SSL VPN را در FortiGate فعال کنید و آن را به FortiClient (آزمایشگاه رایگان) وصل کنید – 51 Security

1 VPN -> تنظیمات SSL-VPN

اکثر تنظیمات پیش فرض هستند. اما باید یک رابط به لیست شنیداری اضافه کنید. در حالت ایده آل، Listen on Port را به پورتی غیر از 443 تغییر دهید. در این مثال، من از 4443 استفاده می کنم.

توجه: محدوده کاربری پیش فرض تونل فقط 10 آدرس IP است. اگر بیش از 10 عدد دارید، ممکن است بخواهید آنها را با سفارشی کردن محدوده بزرگتر در آنجا افزایش دهید.

2 احراز هویت / نقشه برداری پورتال

همه کاربران/گروه های دیگر را برای دسترسی تونل به پورتال تغییر دهید.

برای دسترسی کامل به پورتال می توانید گروه مدیریت / کاربران داشته باشید.

3 محدوده آدرس های کلاینت SSL VPN

به طور پیش فرض، توسط FortiGate به طور خودکار تنظیم می شود.

در اسکرین شات بالا، از محدوده اختصاص داده شده خودکار استفاده می کند: 10.212.134.200 -10.212.134.210

محدوده را می توان برای مقادیر بیشتر بر اساس استفاده شما سفارشی کرد.

از گواهی سرور Fortinet_Factory استفاده کنید

برای ساده سازی آزمایشگاه تا حد امکان، از گواهی Fortinet_Factory استفاده می کنیم.

با استفاده از Let’s Encrypt می توان به طور مستقیم گواهی خود را ایجاد کرد.

ممکن است هنگام ورود به پورتال با استفاده از گواهی پیش‌فرض، این پیام هشدار گواهی را دریافت کنید، زیرا تأیید نمی‌شود:

سیاست ها و کاربران

1 SSL VPN > LAN

این قانون فایروال به شبکه SSL VPN اجازه دسترسی به شبکه های LAN (داخلی) را می دهد.

شما باید یک رابط ورودی، رابط خروجی، منبع (از جمله کاربران)، مقصد و خدمات را انتخاب کنید. دیگران، شما می توانید آن را به عنوان پیش فرض نگه دارید.

می‌توانید از NAT با یک آدرس رابط خروجی که آدرس IP رابط LAN FortiGate شما است استفاده کنید، یا می‌توانید NAT را به طور کامل غیرفعال کنید.

ورود به سیستم را نیز می توان برای همه جلسات فعال کرد.

در اینجا سیاست فایروال SSL VPN به نظر می رسد:

2 از راه دور کاربران و گروه

یک گروه کاربران راه دور ایجاد کنید. چندین کاربر راه دور را به این گروه اضافه کنید.

3 فایل گزارش ارسال شده را بررسی کنید زیرا ما ورود به سیستم را در تمام جلسات فعال کرده ایم

1 پیکربندی SSL-VPN را ارسال کنید

2 FortiClient را دانلود کنید

https://www.fortinet.com/support/product-downloads

3 FortiClient را نصب کنید

روی فایل نصب‌کننده دانلود شده «FortiClientVPNOnlineInstaller.exe» دوبار کلیک کنید و برای تکمیل نصب، راهنمای نصب را دنبال کنید.

4 FortiClient را برای اتصال به دروازه راه دور FortiGate SSLVPN پیکربندی کنید

مطمئن شوید که آدرس IP عمومی و پورت SSLVPN صحیح را تنظیم کرده اید.

پورتال وب SSL VPN را فعال کنید

توجه: https://community.fortinet.com/t5/FortiGate/Technical-Tip-SSL-VPN-web-mode-showing-403-Forbidden-error/ta-p/297377

FortiGate # show vpn ssl web portal 
config vpn ssl web portal
    edit "full-access"
        set tunnel-mode enable
        set ipv6-tunnel-mode enable
        set web-mode enable
        set ip-pools "SSLVPN_TUNNEL_ADDR1"
        set ipv6-pools "SSLVPN_TUNNEL_IPv6_ADDR1"
    next
    edit "web-access"
        set web-mode enable
    next
    edit "tunnel-access"
        set tunnel-mode enable
        set ipv6-tunnel-mode enable
        set ip-pools "SSLVPN_TUNNEL_ADDR1"
        set ipv6-pools "SSLVPN_TUNNEL_IPv6_ADDR1"
    next
end

FortiGate # 

C:\Users\WDAGUtilityAccount>ping 10.0.3.4

Pinging 10.0.3.4 with 32 bytes of data:
Reply from 10.0.3.4: bytes=32 time=39ms TTL=63
Reply from 10.0.3.4: bytes=32 time=47ms TTL=63
Reply from 10.0.3.4: bytes=32 time=38ms TTL=63
Reply from 10.0.3.4: bytes=32 time=38ms TTL=63

Ping statistics for 10.0.3.4:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
    Minimum = 38ms, Maximum = 47ms, Average = 40ms

C:\Users\WDAGUtilityAccount>tracert 10.0.3.4

Tracing route to 10.0.3.4 over a maximum of 30 hops

  1    33 ms    36 ms    37 ms  10.212.134.200
  2    34 ms    35 ms    34 ms  10.0.3.4

Trace complete.

