Integrációk · Palo Alto GlobalProtect
Palo Alto GlobalProtect 2FA RADIUS-szal és telefonos jóváhagyással
Azoknak a csapatoknak, amelyek Palo Alto Networks tűzfalon futtatják a GlobalProtectet, és azt szeretnék, hogy minden VPN-bejelentkezést a felhasználó a telefonján hagyjon jóvá, anélkül hogy előbb RADIUS-szervert kellene építeniük. A teljes háttérrendszer lehet maga a Notakey készülék: proxy, RADIUS és telefonos jóváhagyás egy helyen.
Hogyan csatlakozik
A tűzfal RADIUS-kérést küld, a többit a készülék intézi
A GlobalProtect portál és átjáró RADIUS-on továbbítja a bejelentkezést a Notakey auth-proxynak. A proxy a jelszóellenőrzést a mögöttes RADIUS-szerverre bízza, a hibás jelszót pedig azonnal elutasítja. Ha a jelszó elfogadható, a proxy jóváhagyási kérést küld a felhasználó telefonjára, és nyitva tartja a RADIUS-kérést, amíg a felhasználó dönt, alapértelmezés szerint 30 másodpercig. Jóváhagyás esetén a tűzfal Access-Acceptet kap; elutasítás esetén vagy válasz hiányában a bejelentkezés sikertelen.
Ha nincs RADIUS-szervere, a saját infrastruktúrában futó Notakey készülékkel együtt szállított RADIUS-bővítmény lesz a mögöttes szerver. Ez egyetlen globális jelszót vagy a konfigurációjában tárolt, felhasználónkénti jelszavak rövid listáját fogadja el, így nem kell RADIUS-felhasználói adatbázist felépíteni. Ha már üzemeltet Microsoft NPS-t vagy más címtáralapú RADIUS-szervert, irányítsa inkább arra a proxyt. A Palo Alto oldalán minden ugyanaz marad; csak a proxy mögöttes címe és titka változik.
A GlobalProtect alkalmazás, a portál, az átjáró és a felhasználók munkafolyamata változatlan. Ugyanúgy beírják a felhasználónevüket és jelszavukat, majd megérintik a Jóváhagyás gombot.
Amit érdemes tudni, mielőtt belekezd
- Palo Alto tűzfalat saját laborunkban nem teszteltünk. A Palo Alto-beállítások a Palo Alto dokumentációjából származnak, amelyre az útmutató hivatkozik; a tűzfal szabványos RADIUS-on kommunikál az auth-proxyval.
- A RADIUS-szerverprofil időkorlátja alapértelmezés szerint 3 másodperc, és 1 és 120 másodperc között állítható. Hosszabbnak kell lennie a proxy 30 másodperces jóváhagyási ablakánál. Ha a gyors jóváhagyások működnek, a későiek viszont nem, valószínűleg a GlobalProtect saját kapcsolódási időkorlátja az ok; emelje meg, vagy rövidítse le a vpn_message_ttl értékét.
- Válassza a PAP-ot, ne az alapértelmezett PEAP-MSCHAPv2-t. A proxynak ki kell olvasnia a felhasználónevet, hogy tudja, kinek a telefonjára küldje a kérést, a PEAP pedig alapértelmezés szerint elrejti. PAP esetén a felhasználónév nyílt szövegként utazik, és csak a jelszót rejti el a megosztott titok, ezért a tűzfal és a készülék közötti kapcsolat legyen megbízható hálózaton, a titok pedig hosszú és véletlenszerű.
- A RADIUS-bővítmény nem ellenőrzi a felhasználó címtárbeli jelszavát. Globális jelszó esetén a bejelentkezést a telefonos jóváhagyás védi. Ha a belső szabályzat vagy az auditor a címtárjelszót várja el a két faktor egyikeként, irányítsa a proxyt egy Active Directoryt ellenőrző RADIUS-szerverre, például a Microsoft NPS-re.
