Compartir a través de

Configuración de VPN SSL de FortiGate para inicio de sesión único con Microsoft Entra ID

En este artículo, aprenderá a integrar FortiGate SSL VPN con Microsoft Entra ID. Al integrar FortiGate SSL VPN con Microsoft Entra ID, puede hacer lo siguiente:

  • Use Microsoft Entra ID para controlar quién puede acceder a fortiGate SSL VPN.
  • Permitir que los usuarios inicien sesión automáticamente en FortiGate SSL VPN con sus cuentas de Microsoft Entra.
  • Administrar sus cuentas en una ubicación central: Azure Portal.

Prerrequisitos

Para empezar, necesitas los siguientes elementos:

  • Una suscripción a Microsoft Entra. Si no tiene una suscripción, puede obtener una cuenta gratuita.
  • Una VPN SSL fortiGate con el inicio de sesión único (SSO) habilitado.

Descripción del artículo

En este artículo, configura y prueba Microsoft Entra SSO en un entorno de prueba.

FortiGate SSL VPN admite el inicio de sesión único (SSO) iniciado por el proveedor de servicios (SP).

Para configurar la integración de FortiGate SSL VPN en Microsoft Entra ID, debe agregar FortiGate SSL VPN desde la galería a la lista de aplicaciones SaaS administradas:

  1. Inicie sesión en el Centro de administración de Microsoft Entra siendo al menos un Administrador de aplicaciones en la nube.
  2. Navegue a Entra ID>Aplicaciones empresariales>Nueva aplicación.
  3. En la sección Agregar desde la galería , escriba FortiGate SSL VPN en el cuadro de búsqueda.
  4. Seleccione FortiGate SSL VPN en el panel de resultados y agregue la aplicación. Espere unos segundos mientras la aplicación se agrega a su arrendatario.

Si lo deseas, puedes usar también el asistente para la configuración de aplicaciones empresariales. En este asistente, puede agregar una aplicación a su cliente, agregar usuarios o grupos a la aplicación, asignar roles y completar la configuración de SSO. Obtenga más información sobre los asistentes de Microsoft 365.

Configuración y prueba del inicio de sesión único de Microsoft Entra para FortiGate SSL VPN

Configure y pruebe el inicio de sesión único de Microsoft Entra con FortiGate SSL VPN mediante un usuario de prueba llamado B.Simon. Para que el inicio de sesión único funcione, es preciso establecer una relación de vinculación entre un usuario de Microsoft Entra y el grupo de usuarios de SAML SSO correspondiente en FortiGate SSL VPN.

Para configurar y probar el inicio de sesión único de Microsoft Entra con FortiGate SSL VPN, complete estos pasos de alto nivel:

  1. Configure el inicio de sesión único de Microsoft Entra para habilitar la funcionalidad para tus usuarios.
    1. Cree un usuario de prueba de Microsoft Entra para probar el inicio de sesión único de Microsoft Entra.
    2. Conceda acceso al usuario de prueba para habilitar el inicio de sesión único de Microsoft Entra para ese usuario.
  2. Configuración del inicio de sesión único en FortiGate SSL VPN en la aplicación.
    1. Cree un grupo de usuarios de FortiGate SAML SSO como homólogo de la representación de Microsoft Entra del usuario.
  3. Prueba del inicio de sesión único: para comprobar que la configuración funciona.

Configurar el SSO de Microsoft Entra

Siga estos pasos para habilitar el SSO de Microsoft Entra en Azure Portal:

  1. Inicie sesión en el Centro de administración de Microsoft Entra siendo al menos un Administrador de aplicaciones en la nube.

  2. Vaya a Entra ID>Aplicaciones empresariales>, página de integración de la aplicación FortiGate SSL VPN, en la sección Administrar, y seleccione Inicio de sesión único.

  3. En la página Seleccione un método de inicio de sesión único, elija SAML.

  4. En la página Set up Single Sign-On with SAML, seleccione el botón Editar para Configuración básica de SAML y edite los ajustes:

    Captura de pantalla de la página Configuración básica de SAML.

