FortiGate SSL VPN: Training เบื้องต้นสำหรับผู้ดูแลระบบ

ปัญหาของการเปิด Remote Desktop ตรงๆ:

• Hacker สามารถ Brute Force รหัสผ่านได้
• Port 3389 เป็นเป้าหมายของการโจมตี
• ไม่มี Multi-Factor Authentication

ข้อดีของ SSL VPN:

1. ผู้ใช้ต้อง Login ก่อน - ไม่ใช่ใครก็เข้าได้
2. เข้ารหัส HTTPS - ปลอดภัยกว่า
3. ควบคุมได้ - กำหนดว่าใครเข้า Server ไหนได้
4. ไม่ต้องติดตั้ง Client - ใช้ผ่าน Web Browser

Web Mode (Clientless):

• ไม่ต้องติดตั้งโปรแกรมในเครื่อง
• เข้าผ่าน Web Browser ได้เลย
• เหมาะกับ: เปิดเว็บ, Remote Desktop
• ข้อจำกัด: ไม่รองรับทุก Application

Tunnel Mode (FortiClient):

• ต้องติดตั้ง FortiClient
• ได้ IP จาก VPN Pool
• รองรับทุก Application
• เหมาะกับ: ใช้งานเหมือนอยู่ในออฟฟิศ

หมายเหตุ: Training นี้เน้น Web Mode

สร้าง User:

1. ไปที่ User & Authentication > User Definition
2. กด Create New
3. เลือก Local User
4. ใส่ Username และ Password
5. กด OK

สร้าง Group:

1. ไปที่ User & Authentication > User Groups
2. กด Create New
3. ตั้งชื่อ Group (เช่น Internet-Users)
4. เพิ่ม User เข้า Group
5. กด OK

Tips: ใช้ User/Group ที่มีอยู่แล้วก็ได้

ไปที่ VPN > SSL-VPN Settings:

1. Listen on Interface: เลือก WAN Port (Port 1)
2. Listen on Port: เปลี่ยนจาก 443 เป็น 10443

• ป้องกัน Conflict กับ Admin Port
• ยากต่อการเดา

1. Authentication/Portal Mapping:

• กด Create New
• เลือก User Group: Internet-Users
• เลือก Portal: full-access
• กด OK

1. All Other Users/Groups: ปล่อยว่าง
2. กด Apply

URL สำหรับ Login:

`

https://[WAN-IP]:10443

`

ไปที่ VPN > SSL-VPN Portals:

1. เลือก full-access
2. กด Edit

สำหรับ Web Mode:

• ปิด Tunnel Mode
• เปิด Enable Web Mode

สร้าง Bookmark:

1. กด Create New
2. ใส่ข้อมูล:

• Name: Web Server
• Type: HTTP/HTTPS
• URL: http://192.168.1.10

1. กด OK

Tips: สร้าง Bookmark สำหรับ RDP ได้ด้วย

ไปที่ Policy & Objects > Firewall Policy:

1. กด Create New
2. ตั้งค่า:

• Name: SSL-VPN-to-Server
• Incoming Interface: SSL-VPN tunnel interface (ssl.root)
• Outgoing Interface: LAN Port ที่ Server อยู่
• Source: User Group (Internet-Users)
• Destination: Server IP (เช่น 192.168.1.10)
• Service: HTTP, HTTPS, RDP
• Action: ACCEPT

1. กด OK

หมายเหตุ:

• กำหนด Destination เฉพาะ Server ที่ต้องการ
• อย่าใช้ All เพราะจะเข้าได้ทุกเครื่อง

ขั้นตอนทดสอบ:

1. เปิด Web Browser (แนะนำ Firefox หรือ IE)
2. ไปที่ https://[WAN-IP]:10443
3. กด Accept ถ้าเจอ Certificate Warning
4. Login ด้วย User ที่สร้างไว้
5. เห็นหน้า Portal
6. คลิก Bookmark ที่สร้างไว้

ปัญหาที่อาจเจอ:

• Chrome บางเวอร์ชันใช้ไม่ได้
• ให้ลอง Firefox หรือ Edge
• เกี่ยวกับ TLS Version ใน Browser

ปัญหา: Browser ใหม่ใช้ไม่ได้

• Browser ใหม่ปิด TLS 1.0/1.1
• FortiGate เก่าอาจใช้ TLS 1.0

วิธีแก้ที่ FortiGate:

`

config vpn ssl settings

set ssl-min-proto-ver tls1-2

end

`

วิธีแก้ที่ Browser:

• ลอง Firefox (ปรับได้ง่าย)
• IE11 บางครั้งใช้ได้
• หลีกเลี่ยง Chrome เวอร์ชันใหม่

Tips: อัพเกรด FortiGate Firmware เป็นทางแก้ที่ดีที่สุด