Integrācijas · MikroTik
MikroTik 2FA: VPN un maršrutētāja pieteikšanās ar apstiprinājumu tālrunī
Komandām, kuru VPN vārteja vai tīkla perimetra ierīce ir MikroTik maršrutētājs. Katru VPN savienojumu un katru administratora pieteikšanos lietotājs apstiprina ar vienu pieskārienu Notakey Authenticator lietotnē, un tam pietiek ar jau esošo maršrutētāju.
Kā tas tiek pieslēgts
Divi ceļi, viena lietotne tālrunī
VPN aizsardzību nodrošina RouterOS skripts. Lietotājs pieslēdzas kā ierasts ar lietotājvārdu un paroli, bet ugunsmūris viņa datplūsmu bloķē, līdz PPP profila up skripts pieprasa apstiprinājumu no Notakey servera un lietotājs tālrunī nospiež Apstiprināt. Ja lietotājs noraida vai neatbild, skripts sesiju pārtrauc. Šajā risinājumā nav ne RADIUS servera, ne auth-proxy; skripti ir pieejami repozitorijā notakey/mikrotik-2fa-vpn un darbojas RouterOS 6.46.4 un jaunākās versijās, arī 7.x.
Pieteikšanās pašā maršrutētājā (WinBox, WebFig, SSH un API) tiek nodota RADIUS serverim, un Notakey auth-proxy šajā RADIUS ceļā darbojas caurspīdīgi. Proxy paroles pārbaudi pārsūta jūsu RADIUS serverim (FreeRADIUS, Microsoft NPS, MikroTik iebūvētajam User Manager vai Notakey RADIUS spraudnim), nosūta apstiprinājuma pieprasījumu uz administratora tālruni un atbild ar Access-Accept tikai tad, ja izdevušās abas pārbaudes.
Abos gadījumos VPN lietotāji, viņu paroles un maršrutētāja konfigurācija, uz kuru paļaujaties, paliek nemainīgi. Mainās tikai viens: ar paroli vien vairs nepietiek, lai pieteiktos.
Kas jāzina pirms sākšanas
- Ar skriptu veidotais VPN risinājums aptver uz PPP balstītus VPN (L2TP/IPsec, PPTP, SSTP). Apstiprinājuma noildze skriptā ir 60 sekundes.
- MikroTik noklusējuma RADIUS noildze ir 300 milisekundes. Maršrutētāja pieteikšanās ar RADIUS gadījumā iestatiet timeout=30s, citādi katra pieteikšanās neizdosies, pirms tālrunis paspēs iepīkstēties.
- Saglabājiet lokālu administratora kontu. RouterOS vispirms pārbauda lokālo lietotāju datubāzi un RADIUS vaicā tikai par nezināmiem lietotājvārdiem, tāpēc ar šo kontu tiksiet iekšā arī tad, ja proxy, RADIUS vai Notakey serviss nav sasniedzams.
- Ar RADIUS autentificēti administratori saņem jūsu izvēlētās default-group tiesības, ja vien RADIUS serveris katram lietotājam neatgriež atribūtu Mikrotik-Group. Izvēlieties minimālās tiesības, ar kurām var strādāt.
- Ja tālrunis, kurā apstiprina pieprasījumu, vienlaikus ir arī VPN klients, pievienojiet accept kārtulu, lai gaidošie klienti varētu sasniegt Notakey serveri, kamēr viss pārējais vēl ir bloķēts.
- Skripta JSON parsētājs netiek galā ar iekavām un, iespējams, citām speciālām pieturzīmēm apstiprinājuma ziņojumā. Rakstiet ziņojuma tekstu bez tām.
- Skripts ir ātrākais ceļš, ja maršrutētājs ir viens. Vairākiem maršrutētājiem, citu ražotāju VPN vai centralizētai politikai labāk der risinājums ar RADIUS.
No nulles līdz pirmajam apstiprinājumam
- 01
Izveidojiet lietotni Notakey
Notakey vadības panelī izveidojiet lietotni VPN vai maršrutētājam, nokopējiet tās Access ID un reģistrējiet lietotāju tālruņus Notakey Authenticator lietotnē. Lietotājvārdam Notakey jāsakrīt ar maršrutētāja lietotājvārdu burtu pa burtam, jo pieprasījums tiek adresēts pēc lietotājvārda.
- 02
Instalējiet skriptus vai pievienojiet proxy kā RADIUS serveri
VPN gadījumā ielīmējiet bibliotēkas JParseFunctions un NotakeyFunctions sadaļā System → Scripts, piesaistiet up skriptu PPP profilam, kas jaunās sesijas ievieto adrešu sarakstā vpn_pending, un pievienojiet ugunsmūra drop kārtulu šim sarakstam. Maršrutētāja pieteikšanās gadījumā pievienojiet auth-proxy sadaļā /radius ar service=login un timeout=30s, pēc tam ieslēdziet use-radius sadaļā /user aaa.
- 03
Pārbaudiet ar vienu lietotāju, tad ieviesiet visiem
Piesaistiet vienu PPP secret 2FA profilam vai atveriet otru WinBox sesiju ar RADIUS lietotājvārdu un apstipriniet push paziņojumu. Kad viss darbojas, iestatiet 2FA profilu kā PPP servera noklusējuma profilu: tā tiks aptverti visi lietotāji, katru secret atsevišķi nelabojot.
Bieži uzdotie jautājumi
- Vai MikroTik VPN 2FA ir vajadzīgs RADIUS serveris?
- Nē. Uz PPP balstītiem VPN (L2TP/IPsec, PPTP, SSTP) RouterOS skripts pieprasa apstiprinājumu no Notakey servera, un ugunsmūris tur sesiju bloķētu, līdz lietotājs nospiež Apstiprināt. RADIUS vajadzīgs tikai, piesakoties pašā maršrutētājā (WinBox, WebFig, SSH), vai tad, ja vairākiem maršrutētājiem vai citu ražotāju iekārtām jāizmanto viena kopīga politika.
- Kuras RouterOS versijas tiek atbalstītas?
- Skripti no repozitorija notakey/mikrotik-2fa-vpn darbojas RouterOS 6.46.4 un jaunākās versijās, arī 7.x.
- Kāpēc RADIUS pieteikšanās neizdodas, vēl pirms tālrunis iepīkstas?
- MikroTik noklusējuma RADIUS noildze ir 300 milisekundes. Ierakstā /radius iestatiet timeout=30s, lai maršrutētājs gaidītu apstiprinājumu, nevis uzreiz padotos.