Настройка двухфакторной аутентификации на сервере Windows со службой RD Gateway

В статье описывается настройка Windows сервера для включения двухфакторной аутентификации при подключении удаленного рабочего стола (RDP) со службой RD Gateway.

RD Gateway — компонент Windows сервера, позволяющий подключаться к рабочему столу через шлюз, который выполняет функции VPN, а именно создает зашифрованное подключение по протоколу TLS.

Применимо к версиям:

• Windows Server 2012 R2
• Windows Server 2016
• Windows Server 2019
• Windows Server 2022
• Windows Server 2025

Возможные способы аутентификации:

• Мобильное приложение Multifactor
• Telegram
• Звонок (нужно принять вызов и нажать #)

Видео-презентация

Схема работы

1. Пользователь подключается к удаленному рабочему столу через шлюз RD Gateway;
2. RD Gateway проверяет логин, пароль, политику авторизации ресурсов (RAP) и переадресовывает запрос в Network Policy Server (NPS);
3. NPS получает запрос от RD Gateway, запрашивает второй фактор аутентификации по RADIUS протоколу в компоненте MULTIFACTOR Radius Adapter;
4. Мультифактор отправляет на телефон пользователя запрос подтверждения входа;
5. Пользователь подтверждает запрос в телефоне и подключается к VPN.

Дополнительные возможности:

• настройка доступа на основе принадлежности пользователя к группе в Active Directory;
• избирательное включение второго фактора на основе принадлежности пользователя к группе в Active Directory;
• использование телефона пользователя из профиля Active Directory для звонка на мобильный телефон;

Требования к серверу

1. На сервере должны быть установлены и настроены компоненты Remote Desktop Gateway и Network Policy and Access Service.
2. На сервере с NPS необходимо установить компонент MULTIFACTOR Radius Adapter.
3. Для работы Мультифактора серверу необходим доступ к хосту api.multifactor.ru по порту 443 (TLS).

Настройка MULTIFACTOR

1. Зайдите в административную панель, далее в раздел Ресурсы и создайте новый ресурс типа ОС / Сервер → Windows RD Gateway;
2. Заполните Название и Адрес по вашему усмотрению. Параметр При подключении без настроенного второго фактора отвечает за возможность настроить второй фактор при подключении пользователя без настроенного второго фактора доступа;
3. После создания вам будут доступны два параметра: NAS Identifier и Shared Secret, они потребуются для последующих шагов.

Настройка компонента MULTIFACTOR Radius Adapter

Разверните компонент MULTIFACTOR Radius Adapter, взяв за основу шаблон из папки clients, ( или создайте свой) и настройте файл конфигурации. Он должен выглядеть следующим образом:

<?xml version="1.0" encoding="utf-8"?>
<configuration>
    <!-- Объявление секции RadiusReply -->
    <configSections>
        <section name="RadiusReply" type="MultiFactor.Radius.Adapter.RadiusReplyAttributesSection, MultiFactor.Radius.Adapter"/>
    </configSections>
  <appSettings>
    <!-- Адрес и порт (UDP) по которому адаптер будет принимать запросы на аутентификацию от клиентов -->
    <add key="adapter-server-endpoint" value="0.0.0.0:1812"/>
    <!-- ip ресурса -->
    <add key="radius-client-ip" value="10.10.10.110"/>
    <!-- Секрет для взаимодействия с ресурсом -->
    <add key="radius-shared-secret" value="000000000"/>
    <!-- где осуществляется проверка первого фактора аутентификации: ActiveDirectory, ADLDS, Radius, None-->
    <add key="first-factor-authentication-source" value="None"/>
    <!-- Идентификатор NAS, полученный из панели управления Мультифактора -->
    <add key="multifactor-nas-identifier" value="NAS Identifier из личного кабинета Мультифактора"/>
    <!-- Секретный ключ, полученный из панели управления Мультифактора -->
    <add key="multifactor-shared-secret" value="Shared Secret из личного кабинета Мультифактора"/>
  </appSettings>
</configuration>

<?xml version="1.0" encoding="utf-8"?>
<configuration>

    <appSettings>
      <!-- ip ресурса -->
      <add key="radius-client-ip" value="127.0.0.1"/>
      <!-- Секрет для взаимодействия с ресурсом -->
      <add key="radius-shared-secret" value="111111111"/>	
      <!-- где осуществляется проверка первого фактора аутентификации: ActiveDirectory, ADLDS, Radius, None-->
       <add key="first-factor-authentication-source" value="None"/>
      <!-- Идентификатор NAS, полученный из панели управления Мультифактора -->
      <add key="multifactor-nas-identifier" value="NAS Identifier из личного кабинета Мультифактора"/>
      <!-- Секретный ключ, полученный из панели управления Мультифактора -->
      <add key="multifactor-shared-secret" value="Shared Secret из личного кабинета Мультифактора"/>
    </appSettings>
	
 <ldapServers>
    <!-- Настройки LDAP сервера -->
        <ldapServer
            connection-string="ldap://localhost:389"
            username="CN=ServiceAccount,OU=Service Accounts,DC=domain,DC=loc"
            password="your_password_here"                                   
    />
</ldapServers>
</configuration>

Настройка Remote Desktop Gateway

Настройте политику авторизации подключений.

Настройте политику авторизации на шлюзе, добавив группу пользователей AD, которым должен предоставляться доступ к RDS серверам 

Добавьте группу устройств, к которым требуется доступ.

Группы устройств создаются здесь:

Настройка NPS

1. В разделе Remote RADIUS Server Groups создайте новую группу:

• Укажите IP-адрес RADIUS-сервера:

• Укажите общий секрет  (должен совпадать с ранее придуманным SHARED_SECRET в конфиге radius-адаптера.
  
• Выставите таймауты на NPS для следующих значений:
  • приоритет;
  • вес;
  • число секунд без ответа, после которого запрос считается отброшенным (по умолчанию 30, но можно выставить 60);
  • макс. число отброшенных запросов, после которого сервер считается недоступным;
  • число секунд между запросами, после которого сервер считается недоступным (по умолчанию 30, но можно выставить 60).

2. В разделе Connection Requests Policies, откройте свойства политики TS GATEWAY AUTHORIZATION POLICY:
   • На вкладке Settings:
     • в разделе Authentication выберите вариант Forward requests to the following remote RADIUS server group for authentication: MFA

Если что-то не работает

• Для проверки принадлежности пользователя к группам безопасности Active Directory, адаптер должен быть запущен под пользователем, имеющим доступ на чтение к домену (обычно любой пользователь из домена).

• Проверьте журнал Windows, раздел Custom Views -> Server Roles -> Network Policy And Access Services.

• Проверьте журнал компонента MULTIFACTOR Radius Adapter.

• Проверьте журнал MULTIFACTOR.

Смотрите также:

• Портал для самостоятельно регистрации 2fa
• Установка бесплатного сертификата Let’s Encrypt