【Fortigate】プロキシ認証（Explicit Proxy＋ローカルユーザによるBasic認証）FortiOS6.2.4

FortiGate をプロキシとして使うとき、プロキシを使う前にユーザ認証を求めることができます。この記事では、FortiGate の Explicit Proxy に、FortiGate に作ったローカルユーザによるプロキシ認証（Basic 認証）を設定し、動作を確認します。検証時の FortiOS は 6.2.4 です。

プロキシ自体の設定は、次の記事で行っています。今回は、この記事の構成にプロキシ認証を足します。

>> 参考記事：【Fortigate】セキュアWeb ゲートウェイ（SWG : Explicit Proxy＋SSLインスペクション＋UTM) の設定と動作確認 FortiOS6.2.4

検証の構成

端末は、プロキシサーバとして FortiGate の 10.0.1.99:8080 を指定しています。FortiGate は、プロキシ認証で入力されたユーザ名とパスワードを、FortiGate に作ったローカルユーザと照合します。

Basic 認証のプロキシ認証は、次の流れで進みます。プロキシは、認証が必要なことを HTTP のステータス 407（Proxy Authentication Required）でブラウザに伝え、ブラウザはユーザ名とパスワードを付けてリクエストを送り直します。

認証ルールの設定

認証方式を作る

ポリシー&オブジェクト ›› 認証ルール を開き、新規作成 から 認証方式 をクリックします。認証方式の編集画面で、次のように設定します。

認証方式は「どの方式で、どのユーザデータベースを使って認証するか」を決めるものです。どの通信に認証を求めるかは、次の認証ルールで決めます。

認証ルールを作る

ポリシー&オブジェクト ›› 認証ルール の 新規作成 から 認証ルール をクリックし、次のように設定します。

IPベース認証 は有効のままにしています。有効にすると、認証の状態を送信元の IP アドレス単位で持つので、一度認証した端末は有効期限まで認証し直さずに通信できます。

ローカルユーザの作成

ローカルユーザを作る

プロキシ認証に使うローカルユーザを作ります。ユーザ＆認証 ›› ユーザ定義 を開き、新規作成 をクリックすると、ユーザ作成のウィザード（Users/Groups Creation Wizard）が始まります。4つの画面で、次のように設定します。

作成すると、ユーザ定義の一覧に、タイプが ローカル のユーザとして登録されます。

ユーザグループを作る

作ったユーザを、ユーザグループに入れます。プロキシポリシーには、ユーザではなくユーザグループを指定するためです。ユーザ＆認証 ›› ユーザグループ を開き、新規作成 をクリックして、次のように設定します。

プロキシポリシーの設定

プロキシポリシーの送信元にユーザグループを追加する

ポリシー&オブジェクト ›› プロキシポリシー を開くと、前の記事で作ったプロキシポリシー（ID 2、Explicit Proxy）があります。このポリシーを開き、送信元 の ＋ をクリックします。右側の エントリを選択 で上部の ユーザ を選ぶと、ユーザグループを選べるので、Proxy-Users を選びます。OK をクリックしてポリシーを保存します。

保存すると、ポリシーの一覧で、送信元に Proxy-Users が追加されていることを確認できます。

送信元にユーザグループを入れると、そのポリシーでは認証が必要になり、グループに入っているユーザの通信だけが許可されます。

端末の動作確認

ブラウザで認証する

端末のブラウザ（Internet Explorer）は、LAN の設定で、プロキシサーバに 10.0.1.99、ポートに 8080 を指定しています。この状態で Google にアクセスすると、ユーザ名とパスワードの入力画面が表示されます。STEP 3 で作ったローカルユーザのユーザ名とパスワードを入力します。

認証に成功すると、Google にアクセスできるようになります。ログ＆レポート ›› 転送トラフィック には、プロキシポリシーを通った通信のログが、送信元のユーザ名付きで記録されます。

認証状態を CLI で確認する

認証の状態は、CLI の diagnose wad user list でも確認できます。

FortiGate

# diagnose wad user list 

ID: 3, VDOM: root, IPv4: 10.0.1.10
  user name   : （伏せています）
  duration    : 163
  auth_type   : IP
  auth_method : Basic
  pol_id      : 2
  g_id        : 3
  user_based  : 0
  expire      : 545
  LAN:
    bytes_in=20177 bytes_out=106500
  WAN:
    bytes_in=105749 bytes_out=18439

まとめ

参考：Explicit proxy authentication – FortiOS 6.2 Cookbook ／ Users – FortiOS Administration Guide ／ RFC 9110 407 Proxy Authentication Required
FortiGate の関連記事：セキュアWebゲートウェイ（Explicit Proxy） ／ プロキシ認証（LDAP） ／ プロキシ認証（NTLM）