Integrace · Libovolná RADIUS VPN nebo firewall
2FA pro VPN přes RADIUS: schválení telefonem pro jakoukoli VPN či firewall
Pro IT týmy s jakýmkoli VPN koncentrátorem nebo firewallem, který umí ověřovat proti RADIUS serveru. Notakey auth-proxy se vloží mezi VPN a RADIUS, takže každé přihlášení vyžaduje heslo i klepnutí na telefonu. RADIUS server i uživatelé zůstávají beze změny; na VPN se mění jen adresa RADIUS serveru a timeout.
Jak se připojuje
Transparentní proxy v RADIUS cestě
Uživatel se připojí k VPN uživatelským jménem a heslem. Koncentrátor pošle RADIUS požadavek na auth-proxy místo na váš RADIUS server. Proxy ho předá dál na cílový server; neúspěšná kontrola hesla je okamžitě odmítnuta. Pokud je heslo správné, proxy pošle na telefon uživatele žádost o schválení a drží RADIUS výměnu otevřenou, dokud uživatel neodpoví, ve výchozím nastavení až 30 sekund. Po schválení se do VPN vrací Access-Accept; při odmítnutí nebo vypršení je přihlášení zamítnuto.
Protože proxy mluví na obou stranách standardním RADIUSem, funguje s téměř jakýmkoli RADIUS serverem (FreeRADIUS, Microsoft NPS, User Manager na MikroTiku) a s jakýmkoli VPN koncentrátorem, který umí ověřovat proti RADIUSu. Stávající firemní RADIUS funguje beze změny; proxy je pro něj transparentní. On-premise zařízení má proxy vestavěnou; se serverem Notakey v cloudu běží tatáž proxy jako kontejner ve vaší vlastní síti a pro Windows je k dispozici instalátor MSI.
Pokud RADIUS vůbec neprovozujete, poslouží RADIUS plugin zařízení: cílový server postavený na FreeRADIUS s jedním globálním heslem nebo krátkým seznamem hesel pro jednotlivé uživatele v konfiguraci, takže žádnou databázi RADIUS uživatelů budovat nemusíte. Uživatele ověří schválení na telefonu.
Žádost na telefonu ukazuje, kdo se přihlašuje a z jaké IP adresy, spolu s odpočtem. Uživatel, který ji uvidí, aniž by se k VPN připojoval, se dívá na někoho, kdo používá jeho heslo; jedno klepnutí na Odmítnout přihlášení zastaví a zanechá auditní stopu.
Co vědět, než začnete
- Timeout RADIUS klienta na vaší VPN musí být alespoň tak dlouhý jako okno pro schválení, ve výchozím nastavení 30 sekund. Většina RADIUS klientů má ve výchozím stavu pár sekund nebo méně; přihlášení, která vyprší, i když schválíte rychle, jsou v tomto nastavení nejčastější chybou.
- Stejné uživatelské jméno musí existovat ve službě Notakey, v RADIUSu i ve VPN. Proxy podle něj adresuje push notifikaci.
- RADIUS plugin nekontroluje adresářová hesla uživatelů. Pokud to potřebujete, použijte Microsoft NPS nebo jiný RADIUS server napojený na váš adresář.
- Plugin se dodává se zveřejněným výchozím tajemstvím a heslem. Obojí změňte dřív, než ho čemukoli zpřístupníte.
- IP adresu klienta zobrazenou na schvalovací kartě čte proxy ze standardního atributu Calling-Station-Id. VPN, která ho nevyplňuje, na kartě žádnou IP adresu neukáže; jedním takovým případem je Palo Alto GlobalProtect.
- Schválení na telefonu zajistí, že ukradené nebo uhodnuté heslo samo o sobě nestačí. Nezastaví ale útočníka, který skutečné přihlášení v reálném čase přeposílá přes podvrženou stránku.
Od nuly k prvnímu schválení
- 01
Vytvořte v Notakey aplikaci pro VPN
V dashboardu Notakey vytvořte aplikaci pro VPN, zaregistrujte telefony uživatelů v aplikaci Notakey Authenticator a zkopírujte Access ID aplikace.
- 02
Nakonfigurujte auth-proxy
Na zařízení nastavte naslouchací port proxy, adresu cílového RADIUS serveru, obě sdílená tajemství, Access ID, okno pro schválení a zprávu, kterou uživatelé uvidí, a proxy spusťte. Se serverem v cloudu spusťte kontejner notakey/authproxy se stejnými hodnotami v proměnných prostředí.
- 03
Nasměrujte VPN na proxy a zvyšte timeout
V RADIUS klientovi VPN nastavte jako adresu serveru proxy se stejným tajemstvím jako vpn_secret_in a zvyšte RADIUS timeout alespoň na 30 sekund. Připojte se k VPN, schvalte push notifikaci na telefonu a spojení se naváže.
Časté dotazy
- Které VPN a RADIUS servery s auth-proxy fungují?
- Jakýkoli VPN koncentrátor nebo firewall, který umí ověřovat proti RADIUS serveru, a téměř jakýkoli RADIUS server: FreeRADIUS, Microsoft NPS, User Manager na MikroTiku nebo vlastní RADIUS plugin zařízení. Proxy komunikuje na obou stranách standardním protokolem RADIUS.
- Změní se něco na mém stávajícím RADIUS serveru nebo v databázi uživatelů?
- Ne. Proxy je pro něj transparentní. Na VPN se mění jen adresa RADIUS serveru a timeout.
- Proč přihlášení vyprší, i když schválím rychle?
- Téměř vždy proto, že timeout RADIUS klienta na VPN je kratší než 30sekundové okno proxy pro schválení. Většina klientů má ve výchozím stavu jen pár sekund; zvyšte ho alespoň na 30 sekund.