Configuración de FSso Agent en Windows AD para FortiGate: guía avanzada

La configuración del FSso (Fortinet Single Sign-On) Agent en un entorno Windows Active Directory (AD) es una solución clave para la autenticación transparente en dispositivos FortiGate. Este método permite identificar usuarios automáticamente sin necesidad de que introduzcan sus credenciales cada vez que acceden a la red, optimizando la experiencia del usuario y facilitando la gestión de políticas de seguridad basadas en identidad. Se resuelve así el problema de autenticación continua y granularidad en el control de accesos, proporcionando una integración eficiente entre Fortinet y entornos Microsoft.

Campos principales

  • Nombre del Conector Externo (External Connector Name): Identifica la conexión configurada dentro del FortiGate para reconocer la fuente de autenticación. Un nombre claro facilita la administración.
  • Endpoint/Identity – FSso Agent on Windows AD: Este campo selecciona el tipo de conector, en este caso el agente FSso instalado en un servidor Windows AD. Indica que el FortiGate recibirá la información de usuarios identificados mediante la integración directa con AD.
  • Dirección IP del Agente FSso: Especifica la IP del servidor Windows donde corre el agente FSso. Es fundamental para establecer comunicación directa y segura para la transmisión de eventos de inicio o cierre de sesión.
  • Puerto de Comunicación: Normalmente se utiliza un puerto seguro para el intercambio de datos entre el agente y el FortiGate, como 8000 o 8020. Su correcta configuración evita conflictos en la red y garantiza la integridad del tráfico.
  • Integración con Otros Servicios (RADIUS, Exchange, etc.): Aunque no es parte directa del FSso con Windows AD, la plataforma permite combinar varias fuentes para agregar robustez y redundancia en la identificación de usuarios.

Escenarios de uso y recomendaciones

El FSso Agent on Windows AD es ideal en entornos corporativos donde el control de acceso está basado en usuarios y roles definidos en el Active Directory. Algunos escenarios reales incluyen:

  • Control de acceso a internet y aplicaciones internas: Se aplican políticas específicas para grupos de usuarios sin que estos necesiten autenticarse manualmente.
  • Detección automática de estados de sesión: Permite bloquear o permitir tráfico en función de si el usuario está autenticado en Windows o no, aumentando la seguridad de la red.
  • Integración con Firewall FortiGate: Las políticas pueden aprovechar la identidad proveniente de FSso para filtrar tráfico, monitorizar usuarios y reportar acciones específicas.

Una configuración errónea puede provocar fallos en la autenticación, problemas de rendimiento o brechas de seguridad, como permitir accesos sin autenticar o niega innecesaria de servicios. Se recomienda mantener el agente actualizado, configurar correctamente la IP y puertos, y usar canales seguros (TLS) para la comunicación.

Comandos de CLI útiles para diagnóstico

El CLI en FortiGate ofrece herramientas para validar la instalación y funcionamiento de FSso:

  • diagnose fsso-agent list: Lista todos los agentes FSso configurados y su estado.
  • diagnose fsso-agent test-connectivity <IP del Agente>: Verifica la conectividad entre FortiGate y el FSso Agent especificado.
  • diagnose debug application fsso-agent -1: Activa el modo debug para el FSso Agent, mostrando logs detallados de autenticación.
  • get user fsso statistics: Muestra estadísticas de usuarios autenticados vía FSso.
  • execute log filter category fsso seguido de execute log display: Filtra y muestra logs relacionados con FSso para auditoría.

Buenas prácticas de configuración

  • Utilizar siempre versiones actualizadas del FSso Agent para evitar vulnerabilidades y compatibilidades.
  • Configurar direcciones IP estáticas para el servidor que ejecuta FSso para evitar problemas de comunicación.
  • Implementar reglas de firewall que permitan solo el tráfico necesario entre FortiGate y FSso Agent, restringiendo otras conexiones.
  • Probar la configuración en un entorno controlado antes de aplicar en producción para evitar interrupciones inesperadas.
  • Monitorear periódicamente los logs para detectar accesos sospechosos o fallos en autenticación.
  • Mantener sincronización horaria entre FortiGate, Windows AD y el agente FSso para evitar problemas con tokens o certificados.
  • Evitar sobrecargar el servidor FSso con múltiples funciones que puedan afectar su rendimiento y disponibilidad.
  • Documentar adecuadamente la configuración y mantenimientos realizados para facilitar auditorías futuras.