Integrācijas · Palo Alto GlobalProtect
Palo Alto GlobalProtect 2FA ar RADIUS un apstiprinājumu tālrunī
Komandām, kuras izmanto GlobalProtect Palo Alto Networks ugunsmūrī un vēlas, lai katru VPN pieteikšanos lietotājs apstiprinātu savā tālrunī, turklāt bez iepriekšējas RADIUS servera izveides. Notakey iekārta var būt visa aizmugursistēma: proxy, RADIUS un apstiprinājums tālrunī vienuviet.
Kā tas tiek pieslēgts
Ugunsmūris sūta RADIUS, pārējo paveic iekārta
GlobalProtect portāls un vārteja nodod pieteikšanos Notakey auth-proxy pa RADIUS. Proxy paroles pārbaudi pārsūta lejupējam RADIUS serverim, un nepareiza parole tiek noraidīta uzreiz. Ja parole ir pareiza, proxy nosūta apstiprinājuma pieprasījumu uz lietotāja tālruni un tur RADIUS apmaiņu atvērtu, kamēr lietotājs izlemj, pēc noklusējuma 30 sekundes. Ja lietotājs apstiprina, ugunsmūris saņem Access-Accept; ja noraida vai neatbild, pieteikšanās tiek noraidīta.
Ja jums nav RADIUS servera, par lejupējo serveri kalpo RADIUS spraudnis, kas ir lokālās Notakey iekārtas komplektā. Tas pieņem vienu globālu paroli vai nelielu sarakstu ar atsevišķu lietotāju parolēm, kas glabājas tā konfigurācijā, tāpēc RADIUS lietotāju datubāze nav jāveido. Ja jau izmantojat Microsoft NPS vai citu ar direktoriju savienotu RADIUS serveri, novirziet proxy uz to. Palo Alto pusē nekas nemainās; mainās tikai proxy lejupējā servera adrese un slepenā atslēga.
GlobalProtect lietotne, portāls, vārteja un lietotāju ierastā darba kārtība paliek nemainīga. Lietotāji kā līdz šim ievada lietotājvārdu un paroli un pēc tam nospiež Apstiprināt.
Kas jāzina pirms sākšanas
- Palo Alto ugunsmūri paši savā laboratorijā neesam testējuši. Palo Alto iestatījumi ņemti no Palo Alto dokumentācijas, uz kuru ir saite ceļvedī; ugunsmūris ar auth-proxy sazinās pa standarta RADIUS.
- RADIUS servera profila noklusējuma noildze ir 3 sekundes, pieļaujamās vērtības ir no 1 līdz 120 sekundēm. Tai jābūt garākai par proxy 30 sekunžu apstiprinājuma logu. Ja ātri apstiprinājumi izdodas, bet vēli ne, visticamāk, vainīga ir paša GlobalProtect savienojuma noildze; palieliniet to vai saīsiniet vpn_message_ttl.
- Izvēlieties PAP, nevis noklusējuma PEAP-MSCHAPv2. Proxy jānolasa lietotājvārds, lai zinātu, uz kura tālruni sūtīt pieprasījumu, bet PEAP pēc noklusējuma to slēpj. Ar PAP lietotājvārds tiek pārraidīts atklātā tekstā un ar koplietoto slepeno atslēgu tiek slēpta tikai parole, tāpēc savienojumam starp ugunsmūri un iekārtu jābūt uzticamā tīklā, bet slepenajai atslēgai — garai un nejaušai.
- RADIUS spraudnis lietotāja direktorija paroli nepārbauda. Ja izmantojat globālo paroli, pieteikšanos aizsargā tieši apstiprinājums tālrunī. Ja jūsu politika vai auditors sagaida, ka viens no abiem faktoriem ir direktorija parole, novirziet proxy uz RADIUS serveri, kas pārbauda Active Directory, piemēram, Microsoft NPS.
- Nerēķinieties, ka apstiprinājuma kartītē būs redzama lietotāja IP adrese. GlobalProtect neieliek klienta IP atribūtā Calling-Station-Id, no kura to nolasa proxy. Formulējiet apstiprinājuma aprakstu tā, lai kartītē tik un tā būtu redzams servisa nosaukums un lietotājvārds.
