RADIUS: Внедрение двухфакторной аутентификации в вашей сети

Решение двухфакторной аутентификации Protectimus RADIUS 2FA подходит для защиты любого программного обеспечения или оборудования, которое поддерживает протокол аутентификации RADIUS.

Коннектор Protectimus RADIUS Server работает как RADIUS сервер. Он передает запросы аутентификации от устройства или ПО, ктоторое подключено к Protectimus RADIUS Server по протоколу RADIUS, на сервер многофакторной аутентификации (MFA) Protectimus и возвращает ответ с разрешением или запретом доступа.

Подключите двухфакторную аутентификацию (2FA/MFA) к VPN, Wi-Fi и любому другому программному обеспечению или девайсу, поддерживающему RADIUS аутентификацию и защитите доступ к учетным записям пользователей от несанкционированного доступа. Для этого выполните интеграцию с Облачным сервисом двухфакторной аутентификации или Локальной платформой MFA Protectimus через протокол аутентификации RADIUS.

Список программного обеспечения и устройств, которые можно интегрировать с Protectimus по протоколу аутентификации RADIUS, включает, но не ограничивается:

• Ubuntu;
• Cisco AnyConnect;
• Cisco Switches;
• Citrix ADC (NetScaler ADC), Citrix Gateway (NetScaler Gateway), Citrix Virtual Desktops (XenDesktop), Citrix Virtual Apps (XenApp);
• VMware Horizon View (VDI), VMware Horizon Cloud DaaS (VDI), VMware vCenter Server;
• OpenVPN;
• Array AG SSL VPN
• Aruba ClearPass
• Barracuda SSL VPN
• Forcepoint VPN
• Juniper VPN
• Pulse Connect Secure SSL VPN
• F5 BIG-IP APM VPN;
• Palo Alto Networks VPN;
• FortiGate VPN;
• Check Point Remote Access VPN;
• Windows VPN;
• MikroTik VPN;
• SonicWALL TZ, NSA, Aventail series;
• WatchGuard Mobile VPN
• Точки доступа- Wi-Fi;
• macOS;
• Huawei SSL VPN;
• UserGate VPN, и т.д.

Программное обеспечение Protectimus RADIUS 2FA легко настроить и интегрировать с вашей системой. Но если у вас возникнут вопросы, наша команда всегда готова помочь с интеграцией двухфакторной аутентификации (2FA) по RADIUS даже в самую сложную инфраструктуру. Просто свяжитесь с нашей службой поддержки.

Чтобы интегрировать решение Protectimus 2FA с устройством или программным обеспечением, поддерживающим RADIUS, необходимо установить и настроить Protectimus RADIUS Server, а затем настроить политики аутентификации на устройстве или в приложении, которое вы хотите интегрировать с Protectimus:

1. Вы разрешаете передачу запроса на аутентификацию через протокол RADIUS на Protectimus RADIUS Server;
2. Protectimus RADIUS Server принимает и обрабатывает этот запрос;
3. Далее Protectimus RADIUS Server обращается к серверу аутентификации Protectimus для проверки одноразового пароля от пользователя.

1. Установите Protectimus RADIUS Server

1.1. Установка Protectimus RADIUS Server из Docker-образа

1. Для установки Protectimus RADIUS Server необходимо скачать и установить docker и docker-compose:

• Docker: https://docs.docker.com/engine/install/
• Docker-compose: https://docs.docker.com/compose/install/

2. Склонировать git репозиторий: https://github.com/protectimus/platform-linux.git

3. Перейти в каталог platform-linux/radius и запустить:

docker-compose up -d

4. За процессом разворачивания Protectimus RADIUS Server можно наблюдать используя команду:

docker-compose logs -f

5. После завершения процесса запуска, Protectimus RADIUS Server будет доступен по адресу: https://localhost:8443

1.2. Установка Protectimus RADIUS Server на Windows

1. Скачайте инсталлятор Локальной платформы Protectimus на странице платформы.
2. Запустите инсталлятор от имени администратора.
3. Установите галочку в поле Radius.
   
   

   ВНИМАНИЕ!
   Если вы планируете использовать локальную платформу Protectimus, выберите пункт Platform.
   Если вы планируете использовать облачный сервис Protectimus, снимите галочку с пункта Platform.

Если вы планируете использовать локальную платформу MFA Protectimus	Если вы планируете использовать облачный сервис MFA Protectimus

4. На вашей машине должна быть установлена Java (JDK 8 или выше). Нажмите кнопку Install, чтобы проверить наличие Java. Если Java еще не установлена, последняя версия JDK будет установлена автоматически.

5. После установки Java нажмите Next.

6. Выберите папку для установки компонентов Protectimus и нажмите Install.

7. После успешной установки, вы увидите это сообщение.

2. Зарегистрируйтесь и задайте базовые настройки

1. Зарегистрируйтесь в Облачном сервисе Protectimus и активируйте API или установите Локальную платформу Protectimus.
2. Создайте ресурс.
3. Добавьте пользователей.
4. Добавьте токены или активируйте Портал самообслуживания пользователей.
5. Назначите токены пользователям.
6. Назначте токены с пользователями на ресурс.

3. Настройте Protectimus RADIUS Server

Конфигурирование Protectimus RADIUS Server выполняется путём задания настроек в файле radius.yml, который должен быть расположен в той же папке, что и запускаемый файл.

