Módulo 4 — Autenticação de Utilizadores e FSSO

Módulo 4 — Autenticação de Utilizadores e FSSO

Objetivos de aprendizagem

• Criar e gerir utilizadores locais e grupos no FortiGate.


• Integrar servidores de autenticação remotos LDAP e RADIUS.


• Aplicar autenticação em firewall policies, distinguindo autenticação ativa e passiva.


• Configurar um captive portal com disclaimer para acesso à rede.


• Compreender a arquitetura FSSO (Collector Agent, DC Agent e polling) e onde cada modo se aplica.


• Introduzir o two-factor authentication com FortiToken.

A autenticação é o segundo pilar do domínio Firewall & Authentication do exame FCP — FortiGate 7.6 Administrator. Não basta filtrar tráfego por endereço IP: muitas políticas precisam de saber quem é o utilizador por detrás do pacote. O FortiOS 7.6 permite identificar utilizadores localmente, contra diretórios externos, ou de forma transparente através do FSSO (Fortinet Single Sign-On).

Utilizadores locais e grupos

Um utilizador local é definido e armazenado no próprio FortiGate. É a forma mais simples de autenticação, adequada a ambientes pequenos ou a contas de exceção (por exemplo, um técnico externo). O utilizador pode ter palavra-passe local ou apontar para um servidor remoto. Depois de criados, os utilizadores agrupam-se em user groups — e é o grupo, não o utilizador isolado, que normalmente se referencia numa firewall policy.

config user local

    edit "joao.silva"

        set type password

        set passwd-time 2026-06-20

        set passwd "P@ssw0rd-Forte"

        set status enable

    next

end



config user group

    edit "Grupo-Comercial"

        set group-type firewall

        set member "joao.silva"

    next

end

Servidores remotos: LDAP e RADIUS

Em ambientes reais, manter utilizadores no FortiGate não escala. O FortiGate delega então a verificação de credenciais a um servidor externo. Os dois mais comuns são LDAP (tipicamente Active Directory) e RADIUS.

No LDAP, o FortiGate liga-se ao diretório, localiza a conta e valida a palavra-passe. O parâmetro chave é o dn (Distinguished Name) onde começa a pesquisa, e o cnid/username usados na ligação de serviço.

config user ldap

    edit "AD-Lisboa"

        set server "10.10.0.10"

        set cnid "sAMAccountName"

        set dn "dc=empresa,dc=local"

        set type regular

        set username "cn=ondaka-bind,cn=users,dc=empresa,dc=local"

        set password "BindSecret123"

        set secure ldaps

        set port 636

    next

end

O RADIUS é frequente para integração com NPS da Microsoft, FortiAuthenticator ou para o servidor que valida tokens MFA. O segredo partilhado (secret) tem de coincidir exatamente entre o FortiGate e o servidor RADIUS.

config user radius

    edit "RADIUS-Corp"

        set server "10.10.0.20"

        set secret "SegredoPartilhado!"

        set auth-type auto

        set nas-ip 10.10.0.1

    next

end

Tanto servidores LDAP como RADIUS podem ser colocados dentro de um user group, fazendo com que qualquer conta válida nesse servidor seja aceite, ou pode mapear-se um grupo específico do diretório através de match.

config user group

    edit "Acesso-VPN"

        set member "AD-Lisboa"

        config match

            edit 1

                set server-name "AD-Lisboa"

                set group-name "CN=VPN-Users,OU=Grupos,DC=empresa,DC=local"

            next

        end

    next

end

Autenticação em firewall policies

Uma firewall policy só exige autenticação se tiver um ou mais grupos definidos no campo groups. Quando o tráfego corresponde a uma política com grupos, o FortiGate verifica se o utilizador já está autenticado; se não estiver, dispara o mecanismo de autenticação.

config firewall policy

    edit 12

        set name "Comercial-para-Internet"

        set srcintf "internal"

        set dstintf "wan1"

        set srcaddr "all"

        set dstaddr "all"

        set action accept

        set schedule "always"

        set service "HTTP" "HTTPS" "DNS"

        set groups "Grupo-Comercial"

        set nat enable

    next

end

Autenticação ativa vs passiva

Esta distinção é classicamente testada no exame:

• Ativa: o FortiGate pede explicitamente as credenciais ao utilizador — através de um prompt do browser, de um captive portal ou do cliente VPN. O utilizador sabe que se está a autenticar.


