En este post vamos a ver como autenticarnos a una VPN SSL con un segundo factor de autenticación usando una cuenta de correo electrónico.

• Accedemos a nuestro firewall Fortigate, y nos situamos sobre Usuario y Dispositivo > Definición de Usuario, como podemos ver tenemos el usuario local joseramon.ramos, si lo editamos vemos que pertenece al grupo que tiene acceso a la VPN SSL:

• Vamos a realizar una prueba de conexión a la VPN SSL, para verificar que este usuario puede acceder:

• Si accedemos a Monitor > Monitor SSL-VPN, podemos ver que el usuario está conectado:

• Para configurar el segundo factor de autenticación por correo electrónico, lo primero que tenemos que hacer es configurar el servicio SMTP en nuestro Fortigate, para ello, accedemos a Sistema > Configuración > Email Service y configuramos nuestro servidor SMTP:

• Si accedemos a la CLI y ejecutamos el comando config system email-server, también lo podemos configurar desde aquí, con get obtenemos la configuración realizada:

• La otra configuración que tenemos que realizar para aplicar el segundo factor de autenticación a nuestros usuarios vpn es configurar un Fortitoken por email, pero como podemos ver, a través de la interfaz gráfica es imposible, ya que solo nos da las opciones de FortiToken Mobile y FortiToken Cloud, ambas opciones de pago, si lo configuramos por email no debemos de adquirir ninguna licencia:

• Pues bien, si accedemos, a la CLI podemos configurar el segundo factor de autenticación por correo electrónico, ejecutamos el comando config user local para acceder al modo de configuración de usuarios locales y ejecutando show nos mostrará la información de todos nuestros usuarios:

• Editamos el usuario al que le vamos a configurar el segundo factor de autenticación por email, edit usuario y con get vemos toda la información:

• Si ejecutamos el comando set two-factor y pulsamos la tecla ?, podemos ver las opciones de configuración del segundo factor de autenticación, mucho más completa que con la interfaz gráfica, ya que nos aparece la opción de poder configurar este segundo factor de autenticación por email:

• Con el comando set two-factor email habilitamos el segundo factor de autenticación vía correo electrónico:

• Ejecutando set email-to cuenta de email, le añadimos la cuenta de correo del usuario que será donde se reciban los token para autenticarse contra la VPN SSL:

• Si hacemos un get podemos ver que ya tenemos habilitado el segundo factor de autenticación por correo electrónico:

• Ejecutamos end para finalizar y que se guarden los cambios:

• Si accedemos a la interfaz gráfica ya podemos ver las configuraciones que hemos realizado:

• Ahora vamos a probar el acceso a nuestra VPN SSL con el usuario al que le hemos configurado el segundo factor de autenticación por email, para verificar que todo funciona correctamente, aquí vemos con nos pide el token que se ha enviado por mail:

• Aquí vemos el token recibido por email:

• Lo introducimos en nuestro Forticlient y Aceptamos:

• Como podemos ver ya estamos conectados a la VPN SSL con el segundo factor de autenticación por mail:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como autenticarnos a una VPN SSL con un segundo factor de autenticación usando Fortitoken Mobile.

• Accedemos a nuestro firewall Fortigate, y nos situamos sobre Usuario y Dispositivo > FortiToken, como podemos ver tenemos disponibles dos FortiToken Mobile para usar:

• Para acceder a nuestra VPN SSL lo vamos a realizar con los usuarios del dominio, en este post podemos ver como configurar una VPN SSL de acceso remoto con usuarios del Active Directory
• Lo primero que vamos a realizar será agregar el usuario del Active Directory que se conectará a la VPN SSL con un segundo factor de autenticación usando FortiToken Mobile, para ello, accedemos a Usuario y Dispositivo > Definición de usuario > Crear nuevo:

• Se nos abre este asistente y sobre el Tipo de usuario seleccionamos Usuario Remoto de LDAP:

• Sobre Servidor LDAP seleccionamos el servidor que configuramos en el post VPN SSL de acceso remoto con usuarios del Active Directory:

• Agregamos el usuario que nos interesa, y damos clic a Enviar:

• Como podemos ver, ya tenemos el usuario del Active Directory agregado, ahora damos clic a Editar para configurar las opciones de segundo factor de autenticación sobre el usuario:

• Sobre la edición del usuario, le vamos a añadir una dirección de correo electrónico, sobre esta dirección se va a enviar el código de activación, que más tarde lo usaremos para poner a funcionar la aplicación FortiToken Mobile en nuestro móvil, le vamos a indicar el grupo que tenemos configurado sobre las políticas de acceso de la VPN SSL, habilitamos el check de Autenticación de dos factores, el tipo de autenticación será FortiToken, seleccionamos uno de los Token que tenemos disponibles y marcamos el check para que nos envíe el código de activación por Email a la cuenta indicada, clic sobre OK:

• Como podemos ver aquí tenemos el usuario definido con la Autenticación de doble factor:

• Si volvemos a ir a Usuario y Dispositivo > FortiToken, podemos observar que el estado del Token Móvil que acabamos de configurar para el usuario, está en pendiente, esto significa que debemos de activar el código que nos han mandado por Email en la aplicación FortiToken Mobile (descarga a través de Play Store o App Store) de nuestro Móvil:

• Este es el mensaje que debemos de recibir con el código de activación para FortiToken Mobile, también podemos activar la aplicación a través del código QR que nos han mandado como fichero adjunto:

• Ahora en nuestro móvil abrimos la aplicación FortiToken Mobile y seleccionamos la opción ENTER MANUALLY:

• Accedemos a Fortinet:

• Introducimos el Email de nuestro usuario y el código de activación que nos mandaron al correo, añadimos la cuenta:

• A partir de este momento, se nos van a empezar a generar códigos de 6 dígitos numéricos aleatorios y con un tiempo de caducidad que nos lo marca el círculo azul, estos códigos generados, los que estén válidos por tiempo en ese momento, serán los que utilicemos, para acceder a nuestra VPN SSL configurada en el Fortigate, tenemos por lo tanto el doble factor de autenticación listo para funcionar, el primer factor será el password del usuario y el segundo el Token generado por la aplicación:

• Vamos a probar el acceso a nuestra VPN SSL con doble factor de autenticación a través del cliente FortiClient:

• Como podemos ver ya estamos conectados:

• Si accedemos de nuevo a nuestro Fortigate, sobre la opción Monitor > Monitor SSL-VPN, podemos ver que nuestro usuario está con la conexión activa:

• Si volvemos a ir a Usuario y Dispositivo > FortiToken, podemos observar que el estado del Token Móvil ha pasado de pendiente a Asignado:

Saludos y espero que os resulte de ayuda