Задайте в файле radius.yml следующие значения:

3.1. Настройка процесса аутентификации

auth:
	providers:
    	- LDAP
    	- PROTECTIMUS_OTP
	re-enter-otp: true
	principal-normalization: true
	bypass-otp:
    	ldap-filter: (memberOf=cn=bypass-otp,ou=groups,dc=test,dc=com)
    	usernames:
          	- john
          	- luci
	inline-mode:
    	enabled: false
       	separator: ''
       	attributes:
         	NAS-Identifier:
           	- home-nas
           	- work-nas

providers:

re-enter-otp:

principal-normalization:

bypass-otp:

inline-mode:

3.2. Настройки RADIUS

radius:
  secret: secret
  clients:
	- name: vpn-client
  	secret: secret
  	ips:
    	- 10.0.0.0/24
  auth-port: 1812
  listen-address: 0.0.0.0
  dictionaries:
	- file:<some_path>/<some_name>.dat
  attributes:
	copy-state: true
	defaults:
  	Service-Type: NAS-Prompt-User
	for-users:
  	john:
    	Service-Type: Login-User
	ldap:
  	memberOf:
    	'[cn=admins,ou=groups,dc=test,dc=com]':
      	Service-Type: Administrative
  	uid:
    	john_wick:
      	Class: Pro
	conditional:
  	'[ldapUser.attributes["uid"] == "john"]':
    	Service-Type:
      	- Login-User
  	'[request.getAttributeValue("User-Name") == "john"]':
    	Class:
      	- RDP_HeadOffice_GP
  ip-attributes:
	- NAS-IP-Address
	- NAS-IPv6-Address

secret:

clients:

auth-port:

listen-address:

dictionaries:

attributes:

copy-state:

defaults:

for-users:

ldap:

conditional:

ip-attributes:

3.3. Настройки PROTECTIMUS API (настройка подключения к сервису PROTECTIMUS)

protectimus-api:
	login:
	api-key:
	url: https://api.protectimus.com/
	resource-id:

login:

api-key:

url:

resource-id:

3.4. Настройки LDAP

ldap:
  base: dc=test,dc=com
  urls:
	- ldap://127.0.0.1:389
  username: admin@test.com
  password: secret
  principal-attribute: userPrincipalName
  custom-filter: (memberof=cn=managers,ou=groups,dc=test,dc=com)

base:

urls:

principal-attribute:

custom-filter:

3.5. Настройка RADIUS_PROXY Authentication Provider

proxy:
  secret: secret
  auth-port: 1812
  remote-address: 192.168.1.1

secret:

auth-port:

remote-address:

3.6. Настройка провайдера аутентификации AD

ad:
  urls:
	- ldap://127.0.0.1:389
  domain: test.com

3.7. Пример конфигурационного файла radius.yml

radius:
  secret: secret
  clients:
	- name: vpn-client
  	secret: secret
  	ips:
    	- 10.0.0.0/24
  auth-port: 1812
  listen-address: 0.0.0.0
  dictionaries:
	- file:/.dat
  attributes:
	copy-state: true
	defaults:
  	Service-Type: NAS-Prompt-User
	for-users:
  	john:
    	Service-Type: Login-User
	ldap:
  	memberOf:
    	'[cn=admins,ou=groups,dc=test,dc=com]':
      	Service-Type: Administrative
  	uid:
    	john_wick:
      	Class: Pro
	conditional:
  	'[ldapUser.attributes["uid"] == "john"]':
    	Service-Type:
      	- Login-User
  	'[request.getAttributeValue("User-Name") == "john"]':
    	Class:
      	- RDP_HeadOffice_GP
  ip-attributes:
	- NAS-IP-Address
	- NAS-IPv6-Address

auth:
  providers:
	- LDAP
	- AD
	- PROTECTIMUS_PASSWORD
	- PROTECTIMUS_OTP
	- RADIUS_PROXY
  bypass-otp:
	ldap-filter: (memberOf=cn=bypass-otp,ou=groups,dc=test,dc=com)
	usernames:
  	- john
  	- luci
	ips:
  	- 10.0.0.0/24
  	- 1::/64
  re-enter-otp: true
  principal-normalization: true
  inline-mode:
	enabled: false
	separator: ''

ldap:
  base: dc=test,dc=com
  urls:
	- ldap://127.0.0.1:389
  username:
  password:
  principal-attribute: userPrincipalName
  custom-filter: (memberof=cn=managers,ou=groups,dc=test,dc=com)

ad:
  urls:
	- ldap://127.0.0.1:389
  domain: test.com

protectimus-api:
  login: test@protectimus.com
  api-key: secret
  url: https://api.protectimus.com/
  resource-id: 1

proxy:
  secret: secret
  auth-port: 1812
  remote-address: 192.168.1.1

3.8. Пример Dictionary

VENDOR  	12356   fortinet

VENDORATTR  12356   Fortinet-Group-Name     	1   string
VENDORATTR  12356   Fortinet-Access-Profile 	6   string

Теперь вам нужно настроить ваше устройство или приложение для связи с Protectimus RADIUS Server по протоколу RADIUS.

Если у вас есть другие вопросы, свяжитесь с нашей службой поддержки клиентов.