Integratsioonid · MikroTik
MikroTiku 2FA: telefonikinnitus VPN-ile ja ruuteri sisselogimisele
Meeskondadele, kelle VPN-lüüsiks või võrgu servaks on MikroTiku ruuter. Iga VPN-ühendus ja iga administraatori sisselogimine kinnitatakse puudutusega Notakey Authenticatoris, ja selleks piisab ruuterist, mis teil juba on.
Kuidas see ühendub
Kaks sisenemisteed, üks rakendus telefonis
VPN-i puhul teeb töö ära RouterOS-i skript. Kasutaja loob ühenduse nagu ikka kasutajanime ja parooliga, kuid tulemüür blokeerib tema liikluse seni, kuni PPP-profiili up-skript on Notakey serverilt kinnitust küsinud ja kasutaja on telefonis vajutanud Kinnita. Kui ta keeldub või ei vasta, katkestab skript seansi. Selles lahenduses pole RADIUS-serverit ega auth-proxyt; skriptid pärinevad hoidlast notakey/mikrotik-2fa-vpn ja töötavad RouterOS-i versioonides alates 6.46.4, sealhulgas 7.x.
Ruuterisse endasse sisselogimisel (WinBox, WebFig, SSH ja API) suunab ruuter oma sisselogimisteenuse RADIUS-ele ning Notakey auth-proxy paikneb läbipaistvalt sellel RADIUS-teel. Proksi edastab paroolikontrolli teie RADIUS-serverile (FreeRADIUS, Microsoft NPS, MikroTiku enda User Manager või Notakey RADIUS-plugin), saadab administraatori telefoni kinnituspäringu ja vastab Access-Accept alles siis, kui mõlemad õnnestuvad.
Mõlemal juhul jäävad VPN-i kasutajad, nende paroolid ja teile oluline ruuteri seadistus samaks. Muutub ainult see, et parool üksi ei ole enam sisselogimiseks piisav.
Mida enne alustamist teada
- Skriptipõhine VPN-lahendus katab PPP-põhised VPN-id (L2TP/IPsec, PPTP, SSTP). Skripti kinnitusaeg on 60 sekundit.
- MikroTiku RADIUS-e vaikimisi ajalimiit on 300 millisekundit. Ruuteri sisselogimisel RADIUS-e kaudu määrake timeout=30s, muidu ebaõnnestub iga sisselogimine enne, kui telefon jõuab märku anda.
- Säilitage kohalik administraatorikonto. RouterOS kontrollib kõigepealt kohalikku kasutajate andmebaasi ja küsib RADIUS-elt ainult tundmatute kasutajanimede kohta, nii et see konto on teie tagasitee juhuks, kui proksi, RADIUS või Notakey teenus pole kättesaadav.
- RADIUS-e kaudu autenditud administraatorid saavad teie valitud default-group õigused, kui teie RADIUS-server ei tagasta igale kasutajale atribuuti Mikrotik-Group. Valige vähim õiguste hulk, millega töö tehtud saab.
- Kui päringut kinnitav telefon on ise VPN-klient, lisage lubav reegel, et ootel kliendid jõuaksid Notakey serverini, kuni kõik muu on veel blokeeritud.
- Skripti JSON-parser ei saa hakkama sulgude ja võib-olla ka muude erimärkidega kinnitussõnumis. Hoidke sõnumi tekst lihtne.
- Ühe ruuteri puhul on skriptipõhine lahendus kiireim tee. Paljude ruuterite, teiste VPN-tootjate või keskse poliitika korral sobib paremini RADIUS-põhine lahendus.
Nullist esimese kinnituseni
- 01
Looge rakendus Notakeys
Looge Notakey halduspaneelil VPN-i või ruuteri jaoks rakendus, kopeerige selle Access ID ja registreerige kasutajate telefonid Notakey Authenticatoriga. Kasutajanimi Notakeys peab täpselt kattuma ruuteri kasutajanimega, sest päring adresseeritakse kasutajanime järgi.
- 02
Paigaldage skriptid või lisage proksi RADIUS-serverina
VPN-i jaoks kleepige teegid JParseFunctions ja NotakeyFunctions jaotisse System → Scripts, siduge up-skript PPP-profiiliga, mis paigutab uued seansid aadressiloendisse vpn_pending, ja lisage selle loendi jaoks tulemüüri blokeerimisreegel. Ruuteri sisselogimise jaoks lisage auth-proxy jaotisse /radius seadetega service=login ja timeout=30s ning lülitage jaotises /user aaa sisse use-radius.
- 03
Katsetage ühe kasutajaga, seejärel võtke kasutusele
Suunake üks PPP-kasutajakirje (secret) 2FA-profiilile või avage teine WinBoxi seanss RADIUS-kasutajanimega ja kinnitage tõuketeavitus. Kui see töötab, määrake 2FA-profiil PPP-serveri vaikeprofiiliks, nii et kaitse kehtib kõigile kasutajatele ilma iga kirjet eraldi muutmata.
Korduma kippuvad küsimused
- Kas MikroTiku VPN-i 2FA jaoks on vaja RADIUS-serverit?
- Ei. PPP-põhiste VPN-ide (L2TP/IPsec, PPTP, SSTP) puhul küsib RouterOS-i skript kinnitust Notakey serverilt ja tulemüür hoiab seanssi kinni, kuni kasutaja vajutab Kinnita. RADIUS-t on vaja ainult ruuteri sisselogimiseks (WinBox, WebFig, SSH) või siis, kui paljud ruuterid või teiste tootjate seadmed peavad kasutama ühist poliitikat.
- Milliseid RouterOS-i versioone toetatakse?
- Hoidla notakey/mikrotik-2fa-vpn skriptid töötavad RouterOS-i versioonides alates 6.46.4, sealhulgas 7.x.
- Miks RADIUS-e kaudu sisselogimine ebaõnnestub enne, kui telefon märku annab?
- MikroTiku RADIUS-e vaikimisi ajalimiit on 300 millisekundit. Määrake /radius kirjes timeout=30s, et ruuter ootaks kinnitust, mitte ei loobuks kohe.