Cómo solucionar la configuración de una política NAC basada en usuario utilizando SAML y la autenticación saliente con Microsoft Entra ID.

En este artículo, abordamos el uso de la autenticación SAML para políticas de NAC (Control de Acceso a la Red) basadas en usuarios en dispositivos de cliente conectados a un FortiGate que gestiona FortiSwitches. Este enfoque es crucial para garantizar un acceso seguro a la red y la correcta asignación de VLANs. Aquí, proporcionaremos una guía paso a paso para implementar esta configuración, asegurando que su red funcione de manera óptima.

Descripción del problema

La autenticación SAML permite a las organizaciones integrar soluciones de identidad en la gestión de accesos a su red a través de políticas NAC. Sin embargo, configurarla adecuadamente puede ser un desafío y es esencial para garantizar que los dispositivos de los usuarios sean asignados correctamente a las VLANs correspondientes.

Alcance

Este artículo aplica para FortiOS 6.4 y versiones posteriores.

Diagnóstico paso a paso

A continuación se describen los pasos necesarios para realizar la configuración de autenticación SAML utilizando Microsoft Entra ID como proveedor de identidad (IDP).

1. Configurar la autenticación SSO y el certificado IDP utilizando los datos de Entra ID. Las URL del SP se crean utilizando la IP de la interfaz del nac_segment y el puerto 1003, que es el puerto del portal cautivo. A continuación, se presenta un ejemplo junto con imágenes de la interfaz VLAN del nac_segment:

   config user saml
       edit "Test-SAML-NAC"
           set entity-id "http://10.255.13.1:1003/saml/metadata/"
           set single-sign-on-url "https://10.255.13.1:1003/saml/login"
           set single-logout-url "https://10.255.13.1:1003/saml/logout"
           set idp-entity-id "https://sts.windows.net/test-saml-id/"
           set idp-single-sign-on-url "https://login.microsoftonline.com/test-saml-id/saml2"
           set idp-single-logout-url "https://login.microsoftonline.com/test-saml-id/saml2"
           set idp-cert "ENTRA_IDP_CERT"
           set user-name "username"
           set group-name "group"
           set digest-method sha1
       next
   end

   

   

2. Crear un grupo de usuarios mapeado al objeto SSO creado en el paso 1. Este también puede estar mapeado a un grupo específico en Microsoft Entra utilizando el ID de objeto.

   config user group
       edit "NAC_Access_SAML"
           set member "Test-SAML-NAC"
               config match
                   edit 1
                       set server-name "Entra-ID-SAML-Onbrd-vlan"
                       set group-name "test-group-object-id"
                   next
               end
           next
       end

3. Después de crear el grupo, es hora de crear la política NAC. La categoría de la política debe ser basada en usuarios y debe especificar a qué VLAN agregar a los usuarios si coinciden. En este caso, se utiliza la VLAN ‘Test-IT’, que requiere solo un servidor DHCP y la IP de interfaz.

   

4. A continuación, configurar las políticas del firewall para habilitar la autenticación saliente en la VLAN nac_segment. Se requieren tres políticas para completar la solución. En este caso específico, se ha añadido una segunda política para un servicio de Okta para la autenticación de dos factores (2FA).

   

   

   Nota: La primera política (y la segunda, en este caso) deben estar exentas del portal cautivo, ya que son necesarias para completar el proceso de autenticación. Además, la VLAN nac_segment debe añadirse a la tercera política para completar la redirección a la solicitud original una vez realizada la autenticación. La exención del portal cautivo se puede realizar en CLI utilizando los siguientes comandos:

   config firewall policy
       edit <policy-id>
           set captive-portal-exempt enable
       next
   end

Solución recomendada

Si todos estos pasos se completan correctamente, los usuarios que se conecten a una interfaz de FortiSwitch con NAC habilitado se verán solicitados a autenticarse mediante SSO al intentar navegar. Si la autenticación se completa con éxito, serán reasignados a una VLAN de acuerdo con la política NAC.

Comandos CLI utilizados

Se han utilizado diversos comandos CLI a lo largo de esta guía, cada uno diseñado para configurar una parte específica del sistema. Asegúrese de entender la función de cada comando y cómo se relaciona con la seguridad y autenticación de su red.

Buenas prácticas y recomendaciones

Es fundamental seguir estas pautas para asegurar un entorno de red estable y seguro:

• Revise regularmente los logs para identificar patrones de acceso no autorizado.
• Actualice el software de FortiGate y FortiSwitch periódicamente para protegerse contra vulnerabilidades.
• Realice pruebas de funcionalidad tras cada cambio de configuración para asegurar el correcto funcionamiento del sistema.

Notas adicionales

Considere integrar métodos de autenticación multifactor como best practice para mejorar aún más la seguridad de su red. Además, haga uso de las funcionalidades de monitorización y alerta que ofrece Fortinet para estar al tanto de cualquier actividad sospechosa.