Fortigate - VPN SSL
[Link]
Fortigate - VPN SSL
VPN con SSL , En este procedimiento se explica cmo configurar una VPN usando SSL para conectarse con un PC cualquiera desde internet a la LAN de la organizacin. Todo el tr fico ir!a encriptado mediante SSL. " tan slo es necesario tener un na#egador compati$le% sin instalar soft&are. Se explican dos partes'
- Configuracin del firewall - AKI - Conexin del cliente VPN en un puesto - AKI
Configuracin de la VPN en el Fortigate, (a) que *acer unas configuraciones mu) sencillas en el +, para permitir este tipo de conexiones% primero% crearemos un usuario ) un grupo- para que luego la autenticacin se *aga con ellos. Luego configuraremos en el +, que se pueda conectar mediante SSL.
Nos logemos en el +,% #amos a crear el usuario para luego conectarnos por VPN. En ./ser. 0 .Local. 0 pulsamos en .Create Ne&..
1 de 14
08/08/2013 13:58
Fortigate - VPN SSL
[Link]
En ./ser Name. ponemos el login para el usuario ) en .Pass&ord. la contrase1a% le damos a .23..
2 de 14
08/08/2013 13:58
Fortigate - VPN SSL
[Link]
A*ora crearemos el grupo% )a que +ortigate no mane4a usuarios. Vamos a ./ser. 0 ./ser 5roup. ) pulsamos so$re .Create Ne&..
3 de 14
08/08/2013 13:58
Fortigate - VPN SSL
[Link]
En .Name. indicamos el nom$re del grupo% por e4emplo' 5rupoVPNssl ) en .T)pe. indicamos que es del tipo .SSL VPN.. En .A#alia$le /sers. seleccionaremos el usuario de la izquierda que nos interese meter en el grupo ) lo pasaremos a la parte de la derec*a pinc*ando en . Le tenemos que permitir que se conecte a la VPN% para ello seleccionamos el c*ec6 de .Ena$le SSL7VPN Tunnel Ser#ice.. " si queremos podemos reestringirle si tiene un anti#irus instalado% o un fire&all. 2 si nos interesa meterle en un rango 8P para cuando el ser#idor 9(CP le #a)a a asignar una 8P. Para que no de pro$lemas por la cac*e% marcar!amos que limpie la cac*:% .Ena$le Cac*e Clean..
4 de 14
08/08/2013 13:58
Fortigate - VPN SSL
[Link]
Vale% #emos que en .SSL VPN. )a sale nuestro grupo. A*ora #amos a configurar la VPN en s!.
5 de 14
08/08/2013 13:58
Fortigate - VPN SSL
[Link]
Para configurar la VPN #amos a .VPN. 0 .SSL.. Tenemos que *a$ilitarla .Ena$le SSL7VPN.% el puerto por defecto es el ;<==>- este ser el puerto al que se tienen que conectar los clientes para poder conectarse% a la 8P p?$lica de la pata ,AN; @o la que seaA. En .Tunnel 8P Bange. indicamos cual ser el rango 8P que le asignar a todos los que se conecten a la VPN @as! que )a no es necesario un ser#idor 9(CPA% ponemos un rango de la LAN. En .Ser#er Certificate. seleccionamos el del +ortigate% ese ) no otro. Para m s seguridad% indicaremos que se requiera por parte del cliente seguridad de ;CD$it marcando .Bequire 6e) 6engt* 0 ;CD$it@*ig*A.. El .8dle Timeout. est $ien como est con ese tiempo. En .9NS Ser#er E;. decimos cual ser el ser#idor que le resuel#a los nom$res 9NS de la LAN% indicamos la 8P del ser#idor 9NS de la LAN. 9amos a .Appl)..
6 de 14
08/08/2013 13:58
Fortigate - VPN SSL
[Link]
A*ora falta crear una pol!tica para permitir estas conexiones% desde .+ire&all. 0 .Polic). 0 ) creamos una nue#a en .Create Ne&..
