Integracje · Palo Alto GlobalProtect
Palo Alto GlobalProtect 2FA przez RADIUS z zatwierdzaniem na telefonie
Dla zespołów korzystających z GlobalProtect na firewallu Palo Alto Networks, które chcą, by każde logowanie do VPN było zatwierdzane na telefonie użytkownika, bez wcześniejszego stawiania serwera RADIUS. Appliance Notakey może pełnić rolę całego zaplecza: proxy, RADIUS i zatwierdzanie na telefonie w jednym miejscu.
Jak przebiega połączenie
Firewall wysyła RADIUS, appliance robi resztę
Portal i brama GlobalProtect przesyłają logowanie do Notakey auth-proxy przez RADIUS. Proxy przekazuje sprawdzenie hasła do docelowego serwera RADIUS, a błędne hasło zostaje od razu odrzucone. Jeśli hasło jest poprawne, proxy wysyła prośbę o zatwierdzenie na telefon użytkownika i utrzymuje otwartą wymianę RADIUS, dopóki użytkownik nie zdecyduje, domyślnie przez 30 sekund. Po zatwierdzeniu firewall otrzymuje Access-Accept; odrzucenie lub brak odpowiedzi oznacza odmowę logowania.
Jeśli nie mają Państwo serwera RADIUS, serwerem docelowym jest wtyczka RADIUS dostarczana z appliance Notakey on-premise. Akceptuje ona jedno globalne hasło albo krótką listę haseł przypisanych do poszczególnych użytkowników, przechowywaną w jej konfiguracji, więc nie trzeba budować bazy użytkowników RADIUS. Jeśli działa już u Państwa Microsoft NPS lub inny serwer RADIUS powiązany z katalogiem, wystarczy zamiast tego skierować proxy na ten serwer. Po stronie Palo Alto nic się nie zmienia; zmieniają się tylko adres docelowy i sekret w proxy.
Aplikacja GlobalProtect, portal, brama i sposób pracy użytkowników pozostają bez zmian. Wpisują oni nazwę użytkownika i hasło jak dotąd, a potem dotykają Approve.
Co warto wiedzieć przed rozpoczęciem
- Sami nie testowaliśmy firewalla Palo Alto w laboratorium. Ustawienia Palo Alto pochodzą z dokumentacji Palo Alto, do której odsyła przewodnik; firewall komunikuje się z auth-proxy standardowym protokołem RADIUS.
- Limit czasu w profilu serwera RADIUS wynosi domyślnie 3 sekundy i przyjmuje wartości od 1 do 120 sekund. Musi być dłuższy niż 30-sekundowe okno na zatwierdzenie w proxy. Jeśli szybkie zatwierdzenia działają, a późne nie, przyczyną jest najpewniej własny limit czasu połączenia GlobalProtect; należy go zwiększyć lub skrócić vpn_message_ttl.
- Należy wybrać PAP, a nie domyślny PEAP-MSCHAPv2. Proxy musi odczytać nazwę użytkownika, aby wiedzieć, czyj telefon zapytać, a PEAP domyślnie ją ukrywa. Przy PAP nazwa użytkownika jest przesyłana otwartym tekstem i tylko hasło jest maskowane wspólnym sekretem, dlatego połączenie między firewallem a appliance powinno przebiegać przez zaufaną sieć, a sekret powinien być długi i losowy.
- Wtyczka RADIUS nie sprawdza hasła użytkownika z katalogu. Przy globalnym haśle to zatwierdzenie na telefonie chroni logowanie. Jeśli Państwa polityka lub audytor oczekuje, że jednym z dwóch składników będzie hasło z katalogu, należy skierować proxy na serwer RADIUS sprawdzający Active Directory, na przykład Microsoft NPS.
- Na karcie potwierdzenia nie pojawi się adres IP użytkownika. GlobalProtect nie umieszcza adresu IP klienta w atrybucie Calling-Station-Id, z którego odczytuje go proxy. Opis prośby warto sformułować tak, by karta i tak wskazywała usługę i nazwę użytkownika.
- Bez cookies authentication override użytkownik dostaje dwie prośby o zatwierdzenie na każde połączenie: jedną dla portalu i jedną dla bramy. Czas życia cookies należy dobrać świadomie: dłuższy oznacza mniej zatwierdzeń, ale słabszą ochronę w razie kradzieży laptopa.
- Zatwierdzanie na telefonie nie powstrzyma atakującego, który w czasie rzeczywistym przekazuje prawdziwe logowanie przez fałszywą stronę; chronią przed tym tylko metody powiązane z witryną, takie jak klucze FIDO.
Od zera do pierwszego zatwierdzenia
- 01
Utworzenie aplikacji i uruchomienie zaplecza na appliance
W panelu Notakey należy utworzyć aplikację VPN, zarejestrować telefony i skopiować Access ID. W CLI appliance należy uruchomić wtyczkę RADIUS z własnym sekretem i hasłem (nigdy z opublikowanymi wartościami domyślnymi), a następnie skierować na nią auth-proxy, podając Access ID i treść prośby o zatwierdzenie.
- 02
Konfiguracja profilu serwera RADIUS i profilu uwierzytelniania
Na firewallu należy dodać profil serwera RADIUS dla appliance na porcie 1812 ze wspólnym sekretem, ustawić limit czasu wyraźnie powyżej 30 sekund (na przykład 60), liczbę ponowień na 1 i protokół uwierzytelniania na PAP. Następnie należy utworzyć profil uwierzytelniania typu RADIUS, pozostawić modyfikator nazwy użytkownika na %USERINPUT%, aby odpowiadał nazwie zarejestrowanej w Notakey, wypełnić listę dozwolonych (allow list) i przypisać profil do portalu oraz bramy.
- 03
Włączenie authentication override i test
Należy włączyć generowanie cookies na portalu i ich akceptowanie na bramie, z tym samym certyfikatem po obu stronach, aby jedno połączenie wymagało jednego zatwierdzenia zamiast dwóch. Potem należy połączyć się przez GlobalProtect, zatwierdzić powiadomienie push, połączyć się ponownie i odrzucić; druga próba musi zakończyć się niepowodzeniem.
Najczęściej zadawane pytania
- Czy do 2FA w GlobalProtect potrzebny jest osobny serwer RADIUS?
- Nie. Serwerem docelowym może być wtyczka RADIUS w appliance Notakey on-premise, z jednym globalnym hasłem lub krótką listą haseł przypisanych do użytkowników. Jeśli jednym ze składników musi być hasło z katalogu, należy zamiast tego skierować proxy na Microsoft NPS lub inny serwer RADIUS powiązany z katalogiem. Ustawienia Palo Alto pochodzą z dokumentacji Palo Alto; sami nie testowaliśmy firewalla Palo Alto w laboratorium.
- Jakiego protokołu uwierzytelniania powinien używać profil serwera RADIUS?
- PAP. Proxy musi odczytać nazwę użytkownika, aby wiedzieć, czyj telefon zapytać, a domyślny PEAP-MSCHAPv2 ją ukrywa. Połączenie między firewallem a appliance powinno przebiegać przez zaufaną sieć, a wspólny sekret powinien być długi i losowy.
- Dlaczego użytkownik dostaje dwie prośby o zatwierdzenie przy jednym połączeniu?
- Uwierzytelnia się zarówno portal, jak i brama. Należy włączyć cookies authentication override na portalu i na bramie, z tym samym certyfikatem po obu stronach, aby jedno połączenie oznaczało jedno zatwierdzenie.