Integraciones · Cualquier VPN o firewall con RADIUS
2FA para VPN por RADIUS: aprobación en el teléfono para cualquier VPN o firewall
Para equipos de TI con cualquier concentrador VPN o firewall que pueda apuntar a un servidor RADIUS. El auth-proxy de Notakey se sitúa entre la VPN y RADIUS, de modo que cada inicio de sesión exige la contraseña y un toque en el teléfono. El servidor RADIUS y los usuarios no cambian; en la VPN solo cambian la dirección del servidor RADIUS y el tiempo de espera.
Cómo se conecta
Un proxy transparente en la ruta RADIUS
El usuario se conecta a la VPN con su nombre de usuario y su contraseña. El concentrador envía la petición RADIUS al auth-proxy en lugar de a su servidor RADIUS. El proxy la reenvía al servidor de destino; si la comprobación de la contraseña falla, el inicio de sesión se rechaza de inmediato. Si la contraseña es correcta, el proxy envía una solicitud de aprobación al teléfono del usuario y mantiene abierto el intercambio RADIUS mientras el usuario responde, hasta 30 segundos por defecto. Si aprueba, Access-Accept vuelve a la VPN; si deniega o se agota el tiempo, el inicio de sesión se rechaza.
Como el proxy habla RADIUS estándar por ambos lados, funciona con casi cualquier servidor RADIUS (FreeRADIUS, Microsoft NPS, el User Manager de MikroTik) y con cualquier concentrador VPN que pueda apuntar a RADIUS. El RADIUS corporativo existente funciona sin cambios; el proxy es transparente para él. El appliance on-premise trae el proxy integrado; con un servidor de Notakey alojado en la nube, el mismo proxy se ejecuta como contenedor dentro de su propia red, y existe además un instalador MSI para Windows.
Si no utiliza RADIUS en absoluto, el plugin RADIUS del appliance es un servidor de destino basado en FreeRADIUS con una contraseña global o una lista corta de contraseñas por usuario en su configuración, de modo que no hay que crear ninguna base de datos de usuarios RADIUS. La identidad del usuario la verifica la aprobación en el teléfono.
En el teléfono, la solicitud muestra quién inicia sesión y desde qué dirección IP, con una cuenta atrás. Si un usuario la ve sin estar conectándose a la VPN, está viendo a otra persona usar su contraseña: un toque en Denegar detiene el inicio de sesión y deja constancia en el registro de auditoría.
Qué debe saber antes de empezar
- El tiempo de espera del cliente RADIUS de su VPN debe ser al menos tan largo como la ventana de aprobación, 30 segundos por defecto. La mayoría de los clientes RADIUS usan por defecto unos pocos segundos o menos; que los inicios de sesión caduquen aunque se apruebe rápido es el error más habitual en esta configuración.
- El mismo nombre de usuario debe existir en el servicio de Notakey, en RADIUS y en la VPN. El proxy dirige la notificación push por nombre de usuario.
- El plugin RADIUS no comprueba las contraseñas de directorio de los usuarios. Si lo necesita, utilice Microsoft NPS u otro servidor RADIUS conectado a su directorio.
- El plugin se distribuye con un secreto y una contraseña por defecto que son públicos. Sustituya ambos antes de exponerlo a nada.
- La IP del cliente que aparece en la tarjeta de aprobación la toma el proxy del atributo estándar Calling-Station-Id. Si una VPN no lo rellena, la tarjeta no muestra ninguna IP; Palo Alto GlobalProtect es uno de esos casos.
- Una aprobación en el teléfono impide que una contraseña robada o adivinada baste por sí sola. No detiene a un atacante que retransmite en tiempo real un inicio de sesión legítimo a través de una página falsa.
De cero a la primera aprobación
- 01
Cree la aplicación de la VPN en Notakey
En el panel de Notakey, cree una aplicación para la VPN, registre los teléfonos de los usuarios con Notakey Authenticator y copie el Access ID de la aplicación.
- 02
Configure el auth-proxy
En el appliance, configure el puerto de escucha del proxy, la dirección del servidor RADIUS de destino, los dos secretos compartidos, el Access ID, la ventana de aprobación y el mensaje que verán los usuarios, y después inícielo. Con un servidor en la nube, ejecute el contenedor notakey/authproxy con los mismos valores como variables de entorno.
- 03
Apunte la VPN al proxy y amplíe el tiempo de espera
Cambie el cliente RADIUS de la VPN para que la dirección del servidor sea la del proxy, con el mismo secreto que vpn_secret_in, y amplíe su tiempo de espera RADIUS a 30 segundos como mínimo. Conéctese a la VPN, apruebe la notificación push en el teléfono y la conexión se completa.
Preguntas frecuentes
- ¿Qué VPN y servidores RADIUS funcionan con el auth-proxy?
- Cualquier concentrador VPN o firewall que pueda apuntar a un servidor RADIUS, y casi cualquier servidor RADIUS: FreeRADIUS, Microsoft NPS, el User Manager de MikroTik o el plugin RADIUS del propio appliance. El proxy habla RADIUS estándar por ambos lados.
- ¿Cambian mi servidor RADIUS o mi base de datos de usuarios?
- No. El proxy es transparente para ellos. En la VPN solo cambian la dirección del servidor RADIUS y el tiempo de espera.
- ¿Por qué se agota el tiempo de espera del inicio de sesión aunque apruebe enseguida?
- Casi siempre porque el tiempo de espera del cliente RADIUS de la VPN es más corto que la ventana de aprobación de 30 segundos del proxy. La mayoría de los clientes usan por defecto unos pocos segundos; amplíelo a 30 segundos como mínimo.