seleziona Directory AD/LDAP dal menu a discesa.



• Quindi cerca Annuncio pubblicitario/LDAP e fare clic su di esso.



• MEMORIZZA LA CONFIGURAZIONE LDAP IN MINIORANGE: Scegli questa opzione se desideri mantenere la tua configurazione in miniOrange. Se Active Directory è protetto da un firewall, dovrai aprirlo per consentire le richieste in arrivo al tuo dominio Active Directory.
• MEMORIZZA LA CONFIGURAZIONE LDAP IN LOCALE: Scegli questa opzione se vuoi mantenere la tua configurazione nei tuoi locali e consentire l'accesso ad AD solo all'interno dei locali. Dovrai scaricare e installare miniGateway arancione presso la vostra sede.




• Inserisci LDAP Display Nome and Identifier nome.
• Seleziona Tipo di directory as Active Directory.
• Inserisci l'URL o l'indirizzo IP del server LDAP rispetto a LDAP URL del server campo.
• Clicca sul Test di connessione pulsante per verificare se la connessione con il tuo Server LDAP.



• In Active Directory, vai alle proprietà dei contenitori/OU utente e cerca Attributo Nome distintoL'account di associazione deve disporre dei privilegi di lettura minimi richiesti in Active Directory per consentire le ricerche nelle directory. Se il caso d'uso prevede il provisioning (ad esempio, la creazione, l'aggiornamento o l'eliminazione di utenti o gruppi), all'account devono essere concesse anche le autorizzazioni di scrittura appropriate.



• Inserisci la password valida dell'account Bind.
• Clicca sul Test delle credenziali dell'account Bind pulsante per verificare le credenziali LDAP Bind per la connessione LDAP.



• Base di ricerca è la posizione nella directory in cui inizia la ricerca di un utente. Lo otterrai dallo stesso posto in cui hai ottenuto il tuo Distinguished name.



• Seleziona un filtro di ricerca adatto dal menu a discesa. Se utilizzi Utente nel filtro di gruppo singolo or Utente nel filtro multigruppo, sostituire ilgruppo-dn> nel filtro di ricerca con il nome distinto del gruppo in cui sono presenti i tuoi utenti. Per utilizzare il filtro di ricerca personalizzato seleziona "Scrivi il tuo filtro personalizzato" opzione e personalizzarla di conseguenza.



• Clicca sul Avanti pulsante, o vai al Opzioni Login scheda.
• È inoltre possibile configurare le seguenti opzioni durante la configurazione di AD. Abilita Attiva LDAP per autenticare gli utenti da AD/LDAP. Fare clic su Avanti pulsante per aggiungere l'archivio utente.




Ecco l'elenco degli attributi e cosa fa quando li abilitiamo. Puoi abilitarli/disabilitarli di conseguenza.

Attributo	Descrizione
Attiva LDAP	Tutte le autenticazioni utente verranno eseguite con credenziali LDAP se lo attivi
Autenticazione di fallback	Se le credenziali LDAP falliscono, l'utente verrà autenticato tramite miniOrange
Abilita l'accesso dell'amministratore	Abilitando questa opzione, il tuo accesso di amministratore miniOrange si autentica tramite il tuo server LDAP
Mostra IdP agli utenti	Se abiliti questa opzione, questo IdP sarà visibile agli utenti
Sincronizza gli utenti in miniOrange	Gli utenti verranno creati in miniOrange dopo l'autenticazione con LDAP



• Clicca sul Avanti pulsante, o vai al Attributi scheda.

Mappatura degli attributi da AD

• Per impostazione predefinita, sono configurati nome utente, nome, cognome ed email. Scorri verso il basso e clicca su Salva pulsante. Per recuperare attributi aggiuntivi da Active Directory, abilitare Invia attributi configuratiSul lato sinistro, inserisci il nome che desideri rilasciare alle applicazioni. Sul lato destro, inserisci il nome dell'attributo da Active Directory. Ad esempio, se desideri recuperare l'attributo aziendale da Active Directory e inviarlo come organizzazione alle applicazioni configurate, inserisci quanto segue:

  Nome attributo inviato a SP = organizzazione
  Nome attributo da IDP = azienda






• Clicca sul Avanti pulsante, o vai al vettovagliamento scheda.

