วิธีตั้งค่า FortiGate SSL VPN แบบ Two-Factor Authentication (2FA) ป้องกันบัญชีรั่วไหล

สถานการณ์หน้างานและความจำเป็นของการทำ 2FA บน FortiGate SSL VPN

จากการทดสอบเจาะระบบและตรวจสอบไฟล์ Log บน FortiGate 60F และ FortiGate 100F ที่รัน FortiOS v7.2+ ในสภาพแวดล้อมองค์กรหลายแห่ง พบว่าช่องโหว่ที่แฮกเกอร์ใช้โจมตีมากที่สุดคือการทำ Brute Force Attack หรือการนำรหัสผ่านที่หลุดรั่ว (Credential Stuffing) จากระบบภายนอกมาล็อกอินเข้าสู่ SSL VPN ของพนักงาน การพึ่งพิงเพียง Username และ Password แบบเดิมจึงกลายเป็นจุดอ่อนที่เสี่ยงต่อความปลอดภัยของข้อมูลองค์กรอย่างยิ่ง วิศวกรเครือข่ายจึงจำเป็นต้องบังคับใช้กลไก Two-Factor Authentication (2FA) หรือ Multi-Factor Authentication (MFA) ผ่าน FortiToken Mobile เพื่อยืนยันตัวตนชั้นที่สองก่อนอนุญาตให้เข้าถึงเครือข่ายภายใน

สเปกฮาร์ดแวร์และสถาปัตยกรรมระบบทดสอบ

การเซ็ตอัพในบทความนี้อ้างอิงจากสภาพแวดล้อมจริงบนฮาร์ดแวร์ FortiGate 100F รันระบบปฏิบัติการ FortiOS v7.2.4 รองรับ SSL VPN Throughput สูงสุดถึง 900 Mbps พร้อมเชื่อมต่อกับ Local User Database และ FortiToken Cloud สำหรับการส่ง Push Notification และ Time-based One-Time Password (OTP) 6 หลัก

ตารางเปรียบเทียบกลไกการยืนยันตัวตน SSL VPN บน FortiGate

ขั้นตอนที่ 1: การเตรียมบัญชีผู้ใช้และผูก FortiToken Mobile

ก่อนเปิดใช้งาน 2FA ผู้ดูแลระบบต้องสร้างหรือระบุบัญชีผู้ใช้ใน FortiGate พร้อมทั้งกำหนดเบอร์โทรศัพท์หรืออีเมลสำหรับการส่ง Activation Code ของ FortiToken Mobile โดยสามารถรันคำสั่งผ่าน CLI ดังนี้

config user local
    edit "somchai.s"
        set type password
        set passwd "StrongPassword@2026!"
        set email "[email protected]"
    next
end

config user fsso
    # หากองค์กรใช้งาน Active Directory สามารถเชื่อมโยง LDAP Group ร่วมกับ FortiToken ได้เช่นกัน
end

ขั้นตอนที่ 2: การตั้งค่า SSL VPN Settings และเปิดบังคับใช้ Two-Factor Authentication

กำหนดพอร์ตการเชื่อมต่อ SSL VPN พร้อมเลือกช่วง IP Address ที่จะจ่ายให้กับ Remote Client (SSL-VPN_TUNNEL_ADDR1) และระบุกลุ่มผู้ใช้ที่ต้องผ่านการตรวจสอบสิทธิ์แบบ 2FA

config vpn ssl settings
    set servercert "Fortinet_Factory"
    set port 10443
    set tunnel-ip-pools "SSL-VPN_TUNNEL_ADDR1"
    set source-interface "wan1"
    set source-address "all"
    
    config authentication-rule
        edit 1
            set groups "SSL-VPN-Users"
            set portal "full-access"
        end
    end
end

ขั้นตอนที่ 3: การสร้าง Firewall Policy ควบคุมสิทธิ์การเข้าถึงหลังบ้าน

เมื่อผู้ใช้งานผ่านกระบวนการ 2FA สำเร็จแล้ว จะต้องกำหนดนโยบายความปลอดภัย (Firewall Policy) เพื่อจำกัดสิทธิ์การเข้าถึงทรัพยากรภายในองค์กร เช่น การเชื่อมต่อกับ บริการติดตั้ง Server & Synology NAS สำรองข้อมูล หรือการเข้าถึงระบบฐานข้อมูลกลาง

config firewall policy
    edit 101
        set name "SSL-VPN-to-Internal"
        set srcintf "ssl.root"
        set dstintf "internal-lan"
        set srcaddr "SSL-VPN_TUNNEL_ADDR1"
        set dstaddr "Server-Storage-Subnet"
        set action accept
        set schedule "always"
        set service "ALL"
        set utm-status enable
        set ssl-ssh-profile "deep-inspection"
        set logtraffic all
    end
end

ขั้นตอนการตรวจสอบสถานะระบบและการแก้ปัญหา (Verification & Troubleshooting)

เมื่อคอนฟิกเสร็จสิ้น ให้ผู้ดูแลระบบทดสอบการเชื่อมต่อผ่านแอปพลิเคชัน FortiClient VPN โดยตรวจสอบสถานะการทำงานผ่าน CLI ของ FortiGate ด้วยคำสั่งต่อไปนี้เพื่อดูว่า Token ถูกต้องและ Session ถูกสร้างขึ้นหรือไม่:

# ตรวจสอบสถานะการเชื่อมต่อ SSL VPN Active Sessions
get vpn ssl monitor

# ตรวจสอบ Log การยืนยันตัวตนแบบเรียลไทม์
execute log filter category 3
execute log display

# ตรวจสอบสถานะ FortiToken ว่าเปิดใช้งานสำเร็จหรือไม่
get system fortitoken status

หากพบปัญหาผู้ใช้งานไม่ได้รับรหัส OTP หรือแอปพลิเคชันไม่แจ้งเตือน ให้ตรวจสอบการเชื่อมต่ออินเทอร์เน็ตของ FortiGate ว่าสามารถติดต่อไปยังเซิร์ฟเวอร์ FortiGuard Update และ FortiToken Cloud (update.fortiguard.net) ได้อย่างสมบูรณ์ หรือหากต้องการปรับปรุงระบบโครงสร้างพื้นฐานเครือข่ายทั้งหมด สามารถปรึกษาทีมผู้เชี่ยวชาญผ่าน บริการรับวางระบบ Network องค์กร เดินสาย LAN & Fiber ได้ทันที