# Guia de Integração de Biometria Facial via Protocolo SAML-IPsec

#### Pré-requisitos

Antes de iniciar o processo de configuração, assegure-se de que o seguinte item esteja disponível:

1. **Certificado Digital:** O certificado digital fornecido pela Facesign é essencial para estabelecer a confiança entre o FortiGate (Service Provider) e a plataforma Facesign (Identity Provider). Realize a importação deste certificado no seu appliance FortiGate antes de prosseguir.

<figure><img src="https://2933983217-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FZHOws1GppZYJspgX4wu1%2Fuploads%2FnH03LvGZkypxvklJX9oN%2Fimage.png?alt=media&#x26;token=908e3504-1935-4b74-b7e4-5fa7a0e025c5" alt=""><figcaption></figcaption></figure>

***

### 1. Configuração do Single Sign-On (SSO) com Facesign

A primeira etapa consiste em registrar o Facesign como um provedor de identidade SAML no FortiGate.

1. Acesse a interface de administração do FortiGate e navegue até **User & Authentication > Single Sign-On.**

<figure><img src="https://2933983217-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FZHOws1GppZYJspgX4wu1%2Fuploads%2FqWuXE3xKaNsktKzt02aq%2Fdoc.jpg?alt=media&#x26;token=f606353f-fd5e-48ad-8d50-4b46b2d2508d" alt=""><figcaption></figcaption></figure>

1. Crie uma nova entrada de SSO com as seguintes especificações:

* **Name**: `Facesign SAML` (ou um nome descritivo de sua preferência).
* **Service Provider Configuration:**
  * **Address:** Informe o endereço de acesso externo da sua VPN, no formato <mark style="color:$info;">`vpn.seudominio.com.br:xxxx`</mark>. É possível utilizar o endereço IP e a porta correspondente.
* **Identity Provider Details:**
  * Utilize as URLs (Entity ID, Single Sign-on service URL, Single logout service URL) fornecidas pelo portal da Facesign.
  * Importe o certificado digital da Facesign previamente carregado no FortiGate.

<figure><img src="https://2933983217-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FZHOws1GppZYJspgX4wu1%2Fuploads%2FzIwbuFKwJqWNJvAxAy2k%2Fimage.png?alt=media&#x26;token=e40b267e-8463-413d-ac5d-4361d481e8a2" alt=""><figcaption></figcaption></figure>

3. Após a criação, edite a configuração de SSO e, na seção **AD FS claim**, ative a opção correspondente para garantir a correta interpretação dos atributos de autenticação.

<figure><img src="https://2933983217-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FZHOws1GppZYJspgX4wu1%2Fuploads%2Fuw4Yy5WxXuhrQMEgWSeZ%2Fimage.png?alt=media&#x26;token=e9d3ad99-0ce1-429e-8e17-9c96b0821d18" alt=""><figcaption></figcaption></figure>

***

### 2. Configuração do Grupo de Usuários VPN

Crie um grupo de usuários que será associado à autenticação SAML.

1. Navegue até **User & Authentication > User Groups.**
2. Crie um novo grupo de usuários com as seguintes características:

* **Name:** `GRP_VPN_SAML_FACESIGN` (ou um nome descritivo).
* **Type**: `Firewall`.
* **Remote Groups**: Adicione o servidor SSO criado na etapa anterior (`Facesign SAML`) como membro deste grupo.

<figure><img src="https://2933983217-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FZHOws1GppZYJspgX4wu1%2Fuploads%2FlunAF5eZzn1wYNF41J0k%2Fdoc%20II.jpg?alt=media&#x26;token=dea24031-c2c9-44c0-98e6-39870b7236d3" alt=""><figcaption></figcaption></figure>

***

### 3. Configuração do Túnel VPN IPsec

Esta seção detalha a criação e configuração do túnel IPsec.

