SSL-VPN 로그인 시도 실패 시 차단 및 시간제한

fortigate SSL-VPN 사용자에 대해 로그인 시도 제한 및 로그인 차단 시간을 설정 하는 방법

- 기본적인 SSL-VPN은 설정되어 있는 상태

 

해당 설정은 GUI에서 설정이 불가능하고 CLI에서만 가능합니다.

 

fortigate CLI > config vpn ssl settings 진입

 

set login-attempt-limit : 사용자의 로그인 시도 횟수 / default 설정 2

set login-block-time : 위 로그인 시도 횟수 설정에 따라 실패 시 차단할 시간(초) / default 설정 60

 

로그인 시도 횟수 1, 차단 시간 10초로 설정하여 테스트

 

잘못된 비밀번호 입력 / 차단 후 설정된 시간(10초) 내 비밀번호를 입력하여도 위와 같은 메시지 표시

"dia debug sslvpn -1" 디버그에서는 "fsv_blocklist_check:65 locked" 메시지를 표시한다.

로그인 실패 Log 확인

 

로그인 시도 10초 후 접속 재시도

 

SSL-VPN 접속 가능 확인

 

위 설정은 SAML 인증에서는 적용되지 않는다.

SAML 인증은 Azure 애플리케이션, FortiAuthenticator 같은 다른 IDP 인증을 사용기 때문에, FortiGate는 잘못된 로그인 시도를 계산할 수 없기 때문이다.