FortiAuthenticator — RADIUS, TACACS+ и MFA для AD

В курсе вы уже строили Tiering: доступ к критичным ресурсам только с PAW и только для Tier 0. Остался вопрос: как инфраструктура проверяет личность администратора? VPN, вход на сами файрволы, Wi-Fi, коммутаторы — всё это должно аутентифицироваться, желательно через тот же AD и со вторым фактором.

• FortiAuthenticator (FAC) синхронизируется с AD по LDAP(S) и знает пользователей и группы домена.
• Выступает RADIUS-сервером — для VPN, Wi-Fi и 802.1X.
• Выступает TACACS+-сервером — для входа администраторов на сетевые устройства, включая сами FortiGate.
• Добавляет MFA (FortiToken Mobile / push, TOTP, SMS) поверх доменной аутентификации.

Связанные темы курса

• Tiering и PAW — вход администраторов на сетевое оборудование относится к Tier 0 и требует MFA.
• Kerberos против NTLM — здесь пароль проверяется в AD, поэтому слабости паролей из того модуля касаются и VPN.

RADIUS против TACACS+

• Транспорт: RADIUS — UDP, TACACS+ — TCP.
• Шифрование: в RADIUS шифруется только пароль, в TACACS+ — весь payload.
• Применение: RADIUS — VPN/Wi-Fi/802.1X, TACACS+ — вход на сетевые устройства.
• Authorization: в RADIUS ограниченная (атрибуты), в TACACS+ детальная — по командам и ролям.

Схема MFA: пользователь вводит доменные логин и пароль → FAC проверяет их по LDAP в AD → FAC отправляет push в FortiToken на телефон → доступ выдаётся только после подтверждения.

Практика в лаборатории

• Подключение FAC к AD: System → Authentication → Remote Auth. Servers → LDAP → New. Укажите DC, базу поиска DC=corp,DC=local и обычную учётку для чтения (не администраторскую). Затем User Management → User Groups и группа, связанная с CN=NetAdmins.
• RADIUS: на FAC в Authentication → RADIUS Service → Clients → New укажите IP FortiGate и длинный общий секрет.

config user radius
    edit "FortiAuth-RADIUS"
        set server "10.0.0.20"
        set secret <shared-secret>
    next
end

TACACS+ для входа администраторов на FortiGate (и на коммутаторы лаборатории):

config user tacacs+
    edit "FortiAuth-TACACS"
        set server "10.0.0.20"
        set key <shared-secret>
    next
end

config system admin
    edit "netadmin1"
        set remote-auth enable
        set remote-auth-server "FortiAuth-TACACS"
        set accprofile "super_admin"
    next
end

MFA: на FAC включите FortiToken для группы NetAdmins и привяжите первый токен (QR-код в приложении). Для лаборатории FAC включает 2 бесплатных FortiToken Mobile — хватит на пару учёток.

Риски и детектирование

• Общий секрет RADIUS/TACACS+ лежит в конфиге; если он слабый или утёк — можно поднять свой RADIUS-клиент. Храните в менеджере паролей, ротируйте раз в квартал.
• Учётка LDAP на FAC: только чтение нужных OU; события 4624/4648 от неё в нерабочее время — повод разобраться.
• Автоматический fallback на локальный пароль — дыра: атакующий выводит FAC из строя и входит локально. Правильно — break-glass учётка с длинным случайным паролем в сейфе.
• Журналы FAC — отличный источник детектирования: неудачные входы, отклонения push, входы в необычное время. Выгружайте в SIEM.

Митигация

• TACACS+ для всего административного доступа; RADIUS — только для пользовательских сценариев.
• MFA обязателен для NetAdmins и VPN-доступа.
• LDAP-учётка только для чтения, секреты — в сейфе, ротация раз в квартал.
• Break-glass: одна локальная учётка на устройство, пароль в сейфе, использование = инцидент с разбором.