7 de 14
08/08/2013 13:58
Fortigate - VPN SSL
[Link]
Vale% en la regla esta% configuramos el origen que ser .Source. la .&an;. ) todo ir a mi LAN que es la pata de .internal.. En .Ser#ice. ponemos .AN". para que la VPN no cierre ningun puerto entre los que se conecten. En .Action. *a) que indicarle que es .SSL7VPN.% en .A#aila$le 5roups. indicamos el grupo que *emos creado antes ) lo marcamos como .Allo&ed. con . 9amos a .23. para crear la regla.
8 de 14
08/08/2013 13:58
Fortigate - VPN SSL
[Link]
Compro$amos que nuestra regla est de la ,AN; a la 8NTEBNAL ) en Action pone .SSL7VPN.. Fueno% todo en la parte del fire&all )a est configurado% a*ora slo quedar!a la parte del cliente.
Conexin desde el cliente, En esta parte del documento se explica cmo se tiene que conectar un usuario cualquiera con un na#egador ?nicamente a la red corporati#a mediante la VPN SSL.
9 de 14
08/08/2013 13:58
Fortigate - VPN SSL
[Link]
Lo primero de todo es desde el PC cliente% a$rir un na#egador ) conectarnos a la direccin 8P p?$lica del fire&all usando el protocolo SSL @(TTPSA ) al puerto ;<==>% en mi e4emplo' *ttps'[Link]';<==>. Iediante un a#iso nos indicar que de$emos aceptar el certificado ) tenemos que continuar% en 8nternet Explorer J pulsamos en .Continue to t*is &e$site.% si es otro na#egador es simplemente darle .23. para aceptarlo o .Si..
Vale% a*ora nos pedir un usuario ) una contrase1a% estos ser n los que *emos creado antes% al principio de este documento. Son usuarios del fire&all% pertenecientes al grupo que *emos creado antes llamado .5rupoVPNssl.% un miem$ro de ese grupo era .usuario#pnssl.% metemos su contrase1a ) pulsamos so$re Login. @Si no se quieren usar usuarios del +, ) s! del 9irectorio Acti#o% se puede usar la *erramienta +SAE como se explica AKIA.
10 de 14
08/08/2013 13:58
Fortigate - VPN SSL
[Link]
A$a4o en Tools% podemos conectarnos ?nicamente a ser#icios especificados% si lo que queremos es que no se conecten completamente a la LAN de nuestra red% si no slo #!a &e$ @Connect to ,e$ Ser#erA o simplemente Pings% o Telnes% o VNC o una conexin de escritorio remoto mediante .Bdp to (ost.. Pero en este documento se explica cmo *acer una conexin VPN en s!% as! que pinc*aremos en el lin6 de .Acti#ate SSL7VPN Tunnel Iode..
11 de 14
08/08/2013 13:58
Fortigate - VPN SSL
[Link]
Nos pedir para instalar un control Acti#eH% as! que nos lo instalamos desde la $arra superior% pulsamos en .8nstall Acti#eH Control....
.8nstalar.%
12 de 14
08/08/2013 13:58
Fortigate - VPN SSL
[Link]
Vale% a*ora desde esta pantalla #eremos como est nuestra conexin desde .Lin6 Status.% a*ora est sin conectar @9o&nA% para conectarnos de$emos pulsar en .Connect..
13 de 14
08/08/2013 13:58
Fortigate - VPN SSL
[Link]
Fien% )a pone que la conexin VPN est le#antada .Lin6 Status. @/pA e indica los F)tes en#iados ) reci$idos% )a podremos tra$a4ar con normalidad% podemos minimizar esta &e$ ) tra$a4ar contra la red corporati#a de forma segura usando los recursos que necesitemos% tendremos una 8P de la LAN de la empresa ) podremos acceder a los ser#icios que necesitemos. Si queremos desconectarnos ser!a tan f cil como pulsar .9isconnect..
14 de 14
08/08/2013 13:58