  5. En la página Set up Single Sign-On with SAML (Configurar single Sign-On con SAML ), escriba los valores siguientes:

    a) En el cuadro Identificador , escriba una dirección URL en el patrón https://<FortiGate IP or FQDN address>:<Custom SSL VPN port>/remote/saml/metadata.

    b. En el cuadro URL de respuesta , escriba una dirección URL en el patrón https://<FortiGate IP or FQDN address>:<Custom SSL VPN port>/remote/saml/login.

    c. En el cuadro URL de inicio de sesión, escriba una dirección URL en el patrón .https://<FortiGate IP or FQDN address>:<Custom SSL VPN port>/remote/saml/login

    d. En el cuadro Dirección URL de cierre de sesión , escriba una dirección URL en el patrón https://<FortiGate IP or FQDN address>:<Custom SSL VPN port><FQDN>/remote/saml/logout.

    Nota:

    Estos valores son simplemente patrones. Debe usar la dirección URL de inicio de sesión real, el identificador, la dirección URL de respuesta y la dirección URL de cierre de sesión configuradas en FortiGate. El soporte de FortiGate debe proporcionar los valores correctos para el entorno.

  6. La aplicación FORTIGate SSL VPN espera aserciones de SAML en un formato específico, lo que requiere que se agreguen asignaciones de atributos personalizados a la configuración. En la captura de pantalla siguiente se muestra la lista de atributos predeterminados.

    Captura de pantalla de la sección Atributos y Reclamaciones.

  7. Las reclamaciones requeridas por FortiGate SSL VPN se muestran en la tabla siguiente. Los nombres de estas reclamaciones deben coincidir con los nombres usados en la sección Ejecutar la configuración de la línea de comandos de FortiGate de este artículo. Los nombres distinguen mayúsculas de minúsculas.

    Nombre Atributo de origen
    nombre de usuario user.userprincipalname
    grupo grupos de usuario

    Para crear más reclamaciones:

    a) Junto a Atributos de usuario y notificaciones, seleccione Editar.

    b. Seleccione Agregar nueva notificación.

    c. En Nombre, escriba nombre de usuario.

    d. En Atributo Source, seleccione user.userprincipalname.

    e. Haga clic en Guardar.

    Nota:

    Los atributos de usuario y las reclamaciones solo permiten una reclamación de grupo. Para agregar una reclamación de grupo, elimine la reclamación de grupo existente user.groups [SecurityGroup] que ya esté presente en las reclamaciones para agregar la nueva, o edite la existente a Todos los grupos.

    f. Seleccione Agregar una reclamación de grupo.

    g. Seleccione Todos los grupos.

    h. En Opciones avanzadas, seleccione la casilla Personalizar nombre de la notificación del grupo.

    i. En Nombre, escriba group.

    j. Haga clic en Guardar.

  8. En la página Configurar un solo Sign-On con SAML, en la sección Certificado de firma SAML, seleccione el enlace Descargar junto a Certificado (Base64) para descargar el certificado y guardarlo en su equipo:

    Captura de pantalla que muestra el vínculo de descarga del certificado.

  9. En la sección Configurar FortiGate SSL VPN, copie las direcciones URL adecuadas según sus requisitos.

    Captura de pantalla que muestra las direcciones URL de configuración.

Creación de un usuario de prueba de Microsoft Entra

En esta sección, creará un usuario de prueba llamado B.Simon.

  1. Inicia sesión en el Centro de administración de Microsoft Entra al menos como Administrador de usuario.
  2. Vaya a Entra ID>Usuarios.
  3. Selecciona Nuevo usuario>Crear nuevo usuario, en la parte superior de la pantalla.
  4. En las propiedades del usuario, sigue estos pasos:
    1. En el campo Nombre para mostrar, escribe B.Simon.
    2. En el campo Nombre principal de usuario, escribe username@companydomain.extension. Por ejemplo: B.Simon@contoso.com.
    3. Activa la casilla Mostrar contraseña y, después, anota el valor que se muestra en el cuadro Contraseña.
    4. Selecciona Revisar + crear.
  5. Selecciona Crear.

