Integrazioni · Palo Alto GlobalProtect
2FA per Palo Alto GlobalProtect via RADIUS con approvazione sul telefono
Per chi usa GlobalProtect su un firewall Palo Alto Networks e vuole che ogni accesso VPN sia approvato sul telefono dell’utente, senza dover prima costruire un server RADIUS. L’appliance Notakey può essere l’intero back end: proxy, RADIUS e approvazione sul telefono in un unico posto.
Come si collega
Il firewall invia RADIUS, l’appliance fa il resto
Il portale e il gateway GlobalProtect inviano l’accesso all’auth-proxy Notakey tramite RADIUS. Il proxy passa la verifica della password al server RADIUS di destinazione, e una password errata viene respinta immediatamente. Se la password è accettata, il proxy invia una richiesta di approvazione al telefono dell’utente e mantiene aperto lo scambio RADIUS mentre l’utente decide, per impostazione predefinita 30 secondi. Se approva, il firewall riceve Access-Accept; se rifiuta o non risponde, l’accesso viene respinto.
Se non avete un server RADIUS, il plugin RADIUS fornito con l’appliance Notakey on-premise è il server di destinazione. Accetta un’unica password globale o un breve elenco di password per utente, conservate nella sua configurazione: non c’è alcun database utenti RADIUS da costruire. Se usate già Microsoft NPS o un altro server RADIUS collegato a una directory, puntate il proxy su quello. Sul lato Palo Alto non cambia nulla; cambiano solo l’indirizzo di destinazione e il segreto del proxy.
L’app GlobalProtect, il portale, il gateway e le abitudini dei vostri utenti restano invariati: digitano nome utente e password come prima, poi toccano Approva.
Cosa sapere prima di iniziare
- Non abbiamo testato personalmente un firewall Palo Alto in laboratorio. Le impostazioni Palo Alto provengono dalla documentazione di Palo Alto, a cui la guida rimanda; il firewall comunica con l’auth-proxy tramite RADIUS standard.
- Il timeout del RADIUS server profile è di 3 secondi per impostazione predefinita e accetta valori da 1 a 120 secondi. Deve superare la finestra di approvazione di 30 secondi del proxy. Se le approvazioni rapide funzionano e quelle tardive falliscono, la causa probabile è il timeout di connessione di GlobalProtect: alzatelo oppure riducete vpn_message_ttl.
- Scegliete PAP, non il PEAP-MSCHAPv2 predefinito. Il proxy deve leggere il nome utente per sapere a quale telefono chiedere, e PEAP per impostazione predefinita lo nasconde. Con PAP il nome utente viaggia in chiaro e solo la password è protetta dal segreto condiviso: mantenete il collegamento tra firewall e appliance su una rete fidata e usate un segreto lungo e casuale.
- Il plugin RADIUS non verifica la password di directory dell’utente. Con la password globale, è l’approvazione sul telefono a proteggere l’accesso. Se la vostra policy o il vostro auditor si aspettano la password di directory come uno dei due fattori, puntate il proxy su un server RADIUS che verifica Active Directory, come Microsoft NPS.
- Non aspettatevi l’indirizzo IP dell’utente sulla scheda di approvazione. GlobalProtect non inserisce l’IP del client in Calling-Station-Id, che è il campo da cui il proxy lo legge. Scrivete la descrizione dell’approvazione in modo che la scheda indichi comunque il servizio e il nome utente.
- Senza i cookie di authentication override, l’utente riceve due richieste di approvazione per connessione, una per il portale e una per il gateway. Scegliete con cura la durata dei cookie: più è lunga, meno approvazioni ma meno protezione se il portatile viene rubato.
- Un’approvazione sul telefono non ferma un attaccante che inoltra in tempo reale un accesso reale attraverso una pagina falsa; ci riescono solo metodi legati al sito come le chiavi FIDO.
Da zero alla prima approvazione
- 01
Create l’applicazione e avviate il back end sull’appliance
Create un’applicazione VPN nella dashboard Notakey, registrate i telefoni e copiate l’Access ID. Dalla CLI dell’appliance avviate il plugin RADIUS con un segreto e una password vostri (mai i valori predefiniti pubblicati), quindi puntate l’auth-proxy su di esso con l’Access ID e il messaggio di approvazione.
- 02
Configurate il RADIUS server profile e l’authentication profile
Sul firewall aggiungete un RADIUS server profile per l’appliance sulla porta 1812 con il segreto condiviso, impostate il timeout ben oltre i 30 secondi (ad esempio 60), i tentativi a 1 e il protocollo di autenticazione su PAP. Create un authentication profile di tipo RADIUS, lasciate il modificatore del nome utente su %USERINPUT% perché corrisponda al nome registrato in Notakey, compilate l’allow list e associate il profilo al portale e al gateway.
- 03
Attivate l’authentication override e provate
Attivate la generazione dei cookie sul portale e l’accettazione dei cookie sul gateway, con lo stesso certificato su entrambi, così una connessione richiede una sola approvazione invece di due. Connettetevi con GlobalProtect e approvate la notifica push, poi riconnettetevi e rifiutate: il secondo tentativo deve fallire.
Domande frequenti
- Serve un server RADIUS separato per la 2FA di GlobalProtect?
- No. Il plugin RADIUS dell’appliance Notakey on-premise può fungere da server di destinazione, con un’unica password globale o un breve elenco di password per utente. Se la password di directory deve essere uno dei fattori, puntate invece il proxy su Microsoft NPS o su un altro server RADIUS collegato a una directory. Le impostazioni Palo Alto provengono dalla documentazione di Palo Alto; non abbiamo testato personalmente un firewall Palo Alto in laboratorio.
- Quale protocollo di autenticazione deve usare il RADIUS server profile?
- PAP. Il proxy deve leggere il nome utente per sapere a quale telefono chiedere, e il PEAP-MSCHAPv2 predefinito lo nasconde. Mantenete il collegamento tra firewall e appliance su una rete fidata e usate un segreto condiviso lungo e casuale.
- Perché l’utente riceve due richieste di approvazione per ogni connessione?
- Perché il portale e il gateway si autenticano ciascuno per conto proprio. Attivate i cookie di authentication override sul portale e sul gateway, con lo stesso certificato su entrambi: così una connessione richiede una sola approvazione.
Guide e documentazione
- La 2FA per Palo Alto GlobalProtect tramite RADIUS, senza un server RADIUS separato
- Plugin di servizio RADIUS (nessuna configurazione utente necessaria)
- La 2FA VPN con RADIUS – l’installazione completa dell’auth-proxy
- Palo Alto: configurare l’autenticazione RADIUS o TACACS+ (in inglese)
Prodotti correlati