Intégrations · Tout VPN ou pare-feu RADIUS
2FA VPN via RADIUS : approbation sur le téléphone pour tout VPN ou pare-feu
Pour les équipes informatiques dotées d’un concentrateur VPN ou d’un pare-feu capable de pointer vers un serveur RADIUS. L’auth-proxy Notakey s’intercale entre le VPN et RADIUS : chaque connexion exige alors le mot de passe et un geste sur le téléphone. Le serveur RADIUS et les utilisateurs restent inchangés ; sur le VPN, seuls l’adresse du serveur RADIUS et le délai d’expiration changent.
Comment s’établit la connexion
Un proxy transparent sur le chemin RADIUS
L’utilisateur se connecte au VPN avec son nom d’utilisateur et son mot de passe. Le concentrateur envoie la requête RADIUS à l’auth-proxy au lieu de votre serveur RADIUS. Le proxy la transmet au serveur de destination ; si la vérification du mot de passe échoue, la connexion est rejetée immédiatement. Si le mot de passe est correct, le proxy envoie une demande d’approbation sur le téléphone de l’utilisateur et maintient l’échange RADIUS ouvert pendant qu’il répond, jusqu’à 30 secondes par défaut. S’il approuve, Access-Accept est renvoyé au VPN ; en cas de refus ou d’expiration, la connexion est rejetée.
Comme le proxy parle le RADIUS standard des deux côtés, il fonctionne avec presque n’importe quel serveur RADIUS (FreeRADIUS, Microsoft NPS, le User Manager de MikroTik) et avec tout concentrateur VPN capable de pointer vers RADIUS. Le RADIUS existant de l’entreprise fonctionne sans changement ; le proxy lui est transparent. L’appliance sur site intègre le proxy ; avec un serveur Notakey hébergé dans le cloud, le même proxy s’exécute en conteneur au sein de votre propre réseau, et un installateur MSI est disponible pour Windows.
Si vous n’exploitez pas du tout RADIUS, le plugin RADIUS de l’appliance est un serveur de destination fondé sur FreeRADIUS, avec un mot de passe global unique ou une courte liste de mots de passe par utilisateur dans sa configuration : aucune base d’utilisateurs RADIUS à constituer. L’utilisateur est vérifié par l’approbation sur le téléphone.
Sur le téléphone, la demande indique qui se connecte et depuis quelle adresse IP, avec un compte à rebours. Un utilisateur qui voit apparaître cette demande alors qu’il ne se connecte pas au VPN a sous les yeux quelqu’un d’autre en train d’utiliser son mot de passe : un seul geste sur Deny bloque la connexion et laisse une trace d’audit.
À savoir avant de commencer
- Le délai d’expiration du client RADIUS de votre VPN doit être au moins aussi long que la fenêtre d’approbation, 30 secondes par défaut. La plupart des clients RADIUS sont réglés par défaut sur quelques secondes ou moins ; des connexions qui expirent même quand vous approuvez rapidement, c’est l’erreur la plus fréquente avec cette configuration.
- Le même nom d’utilisateur doit exister dans le service Notakey, dans RADIUS et dans le VPN. Le proxy adresse la notification push par nom d’utilisateur.
- Le plugin RADIUS ne vérifie pas les mots de passe d’annuaire des utilisateurs. Si vous en avez besoin, utilisez Microsoft NPS ou un autre serveur RADIUS relié à votre annuaire.
- Le plugin est livré avec un secret et un mot de passe par défaut publiés. Remplacez-les tous les deux avant de l’exposer à quoi que ce soit.
- Le proxy lit l’IP du client affichée sur la carte d’approbation dans l’attribut standard Calling-Station-Id. Un VPN qui ne le renseigne pas n’affiche aucune IP sur la carte ; c’est le cas de Palo Alto GlobalProtect.
- Une approbation sur le téléphone empêche qu’un mot de passe volé ou deviné suffise à lui seul. Elle n’arrête pas un attaquant qui relaie en temps réel une vraie connexion via une fausse page.
De zéro à la première approbation
- 01
Créer l’application VPN dans Notakey
Dans le tableau de bord Notakey, créez une application pour le VPN, enrôlez les téléphones des utilisateurs dans Notakey Authenticator et copiez l’Access ID de l’application.
- 02
Configurer l’auth-proxy
Sur l’appliance, définissez le port d’écoute du proxy, l’adresse du serveur RADIUS de destination, les deux secrets partagés, l’Access ID, la fenêtre d’approbation et le message que verront les utilisateurs, puis démarrez-le. Avec un serveur cloud, lancez le conteneur notakey/authproxy en lui passant les mêmes valeurs comme variables d’environnement.
- 03
Pointer le VPN vers le proxy et relever le délai
Modifiez le client RADIUS du VPN pour que l’adresse du serveur soit celle du proxy, avec le même secret que vpn_secret_in, et relevez son délai d’expiration RADIUS à au moins 30 secondes. Connectez-vous au VPN, approuvez la notification push sur le téléphone, et la connexion s’établit.
Questions fréquentes
- Quels VPN et serveurs RADIUS fonctionnent avec l’auth-proxy ?
- Tout concentrateur VPN ou pare-feu capable de pointer vers un serveur RADIUS, et presque n’importe quel serveur RADIUS : FreeRADIUS, Microsoft NPS, le User Manager de MikroTik ou le plugin RADIUS de l’appliance. Le proxy parle le RADIUS standard des deux côtés.
- Faut-il modifier mon serveur RADIUS ou ma base d’utilisateurs existants ?
- Non. Le proxy leur est transparent. Sur le VPN, seuls l’adresse du serveur RADIUS et le délai d’expiration changent.
- Pourquoi les connexions expirent-elles alors que j’approuve rapidement ?
- Presque toujours parce que le délai d’expiration du client RADIUS du VPN est plus court que la fenêtre d’approbation de 30 secondes du proxy. La plupart des clients sont réglés par défaut sur quelques secondes : relevez-le à au moins 30 secondes.