Intégrations · Palo Alto GlobalProtect
Palo Alto GlobalProtect 2FA via RADIUS avec approbation sur le téléphone
Pour les équipes qui exploitent GlobalProtect sur un pare-feu Palo Alto Networks et veulent que chaque connexion VPN soit approuvée sur le téléphone de l’utilisateur, sans devoir d’abord monter un serveur RADIUS. L’appliance Notakey peut assurer tout le back-end : proxy, RADIUS et approbation sur le téléphone, au même endroit.
Comment s’établit la connexion
Le pare-feu envoie du RADIUS, l’appliance fait le reste
Le portail et la passerelle GlobalProtect transmettent la connexion à l’auth-proxy Notakey via RADIUS. Le proxy confie la vérification du mot de passe au serveur RADIUS de destination, et un mot de passe erroné est rejeté immédiatement. Si le mot de passe est accepté, le proxy envoie une demande d’approbation sur le téléphone de l’utilisateur et maintient l’échange RADIUS ouvert pendant que celui-ci décide, 30 secondes par défaut. S’il approuve, le pare-feu reçoit Access-Accept ; s’il refuse ou ne répond pas, la connexion est rejetée.
Si vous n’avez pas de serveur RADIUS, le plugin RADIUS fourni avec l’appliance Notakey sur site sert de serveur de destination. Il accepte un mot de passe global unique ou une courte liste de mots de passe par utilisateur conservés dans sa configuration : aucune base d’utilisateurs RADIUS à constituer. Si vous exploitez déjà Microsoft NPS ou un autre serveur RADIUS adossé à un annuaire, pointez plutôt le proxy vers celui-ci. Rien ne change côté Palo Alto ; seuls l’adresse de destination et le secret du proxy changent.
L’application GlobalProtect, le portail, la passerelle et les habitudes de vos utilisateurs restent inchangés. Ils saisissent leur nom d’utilisateur et leur mot de passe comme avant, puis touchent Approve.
À savoir avant de commencer
- Nous n’avons pas testé de pare-feu Palo Alto dans notre propre laboratoire. Les réglages Palo Alto proviennent de la documentation de Palo Alto, référencée dans le guide ; le pare-feu dialogue avec l’auth-proxy en RADIUS standard.
- Le délai d’expiration du profil de serveur RADIUS est de 3 secondes par défaut et accepte de 1 à 120 secondes. Il doit dépasser la fenêtre d’approbation de 30 secondes du proxy. Si les approbations rapides passent et que les tardives échouent, le délai de connexion propre à GlobalProtect est probablement en cause : relevez-le ou raccourcissez vpn_message_ttl.
- Choisissez PAP et non PEAP-MSCHAPv2, proposé par défaut. Le proxy doit lire le nom d’utilisateur pour savoir quel téléphone solliciter, et PEAP le masque par défaut. Avec PAP, le nom d’utilisateur circule en clair et seul le mot de passe est masqué par le secret partagé : gardez la liaison entre le pare-feu et l’appliance sur un réseau de confiance, avec un secret long et aléatoire.
- Le plugin RADIUS ne vérifie pas le mot de passe d’annuaire de l’utilisateur. Avec le mot de passe global, c’est l’approbation sur le téléphone qui protège la connexion. Si votre politique ou votre auditeur exige le mot de passe d’annuaire comme l’un des deux facteurs, pointez le proxy vers un serveur RADIUS qui interroge Active Directory, comme Microsoft NPS.
- Ne comptez pas voir l’adresse IP de l’utilisateur sur la carte d’approbation. GlobalProtect ne place pas l’IP du client dans Calling-Station-Id, l’attribut où le proxy la lit. Rédigez la description de l’approbation de sorte que la carte indique malgré tout le service et le nom d’utilisateur.
- Sans cookies d’authentication override, l’utilisateur reçoit deux demandes d’approbation par connexion, l’une pour le portail, l’autre pour la passerelle. Choisissez la durée de vie des cookies en connaissance de cause : plus elle est longue, moins il y a d’approbations, mais moins l’accès est protégé en cas de vol de l’ordinateur portable.
- Une approbation sur le téléphone n’arrête pas un attaquant qui relaie en temps réel une vraie connexion via une fausse page ; seules des méthodes liées au site, comme les clés FIDO, y parviennent.
De zéro à la première approbation
- 01
Créer l’application et démarrer le back-end sur l’appliance
Créez une application VPN dans le tableau de bord Notakey, enrôlez les téléphones et copiez l’Access ID. Dans la CLI de l’appliance, démarrez le plugin RADIUS avec votre propre secret et votre propre mot de passe (jamais les valeurs par défaut publiées), puis pointez l’auth-proxy vers lui avec l’Access ID et le message d’approbation.
- 02
Configurer le profil de serveur RADIUS et le profil d’authentification
Sur le pare-feu, ajoutez un profil de serveur RADIUS pour l’appliance sur le port 1812 avec le secret partagé, réglez le délai d’expiration nettement au-delà de 30 secondes (par exemple 60), le nombre de tentatives à 1 et le protocole d’authentification sur PAP. Créez un profil d’authentification de type RADIUS, conservez %USERINPUT% comme modificateur de nom d’utilisateur afin qu’il corresponde au nom enrôlé dans Notakey, renseignez la liste d’autorisation et associez le profil au portail et à la passerelle.
- 03
Activer l’authentication override et tester
Activez la génération de cookies sur le portail et leur acceptation sur la passerelle, avec le même certificat des deux côtés, afin qu’une connexion ne demande qu’une approbation au lieu de deux. Connectez-vous avec GlobalProtect, approuvez la notification push, puis reconnectez-vous en refusant : la seconde tentative doit échouer.
Questions fréquentes
- Faut-il un serveur RADIUS distinct pour la 2FA GlobalProtect ?
- Non. Le plugin RADIUS de l’appliance Notakey sur site peut servir de serveur de destination, avec un mot de passe global unique ou une courte liste de mots de passe par utilisateur. Si le mot de passe d’annuaire doit être l’un des facteurs, pointez plutôt le proxy vers Microsoft NPS ou un autre serveur RADIUS adossé à un annuaire. Les réglages Palo Alto proviennent de la documentation de Palo Alto ; nous n’avons pas testé de pare-feu Palo Alto dans notre propre laboratoire.
- Quel protocole d’authentification choisir dans le profil de serveur RADIUS ?
- PAP. Le proxy doit lire le nom d’utilisateur pour savoir quel téléphone solliciter, et PEAP-MSCHAPv2, proposé par défaut, le masque. Gardez la liaison entre le pare-feu et l’appliance sur un réseau de confiance, avec un secret partagé long et aléatoire.
- Pourquoi l’utilisateur reçoit-il deux demandes d’approbation par connexion ?
- Le portail et la passerelle s’authentifient chacun de leur côté. Activez les cookies d’authentication override sur le portail et sur la passerelle, avec le même certificat des deux côtés : une connexion ne demande alors qu’une seule approbation.
Guides et documentation
- La 2FA Palo Alto GlobalProtect via RADIUS, sans serveur RADIUS distinct
- Plugin de service RADIUS (aucune configuration utilisateur requise)
- La 2FA VPN avec RADIUS – l’installation complète de l’auth-proxy
- Palo Alto : configurer l’authentification RADIUS ou TACACS+ (en anglais)
Produits associés