- Ne számítson arra, hogy a jóváhagyási kártyán megjelenik a felhasználó IP-címe. A GlobalProtect nem teszi bele a kliens IP-címét a Calling-Station-Id attribútumba, a proxy pedig onnan olvassa ki. A jóváhagyás leírását úgy fogalmazza meg, hogy a kártya így is megnevezze a szolgáltatást és a felhasználónevet.
- Authentication override sütik nélkül a felhasználó kapcsolatonként két jóváhagyást kap, egyet a portálhoz, egyet az átjáróhoz. A süti élettartamát tudatosan válassza meg: a hosszabb élettartam kevesebb jóváhagyást, de kisebb védelmet is jelent, ha a laptopot ellopják.
- A telefonos jóváhagyás nem állítja meg azt a támadót, aki egy hamis oldalon keresztül valós időben közvetít egy valódi bejelentkezést; erre csak a webhelyhez kötött módszerek, például a FIDO-kulcsok képesek.
A nulláról az első jóváhagyásig
- 01
Hozza létre az alkalmazást, és indítsa el a háttérrendszert a készüléken
Hozzon létre egy VPN-alkalmazást a Notakey irányítópulton, regisztrálja a telefonokat, és másolja ki az Access ID-t. A készülék parancssorában indítsa el a RADIUS-bővítményt saját titokkal és jelszóval (soha ne a közzétett alapértékekkel), majd irányítsa rá az auth-proxyt az Access ID-val és a jóváhagyási üzenettel.
- 02
Állítsa be a RADIUS-szerverprofilt és a hitelesítési profilt
A tűzfalon vegyen fel egy RADIUS-szerverprofilt a készülékhez az 1812-es porton a megosztott titokkal, az időkorlátot állítsa bőven 30 másodperc fölé (például 60-ra), az újrapróbálkozások számát 1-re, a hitelesítési protokollt pedig PAP-ra. Hozzon létre egy RADIUS típusú hitelesítési profilt, a felhasználónév-módosítót hagyja %USERINPUT% értéken, hogy egyezzen a Notakeyben regisztrált névvel, töltse ki az engedélyezési listát, és rendelje hozzá a profilt a portálhoz és az átjáróhoz.
- 03
Kapcsolja be az authentication override-ot, és teszteljen
Kapcsolja be a sütigenerálást a portálon és a sütik elfogadását az átjárón, mindkettőn ugyanazzal a tanúsítvánnyal, hogy egy kapcsolathoz egy jóváhagyás tartozzon, ne kettő. Csatlakozzon a GlobalProtecttel, hagyja jóvá a push értesítést, majd csatlakozzon újra, és utasítsa el; a második kísérletnek meg kell hiúsulnia.
Gyakran ismételt kérdések
- Kell külön RADIUS-szerver a GlobalProtect 2FA-hoz?
- Nem. A saját infrastruktúrában futó Notakey készülék RADIUS-bővítménye lehet a mögöttes szerver, egyetlen globális jelszóval vagy felhasználónkénti jelszavak rövid listájával. Ha az egyik faktornak a címtárjelszónak kell lennie, irányítsa inkább a proxyt Microsoft NPS-re vagy más címtáralapú RADIUS-szerverre. A Palo Alto-beállítások a Palo Alto dokumentációjából származnak; Palo Alto tűzfalat saját laborunkban nem teszteltünk.
- Milyen hitelesítési protokollt használjon a RADIUS-szerverprofil?
- PAP-ot. A proxynak ki kell olvasnia a felhasználónevet, hogy tudja, kinek a telefonjára küldje a kérést, az alapértelmezett PEAP-MSCHAPv2 pedig elrejti. A tűzfal és a készülék közötti kapcsolat legyen megbízható hálózaton, a megosztott titok pedig hosszú és véletlenszerű.
- Miért kap a felhasználó kapcsolatonként két jóváhagyási kérést?
- Mert a portál és az átjáró is külön hitelesít. Kapcsolja be az authentication override sütiket a portálon és az átjárón, mindkettőn ugyanazzal a tanúsítvánnyal, így egy kapcsolathoz egy jóváhagyás tartozik.