Integrációk · Bármely RADIUS-alapú VPN vagy tűzfal
VPN 2FA RADIUS-szal: telefonos jóváhagyás bármely VPN-hez vagy tűzfalhoz
Azoknak az IT-csapatoknak, amelyeknek olyan VPN-koncentrátoruk vagy tűzfaluk van, amely RADIUS-szerverhez irányítható. A Notakey auth-proxy a VPN és a RADIUS közé kerül, így minden bejelentkezéshez a jelszó és egy telefonos érintés kell. A RADIUS-szerver és a felhasználók változatlanok maradnak; a VPN-en csak a RADIUS-szerver címe és az időkorlát változik.
Hogyan csatlakozik
Átlátszó proxy a RADIUS-útvonalban
A felhasználó felhasználónévvel és jelszóval csatlakozik a VPN-hez. A koncentrátor a RADIUS-kérést a RADIUS-szerver helyett az auth-proxynak küldi. A proxy továbbítja a mögöttes szervernek; a sikertelen jelszóellenőrzést azonnal elutasítja. Ha a jelszó helyes, a proxy jóváhagyási kérést küld a felhasználó telefonjára, és nyitva tartja a RADIUS-kérést, amíg a felhasználó válaszol, alapértelmezés szerint legfeljebb 30 másodpercig. Jóváhagyás esetén Access-Accept megy vissza a VPN-nek; elutasítás vagy időtúllépés esetén a proxy elutasítja a bejelentkezést.
Mivel a proxy mindkét oldalon szabványos RADIUS-t beszél, szinte bármilyen RADIUS-szerverrel (FreeRADIUS, Microsoft NPS, a MikroTik User Managere) és minden olyan VPN-koncentrátorral működik, amely RADIUS-hoz irányítható. A meglévő vállalati RADIUS változatlanul működik; a proxy számára átlátszó. A helyben telepített készülék beépítve tartalmazza a proxyt; felhőben üzemeltetett Notakey-szerver esetén ugyanez a proxy konténerként fut az Ön saját hálózatán, Windowsra pedig MSI-telepítő is elérhető.
Ha egyáltalán nem üzemeltet RADIUS-t, a készülék RADIUS-bővítménye FreeRADIUS-alapú mögöttes szerver, amely egyetlen globális jelszót vagy a konfigurációjában tárolt, felhasználónkénti jelszavak rövid listáját használja, így nem kell RADIUS-felhasználói adatbázist felépíteni. A felhasználót a telefonos jóváhagyás azonosítja.
A telefonon a kérés visszaszámlálóval mutatja, ki és melyik IP-címről jelentkezik be. Ha a felhasználó ezt akkor látja, amikor éppen nem csatlakozik a VPN-hez, akkor valaki más használja a jelszavát, és egyetlen érintés az Elutasítás gombon megállítja a bejelentkezést, és auditnyomot hagy.
Amit érdemes tudni, mielőtt belekezd
- A VPN RADIUS-kliensének időkorlátja legalább olyan hosszú legyen, mint a jóváhagyási ablak, amely alapértelmezés szerint 30 másodperc. A legtöbb RADIUS-kliens alapértéke néhány másodperc vagy még kevesebb; ennél a beállításnál a leggyakoribb hiba az, hogy a bejelentkezés gyors jóváhagyás mellett is időtúllépéssel megszakad.
- Ugyanannak a felhasználónévnek léteznie kell a Notakey-szolgáltatásban, a RADIUS-ban és a VPN-ben. A proxy felhasználónév alapján címzi a push értesítést.
- A RADIUS-bővítmény nem ellenőrzi a felhasználók címtárbeli jelszavát. Ha erre szüksége van, használjon Microsoft NPS-t vagy más, a címtárhoz kapcsolt RADIUS-szervert.
- A bővítmény közzétett alapértelmezett titokkal és jelszóval érkezik. Cserélje le mindkettőt, mielőtt bárhonnan elérhetővé tenné.
- A jóváhagyási kártyán látható kliens IP-címet a proxy a szabványos Calling-Station-Id attribútumból olvassa ki. Ha a VPN ezt nem tölti ki, a kártyán nem jelenik meg IP-cím; a Palo Alto GlobalProtect is ilyen.
- A telefonos jóváhagyás megakadályozza, hogy egy ellopott vagy kitalált jelszó önmagában elég legyen. Azt a támadót viszont nem állítja meg, aki egy hamis oldalon keresztül valós időben közvetít egy valódi bejelentkezést.
A nulláról az első jóváhagyásig
- 01
Hozza létre a VPN-alkalmazást a Notakeyben
A Notakey irányítópulton hozzon létre egy alkalmazást a VPN-hez, regisztrálja a felhasználók telefonját a Notakey Authenticatorban, és másolja ki az alkalmazás Access ID-ját.
- 02
Konfigurálja az auth-proxyt
A készüléken adja meg a proxy figyelő portját, a mögöttes RADIUS-szerver címét, a két megosztott titkot, az Access ID-t, a jóváhagyási ablakot és a felhasználóknak megjelenő üzenetet, majd indítsa el. Felhős szerver esetén a notakey/authproxy konténert futtassa ugyanezekkel az értékekkel környezeti változókként.
- 03
Irányítsa a VPN-t a proxyra, és emelje meg az időkorlátot
Módosítsa a VPN RADIUS-kliensét úgy, hogy a szervercím a proxy legyen, a vpn_secret_in értékével azonos titokkal, és emelje a RADIUS-időkorlátot legalább 30 másodpercre. Csatlakozzon a VPN-hez, hagyja jóvá a push értesítést a telefonon, és a kapcsolat felépül.
Gyakran ismételt kérdések
- Mely VPN-ekkel és RADIUS-szerverekkel működik az auth-proxy?
- Minden olyan VPN-koncentrátorral vagy tűzfallal, amely RADIUS-szerverhez irányítható, és szinte bármilyen RADIUS-szerverrel: FreeRADIUS, Microsoft NPS, a MikroTik User Managere vagy a készülék saját RADIUS-bővítménye. A proxy mindkét oldalon szabványos RADIUS-t beszél.
- Változik a meglévő RADIUS-szerverem vagy a felhasználói adatbázisom?
- Nem. A proxy átlátszó, a RADIUS-szerver észre sem veszi. A VPN-en csak a RADIUS-szerver címe és az időkorlát változik.
- Miért szakad meg időtúllépéssel a bejelentkezés, pedig gyorsan jóváhagyom?
- Szinte mindig azért, mert a VPN RADIUS-kliensének időkorlátja rövidebb a proxy 30 másodperces jóváhagyási ablakánál. A legtöbb kliens alapértéke néhány másodperc; emelje legalább 30 másodpercre.