Настройка двухфакторной аутентификации на сервере Network Policy Server

Общая информация

В статье описывается настройка Microsoft Network Policy Server для включения двухфакторной аутентификации с одноразовым кодом доступа или PUSH уведомлением при подключении VPN клиентов, таких как Cisco AnyConnect, FortiClient VPN и других.

Network Policy Server (NPS) — компонент Windows сервера, позволяющий подключаться сетевым устройствам по протоколу RADIUS с контролем доступа и аутентификацией в Active Directory.

Применимо к версиям:

• Windows Server 2012 R2
• Windows Server 2016
• Windows Server 2019

Возможные способы аутентификации:

• СМС
• Аппаратные OTP токены
• Приложения OTP: Google Authenticator или Яндекс.Ключ
• Telegram
• Мобильное приложение (скоро)

Видео-презентация

Схема работы

Сервер NPS может удостоверять пользователя локально или переадресовывать на внешний RADIUS сервер аутентификации, выступая, как RADIUS PROXY.

Для одновременной проверки логина и пароля локально в Active Directory и второго фактора в Мультифакторе, необходимо установить компонент MultiFactor Radius Adapter и настроить NPS для переадресации запросов доступа компоненту, как стороннему сервису аутентификации.

Компонент устанавливается внутри периметра вашей сети и служит для проверки второго фактора. Компонент не передает пароли пользователей за периметр сети.

Схема потоков данных

Последовательность

1. Пользователь подключается к VPN через сетевое устройство доступа, вводит логин и пароль.
2. Устройство обращается к NPS по протоколу RADIUS, передает логин и пароль.
3. Сервер NPS использует RADIUS сервер аутентификации и проксирует запрос в компонент Multifactor Radius Adapter
4. Компонент делает два запроса:
   • к серверу NPS для проверки логина и пароля пользователя, выступая как RADIUS Client
   • к API Мультифактор для создания запроса на второй фактор доступа и отправляет пользователю код или PUSH
5. Пользователь вводит одноразовый код или подтверждает PUSH запрос
6. Компонент возвращает в NPS ответ с подтверждением доступа
7. NPS предоставляет доступ сетевому устройству

Настройка Мультифактора

Pайдите в систему управления Мультифактором, зайдите в раздел "Ресурсы" и создайте новый ресурс Network Policy Server. После создания вам будут доступны параметры NAS-Identifier и Shared Secret, они потребуются для последующих шагов.

Настройка компонента MultiFactor Radius Adapter

Компонент необходимо запускать на сервере NPS. Конфигурация компонета хранится в файле MultiFactor.Radius.Adapter.exe.config.

Параметры:

• adapter-server-endpoint: IP и порт на котором компонент будет принимать запросы от NPS, например: 192.168.0.1:1814
• adapter-client-endpoint: IP и порт с которого компонент будет отправлять запросы к NPS, например: 127.0.0.1:56129
• nps-server-endpoint: IP и порт NPS сервера, например: 192.168.0.1:1812
• multifactor-api-url: Адрес API Мультифактора — https://api.multifactor.ru
• multifactor-nas-identifier: параметр из ресурса Мультифактора
• multifactor-shared-secret: параметр из ресурса Мультифактора
• logging-level: уровень логов

Компонент может работать в консольном режиме или в режиме службы. Для установки, как Windows Service, запустите с ключом /i от имени Администратора

MultiFactor.Radius.Adapter.exe /i

Компонент устанавливается в режиме автоматического запуска от имени Network Service.

Для удаление Windows Service запустите с ключом /u от имени Администратора

MultiFactor.Radius.Adapter.exe /u

Журналы

Отладочные журналы компонента находятся в папке Logs. Если их нет, удостоверьтесь, что папка доступна для записи пользователю Network Service.

Настройка NPS

Radius Server

Для того, чтоб NPS переадресовывал запросы компоненту:

1. В разделе "Remote RADIUS Server Groups" создайте новую группу "MultiFactor Radius Adapters".
2. Добавьте в группу сервер с адресом из параметра adapter-server-endpoint.
3. На вкладке "Authentication/Accounting" скопируйте Shared Secret из настроек ресурса Мультифактора.
4. Поставьте флажок "Request must contains message authenticator attribute".
5. На вкладке "Load Balancing" поставьте таймауты в 30 секунд.

Radus Client

Для того, чтоб компонент обращался к NPS

1. В разделе "RADIUS Clients" создайте нового клиента
   • Friendly Name: Radius Adapter
   • Address: из параметра adapter-client-endpoint
   • Shared Secret: из настроек ресурса Мультифактора

Политики подключений

У вас должно быть создано две политики в разделе "Connection Request Policies":

1. Политика обработки запроса от VPN устройства:
   • на вкладке "Settings" в разделе "Authentication" выберите пункт "Forward requests to the following remote RADIUS server group for authentication" и укажите группу "MultiFactor Radius Adapters".
2. Политика обработки запроса от компонента:
   • на вкладке "Conditions" добавьте условие NAS Identifier и поставьте значение из настроек ресурса Мультифактора
   • на вкладке "Settings" в разделе "Authentication" выберите пункт "Authenticate requests on this server".

Смотрите также:

• Настройка двухфакторной аутентификации Remote Desktop.
• Настройка двухфакторной аутентификации на сервере CentOS.