Настройка двухфакторной аутентификации Check Point Remote Access VPN

Общая информация

В статье описывается настройка Check Point для подключения к Remote Access VPN c двухфакторной аутентификацией.

Возможные способы аутентификации:

• СМС
• Аппаратные OTP токены
• Приложения OTP: Google Authenticator или Яндекс.Ключ
• Telegram
• Мобильное приложение (скоро)

Для настройки второго фактора аутентификации вам потребуется установить и настроить MultiFactor Radius Adapter.

Схема работы

1. Пользователь подключается к VPN, вводит логин и пароль в клиенте Remote Access (список клиентов VPN с поддержкой 2fa);
2. Check Point NGFW подключается к компонету MultiFactor Radius Adapter по протоколу RADIUS;
3. Компонент либо Check Point NGFW проверяет логин и пароль пользователя в Active Directory или Network Policy Server и запрашивает второй фактор аутентификации;
4. Пользователь подтверждает запрос доступа в телефоне или вводит одноразовый код в клиенте Remote Access VPN (Endpoint Security/MAB).

Настройка Check Point NGFW

Запустите консоль управления SmartConsole.

Настройка RADIUS сервера

Необходимо создать новые объект сервера Radius.

1. С правой стороны, в разделе объектов, выбрать пункт New > Server > More > RADIUS и выполнить следующие настройки:
   • Название: Multifactor Radius Server;
   • Host: адрес компонента MultiFactor Radius Adapter (создайте новый объект или выберите существующий);
   • Service: NEW-RADIUS (port 1812);
   • Shared Secret: из настроек компонента;
   • Verison: RADIUS Ver. 2.0;
   • Authentication method: PAP.

Настройка Remote Access VPN в Check Point

1. Откройте настройки объекта шлюза безопасности Check Point, раздел VPN Clients/Mobile Access -> Authentication:

2. Настройте Multiple login options:
   • Первый фактор Username and Password и второй RADIUS (Multifactor);
   • Либо первый и второй фактор RADIUS (Multifactor).
3. Выберите RADIUS сервер и укажите ранее созданный объект:

Настройка группы пользователей

С правой стороны, в разделе объектов, выбрать пункт New > More > User > Access Role. Задать параметры для нового объекта и указать источник данных о пользователях.

Настройка политики доступа

В разделе Security policies > Policy > создайте новую политику для доступа пользователей Remote Access VPN к внутренней сети:

• Source: <Созданная раннее Access Role>
• VPN: RemoteAccess

Если используется только Radius группы, то неоходимо использовать данную инструкцию: https://community.checkpoint.com/t5/Remote-Access-VPN/Using-RADIUS-Groups-RAD-lt-Group-gt-to-Assign-Permissions/m-p/16705#M555.

Смотрите также:

• Какие клиенты Check Point VPN поддерживают 2fa
• Документация по настройке удаленного доступа в Check Point
• Портал для самостоятельно регистрации 2fa.