[初めに]
FortigateでClient VPN接続やってますか？
今時ですと、2FA(2要素認証)ないと心配・・ということもあり、なるべくお安く実装してみようと思います。
FortigateでVPN 2FAを実現する場合、一般的には以下のような方法があると思います。
・Fortitokenを購入する(初期費用+年間サブスク)
・メールでのトークン受け取り
・SMSでのトークン受け取り
そこそこの規模の企業ですと、Fortitokenも難なく予算が付きそうですが、そうでもない規模の場合はなかなか2FAに手が付けられないことがあります。
個人的には、Authenticatorとかでやりたくもありますが、大掛かりになるのとコストが見合うのかよくわららなかったので、SMS受け取りを実現したいです。
で、調べたのですが正攻法でSMS飛ばすためにはFortinetにサブスク払わなくちゃいかんらしく、やだな。。と。
その後、twillioで行けんぢゃね？と思ったのですが、どうもAPI中継するサーバ作らなくてはいけなそうなので、EC2とか立てる必要がありそうな・・。とかいうことで、これも没となりました。
極めて面倒くさがり屋なので、メールからSMSをhookしてくれりゃ良いんだよ・・と探して見つけたサービスがcm.comとかのwebsmsサービスです。探せばあるものですね。
[実装方法]
結論から言えば、E-MAILでのトークン受け取りとwebsmsを組み合わせて実現します。
※前提※
・2FAではない状態でクライアントVPN接続設定が完了していること。
・FortigateにSMTPサーバを登録済みで、ログ・アラートなどの送信ができる状態であること。
・クライアントからの接続はSSL-VPN、IPsecVPNどちらでも大丈夫です。
・今回使用している機材は、Fortigate 50E(FortiOS 6.2)です。
1.websmsサービスにアカウント作成
今回はcm.comというところを選びました。
フリーメールのドメインはダメとありましたが、個人的にドメイン持っていましたのでそちらで
アカウント作成しました。お試し用に1$分デポジットされています。
SMS送信元になるメールアカウントを登録しておいてください。
また、メール経由でSMSが飛ぶことを事前に確認してください。
<例>
・cm.comのリンクはこちら
https://www.cm.com/ja-jp/
2.Fortigateにメール2FA設定を行います。
コンソールから以下のように設定してください。
※Fortigateのメール2FAはデフォルトではGUIで選べません。
メールアドレスは適当でよいです。（後でGUIから修正できるので）
config user local
edit "ユーザー名"
set two-factor email
set email-to "メールアドレス"
next
end
3.ユーザのE-MAILアカウントアドレスをwebsmsの形式にして登録します。
cm.comの形式は以下。
XXX(国コード)-電話番号(ハイフンなし)@mail-sms.com
<例>
4.FortigateクライアントからVPN接続してみます。
①Forticlientから接続
②SMSにトークンが届く
画像ではアメリカのSMS番号に来てますが、81(日本)にも届きます。
③Forticlientにトークン入力テキストボックスが表示されるので入力
④接続完了
⑤Enjoy!
[まとめ]
・自宅のFortigateにVPNしたい！という要件を格安で実現できました。
・小規模な事業所なら、これで簡単にVPN-2FAできます。
・お財布にも優しい。
一回につき$0.0089(1.2円 2023/3/12時点)です。
お試しアカウントでも80回は使用できますw
企業でも20名くらいであれば、まあまあ安いのではないでしょうか。
※1日3回接続として、20名x3回x20日=1200回/月
1200回x1.2円=1,440円/月
年間の場合は、1,440円x12か月=17,280円
Fortitokenは今だと、初期＋ランニング（年間）でン十万円ですので。。
内容におかしなところがあれば、直しますのでお知らせくださいませ。