En este post vamos a ver como configurar una VPN IPSEC de acceso remoto en un firewall Fortigate, con este tipo de VPN usando el protocolo IPSec nos podemos conectar desde cualquier equipo con conexión a Internet hacia nuestra red interna, dónde todo el tráfico irá encriptado.

• Lo primero que vamos a realizar será, crear los usuarios locales que accederán a través de la VPN:

• Para una correcta administración, los usuarios que nos hemos creado anteriormente los vamos a anidar en un grupo:

• Una vez creados los usuarios y grupos, vamos a crearnos el túnel IPSec, para ello, accedemos a VPN > Túneles Ipsec > Crear nuevo > IPsec Tunnel:

• Sobre Configuración de VPN, le indicamos un nombre y seleccionamos Acceso remoto, Siguiente:

• Sobre Autenticación, le indicamos la interface de entrada, el método de autenticación por llave compartida y el grupo de usuario, este grupo lo eliminaremos de la configuración de las fases más tarde, ya que las políticas de acceso irán configuradas con grupos y no sería necesario, Siguiente:

• Sobre Política y Enrutamiento, vamos a configurar esta política, que más tarde vamos a eliminar, ya que iremos aplicando políticas más granulares y restrictivas, habilitamos el Split Tunnel, esto hará que los usuarios que se conecten a la VPN, tengan la salida a Internet por su propia conexión y no por la nuestra, Siguiente:

• Sobre Opciones de cliente, le indicamos que guarde la contraseña, y habilitamos el Keep Alive, Crear:

• Aquí nos indica todo lo que hemos configurado, damos a Mostrar la lista de túnel:

• Vemos el túnel IPsec que nos ha creado, damos a Editar:

• Convertimos a túnel personalizado:

• Para la parte de Red, configuramos estos parámetros:

• Para la parte de Autenticación, configuramos lo siguiente:

• Para la propuesta de la fase 1, configuramos estos parámetros:

• Para XAUTH, aquí es donde quitamos el grupo que configuramos al crear el túnel, y para el Grupo de Usuarios, le indicamos que los herede de las políticas:

• Para los Selectores de fase 2, configuramos estos parámetros, damos a OK:

• Aquí tenemos ya el túnel IPsec configurado de modo personalizado:

• Antes de seguir, vamos a explicar, estos dos objetos que se han creado al crear la VPN IPsec.
• Uno de ellos es, ipsecra_range, este objeto es para asignar las direcciones IPs de los equipos que se conecten a nuestra VPN PIsec de acceso remoto:

• El otro es, ipsecra_split, este objeto es un grupo de direcciones que actúa como una «lista blanca» de destinos, su función principal es decirle al cliente VPN (FortiClient) qué tráfico debe enviar obligatoriamente a través del túnel y cuál debe ignorar para que salga por su conexión local a Internet.
• Cuando habilitamos el Split Tunneling (Túnel Dividido), el comportamiento es el siguiente:
• Si el destino está en el objeto ipsecra_split, el FortiClient enruta ese tráfico por la VPN.
• Si el destino NO está ahí, el FortiClient lo envía por la puerta de enlace predeterminada del usuario (su internet doméstico).

• También podemos ver, que en la interface de red que le indicamos al túnel VPN IPsec, nos ha creado esta interface virtual:

• Para terminar de configurar la VPN IPsec de acceso remoto, debemos de crear las reglas o políticas para que los equipos que se conecten a través de la VPN, tengan acceso a las redes internas configuradas en nuestro firewall, voy a mostrar sólo una de ellas ya que para las demás sería exactamente igual, editamos la regla que se nos creó al crear el túnel IPsec:

• Con esto ya tendríamos configurada y operativa nuestra VPN IPsec de acceso remoto, ahora desde cualquier equipo con conexión a internet, le instalaremos el Forticlient y configuraremos los parámetros de la VPN IPsec para conectarnos desde cualquier lugar del mundo a las redes internas de nuestra infraestructura, dónde todo el tráfico irá encriptado mediante IPsec:

• Como podemos ver ya estamos conectados y nos está sirviendo una dirección IP del rango que habíamos configurado:

• Aquí vemos el túnel levantado:

• Desde el Monitor IPsec de nuestro Fortigate podemos ver los usuarios conectados a través de la VPN:

• Desde la opción VPN > VPN Location Map podemos ver desde que parte del mundo se están conectando los usuarios que hemos creado y configurado para nuestra VPN IPsec de acceso remoto:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como autenticarnos a una VPN SSL con un segundo factor de autenticación usando una cuenta de correo electrónico.