Concesión de acceso al usuario de prueba

En esta sección, va a permitir que B.Simon use el inicio de sesión único concediéndole acceso a fortiGate SSL VPN.

  1. Navegue a Entra ID>Aplicaciones empresariales.
  2. En la lista de aplicaciones, seleccione FortiGate SSL VPN.
  3. En la página de información general de la aplicación, en la sección Administrar , seleccione Usuarios y grupos.
  4. Seleccione Agregar usuario, y luego seleccione Usuarios y grupos en el cuadro de diálogo Asignación agregada.
  5. En el cuadro de diálogo Usuarios y grupos , seleccione B.Simon en la lista Usuarios y, a continuación, seleccione el botón Seleccionar en la parte inferior de la pantalla.
  6. Si espera algún valor de rol en la aserción de SAML, en el cuadro de diálogo Seleccionar rol, seleccione el rol adecuado para el usuario en la lista. Seleccione el botón Seleccionar situado en la parte inferior de la pantalla.
  7. En el cuadro de diálogo Agregar asignación, seleccione Asignar.

Creación de un grupo de seguridad para el usuario de prueba

En esta sección, creará un grupo de seguridad en Microsoft Entra ID para el usuario de prueba. FortiGate usa este grupo de seguridad para conceder al usuario acceso a la red a través de la VPN.

  1. En el Centro de administración de Microsoft Entra, vaya a Identidad de Entra>Grupos>Nuevo grupo.
  2. En las propiedades de "Nuevo grupo", complete estos pasos:
    1. En la lista Tipo de grupo, seleccione Seguridad.
    2. En el cuadro Nombre del grupo , escriba FortiGateAccess.
    3. En el cuadro Descripción del grupo, escriba Grupo para conceder acceso a VPN fortiGate.
    4. En la configuración Los roles de Microsoft Entra se pueden asignar a un grupo (versión preliminar), seleccione No.
    5. En el cuadro Tipo de pertenencia , seleccione Asignado.
    6. En Miembros, seleccione No hay miembros seleccionados.
    7. En el cuadro de diálogo Usuarios y grupos , seleccione B.Simon en la lista Usuarios y, a continuación, seleccione el botón Seleccionar en la parte inferior de la pantalla.
    8. Selecciona Crear.
  3. Después de volver a la sección Grupos de Microsoft Entra ID, busque el grupo FortiGate Access y anote el id. de objeto. Lo necesitarás más tarde.

Configuración del inicio de sesión único de FortiGate SSL VPN

Carga del certificado SAML de Base64 en el dispositivo FortiGate

Después de completar la configuración de SAML de la aplicación FortiGate en el inquilino, descargó el certificado SAML codificado en Base64. Debe cargar este certificado en el dispositivo FortiGate:

  1. Inicie sesión en el portal de administración del dispositivo FortiGate.
  2. En el panel izquierdo, seleccione Sistema.
  3. En Sistema, seleccione Certificados.
  4. Seleccione Importar>Certificado remoto.
  5. Vaya al certificado descargado de la implementación de la aplicación FortiGate en el inquilino de Azure, selecciónelo y, a continuación, seleccione Aceptar.

Después de que el certificado sea cargado, toma nota de su nombre en Sistema>Certificados>Certificado remoto. De forma predeterminada, se denomina REMOTE_Cert_N, donde N es un valor entero.

Completar la configuración de la línea de comandos de FortiGate

Aunque puede configurar SSO desde la GUI a partir de FortiOS 7.0, las configuraciones de la CLI se aplican a todas las versiones y, por lo tanto, se muestran aquí.

Para completar estos pasos, necesita los valores que registró anteriormente:

Configuración de la CLI de SAML para FortiGate Configuración equivalente de Azure
ID de entidad de SP (entity-id) Identificador (identificador de entidad)
URL de inicio de sesión único de SP (single-sign-on-url) URL de respuesta (dirección URL del servicio de consumidor de aserciones)
Dirección URL de cierre de sesión único de SP (single-logout-url) Dirección URL de cierre de sesión
ID de entidad de IdP (idp-entity-id) Identificador de Microsoft Entra
Dirección URL de inicio de sesión único (idp-single-sign-on-url) de IdP Dirección URL de inicio de sesión de Azure
URL de cierre de sesión único de IdP (idp-single-logout-url) Dirección URL de cierre de sesión de Azure
Certificado idP (idp-cert) Nombre del certificado SAML de Base64 (REMOTE_Cert_N)
Atributo nombre de usuario (user-name) nombre de usuario
Atributo de nombre de grupo (group-name) grupo

Nota:

La dirección URL de inicio de sesión en Configuración básica de SAML no se usa en las configuraciones de FortiGate. Se usa para desencadenar el inicio de sesión único iniciado por SP para redirigir al usuario a la página del portal de VPN SSL.

  1. Establezca una sesión SSH en el dispositivo FortiGate e inicie sesión con una cuenta de administrador de FortiGate.

  2. Ejecute estos comandos y sustituya por <values> la información recopilada anteriormente:

    config user saml
  edit azure
    set cert <FortiGate VPN Server Certificate Name>
    set entity-id < Identifier (Entity ID)Entity ID>
    set single-sign-on-url < Reply URL Reply URL>
    set single-logout-url <Logout URL>
    set idp-entity-id <Azure AD Identifier>
    set idp-single-sign-on-url <Azure Login URL>
    set idp-single-logout-url <Azure Logout URL>
    set idp-cert <Base64 SAML Certificate Name>
    set user-name username
    set group-name group
  next
end

Configuración de FortiGate para la coincidencia de grupos

En esta sección, configurará FortiGate para reconocer el identificador de objeto del grupo de seguridad que incluye al usuario de prueba. Esta configuración permite a FortiGate tomar decisiones de acceso basadas en la pertenencia al grupo.

Para completar estos pasos, necesita el identificador de objeto del grupo de seguridad FortiGateAccess que creó anteriormente en este artículo.

  1. Establezca una sesión SSH en el dispositivo FortiGate e inicie sesión con una cuenta de administrador de FortiGate.

  2. Ejecute estos comandos:

    config user group
  edit FortiGateAccess
    set member azure
    config match
      edit 1
        set server-name azure
        set group-name <Object Id>
      next
    end
  next
end

Creación de un portal de VPN FortiGate y una directiva de firewall

En esta sección, configurará un portal de VPN fortiGate y una directiva de firewall que conceda acceso al grupo de seguridad FortiGateAccess que creó anteriormente en este artículo.

Consulte Configuración del inicio de sesión único de SAML para VPN SSL con Microsoft Entra ID que actúa como IdP de SAML para obtener instrucciones.

Prueba del inicio de sesión único

En esta sección vas a probar la configuración de inicio de sesión único de Microsoft Entra con las siguientes opciones.

  • En el paso 5) de la configuración de SSO de Azure, *Prueba el inicio de sesión único con tu aplicación, selecciona el botón Probar. Esta opción redirige a la dirección URL de inicio de sesión de FortiGate VPN, donde puede iniciar el flujo de inicio de sesión.

  • Vaya directamente a la dirección URL de inicio de sesión de FortiGate VPN e inicie el flujo de inicio de sesión desde allí.

  • Puede usar Mis aplicaciones de Microsoft. Al seleccionar el icono de FortiGate VPN en Aplicaciones, esta opción redirige a la dirección URL de inicio de sesión de FortiGate VPN. Para obtener más información acerca de Mis aplicaciones, consulta Introducción a Mis aplicaciones.

Contenido relacionado

Una vez configurado FortiGate VPN, puede aplicar el control de sesión, que protege la filtración y la infiltración de la información confidencial de la organización en tiempo real. El control de sesión se extiende desde el acceso condicional. Aprende a aplicar el control de sesión con Microsoft Defender para aplicaciones en la nube.