Etapa 1 - Download dos certificados:

Faça o download dos certificados abaixo:

CA - https://wifeed-public.s3.sa-east-1.amazonaws.com/wpass_ca_bundle.crt

Certificado - https://wifeed-public.s3.sa-east-1.amazonaws.com/wpass_certificate.crt

Chave - https://wifeed-public.s3.sa-east-1.amazonaws.com/wpass_private.key

Etapa 2 - Faça o upload do certificado e chave no FortiGate

Acesse o menu System > Certificates e clique em Create/Import, selecione Certificate

No menu inferior selecione Import Certificate

Insira o certificado e a chave como na imagem e clique em OK

Irá ficar da seguinte maneira

Etapa 3 - Faça o upload da CA no FortiGate

No mesmo menu de Certificates, clique novamente em Create/Import e selecione CA Certificate

Selecione a opção File insira a CA e salve

Irá ficar da seguinte maneira

Etapa 4 - Criar a interface Loopback do portal

Em Network > Interfaces > Create New > Interface, tipo Loopback Interface, ou pela CLI:

config system interface
    edit "loopback-wifeed"
        set vdom "root"
        set type loopback
        set ip 172.16.199.199 255.255.255.255
        set allowaccess ping
        set security-mode captive-portal
        set role lan
    next
end

Atenção: Deixe somente PING no Administrative Access. Habilitar HTTPS/HTTP na Loopback publica a tela de login administrativo do FortiGate para os clientes do hotspot. O portal de liberação roda nas portas 1000/1003 e não depende do Administrative Access.

Etapa 5 - Criar os objetos de endereço

Objeto FQDN usado pelo Authentication Settings e objeto de IP fixo usado nas policies e exemptions (o objeto de IP não depende da resolução DNS do próprio FortiGate)

config firewall address
    edit "WiFeed-loopback"
        set type fqdn
        set fqdn "release.wpass.io"
    next
end

Irá criar da seguinte maneira

Etapa 6 - Criar o service FGT-AUTH com as portas TCP 1000 e 1003 para policy

Iremos utilizar esse service para criar uma policy posteriormente.

config firewall service custom
    edit "FGT-AUTH"
        set tcp-portrange 1000 1003
    next
end

Irá criar da seguinte maneira

Etapa 7 - Criar uma policy para a Loopback

Essa policy irá liberar o tráfego da interface onde está configurado o captive para a Loopback e services criados anteriormente.

Defina um nome para a policy;

Incoming interface: Atribua a interface que está configurado o captive no seu firewall;

Outgoing interface: looback-wifeed;

Source: all;

Destination: WiFeed-loopback;

Service: FGT-AUTH;

NAT: Desabilitado;

SSL Inspect: Desabilitado;

Ficando da seguinte maneira

Etapa 8 - Ajustando o Authentication Settings

Acesse o menu User & Authentication > Authentication Settings e faça os ajustes abaixo.

Captive portal type: FQDN;

Captive portal: WiFeed-loopback;

HTTP redirect: habilitado;

Certificate: o certificado importado na etapa 3;

Ficando da seguinte maneira

Etapa 9 - Ajustando o Exempt do captive

Acesse o menu Policy & Objects > Addresses e insira o WiFeed-loopback dentro do grupo WiFeed Domains para que o mesmo seja aplicado no Exempt do captive dentro da VLAN automaticamente.

Após estes ajustes, o release.wpass.io já estará liberado para o tráfego, e sempre que o usuário chamar ele via portal captive, o FortiGate irá resolver no loopback 172.16.199.199 e irá autenticar o usuário corretamente sem erro de certificado.

Certificado SSL Fortigate - Utilizando certificado WiFeed