• Accedemos a nuestro firewall Fortigate, y nos situamos sobre Usuario y Dispositivo > Definición de Usuario, como podemos ver tenemos el usuario local joseramon.ramos, si lo editamos vemos que pertenece al grupo que tiene acceso a la VPN SSL:

• Vamos a realizar una prueba de conexión a la VPN SSL, para verificar que este usuario puede acceder:

• Si accedemos a Monitor > Monitor SSL-VPN, podemos ver que el usuario está conectado:

• Para configurar el segundo factor de autenticación por correo electrónico, lo primero que tenemos que hacer es configurar el servicio SMTP en nuestro Fortigate, para ello, accedemos a Sistema > Configuración > Email Service y configuramos nuestro servidor SMTP:

• Si accedemos a la CLI y ejecutamos el comando config system email-server, también lo podemos configurar desde aquí, con get obtenemos la configuración realizada:

• La otra configuración que tenemos que realizar para aplicar el segundo factor de autenticación a nuestros usuarios vpn es configurar un Fortitoken por email, pero como podemos ver, a través de la interfaz gráfica es imposible, ya que solo nos da las opciones de FortiToken Mobile y FortiToken Cloud, ambas opciones de pago, si lo configuramos por email no debemos de adquirir ninguna licencia:

• Pues bien, si accedemos, a la CLI podemos configurar el segundo factor de autenticación por correo electrónico, ejecutamos el comando config user local para acceder al modo de configuración de usuarios locales y ejecutando show nos mostrará la información de todos nuestros usuarios:

• Editamos el usuario al que le vamos a configurar el segundo factor de autenticación por email, edit usuario y con get vemos toda la información:

• Si ejecutamos el comando set two-factor y pulsamos la tecla ?, podemos ver las opciones de configuración del segundo factor de autenticación, mucho más completa que con la interfaz gráfica, ya que nos aparece la opción de poder configurar este segundo factor de autenticación por email:

• Con el comando set two-factor email habilitamos el segundo factor de autenticación vía correo electrónico:

• Ejecutando set email-to cuenta de email, le añadimos la cuenta de correo del usuario que será donde se reciban los token para autenticarse contra la VPN SSL:

• Si hacemos un get podemos ver que ya tenemos habilitado el segundo factor de autenticación por correo electrónico:

• Ejecutamos end para finalizar y que se guarden los cambios:

• Si accedemos a la interfaz gráfica ya podemos ver las configuraciones que hemos realizado:

• Ahora vamos a probar el acceso a nuestra VPN SSL con el usuario al que le hemos configurado el segundo factor de autenticación por email, para verificar que todo funciona correctamente, aquí vemos con nos pide el token que se ha enviado por mail:

• Aquí vemos el token recibido por email:

• Lo introducimos en nuestro Forticlient y Aceptamos:

• Como podemos ver ya estamos conectados a la VPN SSL con el segundo factor de autenticación por mail:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como asignar perfiles de Endpoints a Grupos de equipos de Active Directory.

• El primer perfil se lo vamos a asignar a los controladores de dominio, para ello, accedemos a Endpoints > Domains > Midominio > Domain Controllers y le asignamos el perfil correspondiente:

• Le indicamos que Si:

• Como podemos ver, el instalador de Forticlient, está pendiente de ser desplegado sobre uno de nuestros controladores de dominio:

• Aquí vemos que Forticlient se ha desplegado correctamente sobre nuestro controlador de dominio:

• El segundo perfil se lo vamos a asignar a los servidores, para ello, accedemos a Endpoints > Domains > Midominio > Servidores y le asignamos el perfil correspondiente:

• Le indicamos que Si:

• Aquí vemos que Forticlient se ha desplegado correctamente sobre nuestros servidores:

• Si accedemos al Dashboard > Forticlient Status podemos ver que tenemos ocupadas 7 de las 10 licencias de las que disponemos:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como crear perfiles de Endpoints y seleccionar un instalador de FortiClient.