1. Acesse **VPN > IPsec Tunnels** e inicie o assistente de criação (`VPN Creation Wizard`).
2. Selecione o template **Custom** e defina um nome para o túnel, como `SAML_VPN.`

<figure><img src="https://2933983217-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FZHOws1GppZYJspgX4wu1%2Fuploads%2FaSIF9emAsIUmef5qJvuP%2Fimage.png?alt=media&#x26;token=4df4c586-2c77-4334-8192-9881a74f529b" alt=""><figcaption></figcaption></figure>

3. **Configurações de Rede (Network):**

* **IP Version:** IPv4.
* **Remote Gateway:** Dialup User.
* **Interface**: Selecione a interface de WAN correspondente.
* **Client Address Range**: Defina a faixa de endereços IP que serão atribuídos aos clientes VPN.
* **DNS Server:** Especifique os servidores DNS que serão utilizados pelos clientes conectados.
* **Accessible Networks**: Defina as redes internas que poderão ser acessadas através da VPN.

<figure><img src="https://2933983217-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FZHOws1GppZYJspgX4wu1%2Fuploads%2FndI1h4FoJELkNxDeFchy%2Fimage.png?alt=media&#x26;token=bf71628f-2798-41b8-983d-69adc17819e8" alt=""><figcaption></figcaption></figure>

4. **Configurações de Autenticação (Authentication):**

* **Method**: Pre-shared Key.
* **Version**: IKEv2.
* **Peer Types:** Any peer ID.

5. **Configurações da Fase 1 (Phase 1 Proposal):**

* **Encryption/Authentication:** Selecione os algoritmos desejados (ex: AES256/SHA256).
* **Diffie-Hellman Group:** Selecione os grupos apropriados (ex: 14, 5).
* **Key Lifetime:** 86400 segundos.

<figure><img src="https://2933983217-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FZHOws1GppZYJspgX4wu1%2Fuploads%2FU7yCN3QqfXxfhAykdOu7%2Fimage.png?alt=media&#x26;token=89aca37f-695f-420a-825e-51d5f3de4ad6" alt=""><figcaption></figcaption></figure>

6. **Configurações da Fase 2 (Phase 2 Selectors):**

* **Encryption/Authentication:** Selecione os algoritmos desejados (ex: AES128/SHA256).
* **Enable Perfect Forward Secrecy (PFS):** Habilitado.
* **Diffie-Hellman Group:** Selecione o grupo apropriado (ex: 5).
* **Key Lifetime:** 43200 segundos.
* **Autokey Keep Alive:** Habilitado.

<figure><img src="https://2933983217-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FZHOws1GppZYJspgX4wu1%2Fuploads%2FYIMiDWJc23oZI7FEWfpf%2Fimage.png?alt=media&#x26;token=ede63e06-6c4e-40db-98ff-2a2a7af9eaef" alt=""><figcaption></figcaption></figure>

#### 3.1. Ajustes via Linha de Comando (CLI)

Para habilitar a autenticação EAP (Extensible Authentication Protocol), necessária para a integração SAML, execute os seguintes comandos na CLI do FortiGate:

<figure><img src="https://2933983217-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FZHOws1GppZYJspgX4wu1%2Fuploads%2FIBKyXN0mTd7LINF8Bv6T%2Fimage.png?alt=media&#x26;token=131cb063-e02e-462a-b37d-3e83e7d3d8ff" alt=""><figcaption></figcaption></figure>

Em seguida, configure a porta de escuta para a autenticação SAML no modo global:

<figure><img src="https://2933983217-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FZHOws1GppZYJspgX4wu1%2Fuploads%2F6VRRm7mmOAW1iUlMdyjR%2Fimage.png?alt=media&#x26;token=3d082044-e3b6-496a-9d67-5e9b8b61901d" alt=""><figcaption></figcaption></figure>

Finalmente, associe o servidor SAML à interface de rede correspondente:

<figure><img src="https://2933983217-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FZHOws1GppZYJspgX4wu1%2Fuploads%2FVdPa2xWdBNBLtI17zf7o%2Fimage.png?alt=media&#x26;token=4d1ad914-6557-493c-ae8b-1f3b02a61330" alt=""><figcaption></figcaption></figure>

***

### 4. Configuração da Política de Acesso (Firewall Policy)

Crie uma política de firewall para permitir o tráfego da VPN para a rede interna.

1. Navegue até **Policy & Objects > Firewall Policy.**
2. Crie uma nova política com os seguintes parâmetros:

* **Name**: `VPN_SAML_LAN` (ou um nome descritivo).
* **Incoming Interface:** A interface do túnel IPsec (`SAML_VPN`).
* **Outgoing Interface:** A interface da sua rede local (LAN).
* **Source**: O grupo de usuários (`GRP_VPN_SAML_FACESIGN`) e a faixa de IPs da VPN.
* **Destination**: A rede local que será acessada.
* **Service**: `ALL` (ou serviços específicos).
* **Action**: `ACCEPT`.
* **Inspection Mode:** Flow-based.

