Integracijos · Palo Alto GlobalProtect
Palo Alto GlobalProtect 2FA per RADIUS su patvirtinimu telefone
Komandoms, naudojančioms GlobalProtect Palo Alto Networks ugniasienėje ir norinčioms, kad kiekvienas VPN prisijungimas būtų patvirtinamas naudotojo telefone, prieš tai nekuriant RADIUS serverio. Visa galinė dalis gali būti Notakey įrenginys: tarpinis serveris, RADIUS ir patvirtinimas telefone vienoje vietoje.
Kaip jungiama
Ugniasienė siunčia RADIUS užklausą, visa kita – įrenginio darbas
GlobalProtect portalas ir šliuzas siunčia prisijungimą Notakey auth-proxy per RADIUS. Tarpinis serveris slaptažodžio patikrą perduoda galiniam RADIUS serveriui, ir neteisingas slaptažodis iš karto atmetamas. Jei slaptažodis priimtas, tarpinis serveris išsiunčia patvirtinimo užklausą į naudotojo telefoną ir laiko RADIUS mainus atvirus, kol naudotojas apsisprendžia, pagal numatytuosius nustatymus 30 sekundžių. Patvirtinus ugniasienė gauna Access-Accept; atmetus ar neatsakius prisijungimas atmetamas.
Jei RADIUS serverio neturite, galiniu serveriu tampa RADIUS papildinys, pateikiamas kartu su Notakey įrenginiu jūsų infrastruktūrai. Jis priima vieną bendrą slaptažodį arba trumpą naudotojų slaptažodžių sąrašą, saugomą jo konfigūracijoje, todėl kurti RADIUS naudotojų duomenų bazės nereikia. Jei jau naudojate Microsoft NPS ar kitą su katalogu susietą RADIUS serverį, nukreipkite tarpinį serverį į jį. Palo Alto pusėje niekas nesikeičia; pasikeičia tik galinio serverio adresas ir paslaptis tarpinio serverio nustatymuose.
GlobalProtect programa, portalas, šliuzas ir jūsų naudotojų darbo eiga nesikeičia. Jie kaip ir anksčiau įveda naudotojo vardą bei slaptažodį, o tada paliečia „Patvirtinti“.
Ką žinoti prieš pradedant
- Patys Palo Alto ugniasienės laboratorijoje netestavome. Palo Alto nustatymai paimti iš Palo Alto dokumentacijos, į kurią nuoroda pateikta vadove; ugniasienė su auth-proxy bendrauja standartiniu RADIUS protokolu.
- RADIUS serverio profilio skirtasis laikas pagal numatytuosius nustatymus yra 3 sekundės, galimos reikšmės – nuo 1 iki 120 sekundžių. Jis turi būti ilgesnis nei 30 sekundžių tarpinio serverio patvirtinimo langas. Jei greiti patvirtinimai veikia, o vėlesni nepavyksta, tikėtina priežastis – paties GlobalProtect ryšio skirtasis laikas; padidinkite jį arba sutrumpinkite vpn_message_ttl.
- Rinkitės PAP, o ne numatytąjį PEAP-MSCHAPv2. Tarpiniam serveriui reikia perskaityti naudotojo vardą, kad žinotų, kurio telefono klausti, o PEAP pagal numatytuosius nustatymus jį paslepia. Naudojant PAP naudotojo vardas perduodamas atviru tekstu, o bendrąja paslaptimi paslepiamas tik slaptažodis, todėl ryšį tarp ugniasienės ir įrenginio laikykite patikimame tinkle, o paslaptį – ilgą ir atsitiktinę.
- RADIUS papildinys netikrina naudotojo katalogo slaptažodžio. Naudojant bendrą slaptažodį, prisijungimą saugo patvirtinimas telefone. Jei jūsų politika ar auditorius reikalauja, kad vienas iš dviejų veiksnių būtų katalogo slaptažodis, nukreipkite tarpinį serverį į RADIUS serverį, tikrinantį Active Directory, pavyzdžiui, Microsoft NPS.