• Passiva: a identidade é obtida de forma transparente, sem qualquer prompt. O caso típico é o FSSO: o utilizador já fez login no domínio Windows, e o FortiGate aproveita essa sessão.

Captive portal e disclaimers

O captive portal intercepta a primeira ligação HTTP/HTTPS e apresenta uma página de autenticação (ou apenas um disclaimer de aceitação de uso). Ativa-se ao nível da interface ou da própria política. O auth-portal-timeout e o esquema de autenticação controlam o comportamento.

config firewall policy

    edit 13

        set name "Convidados-Captive"

        set srcintf "guest-wifi"

        set dstintf "wan1"

        set srcaddr "all"

        set dstaddr "all"

        set action accept

        set schedule "always"

        set service "ALL"

        set groups "Grupo-Convidados"

        set disclaimer enable

        set nat enable

    next

end

Com set disclaimer enable, o utilizador tem de aceitar os termos de uso antes de o tráfego ser libertado — útil por razões legais e de conformidade. O disclaimer pode combinar-se com autenticação ou usar-se isolado (aceitação sem credenciais).

FSSO — Fortinet Single Sign-On

O FSSO permite que o FortiGate conheça a identidade do utilizador sem qualquer prompt, lendo os eventos de login do Active Directory. Existem três abordagens:

• Collector Agent (CA): serviço instalado num servidor Windows que recolhe os eventos de login e os reenvia ao FortiGate. É o componente central.


• DC Agent mode: instala-se um agente em cada Domain Controller; o DC Agent capta o login no momento exato e informa o Collector Agent. Modo mais escalável e fiável em grandes domínios.


• Polling mode: o Collector Agent (ou o próprio FortiGate, em agentless polling) consulta periodicamente os logs de segurança dos DCs. Não exige agente nos DCs, mas tem maior latência e carga.

No FortiGate define-se a ligação ao Collector Agent e mapeiam-se os grupos do AD a usar nas políticas.

config user fsso

    edit "FSSO-CA-Lisboa"

        set server "10.10.0.10"

        set port 8000

        set password "FSSOsecret"

    next

end



config user group

    edit "FSSO-Financeiro"

        set group-type fsso-service

        set member "CN=Financeiro,OU=Grupos,DC=empresa,DC=local"

    next

end

Para diagnosticar, o comando essencial lista as sessões de utilizador que o FortiGate recebeu do FSSO — confirma se os logins estão a ser propagados:

diagnose debug authd fsso list

A saída mostra cada utilizador, o IP de origem, os grupos AD associados e a workstation. Se um utilizador autenticado não aparecer aqui, o problema está na cadeia FSSO (agente, polling ou ligação ao Collector), não na firewall policy.

Two-factor com FortiToken (introdução)

Para reforçar contas sensíveis, o FortiOS suporta MFA via FortiToken — token de hardware ou o FortiToken Mobile (aplicação que gera códigos OTP). Depois de o token estar registado e atribuído, ativa-se o segundo fator no utilizador, que passa a precisar da palavra-passe e do código de 6 dígitos.

config user local

    edit "joao.silva"

        set two-factor fortitoken

        set fortitoken "FTKMOB1234567890"

        set email-to "joao.silva@empresa.local"

    next

end

Resumo

A autenticação no FortiGate vai do simples utilizador local até integrações empresariais com LDAP/RADIUS e single sign-on transparente via FSSO. Domine a diferença entre autenticação ativa e passiva, saiba que as firewall policies só autenticam quando têm grupos, e reconheça os três modos de FSSO — são pontos recorrentes no exame FCP.

Lab associado

Aplique estes conceitos no laboratório prático:

🧪 Abrir este Lab na plataforma LAB
Abre com sessão automática (SSO). Incluído no curso — sem custo de créditos.