Importazione e provisioning degli utenti da AD

• Se si desidera impostare il provisioning, clicca qui. per informazioni dettagliate. Per ora salteremo questo passaggio.

Importa i criteri password da Active Directory

• Se desideri importare i criteri password di Active Directory in miniOrange, clicca qui. per informazioni dettagliate. Per ora salteremo questo passaggio.

Connessioni di prova

• Vedrai un elenco di directory sotto Provider di identitàDal menu a discesa, seleziona Directory AD/LDAP, cerca la directory configurata, fai clic sui tre punti accanto ad essa e seleziona Test di connessione.



• Verrà visualizzata una finestra pop-up che ti chiederà di immettere un nome utente e una password per verificare la configurazione LDAP.



• On di risposte positive connessione con il server LDAP, viene visualizzato un messaggio di successo.

Mappatura degli attributi di prova

• Vedrai un elenco di directory sotto Provider di identitàDal menu a discesa, seleziona Directory AD/LDAP, cerca la directory configurata, fai clic sui tre punti accanto ad essa e seleziona Mappatura degli attributi di prova.



• Appare un pop-up in cui inserire un nome utente e cliccare Test.



• Verrà visualizzato il risultato della mappatura degli attributi del test.

La configurazione di Impostazione AD come directory esterna è completata.

Nota: Segnala il nostro guida per configurare LDAP sul server Windows.

• Per aggiungere i tuoi utenti in miniOrange ci sono 2 modi:

1. Crea utente in miniOrange

2. Caricamento in blocco degli utenti

1. Crea utente in miniOrange

• Fare clic su Utenti >> Elenco utenti >> Aggiungi utente.



• Qui, compila i dettagli dell'utente senza la password e poi clicca su Crea utente pulsante.



• Dopo la creazione corretta dell'utente, verrà visualizzato un messaggio di notifica "Un utente finale è stato aggiunto correttamente" verrà visualizzato nella parte superiore della dashboard.



• Fare clic su Scheda Stato di onboardingControlla l'e-mail con l'ID e-mail registrato e seleziona l'azione Invia e-mail di attivazione con collegamento per la reimpostazione della password da Seleziona azione elenco a discesa e quindi fare clic su APPLICA pulsante.



• Ora, apri il tuo ID e-mail. Apri la posta che ricevi da miniOrange e poi clicca su link per impostare la password del tuo account.
• Nella schermata successiva, inserisci la password e conferma la password, quindi fai clic su Reimposta password Single Sign-On (SSO) pulsante.



• Ora puoi accedere all'account miniOrange inserendo le tue credenziali.

2. Caricamento in blocco degli utenti in miniOrange tramite caricamento di file CSV.

• Accedere a Utenti >> Elenco utenti. Fare clic su Aggiungi utente pulsante.



• Registrazione in blocco degli utenti Scarica il formato csv di esempio dalla nostra console e modifichiamo questo file csv seguendo le istruzioni.



• Per caricare in blocco gli utenti, seleziona il file e assicurati che sia in formato file .csv separato da virgole quindi fare clic su Carica.



• Dopo aver caricato correttamente il file csv, vedrai un messaggio di successo con un link.
• Cliccando su quel link vedrai l'elenco degli utenti a cui inviare la mail di attivazione. Seleziona gli utenti a cui inviare la mail di attivazione e clicca su Invia mail di attivazione. Una mail di attivazione verrà inviata agli utenti selezionati.

Creazione di gruppi di utenti (consigliato)

Gruppo di utenti AD

gruppo di utenti miniOrange

• Questa fase prevede l'importazione del gruppo di utenti da Active Directory e il provisioning.
• Vai su vettovagliamento. Passa a Impostazione del provisioning Scheda e seleziona Active Directory dal menu a discesa.



