Configuración de Fortinet
Configuración del cliente RADIUS.
Creamos un Cliente RADIUS que apunte a la dirección IP de Fortinet.
Configuración de Fortigate:
Una vez dentro de la aplicación de Fortigate, desde la opción User&Authentication elegimos la conexión con RADIUS-Servers.
Seleccionamos Crear Nueva y allí damos nombre y colocamos los datos del servidor NPS en donde ha sido configurado el cliente RADIUS, también creamos un secret.
Luego damos clic en OK.
Seguidamente seleccionamos la pestaña de User Definition, si deseamos agregar a un solo usuario. El primer paso será seleccionar el tipo de usuario, que en este caso Remote RADIUS Users.
El siguiente paso será escribir el nombre de usuario y seleccionar el RADIUS Server que creamos al inicio.
Seleccionamos User Group para crear un grupo a proteger. Elegimos Crear nuevo, Damos un nombre al grupo, elegimos de tipo Firewall, agregamos los miembros al grupo y en la opción de Grupos Remotos agregamos el Radius server creado en uno de los pasos previos.
Le damos a OK dos veces para continuar con la configuración.
Ahora tenemos que ir a la pestaña de VPN, seleccionamos SSL-VPN-Settings.
En la primera casilla seleccionamos el puerto físico en este caso port1. Luego elegimos el puerto que estará a al escucha, en nuestro caso ha sido el 4443.
Para generar el certificado del servidor podemos elegir algunas de las opciones que nos ofrecen en este caso se usó Fortinet_Factory.
Al bajar un poco en la página para continuar con la configuración nos encontramos con la sección de Authentication\ PortalMapping. Allí seleccionamos Create New y en la ventana se que despliega elegimos el grupo que ha sido configurado antes.
Una vez configurada la VPN, nos saltará un mensaje en el que nos indica que debemos crear una
Política de Firewall.
Nos dirigimos a la pestaña de Policy & Objects, luego Firewall Policy y realizamos la siguiente configuración:
Asignamos un nombre a la politica.
En Incoming Interface seleccionamos la interfaz física.
En Outgoing Interface seleccionamos la opción SSL-VPN-tunnel-interface.
En Source seleccionamos la opción de all y también es muy importante seleccionar el grupo que hemos creado.
En Destination seleccionamos la opción de all.
En Service seleccionamos la opción ALL.
Una vez configurados todos estos parámetros, para continuar pulsamos en OK.
El último paso debe de ser configurar el timeout tanto de fortinet como de la conexión de radius a 60 segundos de forma que le de tiempo a los usuarios a completar una autenticación. Para hacer esto, abra una terminal de Fortinet haciendo click en el icono correspondiente en la parte superior derech y escriba:
FG100D3G16xxxxxx # config user group
FG100D3G16xxxxxx (group) # edit <<EL NOMBRE DE TU GRUPO DE USUARIOS PROTEGIDO>>
FG100D3G16xxxxxx (Guest-group) # set authtimeout 60
FG100D3G16xxxxxx (Guest-group) # end
esto permitirá que los usuarios del grupo asociado tengan 60 segundos para autenticarse.
Haga lo mismo para la conexión de RADIUS:
FG100D3G16xxxxxx # config user radius
FG100D3G16xxxxxx (radius) # edit <<YOUR RADIUS CONNECTION NAME>>
FG100D3G16xxxxxx (radius) # set authtimeout 60
FG100D3G16xxxxxx (radius) # end
Uso de Forticlient para comprobar la conectividad.
Nota: Es importante que tanto el servidor NPS, como Fortinet estén iniciados al momento de realizar las pruebas.
Lo primero, al acceder a Forticlient seleccionamos la opción de ACCESO REMOTO.
En la siguiente ventana elegimos la opción de Configurar VPN.
Esta nos desplegará una pantalla donde iremos colocando todos los datos de la VPN, si hemos personalizado el puerto colocamos el puerto que se haya configurado para el acceso, también es importante respetar el mismo patrón de identificación del usuario que se haya establecido en el grupo y en la aplicación del panel de gestión de Ironchip.
Luego de colocar todos los datos necesarios para realizar la conexión, debemos pulsar Guardar.
En la siguiente pantalla tendremos el nombre de la conexión que dimos antes, el nombre del usuario y solo quedaría colocar la contraseña del mismo.
Luego pulsamos en Conectar.
Nota: en este punto es importante tener deshabilitado el Firewall del ordenador, ya que no permite la conexión.
Nos aparecerá una ventana de Alerta de seguridad, leemos lo que nos muestra y damos a la opción Si.
Una vez aceptada, deberá continuar con el proceso de conexión, en este momento recibirás un mensaje para autorizar el acceso mediante la aplicación de Ironchip, al aceptarla se completará el proceso de conexión.
Ya establecida la conexión nos aparecerá una ventana como está con una breve descripción de la conexión:
