Jeżeli administrujesz urządzeniami FortiGate, to zapewne już dawno trafiła do Ciebie informacja o ostatecznym wycofaniu modułu SSL VPN ze wszystkich urządzeń tego producenta począwszy od wersji 7.6.3 oprogramowania FortiOS (dla niektórych urządzeń miało to miejsce już wcześniej). Być może, podobnie jak w wielu innych przypadkach, odwlekasz moment aktualizacji swojej jednostki tak długo, jak to tylko możliwe. Jednak w końcu nadejdzie ten dzień, w którym trzeba będzie zmierzyć się z tym wyzwaniem. Co wówczas? Czy będziesz na to przygotowany? Jestem przekonany, że będziesz w stanie zrobić to sprawnie i bezpiecznie, jeśli poświęcisz trochę czasu, aby zapoznać się ze wskazówkami, które chciałbym Ci przekazać.
Spis treści:
Punkt wyjścia – Kopia zapasowa konfiguracji i weryfikacja wersji FortiOS
Podobnie jak w przypadku wprowadzania jakichkolwiek zmian w ustawieniach jednostki FortiGate, tak również teraz, pamiętaj o wykonaniu kopii zapasowej konfiguracji urządzenia. Będzie to Twoja polisa, gdyby jednak zaistniała potrzeba cofnięcia zmian. Jak wykonać automatyczną kopię konfiguracji dowiesz się z jednego z wpisów na naszym blogu (https://www.vida.pl/fortigate-tworzenie-kopii-zapasowej-konfiguracji/).
Nie rób wszystkiego „od zera” - wykorzystaj to, co masz
- z poziomu GUI FortiGate,
- za pomocą CLI,
- z wykorzystaniem narzędzia lub usługi FortiConverter.
Przed przystąpieniem do kreowania tunelu IPsec musimy zmierzyć się z jeszcze jedną z ważniejszych kwestii, jaką jest ustalenie metody autoryzacji użytkowników. Przy połączeniu przez IPsec użytkownicy mogą uwierzytelniać się za pomocą klucza współdzielonego, certyfikatów oraz z wykorzystaniem XAUTH lub EAP. Wybór metody uwierzytelniania będzie jednak determinował wybór wersji protokołu IKE zgodnie z poniższą tabelą. Dodatkowo musisz pamiętać, że FortiClient od wersji 7.4.4 przestaje wspierać IKEv1. Rozważając jego wykorzystanie musisz oprzeć konfigurację o protokół IKEv2.
| Metoda uwierzytelniania | Wersja IKE | Uwagi |
|---|---|---|
|
• Klucz współdzielony • Certyfikaty |
IKEv1 i IKEv2 | Wymagane użycie jednej z dostępnych metod uwierzytelniania |
| • LDAP | IKEv1 i IKEv2 (wymaga EAP-TTLS) | IPsec IKEv1 używa XAUTH, IPsec IKEv2 wymaga EAP |
| • Konta lokalne i RADIUS | IKEv1 i IKEv2 | |
| • SAML | IKEv2 | |
| • Uwierzytelnienie dwuskładnikowe | IKEv1 i IKEv2 | Opcjonalne |
Zajrzyj również do definicji grup, których używałeś dotychczas w konfiguracji SSL VPN zweryfikuj ich typ w kolumnie Group Type, a także sprawdź, czy nie obejmują grup zdalnych, np. z serwera LDAP.
Pracuj mądrze, a nie ciężko
Gdy ustaliliśmy już szczegóły konfiguracyjne możemy przystąpić do utworzenia tunelu IPsec typu Remote Access. Najlepiej zrobić to za pomocą kreatora, odwzorowując ustawienia z konfiguracji SSL VPN. Poniżej wskażę Ci, które ustawienia z konfiguracji SSL VPN odpowiadają tym dotyczącym IPsec.
Podpowiedź: Jeżeli chcesz ustawić więcej niż jeden serwer DNS, np. ten, który był przez Ciebie zadeklarowany jako DNS Server #2 w ustawieniach serwera SSL VPN, po utworzeniu tunelu IPsec musisz zmienić jego konfigurację z poziomu CLI wykonując poniższe instrukcje. Pamiętaj, że możesz w ten sposób podać maksymalnie trzy adresy serwerów DNS.
config vpn ipsec phase1-interface
edit nazwa_tunelu_ipsec
set ipv4-dns-server2 ip_serwera_dns2
set ipv4-dns-server3 ip_serwera_dns3
next
end
Pozostaje jeszcze zdecydować o dodatkowych parametrach konfiguracji tunelu, czyli możliwości zapamiętania hasła, automatycznego zestawiania połączenia czy też jego podtrzymywania, choć te przeznaczone są w większości dla posiadaczy rozwiązania FortiClient EMS, które wymaga odpowiednich licencji.
Kreator wygenerował również potrzebne polityki zapory.
FortiClient w nowych szatach – co się zmienia dla użytkownika?
Ostatnim etapem powinna być weryfikacja i ewentualna korekta ustawień tunelu VPN w odniesieniu do tych zdefiniowanych na jednostce FortiGate, których domyślne wartości mogą różnić się w zależności od wersji aplikacji FortiClient.