• Seleziona Provisioning/Deprovisioning di gruppo scheda e attiva Importa gruppo opzione.
• Inserire il DN di base per la sincronizzazione del gruppo e fare clic Salva.



• Se vuoi assegnare dinamicamente gli utenti ai gruppi presenti nel miniOrange, allora abilita "Assegna utenti a gruppi"



• Ora passa a Importa gruppi opzione e selezionare Active Directory da cui vuoi importare i tuoi utenti.
• Infine, fai clic su Importare pulsante. Il tuo gruppo verrà importato.




(La configurazione di Active Directory Group Provisioning (Sync) è completata. Ora, ogni volta che un utente viene creato o modificato nel server LDAP e se Assegna utenti ai gruppi è abilitato, l'attributo del gruppo utente dal server LDAP verrà automaticamente sincronizzato e il gruppo utente verrà assegnato o modificato di conseguenza in miniOrange.)

• Seleziona Gruppi >> Gestisci gruppi dal pannello di sinistra.
• Clicca sul Crea gruppo pulsante in alto.



• Inserisci un appropriato Nome gruppo e cliccare su Crea gruppo.



• In questa guida abbiamo creato un Gruppo per nome Gruppo_VPN.
• Assegnare vari membri al gruppo utilizzando il Assegna utente opzione associata al gruppo nell'elenco dei gruppi.



• Seleziona gli utenti che devono essere assegnati a questo gruppo. Quindi seleziona Assegna al gruppo nel menu a discesa Seleziona azione e fare clic sul pulsante Applica.



• Questi gruppi saranno utili per aggiungere più Politiche 2FA sulle applicazioni.

4. Configurazione MFA per Fortinet

• Ecco, lo faremo configurare una politica per il gruppo di utenti che abbiamo creato in questo passo e associarlo all'applicazione Fortinet VPN.
• Fare clic su Norme >> Norme di accesso all'app.



• Fare clic su Aggiungi criterio pulsante.
• Nella sezione Applicazione, seleziona Applicazione RADIUS che abbiamo configurato in precedenza nel passaggio 1.
• Selezionare il gruppo di utenti richiesto in Nome gruppo e inserire il Nome della politica.
• In questa guida configureremo un Solo password politica per "VPN_Group", in modo che solo i membri del VPN_Group possano accedere ai servizi VPN senza un secondo fattore.
• Una volta completate le impostazioni della policy, fare clic su Invio per aggiungere una policy.

5. Prova Fortinet MFA

• Scarica FortiClient da www.forticlient.com.
• Aprire la console FortiClient e andare a Accesso Remoto > Configura VPN.
• Aggiungi una nuova connessione:
• Imposta il nome della connessione.
• Imposta il gateway remoto su .
• Selezionare Personalizza porta e impostarla su 10443.
• Salva le tue impostazioni.
• Accedi a Forticlient e inserisci Nome utente and Password.



• Ti verrà chiesto di Codice del secondo fattore se hai abilitato l'autenticazione a due fattori nella policy miniOrange.



• Inserisci il tuo Codice a 2 fattori e dovresti essere connesso alla VPN.
• NOTA: Durante la configurazione VPN IPSec connessione in FortiClient assicurati di usare il Chiave pre-condivisa del tunnel IPSec che è stato creato ULTIMOFortinet ha problemi se sono presenti più tunnel IPSec a Fortigate Server.
• Dopo aver inserito le credenziali valide, verrà visualizzata la schermata seguente:



• Se inserisci un valore errato verrai reindirizzato alla schermata sottostante.

Troubleshooting

Ulteriori riferimenti

• Cos'è la sicurezza dell'autenticazione a due fattori (MFA) e come funziona?
• Dispositivi di rete infrastrutturali sicuri con MFA
• In che modo miniOrange fornisce l'MFA per tutti i client VPN?
• Che cos'è l'autenticazione adattiva multifattoriale?
• Che cos'è LDAP MFA? Come funziona?
• Conformità alla sicurezza essenziale 8