- Nesitikėkite patvirtinimo kortelėje matyti naudotojo IP adreso. GlobalProtect neįrašo kliento IP į Calling-Station-Id, iš kurio jį skaito tarpinis serveris. Patvirtinimo aprašymą suformuluokite taip, kad kortelėje vis tiek būtų matyti serviso pavadinimas ir naudotojo vardas.
- Be autentifikacijos nepaisymo (authentication override) slapukų naudotojas kiekvienam ryšiui gauna du patvirtinimus: vieną portalui ir vieną šliuzui. Slapuko galiojimo laiką rinkitės apgalvotai: kuo ilgesnis, tuo mažiau patvirtinimų, bet ir silpnesnė apsauga, jei nešiojamasis kompiuteris pavagiamas.
- Patvirtinimas telefone nesustabdo užpuoliko, kuris realiuoju laiku persiunčia tikrą prisijungimą per netikrą puslapį; tai padaro tik prie svetainės susieti metodai, pavyzdžiui, FIDO raktai.
Nuo nulio iki pirmojo patvirtinimo
- 01
Sukurkite programą ir paleiskite galinę dalį įrenginyje
Notakey valdymo skydelyje sukurkite VPN programą, užregistruokite telefonus ir nukopijuokite Access ID. Įrenginio komandinėje eilutėje paleiskite RADIUS papildinį su savo paslaptimi ir slaptažodžiu (niekada ne su viešai paskelbtais numatytaisiais), tada nukreipkite į jį auth-proxy, nurodydami Access ID ir patvirtinimo pranešimą.
- 02
Sukonfigūruokite RADIUS serverio profilį ir autentifikacijos profilį
Ugniasienėje pridėkite įrenginio RADIUS serverio profilį su 1812 prievadu ir bendrąja paslaptimi, nustatykite skirtąjį laiką gerokai virš 30 sekundžių (pavyzdžiui, 60), pakartojimų skaičių 1 ir autentifikacijos protokolą PAP. Sukurkite RADIUS tipo autentifikacijos profilį, palikite naudotojo vardo modifikatorių %USERINPUT%, kad jis sutaptų su Notakey sistemoje užregistruotu vardu, užpildykite leidžiamųjų sąrašą ir priskirkite profilį portalui bei šliuzui.
- 03
Įjunkite autentifikacijos nepaisymą (authentication override) ir išbandykite
Portale įjunkite slapukų generavimą, o šliuze – slapukų priėmimą, abiejose vietose su tuo pačiu sertifikatu, kad vienam ryšiui reikėtų vieno patvirtinimo, o ne dviejų. Prisijunkite per GlobalProtect, patvirtinkite push pranešimą, tada prisijunkite dar kartą ir užklausą atmeskite; antrasis bandymas turi nepavykti.
Dažniausiai užduodami klausimai
- Ar GlobalProtect 2FA reikia atskiro RADIUS serverio?
- Ne. Galiniu serveriu gali būti RADIUS papildinys Notakey įrenginyje jūsų infrastruktūroje su vienu bendru slaptažodžiu arba trumpu naudotojų slaptažodžių sąrašu. Jei vienas iš veiksnių turi būti katalogo slaptažodis, nukreipkite tarpinį serverį į Microsoft NPS ar kitą su katalogu susietą RADIUS serverį. Palo Alto nustatymai paimti iš Palo Alto dokumentacijos; pačios Palo Alto ugniasienės laboratorijoje netestavome.
- Kurį autentifikacijos protokolą pasirinkti RADIUS serverio profilyje?
- PAP. Tarpiniam serveriui reikia perskaityti naudotojo vardą, kad žinotų, kurio telefono klausti, o numatytasis PEAP-MSCHAPv2 jį paslepia. Ryšį tarp ugniasienės ir įrenginio laikykite patikimame tinkle, o bendrąją paslaptį – ilgą ir atsitiktinę.
- Kodėl naudotojas vienam prisijungimui turi patvirtinti du kartus?
- Autentifikuoja ir portalas, ir šliuzas. Portale ir šliuze įjunkite autentifikacijos nepaisymo slapukus (authentication override cookies) su tuo pačiu sertifikatu abiejose vietose, ir vienam prisijungimui pakaks vieno patvirtinimo.