Настройка двухфакторной аутентификации (2FA) для OpenVPN по протоколу RADIUS на базе инфраструктуры UniFi

Общая информация

В статье описывается настройка VPN-сервера OpenVPN, развернутого в сети под управлением UniFi Network Controller (Ubiquiti), для подключения пользователей с двухфакторной аутентификацией по протоколу RADIUS.

Возможные способы аутентификации:

• Мобильное приложение Multifactor

Для настройки второго фактора аутентификации вам потребуется установить и настроить MULTIFACTOR RADIUS Adapter.

Схема работы

1. Пользователь запускает OpenVPN Client, вводит логин и пароль;
2. OpenVPN по протоколу RADIUS подтверждает корректность логина и пароля в Active Directory;
3. Мультифактор присылает на телефон пользователя запрос для подтверждения доступа;
4. Пользователь подтверждает запрос и подключается к VPN.

Настройка MULTIFACTOR

1. Зайдите в систему управления MULTIFACTOR, далее в раздел Ресурсы и создайте новый ресурс Сетевой экран → Другой:
2. Сохраните настройки
3. Скопируйте NAS Identifier и Shared Secret, они понадобятся при дальнейшей настройке.
4. Разверните компонент MULTIFACTOR Radius Adapter, взяв за основу шаблон из папки clients, создайте и настройте файл конфигурации. Он может выглядеть следующим образом:

<?xml version="1.0" encoding="utf-8"?>
<configuration>
  <configSections>
    <section name="RadiusReply" type="MultiFactor.Radius.Adapter.RadiusReplyAttributesSection, multifactor-radius-adapter" />
  </configSections>

  <appSettings>
    <!-- IP-адрес, с которого  VPN будет отправлять запросы к RADIUS -->
    <add key="radius-client-ip" value="10.10.10.10"/>
    <!-- Shared secret радиуса -->
    <add key="radius-shared-secret" value="SHARED_SECRET"/>

    <!-- Где проверять первый фактор:ActiveDirectory, ADLDS, Radius, None -->
    <add key="first-factor-authentication-source" value="None"/>

    <add key="multifactor-nas-identifier" value="NAS Identifier из личного кабинета Мультифактора"/>
    <add key="multifactor-shared-secret" value="Shared Secret из личного кабинета Мультифактора"/>
    <add key="bypass-second-factor-when-api-unreachable" value="false"/>
  </appSettings>
  
</configuration>

Настройка контроллера UniFi

Зайдите в веб-интерфейс UniFi Network Controller.

Важно

Для обеспечения корректной работы интеграции по протоколу RADIUS необходимо наличие в инфраструктуре UniFi Network Controller версии 4.x или выше. 

На левой панели выберите раздел Настройки ( нажмите на шестерёнку)→ Network (Сеть)→ Обзор .

В подразделе Управление (в нижней части меню) найдите  RADIUS.

Для корректной работы L2TP нажмите на Управление, выберете Default и нажмите Задействовать.

Нажмите кнопку Создать новый.

Заполните данные и добавьте RADIUS профиль.

• Имя: MFA_1812 задаётся произвольно.
• Ip-адрес: 10.10.10.10 (адрес компонента MULTIFACTOR RADIUS Adapter).
• Порт: 1812 ( порт компонента MULTIFACTOR RADIUS Adapter).
• Общий секрет: (SHARED SECRET компонента MULTIFACTOR RADIUS Adapter).

Нажмите Добавить, чтобы сохранить сервер аутентификации.

После создания профиля необходимо перейти в раздел: Network → VPN-сервер.

После чего нажмите Создать новый.

Далее необходимо выбрать:

1. тип VPN: OPENVPN.
2. Источник учётных данных: Внешний сервер-Radius
3. созданный ранее Radius-профиль.

Когда подтянутся все данные профиля необходимо будет нажать Сохранить.