Integracje · Dowolny VPN lub firewall z RADIUS
VPN 2FA przez RADIUS: zatwierdzanie na telefonie dla dowolnego VPN lub firewalla
Dla zespołów IT z dowolnym koncentratorem VPN lub firewallem, który potrafi wskazać serwer RADIUS. Notakey auth-proxy staje między VPN a RADIUS, więc każde logowanie wymaga hasła i dotknięcia telefonu. Serwer RADIUS i użytkownicy pozostają bez zmian; w VPN zmieniają się tylko adres serwera RADIUS i limit czasu.
Jak przebiega połączenie
Przezroczyste proxy na ścieżce RADIUS
Użytkownik łączy się z VPN, podając nazwę użytkownika i hasło. Koncentrator wysyła żądanie RADIUS do auth-proxy zamiast do Państwa serwera RADIUS. Proxy przekazuje je dalej do serwera docelowego; nieudane sprawdzenie hasła kończy się natychmiastowym odrzuceniem. Jeśli hasło jest poprawne, proxy wysyła prośbę o zatwierdzenie na telefon użytkownika i utrzymuje otwartą wymianę RADIUS, dopóki użytkownik nie odpowie, domyślnie do 30 sekund. Po zatwierdzeniu do VPN wraca Access-Accept; odrzucenie lub przekroczenie czasu oznacza odmowę logowania.
Ponieważ proxy po obu stronach posługuje się standardowym RADIUS, współpracuje z niemal każdym serwerem RADIUS (FreeRADIUS, Microsoft NPS, User Manager MikroTika) i z każdym koncentratorem VPN, który potrafi wskazać RADIUS. Istniejący firmowy RADIUS działa bez zmian; proxy jest dla niego przezroczyste. Appliance on-premise ma proxy wbudowane; przy serwerze Notakey w chmurze to samo proxy działa jako kontener w Państwa własnej sieci, a dla Windows dostępny jest instalator MSI.
Jeśli w ogóle nie korzystają Państwo z RADIUS, wtyczka RADIUS w appliance jest opartym na FreeRADIUS serwerem docelowym z jednym globalnym hasłem lub krótką listą haseł przypisanych do użytkowników w jej konfiguracji, więc nie trzeba budować bazy użytkowników RADIUS. Użytkownika weryfikuje zatwierdzenie na telefonie.
Na telefonie żądanie pokazuje, kto się loguje i z jakiego adresu IP, wraz z odliczaniem. Użytkownik, który widzi je, choć akurat nie łączy się z VPN, patrzy na kogoś obcego posługującego się jego hasłem, a jedno dotknięcie Deny zatrzymuje logowanie i zostawia ślad w dzienniku audytu.
Co warto wiedzieć przed rozpoczęciem
- Limit czasu klienta RADIUS w VPN musi być co najmniej tak długi jak okno na zatwierdzenie, domyślnie 30 sekund. Większość klientów RADIUS ma domyślnie kilka sekund lub mniej; logowania kończące się przekroczeniem czasu nawet przy szybkim zatwierdzeniu to najczęstszy błąd w tej konfiguracji.
- Ta sama nazwa użytkownika musi istnieć w usłudze Notakey, w RADIUS i w VPN. Proxy adresuje powiadomienie push według nazwy użytkownika.
- Wtyczka RADIUS nie sprawdza haseł użytkowników z katalogu. Jeśli jest to potrzebne, należy użyć Microsoft NPS lub innego serwera RADIUS połączonego z katalogiem.
- Wtyczka jest dostarczana z opublikowanym domyślnym sekretem i hasłem. Oba należy zmienić, zanim wtyczka zostanie wystawiona na jakikolwiek ruch.
- Adres IP klienta pokazywany na karcie potwierdzenia proxy odczytuje ze standardowego atrybutu Calling-Station-Id. VPN, który go nie wypełnia, nie pokaże adresu IP na karcie; jednym z takich przypadków jest Palo Alto GlobalProtect.
- Zatwierdzanie na telefonie sprawia, że wykradzione lub odgadnięte hasło samo nie wystarcza. Nie powstrzymuje natomiast atakującego, który w czasie rzeczywistym przekazuje prawdziwe logowanie przez fałszywą stronę.
Od zera do pierwszego zatwierdzenia
- 01
Utworzenie aplikacji VPN w Notakey
W panelu Notakey należy utworzyć aplikację dla VPN, zarejestrować telefony użytkowników w Notakey Authenticator i skopiować Access ID aplikacji.
- 02
Konfiguracja auth-proxy
Na appliance należy ustawić port nasłuchu proxy, adres docelowego serwera RADIUS, dwa wspólne sekrety, Access ID, okno na zatwierdzenie i wiadomość, którą zobaczą użytkownicy, a potem uruchomić proxy. Przy serwerze w chmurze należy uruchomić kontener notakey/authproxy z tymi samymi wartościami w zmiennych środowiskowych.
- 03
Skierowanie VPN na proxy i zwiększenie limitu czasu
W kliencie RADIUS w VPN należy zmienić adres serwera na proxy, z tym samym sekretem co vpn_secret_in, i zwiększyć limit czasu RADIUS do co najmniej 30 sekund. Po połączeniu z VPN i zatwierdzeniu powiadomienia push na telefonie połączenie zostaje nawiązane.
Najczęściej zadawane pytania
- Które sieci VPN i serwery RADIUS współpracują z auth-proxy?
- Każdy koncentrator VPN lub firewall, który potrafi wskazać serwer RADIUS, i niemal każdy serwer RADIUS: FreeRADIUS, Microsoft NPS, User Manager MikroTika lub wtyczka RADIUS w appliance. Proxy posługuje się standardowym protokołem RADIUS po obu stronach.
- Czy zmienia się mój obecny serwer RADIUS lub baza użytkowników?
- Nie. Proxy jest dla nich przezroczyste. W VPN zmieniają się tylko adres serwera RADIUS i limit czasu.
- Dlaczego logowania kończą się przekroczeniem czasu, nawet gdy szybko zatwierdzam?
- Niemal zawsze dlatego, że limit czasu klienta RADIUS w VPN jest krótszy niż 30-sekundowe okno na zatwierdzenie w proxy. Większość klientów ma domyślnie kilka sekund; należy zwiększyć tę wartość do co najmniej 30 sekund.