- Начало работы
- Интеграция
- HTTP API
- OpenID Connect
- RADIUS протокол
- RADIUS адаптер
- LDAP адаптер
- Портал самообслуживания
- Windows Logon
- MacOS logon
- Регистрация пользователей
- .NET Core
- 1с-Bitrix24
- 1с-плагин двухфакторной аутентификации
- ADFS
- ASP.NET
- Ansible AWX
- Atlassian Cloud
- BearPass
- Check Point VPN
- Cisco ASA VPN
- Citrix Gateway
- FortiGate VPN
- HRBOX
- Huawei Cloud
- Huawei VPN
- Ideco UTM
- Keycloak
- Let's Encrypt Windows Server
- Linux logon (GUI)
- Linux SSH
- Linux SUDO
- MikroTik L2TP VPN
- NGate VPN
- Network Policy Server (NPS)
- Nextcloud
- OpenVPN
- OpenVPN + AD
- OpenVPN Access Server
- OpenVPN pfSense
- Outlook Web Access (OWA)
- Passwork
- RD Gateway (RDGW)
- Redmine
- UserGate VPN
- VMware Horizon Cloud
- VMware Horizon View
- VMware vCloud Director
- VMware vSphere
- Vault
- ViPNET
- Windows VPN
- Yandex.Cloud
- Zabbix
- АйТи-Бастион
- Континент 4 VPN
- МТС Линк (бывш. webinar.ru)
- WordPress
- С-Терра VPN
- Точка доступа Wi-Fi
- ФПСУ-IP/Клиент
Настройка двухфакторной аутентификации на сервере Network Policy Server
Общая информация
В статье описывается настройка Microsoft Network Policy Server для включения двухфакторной аутентификации с одноразовым кодом доступа или PUSH уведомлением при подключении VPN клиентов, таких как Cisco AnyConnect, FortiClient VPN и других.
Применимо к версиям:
Windows Server 2012 R2
Windows Server 2016
Windows Server 2019
Возможные способы аутентификации:
Мобильное приложение Multifactor
СМС
Аппаратные OTP токены
Приложения OTP: Google Authenticator или Яндекс.Ключ
Telegram
Для настройки второго фактора аутентификации вам потребуется установить и настроить MULTIFACTOR Radius Adapter в режиме RADIUS прокси между клиентом и сервером NPS.
Подсказка
Обратите внимание, в большинстве случаев вы можете отказаться от использования NPS, полностью заменив его на MULTIFACTOR Radius Adapter.
Схема работы
- Radius клиент подключается к компоненту Radius Adapter.
- Компонент выполняет аутентификацию клиента в Network Policy Service.
- В случае успешной аутентификации запрашивает у пользователя подтверждение доступа вторым фактором.
Настройка MULTIFACTOR
- Зайдите в систему управления MULTIFACTOR, далее в раздел Ресурсы и создайте новый ресурс типа "Сетевой экран" - "Другой";
- Заполните "Название" и "Адрес" по вашему усмотрению. Параметр "При подключении без настроенного второго фактора" отвечает за возможность настроить второй фактор при подключении пользователя без настроенного второго фактора доступа;
- После создания вам будут доступны два параметра: NAS Identifier и Shared Secret, они потребуются для последующих шагов;
Настройка компонента MULTIFACTOR Radius Adapter
Разверните компонент MULTIFACTOR Radius Adapter на отдельном сервере, настройте файл конфигурации следующим образом:
<?xml version="1.0" encoding="utf-8"?> <configuration> <appSettings> <!-- Адрес и порт (UDP) по которому адаптер будет принимать запросы на аутентификацию от клиентов --> <!-- Если указать адрес 0.0.0.0, то адаптер будет слушать все сетевые интерфейсы --> <add key="adapter-server-endpoint" value="0.0.0.0:1812"/> <!-- Shared secret общий для клиента, адаптера и NPS --> <add key="radius-shared-secret" value="SHARED_SECRET"/> <!-- Где поверять первый фактор: RADIUS --> <add key="first-factor-authentication-source" value="Radius"/> <!-- Адрес, с которого адаптер будет обращаться в NPS --> <add key="adapter-client-endpoint" value="192.168.0.1"/> <!-- Адрес и порт NPS --> <add key="nps-server-endpoint" value="192.168.0.1:1812"/> <!-- Multifactor API --> <add key="multifactor-api-url" value="https://api.multifactor.ru"/> <add key="multifactor-nas-identifier" value="NAS Identifier из личного кабинета Мультифактора"/> <add key="multifactor-shared-secret" value="Shared Secret из личного кабинета Мультифактора"/> <!-- Уровень логирования: 'Debug', 'Info', 'Warn', 'Error' --> <add key="logging-level" value="Debug"/> </appSettings> </configuration>
Значение SHARED_SECRET должно быть одинаковое на VPN устройстве, адаптере и сервере NPS, чтоб компонент мог корректно проксировать запросы.
Если вы планируете установить адаптер на одном сервере с NPS, необходимо будет изменить порт, который слушает адаптер, чтоб не было конфликтов.
Настройка RADIUS сервера (NPS)
В разделе "RADIUS Clients" измените адрес клиента на адрес адаптера.
Настройка RADIUS клиента
Поменяйте адрес радиус сервера на адрес адаптера и увеличьте таймаут ожидания запроса до 40 секунд, чтоб у пользователя было достаточно времени для подтверждения аутентификации.
Смотрите также: