Certificaatgebaseerde MFA op Fortigate

Exporteer uw ADCS root CA-certificaat (alleen openbare sleutel)

Exporteer het openbare certificaat van uw ADCS root CA vanaf elke domeinwerkstation.

Vind het in Certificaten - Huidige gebruiker → Vertrouwde hoofd-certificeringsinstanties.

Exporteer het als een .cer / Base-64-certificaat (geen privésleutel).

Importeer de root CA in FortiGate

Importeer uw root CA-certificaat in Systeem → Certificaten → Maken/Importeren → CA-certificaat.

Voor de duidelijkheid raden we aan het geïmporteerde certificaat een andere naam te geven (standaard genaamd Ca_Cert_X waarbij X een nummer is) zodat het een meer betekenisvolle naam krijgt. Open hiervoor de opdrachtregelinterface van FortiGate en voer de volgende opdrachten in:

config vpn certificate ca
rename Ca_Cert_X to ADCS_Cert

Het certificaat zou dan onder zijn nieuwe naam moeten verschijnen.

Maak een user peer (PKI) aan die het certificaat aan LDAP koppelt

U verwijst naar deze user peer vanuit uw SSL-VPN-authenticatieregel.

Vervang:

• ADCS_Cert door de naam van uw geïmporteerde CA (de hernoeming hierboven).

• <LDAP_SERVER_NAME> door de naam van het FortiGate LDAP-serverobject uit Gebruikers & Authenticatie → LDAP-servers.

config user peer
    edit pki01
        set ca ADCS_Cert
        set ldap-server <LDAP_SERVER_NAME>
        set ldap-mode principal-name
    next
end

config user peer
    edit pki01
        set ca ADCS_Cert
        set mfa-mode subject-identity
        set mfa-server <LDAP_SERVER_NAME>
    next
end

Maak een AD-groep voor certificaatgebruikers aan

Om de uitrol van MFA onder uw medewerkers te vergemakkelijken, raden we aan een nieuwe Active Directory-groep aan te maken. Hiermee kunt u gebruikers geleidelijk migreren van de groep "VPN zonder certificaat" naar de groep "VPN met certificaat". Maak deze nieuwe groep in uw Active Directory-domein aan met de "Active Directory-gebruikers en computers" tool. In het onderstaande voorbeeld hebben we deze genoemd "NOMADE_CERT":

Maak de FortiGate-gebruikersgroep aan die aan de AD-groep is gekoppeld

Maak een nieuwe Gebruikersgroep onder Gebruikers & Authenticatie → Gebruikersgroepen.

Stel in:

• Externe server = uw LDAP-object

• Groepsnaam = NOMADE_CERT (of uw gekozen AD-groep)

Koppel de gebruikersgroep aan uw SSL-VPN-portaal

In SSL-VPN-instellingen, koppel de nieuwe groep aan het gewenste portaal.

Open de FortiGate-CLI opnieuw en voer het volgende commando in:

conf vpn ssl settings
conf authentication-rule
show

De lijst met bestaande koppelingen zou dan moeten worden weergegeven, zoals in het onderstaande voorbeeld:

U moet nu de nieuw aangemaakte koppeling identificeren. In dit voorbeeld is dat nummer 4, gekoppeld aan de groep NOMADE_CERT.

Voer de volgende opdrachten in (vervang 4 door uw koppelings-ID):

edit 4
set client-cert enable
set user-peer pki01
end
show

Daarna zou u de bijgewerkte lijst met koppelingen moeten zien:

Gebruikers in het AD-domein die behoren tot NOMADE_CERT moeten nu een geldig gebruikerscertificaat presenteren om verbinding te maken.

Test vanuit FortiClient

Werk op een werkstation dat lid is van het domein het FortiClient VPN-profiel bij:

Selecteer het certificaat dat aan uw gebruiker is gekoppeld (hier "stoik_test") in het "Client-certificaat" veld: