Fortinet Fortigate SSL VPN

Okta 공식문서

Fortinet Applicance

Fortinet 공식문서

SSL VPN with Okta as SAML IdP

1. Okta-Fortinet Fortigate SSL VPN 인증 과정

사용자는 FortiGate에 SSL VPN Request를 시작합니다.
FortiGate는 브라우저 POST Redirection을 FortiClient로 보냅니다
FortiClient는 SAML 인증 요청을 Okta로 Redirection합니다.
사용자는 자격 증명을 사용하여 Okta에 인증합니다.
Okta는 POST Redirection에 사용자 및 그룹 인증이 포함된 SAML Assertion을 SSL VPN 로그인 페이지로 보냅니다.
FortiClinet는 SAML Assertion이 포함된 Redirection Okta Request를 FortiGate에 보냅니다.
FortiGate는 Assertion을 사용하고 정의된 방화벽 보안 정책을 기반으로 리소스에 대한 접근 권한을 사용자에게 제공합니다.

2. [Okta] Fortinet Fortigate SSL VPN 앱 생성

경로: Okta 관리자 페이지 ➡ Applications ➡ Applications ➡ Create App Integration ➡ SAML 2.0

App name: 사용자 대시보드에 표시될 어플리케이션의 이름을 설정합니다.

Single sign-on URL: https://<FortiGate IP address>:<port>/remote/saml/login/ SAML 로그인 요청 시도 URL (Fortigate IP:Port)
Audience URI(SP Entity ID): https://<FortiGate IP address>:<port>/remote/saml/metadata/SP(service provider)에서 SAML 구성에 대한 Matadata 정보 요청 URL
Application username: VPN 인증을 받을 사용자의 고유 식별 정보 (Email의 @ 기호앞에 고유 식별자를 사용하는 경우 아래와 같이 "Email prefix"로 설정해주시면 됩니다.
Attribute Statements(optional): SAML Assertion에 사용할 Okta 속성 매핑을 정의합니다.

Sign On 탭에서 "View SAML setup instructions"을 클릭하고 해당 페이지를 열어둡니다.

Fortinet에 입력이 필요한 소스값을 복사하고 "Download certificate"를 클릭하여 인증서를 다운받습니다.

3. [Fortigate] SAML 설정

경로: Fortigate 관리자 페이지 ➡ System ➡ Certificates ➡ +Create/Import ➡ Remote Certificate

Okta의 "View SAML setup instructions"에서 다운 받았던 인증서 파일을 업로드합니다.

IdP SAML 구성은 CLI에서만 구성할 수 있기 때문에 CLI 모드에 접속합니다.

CLI 모드에 접속한 후, FortiGate SP 구성을 위해 해당 코드를 입력합니다.

config user saml
    edit "okta-idp"
        set cert "Fortinet_Factory"
        set entity-id "https://10.0.3.254:10443/remote/saml/metadata/"
        set single-sign-on-url "https://10.0.3.254:10443/remote/saml/login"
        set single-logout-url "https://10.0.3.254:10443/remote/saml/logout"
        set idp-entity-id "http://www.okta.com/exk103foxaa8gk5qy4x7"
        set idp-single-sign-on-url "https://fortinet01.okta.com/app/fortinetorg878484_fortigate_1/exk103foxaa8gk5qy4x7/sso/saml"
        set idp-single-logout-url "https://fortinet01.okta.com/app/fortinetorg878484_fortigate_1/exk103foxaa8gk5qy4x7/slo/saml"
        set idp-cert "Okta-IDP_Certificate"
        set user-name "username"
        set group-name "group"
    next
end

SAML 인증 사용자에 대한 그룹을 생성합니다.

그룹 설정 내역을 확인합니다.

구성한 SAML 인증과 그룹에 대하여 SSL-VPN에서 설정합니다.

SSL-VPN 방화벽 정책을 아래와 같이 구성합니다.
아래 구성 정책은 테스트 용도로 Any Allow 구성 정책이며 내부 보안 정책은 별도 적용이 필요합니다.

4. 최종 사용자 경험

FortiClient VPN을 설정합니다.

원격 게이트웨이: VPN 연결 IP를 입력합니다.
- 사용자 정의 포트번호: VPN에 연결할 포트번호를 입력합니다.
Singel Sign On Settings: 아래 2가지 항목을 선택합니다.
- Enable Single Sign On(SSO) for VPN Tunnel
- Use external browser as user-agent for saml user authentication