توجه: تنظیمات لغو آدرس مسیریابی به جدول مسیریابی ماشین Forticlient منتقل می شود.

پس از اتصال Forticlient خود به Fortigate، می توانید آنها را با استفاده از دستور ‘route print’ از پنجره CMD بررسی کنید.

2. یک مسیر به جداول مسیریابی FortiGate خود اضافه کنید.

دروازه، آدرس IP پیش فرض Azure LAN .1 خواهد بود.

3. قانون فایروال در خط مشی FortiGate NAT را در رابط LAN فعال می کند.

این در برخی موارد برای انتقال ترافیک شما از طریق فایروال مهم است.

خط مشی انقضای رمز عبور کاربر محلی SSL VPN

توجه: https://community.fortinet.com/t5/FortiGate/Technical-Tip-Password-expiration-policy-for-SSL-VPN-local-user/ta-p/192723

برای پیکربندی کاربران SSL VPN برای تغییر رمز عبور خود در پایگاه داده کاربر محلی قبل از انقضا

سیاست رمز عبور برای پیکربندی دفعات تمدید رمز عبور (به عنوان مثال، هر 2 روز) و هشداری که معمولاً یک روز قبل از تاریخ انقضا ظاهر می شود، استفاده می شود. سیاست رمز عبور را می توان برای هر رمز عبور کاربر محلی اعمال کرد.

خط مشی رمز عبور را نمی توان برای یک گروه کاربری یا یک کاربر راه دور محلی مانند LDAP/RADIUS/TACACS+ اعمال کرد.

در FortiOS 7.0 به کاربران با توجه به روزهای هشدار تعیین شده هشدار داده می شود و باید قبل از انقضای رمز عبور خود را تمدید کنند که بر اساس روزهای انقضا مشخص شده در خط مشی رمز عبور است. کاربر نمی تواند رمز عبور را بازنشانی کند و باید برای راهنمایی با مدیر FortiGate تماس بگیرد.

در FortiOS 6.2 به کاربران یک روز قبل از تاریخ انقضای رمز عبور هشدار داده می شود و یک روز فرصت دارند تا آن را تمدید کنند. هنگامی که رمز عبور منقضی شده است، کاربر نمی تواند رمز عبور را تمدید کند و باید برای راهنمایی با مدیر FortiGate تماس بگیرد.

در FortiOS 6.0/5.6، یک روز قبل از تاریخ انقضای رمز عبور به کاربران هشدار داده می شود. حتی پس از منقضی شدن رمز عبور، کاربران همچنان می توانند رمز عبور را بازنشانی کنند.

با استفاده از CLI، سیاست های رمز عبور را پیکربندی و تنظیم کنید

دستورات زیر برای پیکربندی خط مشی های رمز عبور که شامل تاریخ انقضا و زمان هشدار است استفاده می شود.

#config خط مشی رمز عبور کاربر
ویرایش “pwpolicy1”
تعیین روزهای انقضا 5
تنظیم روزهای هشدار 3
برای غیرفعال کردن تمدید رمز عبور منقضی شده تنظیم کنید
بعدی

پایان

خط مشی رمز عبور را برای کاربر تازه ایجاد شده تنظیم کنید.

#config کاربر محلی

ویرایش “sslvpnuser1”
تنظیم نوع رمز عبور
تنظیم passwd-policy “pwpolicy1”
تنظیم زمان عبور 2021-11-26 22:46:15
passwd xyz را تنظیم کنید
بعدی
پایان

پس از رسیدن کاربر به روزهای هشدار، هنگام اتصال به SSL VPN با وارد کردن نام کاربری و رمز عبور قدیمی، پیام زیر را دریافت خواهد کرد. برای وارد کردن یک رمز عبور جدید برای همان تغییر مسیر می دهد.

پس از اینکه کاربر رمز عبور خود را تغییر داد، ‘passwd-time‘ دوباره تغییر خواهد کرد.

# پیکربندی کاربر محلی

ویرایش “sslvpnuser1”

تنظیم نوع رمز عبور
تنظیم passwd-policy “pwpolicy1”
تنظیم زمان عبور 2021-11-30 23:34:30 passwd-time تغییر کرده است.
passwd ENC +sddai212= را تنظیم کنید

بعدی

پایان

توجه داشته باشید که تمدید رمز عبور برای کاربران محلی با استفاده از Dial IPSec VPN در حال حاضر پشتیبانی نمی شود.

در مورد قوانین پیچیدگی رمز عبور برای اعمال کاربران SSL VPN، در اینجا اسنادی وجود دارد که می توانیم به آنها اشاره کنیم: