Integratsioonid · Palo Alto GlobalProtect
Palo Alto GlobalProtecti 2FA RADIUS-e kaudu telefonikinnitusega
Meeskondadele, kes kasutavad Palo Alto Networksi tulemüüril GlobalProtecti ja soovivad, et iga VPN-i sisselogimine kinnitataks kasutaja telefonis, ilma et peaks enne RADIUS-serverit üles ehitama. Kogu taustsüsteemiks võib olla Notakey seade: proksi, RADIUS ja telefonikinnitus ühes kohas.
Kuidas see ühendub
Tulemüür saadab RADIUS-päringu, seade teeb ülejäänu
GlobalProtecti portaal ja lüüs saadavad sisselogimise RADIUS-e kaudu Notakey auth-proxyle. Proksi annab paroolikontrolli edasi allavoolu RADIUS-serverile ja vale parool lükatakse kohe tagasi. Kui parool on õige, saadab proksi kasutaja telefoni kinnituspäringu ja hoiab RADIUS-vahetust avatuna, kuni kasutaja otsustab, vaikimisi 30 sekundit. Kinnitamise korral saab tulemüür Access-Accept; keeldumise või vastuse puudumise korral lükatakse sisselogimine tagasi.
Kui teil RADIUS-serverit pole, on allavoolu serveriks Notakey kohapealse seadmega kaasas olev RADIUS-plugin. See aktsepteerib üht üldparooli või lühikest kasutajapõhiste paroolide loendit oma seadistuses, nii et RADIUS-e kasutajate andmebaasi pole vaja üles ehitada. Kui teil on juba Microsoft NPS või mõni muu kataloogiga seotud RADIUS-server, suunake proksi hoopis sellele. Palo Alto poolel jääb kõik samaks; muutuvad ainult proksi allavoolu aadress ja saladus.
GlobalProtecti rakendus, portaal, lüüs ja kasutajate töövoog jäävad samaks. Kasutajad sisestavad nagu varemgi kasutajanime ja parooli ning puudutavad seejärel Kinnita.
Mida enne alustamist teada
- Me pole Palo Alto tulemüüri ise laboris katsetanud. Palo Alto seaded pärinevad Palo Alto dokumentatsioonist, mis on juhendis viidatud; tulemüür suhtleb auth-proxyga standardse RADIUS-e kaudu.
- RADIUS-serveri profiili ajalimiit on vaikimisi 3 sekundit ja lubatud vahemik on 1–120 sekundit. See peab olema pikem kui proksi 30-sekundiline kinnitusaken. Kui kiired kinnitused töötavad, aga hilised ebaõnnestuvad, on tõenäoline põhjus GlobalProtecti enda ühenduse ajalimiit; tõstke seda või lühendage vpn_message_ttl väärtust.
- Valige PAP, mitte vaikimisi PEAP-MSCHAPv2. Proksi peab kasutajanime lugema, et teada, kelle telefonist kinnitust küsida, ja PEAP peidab selle vaikimisi. PAP-i puhul liigub kasutajanimi avatekstina ja ainult parool on jagatud saladusega peidetud, seega hoidke tulemüüri ja seadme vaheline ühendus usaldusväärses võrgus ning saladus pikk ja juhuslik.
- RADIUS-plugin ei kontrolli kasutaja kataloogiparooli. Üldparooli kasutamisel kaitseb sisselogimist telefonikinnitus. Kui teie poliitika või audiitor eeldab, et üks kahest tegurist on kataloogiparool, suunake proksi RADIUS-serverile, mis kontrollib Active Directoryt, näiteks Microsoft NPS-ile.
- Ärge oodake kinnituskaardil kasutaja IP-aadressi. GlobalProtect ei pane kliendi IP-aadressi atribuuti Calling-Station-Id, kust proksi seda loeb. Koostage kinnituse kirjeldus nii, et kaart nimetaks ikkagi teenuse ja kasutajanime.