<figure><img src="https://2933983217-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FZHOws1GppZYJspgX4wu1%2Fuploads%2Frzvvp3OTm1SCFuJU4WtF%2Fimage.png?alt=media&#x26;token=b6451db6-af75-40fb-87ce-10cda7c32994" alt=""><figcaption></figcaption></figure>

***

### 5. Configuração do Cliente VPN (FortiClient)

No cliente final, configure a conexão VPN IPsec no FortiClient.

1. Crie uma nova conexão VPN com as seguintes configurações:

* **VPN Type:** IPsec VPN.
* **Connection Name:** `IPSEC FACESIGN` (ou um nome descritivo).
* **Remote Gateway**: O endereço externo da sua VPN (`vpn.facesign.in`).
* **Authentication Method:** Pre-shared Key.
* **Single Sign-On (SSO) for VPN Tunnel:** Habilitar.

<figure><img src="https://2933983217-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FZHOws1GppZYJspgX4wu1%2Fuploads%2FN6Anv7g1tdAu13oUsEWg%2Fimage.png?alt=media&#x26;token=bc773658-15a6-4a9c-bd9f-429097489a5c" alt=""><figcaption></figcaption></figure>

2. Configure as propostas de **Fase 1** e **Fase 2** para que correspondam às configurações definidas no firewall (IKE Proposal, DH Group, Key Lifetime, etc.).

<figure><img src="https://2933983217-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FZHOws1GppZYJspgX4wu1%2Fuploads%2FSibo3vLx9nliWsRtkz69%2Fimage.png?alt=media&#x26;token=0aeac704-1331-44a3-bed5-e52b0d4b9cf3" alt=""><figcaption></figcaption></figure>

<figure><img src="https://2933983217-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FZHOws1GppZYJspgX4wu1%2Fuploads%2FHflJf11Bdp5D19wYTpub%2Fimage.png?alt=media&#x26;token=9798621c-a1ef-49d0-a769-e4748c6aefa5" alt=""><figcaption></figcaption></figure>

***

### 6. Processo de Conexão e Autenticação

1. No FortiClient, o usuário seleciona a conexão `VPN_SAML_IPSEC` e clica em **Conectar**.

<figure><img src="https://2933983217-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FZHOws1GppZYJspgX4wu1%2Fuploads%2FRAqCBEPzxuSD7p9xtCq2%2Fimage.png?alt=media&#x26;token=bb2807b1-e02e-4ea6-9d02-8d3cf4b78ee9" alt=""><figcaption></figcaption></figure>

2. Uma janela de autenticação SAML da Facesign será exibida, solicitando a **autenticação biométrica.**

<figure><img src="https://2933983217-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FZHOws1GppZYJspgX4wu1%2Fuploads%2FsxYbjLiVgfQKTYZOi187%2Fimage.png?alt=media&#x26;token=4ffb45bd-1ceb-49bb-be5b-f1c9dc0be94d" alt=""><figcaption></figcaption></figure>

3. Após a verificação biométrica bem-sucedida, a conexão **VPN** é estabelecida, e o usuário terá acesso aos recursos da rede interna definidos na política de firewall.

<figure><img src="https://2933983217-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FZHOws1GppZYJspgX4wu1%2Fuploads%2ForLvODOUn9KkH6Gn0lhn%2Fimage.png?alt=media&#x26;token=54f924c6-eebe-4935-a615-71b6680208da" alt=""><figcaption></figcaption></figure>

<figure><img src="https://2933983217-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FZHOws1GppZYJspgX4wu1%2Fuploads%2FnBVUTL2t03pnVr9xbNDz%2Fimage.png?alt=media&#x26;token=4306ba44-cc7a-46e0-bfa7-808cbdb936bd" alt=""><figcaption></figcaption></figure>

***

### Suporte e Contato

Para suporte técnico ou dúvidas, utilize o Portal Admin FaceSign ou entre em contato com nossa equipe através dos canais oficiais.