Integrationen · Jedes RADIUS-VPN und jede Firewall
VPN-2FA über RADIUS: Bestätigung am Telefon für jedes VPN und jede Firewall
Für IT-Teams mit einem beliebigen VPN-Konzentrator oder einer Firewall, die sich auf einen RADIUS-Server richten lässt. Der Notakey Auth-Proxy sitzt zwischen VPN und RADIUS, sodass jede Anmeldung Passwort plus Fingertipp auf dem Telefon verlangt. RADIUS-Server und Benutzer bleiben unverändert; am VPN ändern sich nur die Adresse des RADIUS-Servers und der Timeout.
So wird es angebunden
Ein transparenter Proxy im RADIUS-Pfad
Der Benutzer wählt sich mit Benutzernamen und Passwort ins VPN ein. Der Konzentrator schickt die RADIUS-Anfrage an den Auth-Proxy statt an Ihren RADIUS-Server. Der Proxy leitet sie an den nachgelagerten Server weiter; schlägt die Passwortprüfung fehl, wird die Anmeldung sofort abgelehnt. Ist das Passwort korrekt, sendet der Proxy eine Bestätigungsanfrage per Push an das Telefon des Benutzers und hält den RADIUS-Austausch offen, bis der Benutzer antwortet – standardmäßig bis zu 30 Sekunden. Bei Bestätigung geht Access-Accept zurück ans VPN; bei Ablehnung oder Zeitüberschreitung wird die Anmeldung abgewiesen.
Da der Proxy auf beiden Seiten Standard-RADIUS spricht, funktioniert er mit nahezu jedem RADIUS-Server (FreeRADIUS, Microsoft NPS, dem User Manager von MikroTik) und mit jedem VPN-Konzentrator, der sich auf RADIUS richten lässt. Ein bestehendes Unternehmens-RADIUS arbeitet unverändert weiter – der Proxy ist für den RADIUS-Server transparent. Die On-Premise-Appliance bringt den Proxy bereits mit; mit einem Notakey-Server in der Cloud läuft derselbe Proxy als Container in Ihrem eigenen Netzwerk, und für Windows gibt es einen MSI-Installer.
Betreiben Sie überhaupt kein RADIUS, dient das RADIUS-Plugin der Appliance als FreeRADIUS-basierter nachgelagerter Server mit einem globalen Passwort oder einer kurzen Liste benutzerspezifischer Passwörter in seiner Konfiguration – eine RADIUS-Benutzerdatenbank müssen Sie also nicht aufbauen. Der Benutzer wird über die Bestätigung am Telefon verifiziert.
Auf dem Telefon zeigt die Anfrage, wer sich von welcher IP-Adresse anmeldet, mit einem Countdown. Sieht ein Benutzer das, ohne sich gerade ins VPN einzuwählen, verwendet jemand anderes sein Passwort – ein Tipp auf Deny stoppt die Anmeldung und hinterlässt eine Audit-Spur.
Was Sie vorab wissen sollten
- Der RADIUS-Client-Timeout Ihres VPN muss mindestens so lang sein wie das Bestätigungsfenster, standardmäßig 30 Sekunden. Die meisten RADIUS-Clients stehen ab Werk auf wenigen Sekunden oder weniger; Anmeldungen, die selbst bei schneller Bestätigung in einen Timeout laufen, sind der häufigste Fehler in diesem Setup.
- Derselbe Benutzername muss im Notakey-Dienst, in RADIUS und im VPN existieren. Der Proxy adressiert den Push über den Benutzernamen.
- Das RADIUS-Plugin prüft nicht die Verzeichnispasswörter der Benutzer. Brauchen Sie das, verwenden Sie Microsoft NPS oder einen anderen an Ihr Verzeichnis angebundenen RADIUS-Server.
- Das Plugin wird mit einem veröffentlichten Standard-Secret und -Passwort ausgeliefert. Ersetzen Sie beide, bevor Sie es irgendwo erreichbar machen.
- Der Proxy liest die auf der Bestätigungskarte angezeigte Client-IP aus dem Standardattribut Calling-Station-Id. Ein VPN, das dieses Attribut nicht befüllt, zeigt keine IP auf der Karte; Palo Alto GlobalProtect ist ein solcher Fall.
- Eine Bestätigung am Telefon sorgt dafür, dass ein gestohlenes oder erratenes Passwort allein nicht mehr genügt. Einen Angreifer, der eine echte Anmeldung in Echtzeit über eine gefälschte Seite weiterleitet, stoppt sie nicht.
Von null zur ersten Bestätigung
- 01
VPN-Anwendung in Notakey anlegen
Legen Sie im Notakey-Dashboard eine Anwendung für das VPN an, registrieren Sie die Telefone der Benutzer im Notakey Authenticator und kopieren Sie die Access ID der Anwendung.
- 02
Auth-Proxy konfigurieren
Legen Sie auf der Appliance den Listening-Port des Proxys, die Adresse des nachgelagerten RADIUS-Servers, die beiden Shared Secrets, die Access ID, das Bestätigungsfenster und die Nachricht für die Benutzer fest und starten Sie ihn. Mit einem Cloud-Server betreiben Sie den Container notakey/authproxy mit denselben Werten als Umgebungsvariablen.
- 03
VPN auf den Proxy richten und den Timeout erhöhen
Ändern Sie den RADIUS-Client des VPN so, dass als Serveradresse der Proxy eingetragen ist, mit demselben Secret wie vpn_secret_in, und erhöhen Sie seinen RADIUS-Timeout auf mindestens 30 Sekunden. Wählen Sie sich ins VPN ein, bestätigen Sie den Push auf dem Telefon, und die Verbindung steht.
Häufig gestellte Fragen
- Welche VPNs und RADIUS-Server funktionieren mit dem Auth-Proxy?
- Jeder VPN-Konzentrator und jede Firewall, die einen RADIUS-Server ansprechen kann, und nahezu jeder RADIUS-Server: FreeRADIUS, Microsoft NPS, der User Manager von MikroTik oder das RADIUS-Plugin der Appliance. Der Proxy spricht auf beiden Seiten Standard-RADIUS.
- Ändert sich etwas an meinem RADIUS-Server oder meiner Benutzerdatenbank?
- Nein. Der Proxy ist für den RADIUS-Server transparent. Am VPN ändern sich nur die Adresse des RADIUS-Servers und der Timeout.
- Warum laufen Anmeldungen in einen Timeout, obwohl ich schnell bestätige?
- Fast immer, weil der RADIUS-Client-Timeout des VPN kürzer ist als das 30-Sekunden-Bestätigungsfenster des Proxys. Die meisten Clients stehen ab Werk auf wenigen Sekunden; erhöhen Sie den Wert auf mindestens 30 Sekunden.