Integrace · Palo Alto GlobalProtect
Palo Alto GlobalProtect 2FA přes RADIUS se schválením na telefonu
Pro týmy s GlobalProtect na firewallu Palo Alto Networks, které chtějí, aby každé přihlášení k VPN uživatel schválil na telefonu, a to bez budování RADIUS serveru. Celý backend může obstarat zařízení Notakey: proxy, RADIUS i schválení na telefonu na jednom místě.
Jak se připojuje
Firewall posílá RADIUS, zbytek zařídí zařízení
Portál a brána GlobalProtect posílají přihlášení přes RADIUS na Notakey auth-proxy. Proxy předá kontrolu hesla cílovému RADIUS serveru a špatné heslo je okamžitě odmítnuto. Pokud je heslo přijato, proxy pošle na telefon uživatele žádost o schválení a drží RADIUS výměnu otevřenou, dokud se uživatel nerozhodne, ve výchozím nastavení 30 sekund. Po schválení dostane firewall Access-Accept; při odmítnutí nebo bez odpovědi je přihlášení zamítnuto.
Pokud RADIUS server nemáte, poslouží jako cílový server RADIUS plugin, který je součástí on-premise zařízení Notakey. Přijímá jedno globální heslo nebo krátký seznam hesel pro jednotlivé uživatele uložený v jeho konfiguraci, takže žádnou databázi RADIUS uživatelů budovat nemusíte. Pokud už provozujete Microsoft NPS nebo jiný RADIUS server napojený na adresář, nasměrujte proxy raději na něj. Na straně Palo Alto se nic nemění; změní se jen cílová adresa a tajemství proxy.
Aplikace GlobalProtect, portál, brána i pracovní postup uživatelů zůstávají stejné. Uživatelé zadají uživatelské jméno a heslo jako dosud a pak klepnou na Schválit.
Co vědět, než začnete
- Firewall Palo Alto jsme sami v laboratoři netestovali. Nastavení Palo Alto vychází z dokumentace Palo Alto, na kterou návod odkazuje; firewall komunikuje s auth-proxy standardním protokolem RADIUS.
- Timeout v profilu RADIUS serveru je ve výchozím stavu 3 sekundy a lze ho nastavit od 1 do 120 sekund. Musí být delší než 30sekundové okno proxy pro schválení. Pokud rychlá schválení projdou a pozdní selžou, je pravděpodobnou příčinou vlastní timeout připojení GlobalProtect; zvyšte ho, nebo zkraťte vpn_message_ttl.
- Zvolte PAP, ne výchozí PEAP-MSCHAPv2. Proxy potřebuje přečíst uživatelské jméno, aby věděla, čí telefon má požádat, a PEAP ho ve výchozím nastavení skrývá. U PAP putuje uživatelské jméno v otevřeném textu a sdíleným tajemstvím je skryto jen heslo, proto udržujte spojení mezi firewallem a zařízením v důvěryhodné síti a tajemství dlouhé a náhodné.
- RADIUS plugin nekontroluje adresářové heslo uživatele. Při použití globálního hesla chrání přihlášení právě schválení na telefonu. Pokud vaše pravidla nebo auditor očekávají adresářové heslo jako jeden ze dvou faktorů, nasměrujte proxy na RADIUS server, který ověřuje proti Active Directory, například Microsoft NPS.
- Nečekejte na schvalovací kartě IP adresu uživatele. GlobalProtect nevkládá IP adresu klienta do atributu Calling-Station-Id, ze kterého ji proxy čte. Popis žádosti formulujte tak, aby karta přesto uváděla službu a uživatelské jméno.
- Bez cookies pro authentication override dostane uživatel při každém připojení dvě žádosti o schválení, jednu pro portál a jednu pro bránu. Životnost cookies volte uváženě: delší znamená méně schvalování, ale slabší ochranu při krádeži notebooku.
- Schválení na telefonu nezastaví útočníka, který skutečné přihlášení v reálném čase přeposílá přes podvrženou stránku; to dokážou jen metody vázané na konkrétní web, jako jsou klíče FIDO.
Od nuly k prvnímu schválení
- 01
Vytvořte aplikaci a spusťte backend na zařízení
V dashboardu Notakey vytvořte aplikaci pro VPN, zaregistrujte telefony a zkopírujte Access ID. V CLI zařízení spusťte RADIUS plugin s vlastním tajemstvím a heslem (nikdy ne se zveřejněnými výchozími hodnotami) a pak na něj nasměrujte auth-proxy s Access ID a textem žádosti o schválení.
- 02
Nakonfigurujte profil RADIUS serveru a ověřovací profil
Na firewallu přidejte profil RADIUS serveru pro zařízení na portu 1812 se sdíleným tajemstvím, nastavte timeout s rezervou nad 30 sekund (například 60), počet opakování na 1 a ověřovací protokol PAP. Vytvořte ověřovací profil typu RADIUS, modifikátor uživatelského jména ponechte na %USERINPUT%, aby odpovídal jménu zaregistrovanému v Notakey, vyplňte Allow List a profil přiřaďte portálu i bráně.
- 03
Zapněte authentication override a otestujte
Na portálu zapněte generování cookies a na bráně jejich přijímání, s týmž certifikátem na obou stranách, aby jedno připojení vyžadovalo jedno schválení, ne dvě. Připojte se přes GlobalProtect, schvalte push notifikaci, pak se připojte znovu a žádost odmítněte; druhý pokus musí selhat.
Časté dotazy
- Potřebuji pro 2FA v GlobalProtect samostatný RADIUS server?
- Ne. Jako cílový server může posloužit RADIUS plugin on-premise zařízení Notakey s jedním globálním heslem nebo krátkým seznamem hesel pro jednotlivé uživatele. Pokud má být jedním z faktorů adresářové heslo, nasměrujte proxy raději na Microsoft NPS nebo jiný RADIUS server napojený na adresář. Nastavení Palo Alto vychází z dokumentace Palo Alto; firewall Palo Alto jsme sami v laboratoři netestovali.
- Jaký ověřovací protokol má profil RADIUS serveru používat?
- PAP. Proxy potřebuje přečíst uživatelské jméno, aby věděla, na čí telefon má žádost poslat, a výchozí PEAP-MSCHAPv2 ho skrývá. Spojení mezi firewallem a zařízením udržujte v důvěryhodné síti a sdílené tajemství dlouhé a náhodné.
- Proč uživatel schvaluje každé připojení dvakrát?
- Ověřuje se zvlášť portál a zvlášť brána. Zapněte na portálu i na bráně cookies pro authentication override, s týmž certifikátem na obou stranách, a jedno připojení pak bude znamenat jedno schválení.