Настройка двухфакторной аутентификации Континент 4.2.1 VPN по протоколу RADIUS

Общая информация

В статье описывается настройка сервера доступа Континент 4.2.1 для подключения к VPN в клиенте Континент-АП с двухфакторной аутентификацией по протоколу RADIUS.

Возможные способы аутентификации:

• Мобильное приложение Multifactor
• Telegram
• Звонок (нужно принять вызов и нажать #)

Для настройки второго фактора аутентификации вам потребуется установить и настроить MULTIFACTOR RADIUS Adapter.

Схема работы

1. Пользователь подключается к VPN, вводит логин и пароль в клиенте Континент АП;
2. Сервер доступа Континент 4.2.1 по протоколу RADIUS подключается к компоненту MULTIFACTOR RADIUS Adapter;
3. Компонент проверяет логин и пароль пользователя в Active Directory или другом LDAP-каталоге и запрашивает второй фактор аутентификации;
4. Пользователь подтверждает запрос доступа выбранным способом аутентификации.

Настройка MULTIFACTOR

1. Зайдите в систему управления MULTIFACTOR, далее в раздел Ресурсы и создайте новый ресурс Сетевой экран → Другой:
2. Сохраните настройки
3. Скопируйте NAS Identifier и Shared Secret, они понадобятся при дальнейшей настройке.
4. Разверните компонент MULTIFACTOR Radius Adapter, взяв за основу шаблон из папки clients, создайте и настройте файл конфигурации. Он может выглядеть следующим образом:

<?xml version="1.0" encoding="utf-8"?>
<configuration>
  <configSections>
    <section name="ActiveDirectory" type="MultiFactor.Radius.Adapter.ActiveDirectorySection, MultiFactor.Radius.Adapter"/>
    <!--section name="RadiusReply" type="MultiFactor.Radius.Adapter.RadiusReplyAttributesSection, MultiFactor.Radius.Adapter"/-->
  </configSections>

  <appSettings>
    <!-- IP-адрес, с которого Континент VPN будет отправлять запросы к RADIUS -->
    <add key="radius-client-ip" value="10.10.10.10"/>
    <!-- Shared secret радиуса -->
    <add key="radius-shared-secret" value="SHARED_SECRET"/>

    <!-- Где проверять первый фактор:ActiveDirectory, ADLDS, Radius, None -->
    <add key="first-factor-authentication-source" value="None"/>

    <add key="multifactor-nas-identifier" value="NAS Identifier из личного кабинета Мультифактора"/>
    <add key="multifactor-shared-secret" value="Shared Secret из личного кабинета Мультифактора"/>
    <add key="bypass-second-factor-when-api-unreachable" value="false"/>
  </appSettings>
  
</configuration>

Настройка Континент

Зайдите в менеджер конфигурации Континент.

В разделе Главная → Администрирование → RADIUS нажмите Создать RADIUS профиль:

Заполните данные и добавьте RADIUS сервер.

• Название: MULTIFACTOR.
• Рекомендуемые значения параметров в секции Ограничения:
  • Количество попыток ввода: 1.
  • Время ожидания аутентификации: 30.
• Пароль и Подтверждение:(SHARED SECRET компонента MULTIFACTOR RADIUS Adapter).
• Адрес: 10.10.10.10 (адрес компонента MULTIFACTOR RADIUS Adapter).
• Порт: 1812 ( порт компонента MULTIFACTOR RADIUS Adapter).

Перейдите в Структуру и откройте Свойства ноды с Сервером доступа.
Выберите Параметры аутентификации. Выберите внутри созданный профиль RADIUS

Назначение профиля узлу безопасности

В Менеджере конфигурации перейдите в раздел Структура, выберите Узел безопасности, которому необходимо назначить RADIUS-профиль и вызовите окно Свойства.

В окне Свойства выберите пункт Параметры аутентификации» и в поле Профиль RADIUS выберите профиль.

Нажмите кнопку OK.

Будет выполнен возврат к списку узлов безопасности.

Назначение метода аутентификации для сервера доступа

1. В свойствах узла безопасности перейдите в раздел Сервер доступа.
2. В поле Метод аутентификации выберите значение RADIUS.
3. Укажите IP-адреса серверов DNS.
4. Задайте пул адресов для аутентификации пользователей RADIUS. Для этого нажмите кнопку➕.
5. Откроется окно Пул адресов Серверов доступа.
6. Заполните поле Пул адресов.
7. Раздел Распределение адресов будет заполнен автоматически.
8. В разделе Пользователи добавьте пользователей/группы пользователей. Для редактирования списка пользователей/групп используйте соответствующие кнопки раздела.
9. После заполнения окна Пул адресов Серверов доступа нажмите кнопку OK.
10. Закройте окно свойств узла безопасности и сохраните изменения.

Настройки правила удаленного доступа

1. В Менеджере конфигурации перейдите в раздел Виртуальные частные сети и откройте подраздел Удаленный доступ. Появится список правил удаленного доступа.
2. Выберите правило или создайте новое.
3. В поле Метод аутентификации выберите значение Radius.
   Поле Пользователи будет автоматически заполнено значением Radius.
4. Сохраните изменения и установите политику на Узле безопасности.