Integracijos · Bet kuris RADIUS VPN ar ugniasienė
VPN 2FA per RADIUS: patvirtinimas telefone bet kuriam VPN ar ugniasienei
IT komandoms, turinčioms bet kokį VPN koncentratorių ar ugniasienę, kurią galima nukreipti į RADIUS serverį. Notakey auth-proxy įsiterpia tarp VPN ir RADIUS, todėl kiekvienam prisijungimui reikia ir slaptažodžio, ir palietimo telefone. RADIUS serveris ir naudotojai nesikeičia; VPN pusėje keičiasi tik RADIUS serverio adresas ir skirtasis laikas.
Kaip jungiama
Skaidrus tarpinis serveris RADIUS kelyje
Naudotojas jungiasi prie VPN su naudotojo vardu ir slaptažodžiu. Koncentratorius RADIUS užklausą siunčia ne jūsų RADIUS serveriui, o auth-proxy. Tarpinis serveris ją persiunčia toliau; nepavykus slaptažodžio patikrai, prisijungimas atmetamas iš karto. Jei slaptažodis teisingas, tarpinis serveris išsiunčia patvirtinimo užklausą į naudotojo telefoną ir laiko RADIUS mainus atvirus, kol naudotojas atsako, pagal numatytuosius nustatymus iki 30 sekundžių. Patvirtinus VPN gauna Access-Accept; atmetus ar pasibaigus laikui prisijungimas atmetamas.
Kadangi tarpinis serveris abiem kryptimis kalba standartiniu RADIUS protokolu, jis veikia beveik su bet kuriuo RADIUS serveriu (FreeRADIUS, Microsoft NPS, MikroTik User Manager) ir bet kuriuo VPN koncentratoriumi, kurį galima nukreipti į RADIUS. Esamas įmonės RADIUS veikia be pakeitimų, nes tarpinis serveris jam skaidrus. Įrenginyje, skirtame jūsų infrastruktūrai, tarpinis serveris jau integruotas; naudojant debesyje veikiantį Notakey serverį, tas pats tarpinis serveris veikia kaip konteineris jūsų tinkle, o Windows sistemai yra MSI diegimo paketas.
Jei RADIUS apskritai nenaudojate, įrenginio RADIUS papildinys yra FreeRADIUS pagrįstas galinis serveris su vienu bendru slaptažodžiu arba trumpu naudotojų slaptažodžių sąrašu konfigūracijoje, todėl kurti RADIUS naudotojų duomenų bazės nereikia. Naudotojo tapatybę patvirtina patvirtinimas telefone.
Telefone užklausoje matyti, kas jungiasi ir iš kokio IP adreso, su atgaline laiko atskaita. Naudotojas, gavęs tokią užklausą, kai pats prie VPN nesijungia, mato, kad kažkas kitas naudoja jo slaptažodį, o vienas palietimas „Atmesti“ sustabdo prisijungimą ir palieka audito įrašą.
Ką žinoti prieš pradedant
- Jūsų VPN RADIUS kliento skirtasis laikas turi būti ne trumpesnis nei patvirtinimo langas, pagal numatytuosius nustatymus 30 sekundžių. Daugumos RADIUS klientų numatytasis laikas yra kelios sekundės ar mažiau; prisijungimai, kurių laikas baigiasi net greitai patvirtinus, yra dažniausia šios sąrankos klaida.
- Tas pats naudotojo vardas turi egzistuoti Notakey servise, RADIUS ir VPN. Tarpinis serveris push pranešimą adresuoja pagal naudotojo vardą.
- RADIUS papildinys netikrina naudotojų katalogo slaptažodžių. Jei to reikia, naudokite Microsoft NPS ar kitą su jūsų katalogu susietą RADIUS serverį.
- Papildinys pateikiamas su viešai paskelbta numatytąja paslaptimi ir slaptažodžiu. Pakeiskite abu, prieš padarydami jį kam nors pasiekiamą.
- Patvirtinimo kortelėje rodomą kliento IP adresą tarpinis serveris skaito iš standartinio Calling-Station-Id atributo. Jei VPN jo neužpildo, kortelėje IP adresas nerodomas; vienas tokių atvejų yra Palo Alto GlobalProtect.
- Patvirtinimas telefone užtikrina, kad pavogto ar atspėto slaptažodžio vieno nepakaktų. Jis nesustabdo užpuoliko, kuris realiuoju laiku persiunčia tikrą prisijungimą per netikrą puslapį.
Nuo nulio iki pirmojo patvirtinimo
- 01
Sukurkite VPN programą Notakey sistemoje
Notakey valdymo skydelyje sukurkite programą VPN prieigai, užregistruokite naudotojų telefonus Notakey Authenticator programėlėje ir nukopijuokite programos Access ID.
- 02
Sukonfigūruokite auth-proxy
Įrenginyje nustatykite tarpinio serverio klausymosi prievadą, galinio RADIUS serverio adresą, abi bendrąsias paslaptis, Access ID, patvirtinimo langą ir naudotojams rodomą pranešimą, tada jį paleiskite. Naudodami debesyje veikiantį serverį, paleiskite notakey/authproxy konteinerį su tomis pačiomis reikšmėmis kaip aplinkos kintamaisiais.
- 03
Nukreipkite VPN į tarpinį serverį ir padidinkite skirtąjį laiką
VPN RADIUS kliento nustatymuose serverio adresu nurodykite tarpinį serverį su ta pačia paslaptimi kaip vpn_secret_in ir padidinkite RADIUS skirtąjį laiką bent iki 30 sekundžių. Prisijunkite prie VPN, patvirtinkite push pranešimą telefone, ir ryšys bus užmegztas.
Dažniausiai užduodami klausimai
- Kokie VPN ir RADIUS serveriai veikia su auth-proxy?
- Bet kuris VPN koncentratorius ar ugniasienė, kurią galima nukreipti į RADIUS serverį, ir beveik bet kuris RADIUS serveris: FreeRADIUS, Microsoft NPS, MikroTik User Manager ar paties įrenginio RADIUS papildinys. Tarpinis serveris abiem kryptimis naudoja standartinį RADIUS protokolą.
- Ar keičiasi mano esamas RADIUS serveris ar naudotojų duomenų bazė?
- Ne. Tarpinis serveris jam yra skaidrus. VPN pusėje keičiasi tik RADIUS serverio adresas ir skirtasis laikas.
- Kodėl baigiasi prisijungimo laikas, net jei patvirtinu greitai?
- Beveik visada todėl, kad VPN RADIUS kliento skirtasis laikas yra trumpesnis nei tarpinio serverio 30 sekundžių patvirtinimo langas. Daugumos klientų numatytasis laikas – vos kelios sekundės; padidinkite jį bent iki 30 sekundžių.