Integrācijas · Jebkurš RADIUS VPN vai ugunsmūris
VPN 2FA ar RADIUS: apstiprinājums tālrunī jebkuram VPN vai ugunsmūrim
IT komandām ar jebkuru VPN koncentratoru vai ugunsmūri, kam var norādīt RADIUS serveri. Notakey auth-proxy tiek novietots starp VPN un RADIUS, tāpēc katrai pieteikšanās reizei vajadzīga parole un pieskāriens tālrunī. RADIUS serveris un lietotāji paliek nemainīgi; VPN pusē mainās tikai RADIUS servera adrese un noildze.
Kā tas tiek pieslēgts
Caurspīdīgs proxy RADIUS ceļā
Lietotājs pieslēdzas VPN ar lietotājvārdu un paroli. Koncentrators RADIUS pieprasījumu nosūta auth-proxy, nevis jūsu RADIUS serverim. Proxy to pārsūta tālāk; ja paroles pārbaude neizdodas, pieteikšanās tiek noraidīta uzreiz. Ja parole ir pareiza, proxy nosūta apstiprinājuma pieprasījumu uz lietotāja tālruni un tur RADIUS apmaiņu atvērtu, kamēr lietotājs atbild, pēc noklusējuma līdz 30 sekundēm. Ja lietotājs apstiprina, VPN saņem Access-Accept; ja noraida vai iestājas noildze, pieteikšanās tiek noraidīta.
Tā kā proxy abās pusēs izmanto standarta RADIUS, tas darbojas ar teju jebkuru RADIUS serveri (FreeRADIUS, Microsoft NPS, MikroTik User Manager) un ar jebkuru VPN koncentratoru, kam var norādīt RADIUS serveri. Esošais uzņēmuma RADIUS strādā bez izmaiņām; tam proxy nemaz nav manāms. Lokālajā iekārtā proxy ir iebūvēts; ja Notakey serveris darbojas mākonī, tas pats proxy darbojas kā konteiners jūsu tīklā, un Windows videi ir pieejams arī MSI instalators.
Ja RADIUS jums vispār nav, iekārtas RADIUS spraudnis ir uz FreeRADIUS bāzēts lejupējais serveris ar vienu globālu paroli vai nelielu sarakstu ar atsevišķu lietotāju parolēm konfigurācijā, tāpēc RADIUS lietotāju datubāze nav jāveido. Lietotāju apliecina apstiprinājums tālrunī.
Tālrunī pieprasījumā redzams, kurš piesakās un no kādas IP adreses, kopā ar atlikušā laika atskaiti. Ja lietotājs to redz brīdī, kad pats VPN nemaz nepieslēdzas, viņa paroli izmanto kāds cits, un viens pieskāriens pogai Noraidīt pieteikšanos aptur un atstāj ierakstu auditam.
Kas jāzina pirms sākšanas
- Jūsu VPN RADIUS klienta noildzei jābūt vismaz tikpat garai kā apstiprinājuma logam, pēc noklusējuma 30 sekundes. Lielākajai daļai RADIUS klientu noklusējuma noildze ir dažas sekundes vai mazāk; pieteikšanās, kas beidzas ar noildzi pat pēc ātra apstiprinājuma, ir visbiežākā kļūda šajā uzstādīšanā.
- Tam pašam lietotājvārdam jāeksistē Notakey servisā, RADIUS un VPN. Proxy adresē push paziņojumu pēc lietotājvārda.
- RADIUS spraudnis lietotāju direktorija paroles nepārbauda. Ja tas nepieciešams, izmantojiet Microsoft NPS vai citu ar jūsu direktoriju savienotu RADIUS serveri.
- Spraudnis tiek piegādāts ar publicētu noklusējuma slepeno atslēgu un paroli. Nomainiet abas, pirms padarāt to kaut kam pieejamu.
- Apstiprinājuma kartītē redzamo klienta IP proxy nolasa no standarta atribūta Calling-Station-Id. Ja VPN to neaizpilda, kartītē IP adrese nav redzama; Palo Alto GlobalProtect ir viens no šādiem gadījumiem.
- Apstiprinājums tālrunī panāk, ka ar nozagtu vai uzminētu paroli vien vairs nepietiek. Tas neaptur uzbrucēju, kurš caur viltotu lapu reāllaikā pārsūta īstu pieteikšanos.
No nulles līdz pirmajam apstiprinājumam
- 01
Izveidojiet VPN lietotni Notakey
Notakey vadības panelī izveidojiet lietotni VPN vajadzībām, reģistrējiet lietotāju tālruņus Notakey Authenticator lietotnē un nokopējiet lietotnes Access ID.
- 02
Konfigurējiet auth-proxy
Iekārtā iestatiet proxy klausīšanās portu, lejupējā RADIUS servera adresi, abas koplietotās slepenās atslēgas, Access ID, apstiprinājuma logu un ziņojumu, ko redzēs lietotāji, tad palaidiet to. Ar mākoņa serveri palaidiet konteineru notakey/authproxy ar tām pašām vērtībām kā vides mainīgajiem.
- 03
Novirziet VPN uz proxy un palieliniet noildzi
Pārkonfigurējiet VPN RADIUS klientu: servera adrese ir proxy, slepenā atslēga tā pati, kas vpn_secret_in, un RADIUS noildze ir vismaz 30 sekundes. Pieslēdzieties VPN, apstipriniet push paziņojumu tālrunī, un savienojums izveidojas.
Bieži uzdotie jautājumi
- Kuri VPN un RADIUS serveri darbojas ar auth-proxy?
- Jebkurš VPN koncentrators vai ugunsmūris, kam var norādīt RADIUS serveri, un teju jebkurš RADIUS serveris: FreeRADIUS, Microsoft NPS, MikroTik User Manager vai iekārtas RADIUS spraudnis. Proxy abās pusēs izmanto standarta RADIUS.
- Vai mans esošais RADIUS serveris vai lietotāju datubāze mainās?
- Nē. Proxy tam ir caurspīdīgs. VPN pusē mainās tikai RADIUS servera adrese un noildze.
- Kāpēc pieteikšanās beidzas ar noildzi, pat ja apstiprinu ātri?
- Gandrīz vienmēr tāpēc, ka VPN RADIUS klienta noildze ir īsāka par proxy 30 sekunžu apstiprinājuma logu. Lielākajai daļai klientu noklusējuma noildze ir dažas sekundes; palieliniet to līdz vismaz 30 sekundēm.