Configurar VPN IKEv2 no FortiGate com LDAP e EAP-TTLS

Objetivo

Implementar uma VPN de acesso remoto IKEv2, autenticada com Pre-Shared Key (PSK) no gateway e com utilizadores da Active Directory (AD) através de LDAP e EAP-TTLS/PAP. Os acessos internos são determinados pelos grupos AD e pelas políticas da FortiGate.

Este procedimento descreve uma implementação funcional. Os exemplos foram anonimizados; as opções concretas dependem das versões do FortiOS e FortiClient.

Segurança: PSK + palavra-passe não é automaticamente autenticação multifator. MFA, verificação de certificados e rotação da PSK devem ser tratados separadamente.

Topologia de referência

Windows + FortiClient VPN 7.4.3
     | IKEv2 UDP/500 e NAT-T UDP/4500
     v
FortiGate — VPN IPsec dial-up
     | EAP-TTLS e LDAP
     v
Active Directory
     +-- VPN-App-Users  -> servidores e serviços autorizados
     +-- VPN-CCTV-Users -> serviços CCTV autorizados

Pool VPN de exemplo: 10.253.200.10–10.253.200.254

Pré-requisitos

• Interface WAN com UDP/500 e UDP/4500 acessíveis.
• Servidor LDAP/LDAPS e respetivos certificados de confiança, se aplicável.
• Grupos de utilizadores FortiGate associados aos grupos de segurança AD.
• Objetos de rede para o pool VPN, DNS interno, destinos permitidos e split tunnel.
• FortiClient com suporte à modalidade de EAP-TTLS utilizada.
• Método de recuperação de configuração e janela de alteração aprovada.

1. Criar a VPN IKEv2 no FortiGate

Parâmetros da implementação observada:

Estes algoritmos refletem o cenário documentado; para novas implementações, reveja as propostas criptográficas suportadas e as recomendações atuais da Fortinet.

Exemplo parcial, não preparado para execução direta sem adaptação:

config vpn ipsec phase1-interface
    edit "VPN-IKEV2-USERS"
        set ike-version 2
        set eap enable
        set eap-identity send-request
        set mode-cfg enable
        set proposal aes256-sha256
        set dhgrp 14
        set keylife 86400
        set psksecret <SET-SECURELY-IN-DEVICE>
    next
end

É necessário configurar também a interface, o pool Mode Config, DNS, destinos de split tunnel, NAT-T, Phase 2 e restantes definições exigidas pelo firmware. Nunca coloque a PSK real num ficheiro público.

2. Autenticação e grupos Active Directory

Configure o servidor LDAP no FortiGate, valide a comunicação e associe cada grupo remoto AD a um grupo de utilizadores FortiGate. Utilize um grupo por perfil funcional para aplicar privilégios mínimos.

Exemplo de política:

Policy:           Allow_VPN_App
Source interface: VPN-IKEV2-USERS
Source address:   VPN_CLIENT_POOL
Source user group: VPN-App-Users
Destination:      APP-SERVER
Service:          APP-REQUIRED-PORTS
Action:           ACCEPT
NAT:              Disabled unless explicitly required
Logging:          All sessions

Crie outra política para a rede CCTV ou para outros destinos, sem conceder acesso generalizado a toda a LAN. Confirme o caminho de retorno do pool VPN e evite permissões abrangentes por defeito.

3. Configurar EAP-TTLS no FortiClient

No FortiClient 7.4.3 utilizado, o método EAP-TTLS/PAP corresponde a <eap_method>2</eap_method>, no bloco <ike_settings>.

<ike_settings>
    <version>2</version>
    <eap_method>2</eap_method>
    <!-- Retain the rest of this connection's validated IKE settings. -->
</ike_settings>

Isto é um fragmento XML e não um ficheiro de configuração completo. Altere apenas uma exportação válida e preserve a restante estrutura.

No Windows do cenário observado, a configuração efetiva foi confirmada através de:

Get-ItemProperty `
  -Path 'HKLM:\SOFTWARE\Fortinet\FortiClient\IPSEC\Tunnels\Corporate VPN\P1' `
  -Name eap_method | Select-Object eap_method

Substitua o nome do túnel pelo nome efetivo no posto de trabalho. O valor esperado é 2. Alguns ficheiros exportados podem omitir este elemento, embora o valor continue ativo no cliente.

4. Validar a VPN

1. Estabeleça a ligação utilizando uma conta AD pertencente ao grupo autorizado.
2. Confirme que o túnel IKEv2 é estabelecido e que o cliente recebe endereço do pool VPN.
3. Verifique DNS, rotas instaladas e destinos previstos pelo split tunnel.
4. Teste o acesso a um serviço autorizado, na porta específica permitida pela política.
5. Confirme que o acesso aos destinos não autorizados é negado.
6. Analise os eventos da FortiGate para confirmar interface, utilizador e política correspondente.

A autenticação IKEv2/LDAP foi validada no ambiente de origem. Isto não significa que todas as combinações de grupos, aplicações e destinos tenham sido testadas.

Rollback

Efetue backup da configuração FortiGate antes das alterações. Em caso de interrupção, reverta as alterações de Phase 1, Phase 2 e firewall policies de acordo com o plano de mudança, preservando as VPN existentes.

O problema específico de importação XML parcial sem PSK está documentado separadamente no artigo de troubleshooting relacionado.

MFA e segurança

Esta configuração PSK + LDAP/EAP-TTLS não implementa FortiToken MFA automaticamente. Verifique as versões, licenciamento e método de autenticação suportados antes de planear MFA. Nunca desative a validação de certificados apenas para conseguir autenticar um cliente.

Fontes

Consulte as referências oficiais Fortinet nos metadados do artigo original.