- Ilma autentimise alistamise küpsisteta saab kasutaja iga ühenduse kohta kaks kinnitustaotlust, ühe portaalilt ja teise lüüsilt. Valige küpsise eluiga teadlikult: pikem tähendab vähem kinnitusi, aga ka nõrgemat kaitset, kui sülearvuti varastatakse.
- Telefonikinnitus ei peata ründajat, kes vahendab päris sisselogimist võltslehe kaudu reaalajas; seda teevad ainult saidiga seotud meetodid, näiteks FIDO-võtmed.
Nullist esimese kinnituseni
- 01
Looge rakendus ja käivitage seadmes taustsüsteem
Looge Notakey halduspaneelil VPN-i rakendus, registreerige telefonid ja kopeerige Access ID. Käivitage seadme käsurealt RADIUS-plugin oma saladuse ja parooliga (mitte kunagi avaldatud vaikeväärtustega) ning suunake auth-proxy sellele, andes kaasa Access ID ja kinnitussõnumi.
- 02
Seadistage RADIUS-serveri profiil ja autentimisprofiil
Lisage tulemüüril seadme jaoks RADIUS-serveri profiil pordiga 1812 ja jagatud saladusega, määrake ajalimiit 30 sekundist tublisti suuremaks (näiteks 60), korduskatsete arvuks 1 ja autentimisprotokolliks PAP. Looge RADIUS-tüüpi autentimisprofiil, jätke kasutajanime teisendajaks %USERINPUT%, et see kattuks Notakeys registreeritud nimega, täitke lubatute loend (Allow List) ja lisage profiil portaalile ja lüüsile.
- 03
Lülitage sisse autentimise alistamine ja katsetage
Lülitage portaalis sisse küpsiste loomine ja lüüsis küpsiste aktsepteerimine, mõlemas sama sertifikaadiga, et üks ühendus nõuaks ühte kinnitust, mitte kahte. Looge GlobalProtectiga ühendus, kinnitage tõuketeavitus, seejärel looge ühendus uuesti ja keelduge; teine katse peab ebaõnnestuma.
Korduma kippuvad küsimused
- Kas GlobalProtecti 2FA jaoks on vaja eraldi RADIUS-serverit?
- Ei. Allavoolu serveriks võib olla Notakey kohapealse seadme RADIUS-plugin, mille seadistuses on üks üldparool või lühike kasutajapõhiste paroolide loend. Kui üks teguritest peab olema kataloogiparool, suunake proksi hoopis Microsoft NPS-ile või mõnele muule kataloogiga seotud RADIUS-serverile. Palo Alto seaded pärinevad Palo Alto dokumentatsioonist; me pole Palo Alto tulemüüri ise laboris katsetanud.
- Millist autentimisprotokolli peaks RADIUS-serveri profiil kasutama?
- PAP-i. Proksi peab kasutajanime lugema, et teada, kelle telefonist kinnitust küsida, ja vaikimisi kasutatav PEAP-MSCHAPv2 peidab selle. Hoidke tulemüüri ja seadme vaheline ühendus usaldusväärses võrgus ning jagatud saladus pikk ja juhuslik.
- Miks peab kasutaja iga ühenduse puhul kaks korda kinnitama?
- Portaal ja lüüs autendivad kumbki eraldi. Lülitage portaalis ja lüüsis sisse autentimise alistamise küpsised, mõlemas sama sertifikaadiga, nii et üks ühendus nõuab ainult ühte kinnitust.
Juhendid ja dokumentatsioon
- Palo Alto GlobalProtecti 2FA RADIUS-ega, ilma eraldi RADIUS-serverita
- RADIUS-teenuse pistikprogramm (kasutajate seadistamine pole vajalik)
- VPN-i 2FA RADIUS-ega – auth-proxy täielik seadistus
- Palo Alto: RADIUS- või TACACS+-autentimise seadistamine (inglise keeles)
Seotud tooted