• Accedemos a Endpoint Profiles > Manage Profiles > Add:

• Le indicamos un nombre al perfil, en este caso, SERVIDORES, sobre la pestaña Deployment activamos el check, le indicamos el instalador que se va a instalar sobre los servidores, una hora para la tarea y que reinicie la máquina cuando nosotros se lo digamos, también debemos de introducir unas credenciales con permisos de administrador:

• Sobre la pestaña Antivirus habilitamos el check para la protección, y los demás parámetros los dejamos todos por defecto, excepto la tarea para el escaneo que la programamos semanalmente:

• Sobre la pestaña Web Filter habilitamos el check del filtrado web y lo dejamos por defecto:

• Sobre la pestaña Firewall habilitamos el check y las notificaciones, bloquemos las categorías que nos interesen:

• Sobre la pestaña VPN deshabilitamos el check ya que los servidores no se van a conectar a ninguna VPN:

• Sobre la pestaña Vulnerabity Scan lo dejamos todo por defecto:

• Sobre la pestaña System Settings configuramos un password para que los usuarios no puedan cambiar la configuración y deshabilitamos que no se puedan desregistrar del EMS, clc en Save para guardar los cambios:

• Como podemos ver aquí tenemos el perfil creado:

• Ahora vamos a crear otro exactamente igual para los Controladores de dominio:

• Crearemos otro exactamente igual para los equipos, pero en este caso sobre la pestaña VPN habilitamos el check y le vamos a dejar configurada la VPN SSL de nuestra infraestructura:

• Con esto ya tendríamos todos los perfiles que nos interesan creados.

Saludos y espero que os sea de ayuda

En este post vamos a ver como añadir un instalador de Forticlient Endpoint a nuestro servidor de Forticlient Enterprise Management Server.

• Accedemos a Profile Components > Manage Installers > Add:

• Se nos abrirá este asistente, y sobre la opción General le asignamos un nombre, descripción, le indicamos la versión y el update de la versión, clic sobre Next:

• Sobre la opción de Features seleccionamos las características para nuestro instalador, clic sobre Next:

• Sobre la opción de Advanced seleccionamos que nos habilite, configurar FortiClient para conectar automáticamente la telemetría a EMS o FortiGate, después de que FortiClient se instale en el punto final. Si deshabilitamos esta función, entonces, requieren que los usuarios finales se conecten manualmente a la telemetría del EMS o FortiGate, también habilitamos los accesos directo sobre los equipos:

• Sobre la opción de Telemetry nos indica que los Forticlient Endpoint serán administrados por nuestro servidor de Forticlient EMS:

• Aquí podemos ver el instalador que acabamos de configurar:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como añadir nuestro dominio de Active Directory para descubrir los equipos de nuestra infraestructura, para más tarde, poder hacerles el despliegue de los Forticlient Endpoint.

• Para ello, accedemos a Endpoints > Manage Domains > Add:

• Introducimos los datos de nuestra AD, a través del puerto LDAP 389, que autentique con uno de los usuarios del dominio que hemos creado para este servicio, y que sincronize con el AD cada 15 minutos, clic sobre Test para verificar que conecta:

• Como podemos ver el Test ha sido satisfactorio, clic sobre Save para guardar los cambios:

• Aquí vemos que está conectado a nuestro Active Directory y ha encontrado 29 dispositivos:

• Si nos situamos sobre Endpoints > Domains, podemos ver toda la estructura del árbol LDAP de nuestro dominio de Active Directory, dónde ya podemos ver los equipos a los que les vamos a desplegar los Forticlient Endpoints, una vez tengamos configurados los perfiles:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como configurar cuentas de usuario de nuestro Active Directory para el acceso al Forticlient Enterprise Management Server.

• Para configurar los accesos a la consola de Forticlient EMS con usuarios de nuestro Active Directory, debemos de configurar en primera instancia el acceso a nuestro Active Directory a través del puerto LDAP 389, con uno de los usuarios autenticados de nuestro domino (ldapsearch), accedemos a Administration > User Server, configuramos los parámetros de nuestro AD y Save para guardar los cambios:

• El siguiente paso sería añadir los usuarios del Active Directory con los permisos de acceso que nos vayan interesando, para ello, accedemos a Administration > Administrators > Add:

• Aquí podemos elegir el usuario que nos interese de nuestro Active Directory y asignarle los permisos que creamos conveniente:

• En nuestro caso, voy a seleccionar el siguiente usuario y le voy a asignar permisos de Super Administrador:

• Aquí podemos ver el usuario agregado desde nuestro Active Directory:

• Ahora vamos a probar algunas de las configuraciones que hemos realizado, por ejemplo, vamos a acceder a la consola de Forticlient EMS vía web (HTTPS) con el usuario del Active Directory:

Saludos y espero que os sea de ayuda

En este post vamos a ver como configurar Forticlient Enterprise Management Server en modo Standalone, esta sería la topología que estamos utilizando:

El modo Standalone o autónomo no requiere un FortiGate y no es compatible con el control de acceso a la red (NAC). En modo autónomo EMS despliega el software FortiClient en los puntos finales, y los puntos finales de FortiClient conectan la telemetría al EMS para recibir información de configuración de EMS. En el modo autónomo, se utiliza EMS para desplegar, configurar y monitorear los puntos finales de FortiClient.

La otra forma de configurar Forticlient EMS es integrándolo con un firewall Fortigate, esta sería la topología:

El modo integrado requiere un FortiGate y soporta NAC. En el modo integrado, EMS despliega el software FortiClient en los puntos finales y conectan la telemetría con el FortiGate para recibir las reglas de cumplimiento. FortiClient Endpoint también se conectan al EMS para ser manejados. Después de que los FortiClient Endponit se conectan, las reglas de cumplimiento son descargadas del FortiGate al Endpoint, desde EMS también se podría desplegar un perfil de información de configuración de FortiClient Endpoint.

FortiClient utiliza las reglas de cumplimiento de FortiGate para comunicar si el punto final cumple con las normas. Si un punto final no cumple las normas, se comunican los pasos necesarios para mantener el cumplimiento.

En nuestro caso vamos a montar el modo Standalone, por lo que vamos a seguir estas pautas que serán los post que iremos haciendo:

• Forticlient EMS – Configurar cuentas de usuario del Active Directory
• Forticlient EMS – Añadir dominio Active Directory y descubrir Endpoints
• Forticlient EMS – Añadir un instalador FortiClient a EMS
• Forticlient EMS – Crear perfiles de Endpoint y seleccionar un instalador de FortiClient
• Forticlient EMS – Asignar perfiles de Endpoints a Grupos de equipos de Active Directory

Saludos y espero que os sea de ayuda

En este post vamos a ver como configurar los puertos que utiliza Forticlient EMS en un Firewall Fortigate 50E, esto lo debemos configurar si en nuestra infraestructura tenemos la red segmentada en distintas subredes, así los equipos que se encuentren en una subred distinta a la del Forticlient EMS se puedan comunicar con él, en esta tabla se muestran los puertos utilizados por Forticlient EMS, que serán los que configuremos como servicios en el firewall Fortigate y aplicaremos a las políticas o reglas de filtrado.

• Iniciamos sesión en nuestro Fortigate 50E, y lo primero que vamos a realizar será crearnos una nueva categoría de Servicios dónde dejaremos bien ordenados todos los puertos o servicios que utiliza Forticlient EMS, para ello, nos vamos a Políticas y Objetos > Servicio > Crear nuevo > Categoría:

• Le indicamos un nombre y una descripción, OK:

• Aquí podemos ver la nueva categoría creada:

• Ahora siguiendo la tabla que os he puesto al principio del post vamos a configurar el primer puerto o servicio, para ello, accedemos a Políticas y Objetos > Servicio > Crear nuevo > Servicio:

• Le indicamos un nombre, categoría, tipo de protocolo y puerto de destino, clic sobre OK:

• Para los demás servicios, los configuramos de igual forma siguiendo la tabla, nos quedaría por tanto, de la siguiente manera:

• Una vez que tenemos creados los servicios los vamos a agrupar en dos grupos distintos, ya sean de entrada o de salida, al grupo de entrada lo vamos a llamar ForticlientEMS_IN y al de salida ForticlientEMS_OUT, de nuevo seguiremos la tabla propuesta por Fortinet para realizar estas configuraciones.

• Nos creamos el primer grupo de servicios FoticlientEMS_IN, para ello, accedemos a Políticas y Objetos > Servicio > Crear nuevo > Grupos de servicios:

• Le indicamos un nombre, descripción y los miembros o servicios que lo conforman, clic en OK:

• Nos creamos el segundo grupo de servicios FoticlientEMS_OUT, para ello, accedemos a Políticas y Objetos > Servicio > Crear nuevo > Grupos de servicios:

• Le indicamos un nombre, descripción y los miembros o servicios que lo conforman, clic en OK:

• Como podemos ver, aquí tenemos los dos grupos de servicios creados y configurados:

• Ya tenemos, por tanto, los servicios y grupos de servicios listos para poder aplicarlos en nuestras políticas de filtrado, os voy a mostrar un ejemplo de un servidor llamado WDSMDT que está ubicado en una subred distinta de la que se encuentra nuestro servidor de Forticlient EMS, por lo tanto, necesito acceso de entrada a los servicios de Forticlient EMS, para ello, nos creamos una nueva política en Políticas y Objetos > Política IPv4 > Crear nuevo:

• Configuramos la nueva política con el grupo de servicios que configuramos anteriormente:

• Como podemos ver aquí tenemos la nueva política creada:

• Para verificar que desde el servidor WDSMDT podemos acceder a los puertos del Forticlient EMS que hemos configurado en las políticas del firewall, nos abrimos una consola de PowerShell con permisos de administrador y ejecutamos los siguientes comandos, Test-NetConnection nombremaquina –port numeropuerto, y como podemos observar los accesos son corrcetos:

Saludos y espero que os resulte de ayuda

En este post vamos a ver las configuraciones iniciales de Forticlient Enterprise Management Server (EMS).

• Antes de comenzar con las configuraciones iniciales de Forticlient EMS, en el servidor DNS de nuestra infraestructura, vamos a crear un registro del tipo CNAME, para acceder con el nombre de fortclientems a la consola web:

• Una vez que estamos en la consola de Forticlient EMS, lo primero que vamos a realizar, es el cambio de password a la cuenta admin, para ello, accedemos a Administration > Administrators seleccionamos el usuario admin y cambiamos Password:

• Ahora vamos a configurar el acceso a la consola de Forticlient EMS a través de acceso remoto vía web por HTTPS, para ello, accedemos a System Settings > Server > Shared Settings y configuramos estos parámetros:

• Sobre las mismas configuraciones en System Settings > Server > EMS Settings configuramos los parámetros para las descargas del Forticlient en los equipos clientes, clic en Save para guardar los cambios:

• Le indicamos que siga con el proceso:

• Vamos a configurar también el servidor de correos SMTP para el envío de correos electrónico a nuestra cuenta de soporte, para ello, accedemos a System Settings > SMTP Server, configuramos los parámetros de nuestro servidor SMTP, enviamos un mail de prueba y guardamos los cambios en Save:

• Aquí podemos ver el mail que hemos mandado de prueba para verificar que todo está correcto:

• Sobre System Settings > EMS Alerts configuramos las alertas sobre EMS, que queremos que se nos notifiquen a la cuenta de correo soporte que hemos configurado en el SMTP Server, clic sobre Save para guardar los cambios:

• Sobre System Settings > Endpoint Alerts configuramos las alertas sobre los Endpoint, que queremos que se nos notifiquen a la cuenta de correo soporte que hemos configurado en el SMTP Server, clic sobre Save para guardar los cambios:

Saludos y espero que os sea de ayuda

En este post vamos a ver como instalar Forticlient Enterprise Management Server (EMS) sobre MS Windows Server 2019.

Antes de comenzar, debemos asegurarnos de que los puertos y servicios requeridos están habilitados para su uso por FortiClient EMS y sus aplicaciones asociadas en nuestro servidor. Los puertos y servicios requeridos permiten a FortiClient EMS comunicarse con los puntos finales y los servidores que ejecutan las aplicaciones asociadas. No es necesario habilitar los puertos 8013 y 10443 ya que la instalación de FortiClient EMS los abre.

En las siguientes tablas podemos ver los puertos y servicios:

• Comenzamos con la instalación de Forticlient EMS, ejecutamos el instalador Online y cómo podemos ver empieza a descargar la aplicación Forticlient EMS:

• Aceptamos el EULA, clic sobre Install:

• Comienza el proceso de instalación:

• Como podemos ver la instalación ha finalizado correctamente, clic sobre cerrar:

• Una vez finalizada la instalación, nos va a aparecer en el escritorio del servidor un acceso directo a la consola de Forticlient Enterprise Management Server:

• Damos doble clic e introducimos las credenciales por defecto, dónde el usuario es admin y el password va en blanco:

• Este es el aspecto de la consola de Forticlient EMS:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como instalar y configurar Forticlient Enterprise Management Server.

Forticlient, es una plataforma de protección de endpoints integrada que proporciona protección automatizada contra amenazas de próxima generación, visibilidad y control de inventario de software y hardware en toda la infraestructura.

Forticlient EMS es una consola de administración central de FortiClient, desde la cual podemos configurar, implementar y administrar los clientes de Forticlient, desde esta consola se integrarán los Endpoint con Security Fabric, podremos escanear las vulnerabilidades y aplicar parches, tendremos un inventario de software junto con un resumen de alertas y amenazas.

Este post lo vamos a dividir en varias partes:

• Instalación Forticlient Enterprise Management Server sobre MS Windows Server 2019
• Configuraciones iniciales Forticlient Enterprise Management Server
• Configuración de puertos Forticlient EMS en Firewall Fortigate
• Forticlient EMS modo Standalone
• Forticlient EMS – Configurar cuentas de usuario del Active Directory
• Forticlient EMS – Añadir dominio Active Directory y descubrir Endpoints
• Forticlient EMS – Añadir un instalador Forticlient a EMS
• Forticlient EMS – Crear perfiles de Endpoints y seleccionar un instalador FortiClient
• Forticlient EMS – Asignar perfiles de Endpoints a Grupos de equipos de Active Directory

Saludos y espero que os resulte de ayuda

En este post vamos a ver como autenticarnos a una VPN SSL con un segundo factor de autenticación usando Fortitoken Mobile.

• Accedemos a nuestro firewall Fortigate, y nos situamos sobre Usuario y Dispositivo > FortiToken, como podemos ver tenemos disponibles dos FortiToken Mobile para usar:

• Para acceder a nuestra VPN SSL lo vamos a realizar con los usuarios del dominio, en este post podemos ver como configurar una VPN SSL de acceso remoto con usuarios del Active Directory
• Lo primero que vamos a realizar será agregar el usuario del Active Directory que se conectará a la VPN SSL con un segundo factor de autenticación usando FortiToken Mobile, para ello, accedemos a Usuario y Dispositivo > Definición de usuario > Crear nuevo:

• Se nos abre este asistente y sobre el Tipo de usuario seleccionamos Usuario Remoto de LDAP:

• Sobre Servidor LDAP seleccionamos el servidor que configuramos en el post VPN SSL de acceso remoto con usuarios del Active Directory:

• Agregamos el usuario que nos interesa, y damos clic a Enviar:

• Como podemos ver, ya tenemos el usuario del Active Directory agregado, ahora damos clic a Editar para configurar las opciones de segundo factor de autenticación sobre el usuario:

• Sobre la edición del usuario, le vamos a añadir una dirección de correo electrónico, sobre esta dirección se va a enviar el código de activación, que más tarde lo usaremos para poner a funcionar la aplicación FortiToken Mobile en nuestro móvil, le vamos a indicar el grupo que tenemos configurado sobre las políticas de acceso de la VPN SSL, habilitamos el check de Autenticación de dos factores, el tipo de autenticación será FortiToken, seleccionamos uno de los Token que tenemos disponibles y marcamos el check para que nos envíe el código de activación por Email a la cuenta indicada, clic sobre OK:

• Como podemos ver aquí tenemos el usuario definido con la Autenticación de doble factor:

• Si volvemos a ir a Usuario y Dispositivo > FortiToken, podemos observar que el estado del Token Móvil que acabamos de configurar para el usuario, está en pendiente, esto significa que debemos de activar el código que nos han mandado por Email en la aplicación FortiToken Mobile (descarga a través de Play Store o App Store) de nuestro Móvil:

• Este es el mensaje que debemos de recibir con el código de activación para FortiToken Mobile, también podemos activar la aplicación a través del código QR que nos han mandado como fichero adjunto:

• Ahora en nuestro móvil abrimos la aplicación FortiToken Mobile y seleccionamos la opción ENTER MANUALLY:

• Accedemos a Fortinet:

• Introducimos el Email de nuestro usuario y el código de activación que nos mandaron al correo, añadimos la cuenta:

• A partir de este momento, se nos van a empezar a generar códigos de 6 dígitos numéricos aleatorios y con un tiempo de caducidad que nos lo marca el círculo azul, estos códigos generados, los que estén válidos por tiempo en ese momento, serán los que utilicemos, para acceder a nuestra VPN SSL configurada en el Fortigate, tenemos por lo tanto el doble factor de autenticación listo para funcionar, el primer factor será el password del usuario y el segundo el Token generado por la aplicación:

• Vamos a probar el acceso a nuestra VPN SSL con doble factor de autenticación a través del cliente FortiClient:

• Como podemos ver ya estamos conectados:

• Si accedemos de nuevo a nuestro Fortigate, sobre la opción Monitor > Monitor SSL-VPN, podemos ver que nuestro usuario está con la conexión activa:

• Si volvemos a ir a Usuario y Dispositivo > FortiToken, podemos observar que el estado del Token Móvil ha pasado de pendiente a Asignado:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como configurar nuestra VPN SSL de acceso remoto para que los usuarios del Active Directory se conecten a nuestras redes internas, en este link de este mismo blog podéis ver como se configura una VPN SSL de acceso remoto.

• Lo primero que vamos a realizar será crearnos el siguiente grupo en nuestro Active Directory, en este grupo vamos a ir añadiendo los usuarios que posteriormente se van a conectar a la VPN:

• Ahora vamos a acceder a nuestro Fortigate, y vamos a configurar el LDAP para que se pueda conectar al árbol de directorios del Active Directory, para ello nos vamos a Usuario y Dispositivo > LDAP > Crear nuevo:

• Realizamos las siguientes configuraciones, le indicamos un Nombre, la IP o nombre del servidor, en este caso le indicamos el nombre del dominio, puerto por el que se va a conectar al árbol de directorio LDAP, en este caso 389 que es el puerto de Active Directory para LDAP, le indicamos el Id Common name y el distinguised name, necesitamos un usuario del dominio para conectarnos al árbol LDAP, por lo que le indicamos el usuario y password, como podemos ver al probar la conexión esta todo correcto:

• Este es el usuario que nos hemos creado para realizar la conexión del Fortigate al LDAP del Active Dirtectory:

• Ahora en el Fortigate vamos a crear el grupo de acceso a la VPN, para ello accedemos a las opciones de Usuario y Dispositivo > Grupos de Usuario > Crear nuevo:

• Le indicamos un Nombre y Tipo, y agregamos un Grupo Remoto que será el grupo que hemos creado en el Active Directory:

• Seleccionamos el Servidor Remoto que configuramos anteriormente y añadimos el grupo del Active Directory Gvpn:

• Como podemos ver ya está correctamente agregado:

• Ahora, este grupo remoto que acabamos de crear tenemos que mapearlo al portal de la VPN-SSL, para ello, nos vamos a VPN > Configuración de SSL-VPN > Autenticación/mapeo del portal y lo agregamos como full-access:

• Para terminar, debemos de crear y configurar las reglas o políticas, para que los usuarios se conecten a las redes internas a través de la VPN configurada en el firewall, para ello, nos vamos a Políticas y Objetos > Política IPv4 > Crear nuevo:

• Creamos la regla o política para una de nuestras redes internas:

• Ahora desde un equipo remoto con el Forticlient instalado y conexión a Internet, vamos a verificar que el usuario testvpn se puede conectar a nuestra red interna:

• Desde el Monitor SSL-VPN de nuestro Fortigate podemos ver los usuarios conectados a través de la VPN:

• Desde la opción VPN > VPN Location Map podemos ver desde que parte del mundo se están conectando los usuarios que hemos creado y configurado para nuetra VPNSSL de acceso remoto:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como configurar una VPN SSL de acceso remoto en un firewall Fortigate, concretamente con el modelo FG 50E, con este tipo de VPN usando SSL nos podemos conectar desde cualquier equipo con conexión a Internet hacia nuestra red interna, dónde todo el tráfico irá encriptado mediante SSL.

