Integratsioonid · Iga RADIUS-põhine VPN või tulemüür
VPN-i 2FA RADIUS-e kaudu: telefonikinnitus igale VPN-ile ja tulemüürile
IT-meeskondadele, kelle VPN-kontsentraatorit või tulemüüri saab suunata RADIUS-serverile. Notakey auth-proxy paigutatakse VPN-i ja RADIUS-e vahele, nii et iga sisselogimine nõuab parooli ja puudutust telefonis. RADIUS-server ja kasutajad jäävad samaks; VPN-is muutuvad ainult RADIUS-serveri aadress ja ajalimiit.
Kuidas see ühendub
Läbipaistev proksi RADIUS-teel
Kasutaja loob VPN-ühenduse kasutajanime ja parooliga. Kontsentraator saadab RADIUS-päringu teie RADIUS-serveri asemel auth-proxyle. Proksi edastab selle allavoolu; ebaõnnestunud paroolikontroll lükatakse kohe tagasi. Kui parool on õige, saadab proksi kasutaja telefoni kinnituspäringu ja hoiab RADIUS-vahetust avatuna, kuni kasutaja vastab, vaikimisi kuni 30 sekundit. Kinnitamise korral läheb VPN-ile Access-Accept; keeldumise või aegumise korral lükatakse sisselogimine tagasi.
Kuna proksi kõneleb mõlemal pool standardset RADIUS-protokolli, töötab see peaaegu iga RADIUS-serveriga (FreeRADIUS, Microsoft NPS, MikroTiku User Manager) ja iga VPN-kontsentraatoriga, mida saab RADIUS-serverile suunata. Olemasolev ettevõtte RADIUS töötab muutmata kujul; proksi on selle jaoks läbipaistev. Kohapealsel seadmel on proksi sisse ehitatud; pilves majutatud Notakey serveri puhul töötab sama proksi konteinerina teie enda võrgus ning Windowsi jaoks on saadaval MSI-paigaldaja.
Kui te RADIUS-t üldse ei kasuta, on seadme RADIUS-plugin FreeRADIUS-el põhinev allavoolu server, mille seadistuses on üks üldparool või lühike kasutajapõhiste paroolide loend, nii et RADIUS-e kasutajate andmebaasi pole vaja üles ehitada. Kasutaja tuvastatakse telefonikinnitusega.
Telefonis näitab päring, kes ja millise IP-aadressi pealt sisse logib, koos tagasiloendusega. Kui kasutaja näeb seda ajal, mil ta ise VPN-i ei ühendu, kasutab keegi teine tema parooli, ning üks puudutus nupul Keela peatab sisselogimise ja jätab auditijälje.
Mida enne alustamist teada
- VPN-i RADIUS-kliendi ajalimiit peab olema vähemalt sama pikk kui kinnitusaken, vaikimisi 30 sekundit. Enamiku RADIUS-klientide vaikeväärtus on paar sekundit või vähem; kui sisselogimine aegub ka kiire kinnitamise korral, on see selle lahenduse kõige levinum viga.
- Sama kasutajanimi peab olema olemas Notakey teenuses, RADIUS-es ja VPN-is. Proksi adresseerib tõuketeavituse kasutajanime järgi.
- RADIUS-plugin ei kontrolli kasutajate kataloogiparoole. Kui seda on vaja, kasutage Microsoft NPS-i või mõnda muud kataloogiga ühendatud RADIUS-serverit.
- Pluginaga on kaasas avaldatud vaikimisi saladus ja parool. Asendage mõlemad, enne kui selle millelegi avate.
- Proksi loeb kinnituskaardil näidatava kliendi IP-aadressi standardsest atribuudist Calling-Station-Id. Kui VPN seda ei täida, ei näita kaart IP-aadressi; üks selline juhtum on Palo Alto GlobalProtect.
- Telefonikinnitus tagab, et varastatud või ära arvatud paroolist üksi ei piisa. See ei peata ründajat, kes vahendab päris sisselogimist võltslehe kaudu reaalajas.
Nullist esimese kinnituseni
- 01
Looge Notakeys VPN-i rakendus
Looge Notakey halduspaneelil VPN-i jaoks rakendus, registreerige kasutajate telefonid Notakey Authenticatoriga ja kopeerige rakenduse Access ID.
- 02
Seadistage auth-proxy
Määrake seadmes proksi kuulamisport, allavoolu RADIUS-serveri aadress, kaks jagatud saladust, Access ID, kinnitusaken ja kasutajatele kuvatav sõnum, seejärel käivitage see. Pilveserveri puhul käivitage konteiner notakey/authproxy samade väärtustega keskkonnamuutujatena.
- 03
Suunake VPN proksile ja tõstke ajalimiiti
Muutke VPN-i RADIUS-klienti nii, et serveri aadress oleks proksi ja saladus sama mis vpn_secret_in, ning tõstke RADIUS-e ajalimiit vähemalt 30 sekundini. Ühenduge VPN-iga, kinnitage tõuketeavitus telefonis ja ühendus saab valmis.
Korduma kippuvad küsimused
- Millised VPN-id ja RADIUS-serverid auth-proxyga töötavad?
- Iga VPN-kontsentraator või tulemüür, mida saab RADIUS-serverile suunata, ja peaaegu iga RADIUS-server: FreeRADIUS, Microsoft NPS, MikroTiku User Manager või seadme enda RADIUS-plugin. Proksi kõneleb mõlemal pool standardset RADIUS-protokolli.
- Kas minu olemasolev RADIUS-server või kasutajate andmebaas muutub?
- Ei. Proksi on selle jaoks läbipaistev. VPN-is muutuvad ainult RADIUS-serveri aadress ja ajalimiit.
- Miks sisselogimine aegub isegi siis, kui kinnitan kiiresti?
- Peaaegu alati seetõttu, et VPN-i RADIUS-kliendi ajalimiit on lühem kui proksi 30-sekundiline kinnitusaken. Enamiku klientide vaikeväärtus on paar sekundit; tõstke see vähemalt 30 sekundini.