Integracijos · MikroTik
MikroTik 2FA: VPN ir maršrutizatoriaus prisijungimų patvirtinimas telefonu
Komandoms, kurių VPN šliuzas ar tinklo perimetras yra MikroTik maršrutizatorius. Kiekvienas VPN ryšys ir kiekvienas administratoriaus prisijungimas patvirtinamas vienu palietimu Notakey Authenticator programėlėje, o tam užtenka jau turimo maršrutizatoriaus.
Kaip jungiama
Du keliai vidun, viena programėlė telefone
VPN atveju darbą atlieka RouterOS skriptas. Naudotojas kaip įprasta jungiasi su naudotojo vardu ir slaptažodžiu, tačiau ugniasienė blokuoja jo srautą, kol PPP profilio up skriptas paprašo Notakey serverio patvirtinimo ir naudotojas telefone paliečia „Patvirtinti“. Jei naudotojas atmeta užklausą ar į ją neatsako, skriptas sesiją nutraukia. Šioje sąrankoje nėra nei RADIUS serverio, nei auth-proxy; skriptai imami iš notakey/mikrotik-2fa-vpn saugyklos ir veikia RouterOS 6.46.4 ar naujesnėje versijoje, įskaitant 7.x.
Prisijungimams prie paties maršrutizatoriaus (WinBox, WebFig, SSH ir API) maršrutizatorius savo login paslaugą nukreipia į RADIUS, o Notakey auth-proxy skaidriai įsiterpia šiame RADIUS kelyje. Tarpinis serveris slaptažodžio patikrą persiunčia jūsų RADIUS serveriui (FreeRADIUS, Microsoft NPS, paties MikroTik User Manager ar Notakey RADIUS papildiniui), išsiunčia patvirtinimo užklausą į administratoriaus telefoną ir atsako Access-Accept tik tada, kai sėkmingi abu žingsniai.
Bet kuriuo atveju VPN naudotojai, jų slaptažodžiai ir maršrutizatoriaus konfigūracija, kuria remiatės, lieka tokie patys. Pasikeičia tik tai, kad vien slaptažodžio prisijungti nebepakanka.
Ką žinoti prieš pradedant
- Skriptais pagrįsta VPN sąranka tinka PPP pagrindu veikiantiems VPN (L2TP/IPsec, PPTP, SSTP). Skripte patvirtinimo skirtasis laikas yra 60 sekundžių.
- Numatytasis MikroTik RADIUS skirtasis laikas yra 300 milisekundžių. Prisijungimui prie maršrutizatoriaus per RADIUS nustatykite timeout=30s, kitaip kiekvienas prisijungimas nepavyks dar prieš telefonui suvibruojant.
- Išsaugokite vietinę administratoriaus paskyrą. RouterOS pirmiausia tikrina vietinę naudotojų duomenų bazę ir RADIUS klausia tik apie nežinomus naudotojų vardus, todėl ši paskyra yra jūsų kelias atgal, jei tarpinis serveris, RADIUS ar Notakey servisas nepasiekiami.
- Per RADIUS autentifikuoti administratoriai gauna jūsų pasirinktos default-group teises, nebent RADIUS serveris kiekvienam naudotojui grąžina Mikrotik-Group atributą. Rinkitės mažiausias teises, su kuriomis dar galima dirbti.
- Jei užklausą tvirtinantis telefonas kartu yra ir VPN klientas, pridėkite accept taisyklę, kad laukiantys klientai galėtų pasiekti Notakey serverį, kol visa kita tebėra blokuojama.
- Skripto JSON analizatorius nesusidoroja su skliaustais ir galbūt kitais specialiaisiais skyrybos ženklais patvirtinimo pranešime. Pranešimo tekstą rašykite paprastai.
- Skriptai yra greičiausias kelias vienam maršrutizatoriui. Kai maršrutizatorių daug, naudojami kitų gamintojų VPN ar reikia centralizuotos politikos, rinkitės RADIUS pagrįstą sąranką.
Nuo nulio iki pirmojo patvirtinimo
- 01
Sukurkite programą Notakey sistemoje
Notakey valdymo skydelyje sukurkite programą VPN ar maršrutizatoriui, nukopijuokite jos Access ID ir užregistruokite naudotojų telefonus Notakey Authenticator programėlėje. Naudotojo vardas Notakey sistemoje turi tiksliai sutapti su naudotojo vardu maršrutizatoriuje, nes užklausa adresuojama pagal naudotojo vardą.
- 02
Įdiekite skriptus arba pridėkite tarpinį serverį kaip RADIUS serverį
VPN atveju įklijuokite JParseFunctions ir NotakeyFunctions bibliotekas į System → Scripts, priskirkite up skriptą PPP profiliui, kuris naujas sesijas įtraukia į vpn_pending adresų sąrašą, ir pridėkite ugniasienės drop taisyklę šiam sąrašui. Prisijungimui prie maršrutizatoriaus pridėkite auth-proxy skiltyje /radius su service=login ir timeout=30s, tada skiltyje /user aaa įjunkite use-radius.
- 03
Išbandykite su vienu naudotoju, tada diekite visiems
Nukreipkite vieną PPP secret įrašą į 2FA profilį arba atidarykite antrą WinBox sesiją su RADIUS naudotojo vardu ir patvirtinkite push pranešimą. Kai viskas veikia, nustatykite 2FA profilį kaip numatytąjį PPP serverio profilį, kad būtų apsaugoti visi naudotojai, neredaguojant kiekvieno secret įrašo.
Dažniausiai užduodami klausimai
- Ar MikroTik VPN 2FA reikia RADIUS serverio?
- Ne. PPP pagrįstiems VPN (L2TP/IPsec, PPTP, SSTP) RouterOS skriptas paprašo Notakey serverio patvirtinimo, o ugniasienė sulaiko sesiją, kol naudotojas paliečia „Patvirtinti“. RADIUS reikia tik prisijungimams prie maršrutizatoriaus (WinBox, WebFig, SSH) arba kai keliems maršrutizatoriams ar kitų gamintojų įrangai turi galioti viena bendra politika.
- Kurios RouterOS versijos palaikomos?
- Skriptai iš notakey/mikrotik-2fa-vpn saugyklos veikia RouterOS 6.46.4 ar naujesnėje versijoje, įskaitant 7.x.
- Kodėl RADIUS prisijungimai nepavyksta dar telefonui nesuvibravus?
- Numatytasis MikroTik RADIUS skirtasis laikas yra 300 milisekundžių. Skiltyje /radius nustatykite timeout=30s, kad maršrutizatorius lauktų patvirtinimo, o ne pasiduotų iš karto.