Integrációk · MikroTik
MikroTik 2FA: telefonos jóváhagyás VPN-hez és router-bejelentkezéshez
Azoknak a csapatoknak, amelyeknél MikroTik router látja el a VPN-átjáró vagy a hálózati perem szerepét. Minden VPN-kapcsolatot és minden adminisztrátori bejelentkezést egy érintéssel hagynak jóvá a Notakey Authenticatorban, és ehhez elég a már meglévő router.
Hogyan csatlakozik
Két belépési út, egyetlen alkalmazás a telefonon
A VPN-nél egy RouterOS-szkript végzi a munkát. A felhasználó a szokásos módon, felhasználónévvel és jelszóval csatlakozik, a tűzfal azonban mindaddig blokkolja a forgalmát, amíg a PPP-profil up szkriptje jóváhagyást nem kér a Notakey-szervertől, és a felhasználó a telefonján meg nem érinti a Jóváhagyás gombot. Ha elutasítja vagy nem reagál, a szkript bontja a munkamenetet. Ebben a felállásban nincs sem RADIUS-szerver, sem auth-proxy; a szkriptek a notakey/mikrotik-2fa-vpn tárolóból származnak, és a RouterOS 6.46.4-es vagy újabb verzióján futnak, beleértve a 7.x ágat is.
A routerre történő bejelentkezésnél (WinBox, WebFig, SSH és API) a router a login szolgáltatást RADIUS-hoz irányítja, a Notakey auth-proxy pedig észrevétlenül ül ebben a RADIUS-útvonalban. A proxy a jelszóellenőrzést továbbítja az Ön RADIUS-szerverének (FreeRADIUS, Microsoft NPS, a MikroTik saját User Managere vagy a Notakey RADIUS-bővítmény), jóváhagyási kérést küld az adminisztrátor telefonjára, és csak akkor válaszol Access-Accepttel, ha mindkettő sikeres.
A VPN-felhasználók, a jelszavaik és a router megszokott konfigurációja mindkét esetben változatlan marad. Csak annyi változik, hogy a jelszó önmagában már nem elég a belépéshez.
Amit érdemes tudni, mielőtt belekezd
- A szkriptalapú VPN-beállítás a PPP-alapú VPN-eket fedi le (L2TP/IPsec, PPTP, SSTP). A szkriptben a jóváhagyás időkorlátja 60 másodperc.
- A MikroTik alapértelmezett RADIUS-időkorlátja 300 ezredmásodperc. RADIUS-alapú router-bejelentkezésnél állítsa timeout=30s értékre, különben minden bejelentkezés meghiúsul, mielőtt a telefon egyáltalán megrezzenne.
- Tartson meg egy helyi adminisztrátori fiókot. A RouterOS először a helyi felhasználói adatbázist nézi meg, és csak az ott ismeretlen felhasználónevekkel fordul a RADIUS-hoz, így ez a fiók lesz a visszaút, ha a proxy, a RADIUS vagy a Notakey-szolgáltatás elérhetetlen.
- A RADIUS-szal hitelesített adminisztrátorok az Ön által választott default-group jogosultságait kapják, hacsak a RADIUS-szerver nem ad vissza felhasználónként Mikrotik-Group attribútumot. Válassza a legszűkebb jogosultságot, amellyel még el lehet végezni a munkát.
- Ha a kérést jóváhagyó telefon egyben a VPN-kliens is, vegyen fel egy engedélyező szabályt, hogy a függőben lévő kliensek elérjék a Notakey-szervert, miközben minden más forgalmuk még blokkolva van.
- A szkript JSON-feldolgozója nem boldogul a zárójelekkel és esetleg más különleges írásjelekkel a jóváhagyási üzenetben. Az üzenet szövege legyen egyszerű.
- Egyetlen routerhez a szkriptes megoldás a leggyorsabb. Sok router, más gyártók VPN-jei vagy központi szabályozás esetén inkább a RADIUS-alapú beállítás való.
A nulláról az első jóváhagyásig
- 01
Hozza létre az alkalmazást a Notakeyben
A Notakey irányítópulton hozzon létre egy alkalmazást a VPN-hez vagy a routerhez, másolja ki az Access ID-ját, és regisztrálja a felhasználók telefonját a Notakey Authenticatorban. A Notakeyben szereplő felhasználónévnek pontosan egyeznie kell a routeren használttal, mert a kérés címzése felhasználónév alapján történik.
- 02
Telepítse a szkripteket, vagy vegye fel a proxyt RADIUS-szerverként
A VPN-hez illessze be a JParseFunctions és a NotakeyFunctions könyvtárat a System → Scripts menübe, kapcsolja az up szkriptet egy olyan PPP-profilhoz, amely az új munkameneteket a vpn_pending címlistára teszi, és vegye fel azt a tűzfalszabályt, amely eldobja ennek a listának a forgalmát. A router-bejelentkezéshez vegye fel az auth-proxyt a /radius alatt service=login és timeout=30s beállítással, majd kapcsolja be a use-radius opciót a /user aaa alatt.
- 03
Próbálja ki egy felhasználóval, aztán terjessze ki
Rendeljen egy PPP secretet a 2FA-profilhoz, vagy nyisson egy második WinBox-munkamenetet egy RADIUS-felhasználónévvel, és hagyja jóvá a push értesítést. Ha működik, állítsa be a 2FA-profilt a PPP-szerver alapértelmezett profiljaként, így minden felhasználóra kiterjed anélkül, hogy egyenként módosítania kellene a secreteket.
Gyakran ismételt kérdések
- Kell RADIUS-szerver a MikroTik VPN 2FA-hoz?
- Nem. PPP-alapú VPN-eknél (L2TP/IPsec, PPTP, SSTP) egy RouterOS-szkript kéri a jóváhagyást a Notakey-szervertől, és a tűzfal addig visszatartja a munkamenetet, amíg a felhasználó meg nem érinti a Jóváhagyás gombot. RADIUS csak a router-bejelentkezésekhez (WinBox, WebFig, SSH) kell, vagy akkor, ha sok routernek vagy más gyártók eszközeinek közös szabályzatot kell használniuk.
- Mely RouterOS-verziók támogatottak?
- A notakey/mikrotik-2fa-vpn tároló szkriptjei a RouterOS 6.46.4-es vagy újabb verzióján futnak, beleértve a 7.x ágat is.
- Miért hiúsul meg a RADIUS-os bejelentkezés, mielőtt a telefon megrezzenne?
- A MikroTik alapértelmezett RADIUS-időkorlátja 300 ezredmásodperc. Állítsa be a /radius bejegyzésen a timeout=30s értéket, hogy a router kivárja a jóváhagyást, és ne adja fel azonnal.