Настройка двухфакторной аутентификации С-Терра VPN

Общая информация

В статье описывается настройка шлюза безопасности С-Терра для подключения к VPN c двухфакторной аутентификацией.

Возможные способы аутентификации:

• Мобильное приложение Multifactor
• СМС
• Аппаратные OTP токены
• Приложения OTP: Google Authenticator или Яндекс.Ключ
• Telegram

Для настройки второго фактора аутентификации вам потребуется установить и настроить MULTIFACTOR Radius Adapter.

Может быть полезно

Доступна настройка второго фактора в режиме диалога с пользователем.

Видео-презентация

Схема работы

1. Пользователь подключается к S-Terra CSP VPN, вводит логин и пароль в С-Терра Клиенте;
2. С-Терра Шлюз по протоколу RADIUS подключается к компоненту MULTIFACTOR Radius Adapter;
3. Компонент проверяет логин и пароль пользователя в Active Directory или Network Policy Server и запрашивает второй фактор аутентификации;
4. Пользователь подтверждает запрос доступа одним из возможных способов аутентификации (в том числе ввод одноразового кода в С-Терра Клиент);

Первые шаги

1. Создайте аккаунт и войдите в административную панель MULTIFACTOR.
2. В разделе ресурсы кликните Добавить ресурс. В появившемся списке выберите S-Terra в разделе Сетевой экран. Заполните необходимые поля для того, чтобы получить параметры NAS Identifier и Shared Secret. Эти параметры потребуются для завершения настройки RADIUS-адаптера.
3. Загрузите, установите и настройте компонент MULTIFACTOR RADIUS Adapter (Windows, Linux).

Настройка С-Терра

Подробные инструкции по настройке Шлюза и Клиента С-Терра доступны на портале документации вендора.

Настройка взаимодействия с RADIUS-сервером

Взаимодействие Radius-клиента C-Терра и MULTIFACTOR RADIUS сервера настраивается в Cisco-like консоли управления С-Терра Шлюза.

Hub1(config)#aaa new-model 
Hub1(config)#aaa authentication login MF_RADIUS group radius 
Hub1(config)#radius-server host RADIUS_HOST 
Hub1(config)#radius-server key SECRET 
Hub1(config)#radius-server timeout 60

Hub1(config)#aaa new-model 
Hub1(config)#aaa authentication login MF_RADIUS group radius 
Hub1(config)#radius-server host RADIUS_HOST auth-port RADIUS_AUTH_PORT 
Hub1(config)#radius-server key SECRET 
Hub1(config)#radius-server timeout 60 
Hub1(config)#aaa authentication banner "MESSAGE"

где:

• SECRET — значение radius-shared-secret из настроек компонента RADIUS адаптера MULTIFACTOR;
• RADIUS_HOST — IP-адрес RADIUS сервера;
• (С-Терра Шлюз 4.3) RADIUS_AUTH_PORT — порт для аутентификации из adapter-server-endpoint компонента MultiFactor RADIUS Adapter;
• (С-Терра Шлюз 4.3) MESSAGE — сообщение, которое будет выводиться в окне аутентификации XAuth С-Терра ещё до прохождения аутентификации.

Важно

С-Терра Шлюз 4.2 использует 1645 порт для аутентификации. Параметр auth-port не поддерживается.

Далее, привяжите список методов аутентификации к динамической криптокарте и включите поддержку XAuth.

Hub1(config)#crypto dynamic-map DMAP 1 
Hub1(config-crypto-map)#set client authentication list MF_RADIUS 
Hub1(config-crypto-map)#set client authentication xauth 
Hub1(config-crypto-map)#set client username interactive 
Hub1(config-crypto-map)#exit

Hub1(config)#crypto dynamic-map DMAP 1 
Hub1(config-crypto-map)#set client authentication list MF_RADIUS 
Hub1(config-crypto-map)#set client authentication xauth 
Hub1(config-crypto-map)#exit

Список команд настройки RADIUS-клиента:

• C-Терра Шлюз 4.3
• C-Терра Шлюз 4.2
• C-Терра Шлюз 5.0
  

Построение VPN туннеля между С-Терра Шлюз и С-Терра Клиент c аутентификацией при помощи RADIUS сервера:

• C-Терра Шлюз 4.3
• C-Терра Шлюз 4.2
• C-Терра Шлюз 5.0
  

Смотрите также:

• Взаимодействие между Клиентом, Шлюзом и RADIUS сервером
• Настройка двухфакторной аутентификации Remote Desktop
• Портал для самостоятельной регистрации 2FA