- Bez authentication override sīkdatnēm lietotājam katram savienojumam jāapstiprina divreiz: vienreiz portālam un vienreiz vārtejai. Sīkdatnes derīguma termiņu izvēlieties apzināti: jo garāks tas ir, jo mazāk apstiprinājumu, bet jo vājāka aizsardzība, ja klēpjdators tiek nozagts.
- Apstiprinājums tālrunī neaptur uzbrucēju, kurš caur viltotu lapu reāllaikā pārsūta īstu pieteikšanos; to spēj tikai pie vietnes piesaistītas metodes, piemēram, FIDO atslēgas.
No nulles līdz pirmajam apstiprinājumam
- 01
Izveidojiet lietotni un palaidiet aizmugursistēmu iekārtā
Notakey vadības panelī izveidojiet VPN lietotni, reģistrējiet tālruņus un nokopējiet Access ID. Iekārtas komandrindā palaidiet RADIUS spraudni ar savu slepeno atslēgu un paroli (nekad ne ar publicētajām noklusējuma vērtībām), tad novirziet auth-proxy uz to, norādot Access ID un apstiprinājuma ziņojumu.
- 02
Konfigurējiet RADIUS servera profilu un autentifikācijas profilu
Ugunsmūrī izveidojiet RADIUS servera profilu ar iekārtas adresi, portu 1812 un koplietoto slepeno atslēgu, iestatiet noildzi ar rezervi virs 30 sekundēm (piemēram, 60), atkārtojumu skaitu 1 un autentifikācijas protokolu PAP. Izveidojiet RADIUS tipa autentifikācijas profilu, atstājiet lietotājvārda modifikatoru %USERINPUT%, lai tas sakristu ar Notakey reģistrēto lietotājvārdu, aizpildiet atļauto sarakstu (allow list) un piesaistiet profilu portālam un vārtejai.
- 03
Ieslēdziet authentication override un pārbaudiet
Ieslēdziet sīkdatņu ģenerēšanu portālā un sīkdatņu pieņemšanu vārtejā (authentication override), abos ar vienu un to pašu sertifikātu, lai vienam savienojumam vajadzētu vienu apstiprinājumu, nevis divus. Pieslēdzieties ar GlobalProtect, apstipriniet push paziņojumu, tad pieslēdzieties vēlreiz un noraidiet; otrajam mēģinājumam jāizgāžas.
Bieži uzdotie jautājumi
- Vai GlobalProtect 2FA vajadzīgs atsevišķs RADIUS serveris?
- Nē. Par lejupējo serveri var kalpot Notakey iekārtas komplektā iekļautais RADIUS spraudnis ar vienu globālu paroli vai īsu paroļu sarakstu pa lietotājiem. Ja vienam no faktoriem jābūt direktorija parolei, novirziet proxy uz Microsoft NPS vai citu ar direktoriju savienotu RADIUS serveri. Palo Alto iestatījumi ņemti no Palo Alto dokumentācijas; Palo Alto ugunsmūri paši savā laboratorijā neesam testējuši.
- Kuru autentifikācijas protokolu izvēlēties RADIUS servera profilā?
- PAP. Proxy jānolasa lietotājvārds, lai zinātu, uz kura tālruni sūtīt pieprasījumu, bet noklusējuma PEAP-MSCHAPv2 to slēpj. Savienojumu starp ugunsmūri un iekārtu uzturiet uzticamā tīklā, bet koplietoto slepeno atslēgu — garu un nejaušu.
- Kāpēc lietotājam katram savienojumam jāapstiprina divreiz?
- Autentificē gan portāls, gan vārteja. Ieslēdziet authentication override sīkdatnes portālā un vārtejā, abos ar vienu un to pašu sertifikātu, lai vienam savienojumam pietiktu ar vienu apstiprinājumu.
Ceļveži un dokumentācija
- Palo Alto GlobalProtect 2FA ar RADIUS bez atsevišķa RADIUS servera
- RADIUS servisa spraudnis (bez lietotāju konfigurēšanas)
- VPN divfaktoru autentifikācija ar RADIUS — pilna auth-proxy uzstādīšana
- Palo Alto: RADIUS vai TACACS+ autentifikācijas iestatīšana (angliski)
Saistītie produkti