Integraciones · Palo Alto GlobalProtect
2FA para Palo Alto GlobalProtect por RADIUS con aprobación en el teléfono
Para equipos que usan GlobalProtect en un firewall de Palo Alto Networks y quieren que cada acceso VPN se apruebe en el teléfono del usuario, sin tener que montar antes un servidor RADIUS. El appliance de Notakey puede ser todo el back end: proxy, RADIUS y aprobación en el teléfono en un solo lugar.
Cómo se conecta
El firewall envía RADIUS, el appliance hace el resto
El portal y el gateway de GlobalProtect envían el inicio de sesión al auth-proxy de Notakey por RADIUS. El proxy pasa la comprobación de la contraseña al servidor RADIUS de destino, y una contraseña incorrecta se rechaza de inmediato. Si la contraseña es correcta, el proxy envía una solicitud de aprobación al teléfono del usuario y mantiene abierto el intercambio RADIUS mientras el usuario decide: 30 segundos por defecto. Si aprueba, el firewall recibe Access-Accept; si deniega o no responde, el inicio de sesión se rechaza.
Si no tiene servidor RADIUS, el plugin RADIUS incluido en el appliance on-premise de Notakey hace de servidor de destino. Acepta una contraseña global o una lista corta de contraseñas por usuario guardadas en su configuración, de modo que no hay que crear ninguna base de datos de usuarios RADIUS. Si ya utiliza Microsoft NPS u otro servidor RADIUS conectado a un directorio, apunte el proxy a ese servidor. En el lado de Palo Alto todo sigue igual; solo cambian, en el proxy, la dirección del servidor de destino y el secreto.
La app GlobalProtect, el portal, el gateway y la forma de trabajar de sus usuarios no cambian. Escriben su nombre de usuario y su contraseña como antes y después tocan Aprobar.
Qué debe saber antes de empezar
- No hemos probado un firewall de Palo Alto en nuestro laboratorio. Los ajustes de Palo Alto proceden de la documentación de Palo Alto, enlazada desde la guía; el firewall se comunica con el auth-proxy por RADIUS estándar.
- El tiempo de espera del perfil de servidor RADIUS es de 3 segundos por defecto y admite de 1 a 120 segundos. Debe ser más largo que la ventana de aprobación de 30 segundos del proxy. Si las aprobaciones rápidas funcionan y las tardías fallan, la causa probable es el tiempo de espera de conexión del propio GlobalProtect: auméntelo o acorte vpn_message_ttl.
- Elija PAP, no PEAP-MSCHAPv2, que es la opción por defecto. El proxy necesita leer el nombre de usuario para saber a qué teléfono preguntar, y PEAP lo oculta por defecto. Con PAP el nombre de usuario viaja en texto claro y solo la contraseña se oculta con el secreto compartido, así que mantenga el enlace entre el firewall y el appliance en una red de confianza y use un secreto largo y aleatorio.
- El plugin RADIUS no comprueba la contraseña de directorio del usuario. Con la contraseña global, lo que protege el inicio de sesión es la aprobación en el teléfono. Si su política o su auditor exigen la contraseña de directorio como uno de los dos factores, apunte el proxy a un servidor RADIUS que compruebe contra Active Directory, como Microsoft NPS.
- No espere ver la dirección IP del usuario en la tarjeta de aprobación. GlobalProtect no incluye la IP del cliente en Calling-Station-Id, que es de donde la lee el proxy. Redacte la descripción de la aprobación de forma que la tarjeta siga indicando el servicio y el nombre de usuario.
- Sin las cookies de anulación de autenticación, el usuario recibe dos solicitudes de aprobación por conexión: una para el portal y otra para el gateway. Elija la duración de la cookie con criterio: cuanto más larga, menos aprobaciones y menos protección si roban el portátil.
- Una aprobación en el teléfono no detiene a un atacante que retransmite en tiempo real un inicio de sesión legítimo a través de una página falsa; eso solo lo logran métodos vinculados al sitio, como las llaves FIDO.
De cero a la primera aprobación
- 01
Cree la aplicación y ponga en marcha el back end en el appliance
Cree una aplicación de VPN en el panel de Notakey, registre los teléfonos y copie el Access ID. En la CLI del appliance, inicie el plugin RADIUS con su propio secreto y su propia contraseña (nunca con los valores por defecto publicados) y apunte después el auth-proxy a él con el Access ID y el mensaje de aprobación.
- 02
Configure el perfil de servidor RADIUS y el perfil de autenticación
En el firewall, añada un perfil de servidor RADIUS para el appliance en el puerto 1812 con el secreto compartido, configure un tiempo de espera holgadamente superior a 30 segundos (por ejemplo, 60), 1 reintento y PAP como protocolo de autenticación. Cree un perfil de autenticación de tipo RADIUS, deje el modificador de nombre de usuario en %USERINPUT% para que coincida con el nombre registrado en Notakey, rellene la lista de permitidos y asigne el perfil al portal y al gateway.
- 03
Active la anulación de autenticación y pruebe
Active la generación de cookies en el portal y su aceptación en el gateway, con el mismo certificado en ambos, para que cada conexión requiera una sola aprobación en lugar de dos. Conéctese con GlobalProtect, apruebe la notificación push, vuelva a conectarse y esta vez deniéguela; el segundo intento debe fallar.
Preguntas frecuentes
- ¿Necesito un servidor RADIUS aparte para el 2FA de GlobalProtect?
- No. El plugin RADIUS del appliance on-premise de Notakey puede hacer de servidor de destino, con una contraseña global o una lista corta de contraseñas por usuario. Si la contraseña del directorio debe ser uno de los factores, apunte el proxy a Microsoft NPS o a otro servidor RADIUS conectado al directorio. La configuración de Palo Alto procede de la documentación de Palo Alto; nosotros no hemos probado un firewall de Palo Alto en laboratorio.
- ¿Qué protocolo de autenticación debe usar el perfil de servidor RADIUS?
- PAP. El proxy necesita leer el nombre de usuario para saber a qué teléfono preguntar, y PEAP-MSCHAPv2, la opción por defecto, lo oculta. Mantenga el enlace entre el firewall y el appliance en una red de confianza, con un secreto compartido largo y aleatorio.
- ¿Por qué el usuario recibe dos solicitudes de aprobación por conexión?
- Porque se autentican tanto el portal como el gateway. Active las cookies de anulación de autenticación en el portal y en el gateway, con el mismo certificado en ambos, para que cada conexión requiera una sola aprobación.