FortiGate: VPN IPsec IKEv2 com FortiToken MFA e utilizadores locais

Resultado validado e âmbito

Teste concluído com sucesso: FortiGate 40F em FortiOS 7.6.8, FortiClient VPN-only em Windows, pedido FortiToken Mobile e estabelecimento da VPN. O utilizador era local da FortiGate, não um utilizador do Active Directory. Não foi validado, nesta experiência, o acesso a hosts da LAN nem a integração LDAP/RADIUS.

1. Requisitos

• FortiGate 40F / FortiOS 7.6.8 e FortiClient VPN-only (7.4.3 utilizado no laboratório).
• Utilizador local na FortiGate, com FortiToken Mobile ativado.
• Grupo de utilizadores próprio, por exemplo VPN_IKEV2_MFA_LAB.
• Pool de endereços VPN que não colida com a LAN.
• Se existir router do ISP antes da FortiGate, redirecionar UDP/500 e UDP/4500 para o IP WAN da FortiGate e confirmar IPv4 público acessível. A porta UDP/1701 não é necessária para IKEv2.
• Backup da configuração e acesso administrativo alternativo.

2. Criar o túnel pela GUI

Em VPN → IPsec Tunnels → Create New → Custom:

Erro observado: o nome VPN_IKEV2_MFA_LAB ultrapassava o limite de 15 caracteres da interface IPsec naquele equipamento. O comando edit falhou e os set seguintes deram Unknown action 0. Corrigiu-se o nome para VPN_IKEV2_MFA.

Configurar o split tunnel apenas para a rede de destino autorizada.

3. Phase 2

Selecionar Tunnel Mode, AES256/SHA256, Replay Detection ativo, PFS DH14, L2TP desativado e lifetime 43200 s. Os seletores locais e remotos 0.0.0.0/0 foram utilizados na negociação dial-up. Seletores amplos não concedem permissões: as políticas de firewall e o split tunnel têm de limitar o acesso.

4. FortiClient

Criar ligação IPsec VPN, com IP público/DDNS do router, a mesma PSK, IKEv2, credenciais solicitadas no login e propostas AES256/SHA256 com DH14 e PFS DH14. Utilizar EAP-MSCHAPv2 (eap_method=1 no cliente testado). Não mudar para EAP-TTLS (eap_method=2) apenas por ativar MFA.

Testar através de uma ligação externa, como um hotspot móvel.

5. Validar a autenticação multifator

Introduzir utilizador/password → receber pedido FortiToken → concluir o desafio → confirmar VPN estabelecida. Só receber o pedido de FortiToken não demonstra sucesso. O laboratório confirmou finalmente a ligação VPN, mas o acesso a equipamentos internos ficou por validar.

Para diagnóstico, consultar Log & Report → Events → VPN Events e, se necessário, recolher um debug curto:

diagnose debug reset
diagnose debug console timestamp enable
diagnose debug application ike -1
diagnose debug enable

Após uma tentativa:

diagnose debug disable
diagnose debug reset

Boas práticas e reversão

Usar grupos dedicados, passwords e PSKs fortes, políticas de menor privilégio e logs. Nunca publicar chaves, OTPs, QR codes, números de série ou informação identificativa. Este procedimento usa contas locais da FortiGate; não demonstra autenticação AD/RADIUS. Para reverter, desativar o túnel e remover apenas os objetos de teste sem dependências.