Integrationen · Palo Alto GlobalProtect
Palo Alto GlobalProtect 2FA über RADIUS mit Bestätigung am Telefon
Für Teams, die GlobalProtect auf einer Firewall von Palo Alto Networks betreiben und jede VPN-Anmeldung auf dem Telefon des Benutzers bestätigen lassen möchten, ohne zuerst einen RADIUS-Server aufzubauen. Die Notakey-Appliance kann das gesamte Back-End sein: Proxy, RADIUS und Bestätigung am Telefon an einem Ort.
So wird es angebunden
Die Firewall spricht RADIUS, die Appliance erledigt den Rest
Portal und Gateway von GlobalProtect senden die Anmeldung per RADIUS an den Notakey Auth-Proxy. Der Proxy übergibt die Passwortprüfung an den nachgelagerten RADIUS-Server; ein falsches Passwort wird sofort abgewiesen. Ist das Passwort korrekt, sendet der Proxy eine Bestätigungsanfrage an das Telefon des Benutzers und hält den RADIUS-Austausch offen, während der Benutzer entscheidet – standardmäßig 30 Sekunden. Bei Bestätigung erhält die Firewall Access-Accept; bei Ablehnung oder ausbleibender Antwort wird die Anmeldung abgewiesen.
Haben Sie keinen RADIUS-Server, übernimmt das RADIUS-Plugin der Notakey-On-Premise-Appliance die Rolle des nachgelagerten Servers. Es akzeptiert ein globales Passwort oder eine kurze Liste benutzerspezifischer Passwörter aus seiner Konfiguration – eine RADIUS-Benutzerdatenbank müssen Sie also nicht aufbauen. Betreiben Sie bereits Microsoft NPS oder einen anderen verzeichnisgestützten RADIUS-Server, richten Sie den Proxy stattdessen auf diesen. Auf der Palo-Alto-Seite bleibt alles gleich; nur die nachgelagerte Adresse und das Secret des Proxys ändern sich.
Die GlobalProtect-App, das Portal, das Gateway und der Arbeitsablauf Ihrer Benutzer bleiben unverändert. Sie geben wie bisher Benutzernamen und Passwort ein und tippen dann auf Approve.
Was Sie vorab wissen sollten
- Wir haben eine Palo-Alto-Firewall nicht selbst im Labor getestet. Die Palo-Alto-Einstellungen stammen aus der Dokumentation von Palo Alto, die in der Anleitung verlinkt ist; die Firewall spricht mit dem Auth-Proxy über Standard-RADIUS.
- Der Timeout des RADIUS-Serverprofils liegt standardmäßig bei 3 Sekunden und erlaubt 1 bis 120 Sekunden. Er muss länger sein als das 30-Sekunden-Bestätigungsfenster des Proxys. Funktionieren schnelle Bestätigungen, späte aber nicht, ist vermutlich der eigene Verbindungs-Timeout von GlobalProtect die Ursache; erhöhen Sie ihn oder verkürzen Sie vpn_message_ttl.
- Wählen Sie PAP, nicht das voreingestellte PEAP-MSCHAPv2. Der Proxy muss den Benutzernamen lesen, um zu wissen, welches Telefon er fragen soll, und PEAP verbirgt ihn standardmäßig. Mit PAP wird der Benutzername im Klartext übertragen und nur das Passwort mit dem Shared Secret verschleiert. Halten Sie die Verbindung zwischen Firewall und Appliance daher in einem vertrauenswürdigen Netz und das Secret lang und zufällig.
- Das RADIUS-Plugin prüft nicht das Verzeichnispasswort des Benutzers. Mit dem globalen Passwort schützt die Bestätigung am Telefon die Anmeldung. Erwartet Ihre Richtlinie oder Ihr Prüfer das Verzeichnispasswort als einen der beiden Faktoren, richten Sie den Proxy auf einen RADIUS-Server, der gegen Active Directory prüft, etwa Microsoft NPS.
- Erwarten Sie auf der Bestätigungskarte keine IP-Adresse des Benutzers. GlobalProtect trägt die Client-IP nicht in Calling-Station-Id ein, und genau dort liest der Proxy sie aus. Formulieren Sie die Bestätigungsbeschreibung so, dass die Karte trotzdem Dienst und Benutzernamen nennt.
- Ohne Authentication-Override-Cookies erhält der Benutzer pro Verbindung zwei Bestätigungsanfragen, eine für das Portal und eine für das Gateway. Wählen Sie die Cookie-Lebensdauer bewusst: Je länger sie ist, desto seltener wird bestätigt – und desto schwächer ist der Schutz, wenn der Laptop gestohlen wird.
- Eine Bestätigung am Telefon stoppt keinen Angreifer, der eine echte Anmeldung in Echtzeit über eine gefälschte Seite weiterleitet; das leisten nur an die Website gebundene Verfahren wie FIDO-Schlüssel.
Von null zur ersten Bestätigung
- 01
Anwendung anlegen und das Back-End auf der Appliance starten
Legen Sie im Notakey-Dashboard eine VPN-Anwendung an, registrieren Sie die Telefone und kopieren Sie die Access ID. Starten Sie in der CLI der Appliance das RADIUS-Plugin mit Ihrem eigenen Secret und Passwort (niemals mit den veröffentlichten Standardwerten) und richten Sie dann den Auth-Proxy mit der Access ID und der Bestätigungsnachricht darauf aus.
- 02
RADIUS-Serverprofil und Authentifizierungsprofil konfigurieren
Legen Sie auf der Firewall ein RADIUS-Serverprofil für die Appliance auf Port 1812 mit dem Shared Secret an, setzen Sie den Timeout deutlich über 30 Sekunden (zum Beispiel 60), die Wiederholungen auf 1 und das Authentifizierungsprotokoll auf PAP. Erstellen Sie ein Authentifizierungsprofil vom Typ RADIUS, lassen Sie den Benutzernamen-Modifikator auf %USERINPUT%, damit er zu dem in Notakey registrierten Namen passt, füllen Sie die Allow List und weisen Sie das Profil Portal und Gateway zu.
- 03
Authentication Override aktivieren und testen
Aktivieren Sie die Cookie-Erzeugung am Portal und die Cookie-Annahme am Gateway, mit demselben Zertifikat auf beiden Seiten, damit eine Verbindung eine einzige Bestätigung braucht statt zwei. Verbinden Sie sich mit GlobalProtect, bestätigen Sie den Push, verbinden Sie sich erneut und lehnen Sie ab; der zweite Versuch muss scheitern.
Häufig gestellte Fragen
- Brauche ich für GlobalProtect-2FA einen separaten RADIUS-Server?
- Nein. Das RADIUS-Plugin der Notakey-On-Premise-Appliance kann als nachgelagerter Server dienen, mit einem globalen Passwort oder einer kurzen Liste benutzerspezifischer Passwörter. Muss das Verzeichnispasswort einer der Faktoren sein, richten Sie den Proxy stattdessen auf Microsoft NPS oder einen anderen verzeichnisgestützten RADIUS-Server. Die Palo-Alto-Einstellungen stammen aus der Dokumentation von Palo Alto; wir haben eine Palo-Alto-Firewall nicht selbst im Labor getestet.
- Welches Authentifizierungsprotokoll gehört ins RADIUS-Serverprofil?
- PAP. Der Proxy muss den Benutzernamen lesen, um zu wissen, welches Telefon er fragen soll, und das voreingestellte PEAP-MSCHAPv2 verbirgt ihn. Halten Sie die Verbindung zwischen Firewall und Appliance in einem vertrauenswürdigen Netz und das Shared Secret lang und zufällig.
- Warum erhält der Benutzer pro Verbindung zwei Bestätigungsanfragen?
- Portal und Gateway authentifizieren jeweils für sich. Aktivieren Sie die Authentication-Override-Cookies an Portal und Gateway, mit demselben Zertifikat auf beiden Seiten – dann braucht eine Verbindung nur eine einzige Bestätigung.
Anleitungen und Dokumentation
- Palo Alto GlobalProtect: 2FA über RADIUS, ohne separaten RADIUS-Server
- RADIUS-Dienst-Plugin (keine Benutzerkonfiguration erforderlich)
- VPN-2FA mit RADIUS – das komplette Auth-Proxy-Setup
- Palo Alto: RADIUS- oder TACACS+-Authentifizierung einrichten (Englisch)
Verwandte Produkte