Настройка двухфакторной аутентификации на сервере Network Policy Server

Общая информация

В статье описывается настройка Microsoft Network Policy Server для включения двухфакторной аутентификации с одноразовым кодом доступа или PUSH уведомлением при подключении VPN клиентов, таких как Cisco AnyConnect, FortiClient VPN и других.

Применимо к версиям:

• Windows Server 2012 R2
• Windows Server 2016
• Windows Server 2019

Возможные способы аутентификации:

• Мобильное приложение Multifactor
• Telegram
• Аппаратные OTP токены
• Приложения OTP: Google Authenticator или Яндекс.Ключ
• СМС

Для настройки второго фактора аутентификации вам потребуется установить и настроить MULTIFACTOR Radius Adapter в режиме RADIUS прокси между клиентом и сервером NPS.

Подсказка

Обратите внимание, в большинстве случаев вы можете отказаться от использования NPS, полностью заменив его на MULTIFACTOR Radius Adapter.

Схема работы

1. Radius клиент подключается к компоненту Radius Adapter.
2. Компонент выполняет аутентификацию клиента в Network Policy Service.
3. В случае успешной аутентификации запрашивает у пользователя подтверждение доступа вторым фактором.

Настройка MULTIFACTOR

1. Зайдите в систему управления MULTIFACTOR,  далее в раздел Ресурсы и создайте новый ресурс Сетевой экран → Другой;
2. Заполните Название и Адрес по вашему усмотрению. Параметр При подключении без настроенного второго фактора отвечает за возможность настроить второй фактор при подключении пользователя без настроенного второго фактора доступа;
3. После создания вам будут доступны два параметра: NAS Identifier и Shared Secret, они потребуются для последующих шагов;

Настройка компонента MULTIFACTOR Radius Adapter

Разверните компонент MULTIFACTOR Radius Adapter, взяв за основу шаблон из папки clients, ( или создайте свой) и настройте файл конфигурации. Он должен выглядеть следующим образом:

<?xml version="1.0" encoding="utf-8"?>
<configuration>
  <appSettings>
    <!-- ip ресурса -->
    <add key="radius-client-ip" value="10.10.10.10 "/>
    <!-- Секрет для взаимодействия с NPS. Должен быть идентичен в конфигурации NPS и на стороне клиента -->
    <add key="radius-shared-secret" value="123"/> 

    <!-- где осуществляется проверка первого фактора аутентификации: ActiveDirectory, ADLDS, Radius, None-->
    <add key="first-factor-authentication-source" value="Radius"/>

    <!-- ip адрес, который слушает RADIUS-адаптер для входящих запросов -->
    <add key="adapter-client-endpoint" value="0.0.0.0"/>

    
    <!-- ip адрес NPS  -->
    <add key="nps-server-endpoint" value="ip NPS:1812"/>

    <!-- Идентификатор NAS, полученный из панели управления Мультифактора -->
    <add key="multifactor-nas-identifier" value="NAS Identifier из личного кабинета Мультифактора"/>
    <!-- Секретный ключ, полученный из панели управления Мультифактора -->
    <add key="multifactor-shared-secret" value="Shared Secret из личного кабинета Мультифактора"/>
  </appSettings>
</configuration>

Важно

Значение SHARED_SECRET должно быть одинаковое на VPN устройстве, адаптере и сервере NPS, чтоб компонент мог корректно проксировать запросы.

Если вы планируете установить адаптер на одном сервере с NPS, необходимо будет изменить порт, который слушает адаптер, чтоб не было конфликтов.

Настройка RADIUS сервера (NPS)

В разделе RADIUS Clients измените адрес клиента на адрес адаптера.

Настройка RADIUS клиента

Поменяйте адрес радиус сервера на адрес адаптера и увеличьте таймаут ожидания запроса до 40 секунд, чтоб у пользователя было достаточно времени для подтверждения аутентификации.

Смотрите также:

• Настройка двухфакторной точки доступа Wi-Fi
• Настройка двухфакторной аутентификации Remote Desktop