Integrazioni · Qualsiasi VPN o firewall RADIUS
2FA per VPN via RADIUS: approvazione sul telefono per qualsiasi VPN o firewall
Per i team IT con un concentratore VPN o un firewall qualsiasi in grado di puntare a un server RADIUS. L’auth-proxy Notakey si colloca tra la VPN e RADIUS, così ogni accesso richiede la password più un tocco sul telefono. Il server RADIUS e gli utenti restano invariati; sulla VPN cambiano solo l’indirizzo del server RADIUS e il timeout.
Come si collega
Un proxy trasparente nel percorso RADIUS
L’utente si connette alla VPN con nome utente e password. Il concentratore invia la richiesta RADIUS all’auth-proxy anziché al vostro server RADIUS. Il proxy la inoltra al server di destinazione; se la verifica della password fallisce, l’accesso viene respinto immediatamente. Se la password è corretta, il proxy invia una richiesta di approvazione al telefono dell’utente e mantiene aperto lo scambio RADIUS mentre l’utente risponde, per impostazione predefinita fino a 30 secondi. Se approva, Access-Accept torna alla VPN; se rifiuta o il tempo scade, l’accesso viene respinto.
Poiché il proxy parla RADIUS standard su entrambi i lati, funziona con quasi tutti i server RADIUS (FreeRADIUS, Microsoft NPS, lo User Manager di MikroTik) e con qualsiasi concentratore VPN in grado di puntare a RADIUS. Il RADIUS aziendale esistente continua a funzionare senza modifiche: il proxy è trasparente nei suoi confronti. L’appliance on-premise include il proxy; con un server Notakey ospitato nel cloud, lo stesso proxy funziona come container all’interno della vostra rete, ed è disponibile anche un installer MSI per Windows.
Se non usate affatto RADIUS, il plugin RADIUS dell’appliance è un server di destinazione basato su FreeRADIUS, con un’unica password globale o un breve elenco di password per utente nella sua configurazione: non c’è alcun database utenti RADIUS da costruire. L’utente viene verificato dall’approvazione sul telefono.
Sul telefono, la richiesta mostra chi sta accedendo e da quale indirizzo IP, con un conto alla rovescia. Un utente che la vede senza essersi collegato alla VPN ha davanti qualcun altro che sta usando la sua password: un tocco su Rifiuta blocca l’accesso e lascia una traccia di audit.
Cosa sapere prima di iniziare
- Il timeout del client RADIUS della vostra VPN deve essere lungo almeno quanto la finestra di approvazione, 30 secondi per impostazione predefinita. La maggior parte dei client RADIUS è impostata su pochi secondi o meno: accessi che scadono anche quando approvate rapidamente sono l’errore più comune in questa configurazione.
- Lo stesso nome utente deve esistere nel servizio Notakey, in RADIUS e nella VPN. Il proxy indirizza la notifica push per nome utente.
- Il plugin RADIUS non verifica le password di directory degli utenti. Se vi serve, usate Microsoft NPS o un altro server RADIUS collegato alla vostra directory.
- Il plugin viene fornito con un segreto e una password predefiniti pubblicati. Sostituiteli entrambi prima di esporlo a qualsiasi cosa.
- Il proxy legge l’IP del client mostrato sulla scheda di approvazione dall’attributo standard Calling-Station-Id. Una VPN che non lo compila non mostra alcun IP sulla scheda; Palo Alto GlobalProtect è uno di questi casi.
- Un’approvazione sul telefono impedisce che una password rubata o indovinata basti da sola. Non ferma un attaccante che inoltra in tempo reale un accesso reale attraverso una pagina falsa.
Da zero alla prima approvazione
- 01
Create l’applicazione VPN in Notakey
Nella dashboard Notakey create un’applicazione per la VPN, registrate i telefoni degli utenti con Notakey Authenticator e copiate l’Access ID dell’applicazione.
- 02
Configurate l’auth-proxy
Sull’appliance impostate la porta di ascolto del proxy, l’indirizzo del server RADIUS di destinazione, i due segreti condivisi, l’Access ID, la finestra di approvazione e il messaggio che vedranno gli utenti, quindi avviatelo. Con un server cloud, eseguite il container notakey/authproxy con gli stessi valori come variabili d’ambiente.
- 03
Puntate la VPN sul proxy e alzate il timeout
Modificate il client RADIUS della VPN in modo che l’indirizzo del server sia quello del proxy, con lo stesso segreto di vpn_secret_in, e alzate il suo timeout RADIUS ad almeno 30 secondi. Connettetevi alla VPN, approvate la notifica push sul telefono e la connessione si completa.
Domande frequenti
- Con quali VPN e server RADIUS funziona l’auth-proxy?
- Con qualsiasi concentratore VPN o firewall in grado di puntare a un server RADIUS, e con quasi tutti i server RADIUS: FreeRADIUS, Microsoft NPS, lo User Manager di MikroTik o il plugin RADIUS dell’appliance stessa. Il proxy parla RADIUS standard su entrambi i lati.
- Devo modificare il server RADIUS o il database utenti esistente?
- No. Il proxy è trasparente nei loro confronti. Sulla VPN cambiano solo l’indirizzo del server RADIUS e il timeout.
- Perché gli accessi scadono anche quando approvo subito?
- Quasi sempre perché il timeout del client RADIUS della VPN è più breve della finestra di approvazione di 30 secondi del proxy. Nella maggior parte dei client il valore predefinito è di pochi secondi: alzatelo ad almeno 30 secondi.