• Lo primero que vamos a realizar será crearnos un objeto – dirección que incluirá todo el rango de direcciones IP que usaremos para los equipos que se conecten a través de esta VPN, para ello lo crearemos desde Políticas y Objetos > Dirección > Crear nuevo > Dirección:

• Ahora nos vamos a crear los usuarios locales que accederán a través de la VPN:

• Para una correcta administración los usuarios que nos hemos creado anteriormente los vamos a anidar en un grupo:

• Una vez creados los usuarios y grupos, vamos a configurar los portales SSL-VPN, por defecto, vienen creados estos tres, nosotros vamos a editar el portal full-access:

• Nos quedaría configurado de la siguiente manera:

• Ahora configuramos la VPN-SSL, con los siguientes parámetros:

• Para terminar de configurar la VPNSSL de acceso remoto, debemos de crear las reglas o políticas para que los equipos que se conecten a través de la VPN, tengan acceso a las redes internas configuradas en nuestro firewall, voy a mostrar sólo una de ellas ya que para las demás sería exactamente igual:

• Como podemos ver aquí las tenemos todas creadas:

• Como nuestra conexión a Internet se encuentra a través de un router FTTH haciendo las funciones de NAT, debemos mapear el puerto que hemos utilizado para la VPNSSL (10443) hacia nuestro Fortigate:

• Con esto ya tendríamos configurada y operativa nuestra VPNSSL de acceso remoto, ahora desde cualquier equipo con conexión a internet, le instalaremos el Forticlient y configuraremos los parámetros de la VPNSSL para conectarnos desde cualquier lugar del mundo a las redes internas de nuestra infraestructura, dónde todo el tráfico irá encriptado mediante SSL:

• Como podemos ver ya estamos conectados y nos está sirviendo una dirección IP del rango que habíamos configurado:

• Desde el Monitor SSL-VPN de nuestro Fortigate podemos ver los usuarios conectados a través de la VPN:

• Desde la opción VPN > VPN Location Map podemos ver desde que parte del mundo se están conectando los usuarios que hemos creado y configurado para nuetra VPNSSL de acceso remoto:

Saludos y espero que os resulte de ayuda

En los próximos post vamos a hablar sobre la instalación, configuración y administración de servidores en un entorno con Microsoft Windows Server 2016, los iremos entregando “poquito a poco”, en esta serie de post empezaremos por lo básico, como puede ser la instalación del sistema operativo, más adelante instalaremos y configuraremos muchos de sus roles y características como pueden ser, Active Directory, DNS, DHCP, Servidor de ficheros, Servidor de impresión, WSUS, RDS, etc…; también montaremos una infraestructura de correo empresarial con MS Exchange 2016, veremos como implementar una suite de seguridad para empresas con los productos de Fortinet, concretamente con Forticlient Enterprise Management Server, y bueno, seguro que se me van ocurriendo más instalaciones y configuraciones para añadir a esta infraestructura.

La topología que hemos configurado y desarrollado sería la siguiente, esta topología seguramente irá cambiando a medida que vayamos añadiendo servidores, según los roles y características que en cada momento necesitemos:

Explicaremos un poco esta topología, tendremos una oficina central situada en Madrid y cuatro oficinas remotas (Barcelona, Valencia, Bilbao y Sevilla) que conectamos a través de VPN con la sede central en Madrid.

El direccionamiento IP utilizado será el siguiente:

• Para la sede principal en Madrid: 192.168.5.0/24 (Inside), 192.168.14.0/24 (Outside), 192.168.3.0/24 (DMZ)
• Para la sede remota en Barcelona: 192.168.6.0/24
• Para la sede remota en Valencia: 192.168.7.0/24
• Para la sede remota en Bilbao: 192.168.8.0/24
• Para la sede remota en Sevilla: 192.168.9.0/24

Este post lo vamos a dividir en: (en esta parte iremos añadiendo los artículos a medida que los vayamos realizando)

• Ediciones, licenciamiento y requisitos mínimos del sistema MS Windows Server 2016
• Instalación MS Windows Server 2016 – Administrador del servidor
• Controlador de dominio sobre MS Windows Server 2016, DNS y DHCP
• Organización de Active Directory sobre MS Windows Server 2016
• Organización Sitios Y Servicios de Active Directory sobre MS Windows Server 2016
• Agregar un controlador de dominio adicional sobre MS Windows Server 2016
• Administración de directivas de grupo (GPO) sobre Microsoft Windows Server 2016
• GPO para delegar tareas administrativas del Active Directory a otros Administradores de sistemas
• Instalación y configuración de un Servidor de Ficheros en MS Windows Server 2016
• ………………………………………………………………………………

Saludos y espero que os guste, ya que estos artículos, me van a llevar horas planificarlos y realizarlos