RADIUS: Налаштування двофакторної автентифікації у вашій мережі

Рішення Protectimus RADIUS 2FA дозволяє налаштувати двофакторну автентифікацію для будь-якого програмного забезпечення чи обладнання, яке підтримує протокол RADIUS.

Конектор Protectimus RADIUS Server працює як RADIUS-сервер, передаючи запити на автентифікацію від RADIUS-пристроїв до сервера багатофакторної автентифікації (MFA) Protectimus та повертаючи відповідь із дозволом або відмовою в доступі.

Налаштуйте двофакторну автентифікацію (2FA/MFA) для захисту VPN, Wi-Fi та будь-якого іншого програмного забезпечення чи пристрою, що підтримує RADIUS. Для цього інтегруйтеся з хмарним сервісом багвтофактооної автентифікації чи локальною платформою MFA Protectimus через протокол RADIUS.

Список програмного забезпечення та пристроїв, які можна інтегрувати з Protectimus через протокол автентифікації RADIUS, включає, але не обмежується наступними:

• Ubuntu;
• Cisco AnyConnect;
• Cisco Switches;
• Citrix ADC (NetScaler ADC), Citrix Gateway (NetScaler Gateway), Citrix Virtual Desktops (XenDesktop), Citrix Virtual Apps (XenApp);
• VMware Horizon View (VDI), VMware Horizon Cloud DaaS (VDI), VMware vCenter Server;
• OpenVPN;
• Array AG SSL VPN
• Aruba ClearPass
• Barracuda SSL VPN
• Forcepoint VPN
• Juniper VPN
• Pulse Connect Secure SSL VPN
• F5 BIG-IP APM VPN;
• Palo Alto Networks VPN;
• FortiGate VPN;
• Check Point Remote Access VPN;
• Windows VPN;
• MikroTik VPN;
• SonicWALL TZ, NSA, Aventail;
• WatchGuard Mobile VPN
• Точки доступу Wi-Fi;
• macOS;
• Huawei SSL VPN;
• UserGate VPN тощо.

Програмне забезпечення Protectimus RADIUS 2FA просте в налаштуванні. Але якщо у вас виникнуть питання, наша команда завжди готова допомогти вам з розгортанням двофакторної автентифікації RADIUS (2FA) навіть у найскладнішій інфраструктурі. Зв’яжіться з нашою службою підтримки.

Щоб інтегрувати 2FA-рішення Protectimus з вашим пристроєм або програмним забезпеченням, що підтримує RADIUS, вам потрібно встановити та налаштувати Protectimus RADIUS Server, а потім налаштувати політики автентифікації на пристрої або в додатку, який ви хочете захистити багатофакторною автентифікацією:

1. Ви дозволяєте передачу запиту на автентифікацію через протокол RADIUS на Protectimus RADIUS Server;
2. Компонент Protectimus RADIUS Server отримує та обробляє запит на автентифікацію;
3. Потім Protectimus RADIUS Server зв’язується з сервером автентифікації Protectimus для перевірки одноразового пароля, введеного користувачем.

1. Встановіть Protectimus RADIUS Server, щоб налаштувати RADIUS 2FA

1.1. Як встановити Protectimus RADIUS Server за допомогою Docker-образу

1. Щоб розпочати встановлення Protectimus RADIUS Server, перш за все, завантажте та встановіть docker і docker-compose:

• Docker: https://docs.docker.com/engine/install/
• Docker-compose: https://docs.docker.com/compose/install/

2. Потім клонуйте git-репозиторій: https://github.com/protectimus/platform-linux.git

3. Перейдіть до каталогу platform-linux/radius і запустіть:

docker-compose up -d

4. Ви можете відстежувати процес розгортання Protectimus RADIUS Server за допомогою команди:

docker-compose logs -f

5. Після завершення процесу розгортання Protectimus RADIUS Server буде доступний за адресою: https://localhost:8443.

1.2. Як встановити Protectimus RADIUS Server на Windows

1. Завантажте інсталятор Локальної платформи MFA Protectimus.
2. Запустіть інсталятор від імені адміністратора.
3. Поставте галочку біля опції Radius.
   
   

   УВАГА!
   Якщо ви плануєте використовувати локальну платформу Protectimus, встановіть галочку біля опції Platform.
   Якщо ви плануєте використовувати SAAS-сервіс Protectimus, зніміть галочку з Platform.

Якщо ви плануєте використовувати локальну платформу MFA Protectimus	Якщо ви плануєте використовувати хмарний сервіс MFA Protectimus

4. На комп’ютері має бути встановлена Java (JDK 7 або новіша версія). Якщо її немає, вона буде встановлена автоматично. Натисніть Install.

5. Коли Java буде встановлено, натисніть Next.

6. Виберіть папку для встановлення компонентів Protectimus і натисніть кнопку Install.

7. Коли встановлення буде завершено, ви побачите таке повідомлення.

2. Зареєструйтесь та налаштуйте основні параметри

1. Зареєструйтеся в хмарному сервісі Protectimus і активуйте API або встановіть локальну платформу Protectimus.
2. Додайте ресурс.
3. Додайте користувачів.
4. Додайте Токени або активуйте Портал самообслуговування користувачів.
5. Призначте токени користувачам.
6. Призначте токени з користувачами на ресурс.

3. Налаштуйте Protectimus RADIUS Server

Налаштування Protectimus RADIUS Server задаються у файлі radius.yml, який повинен бути розміщений в одній директорії з виконуваним файлом.

Властивості, які потрібно додати до файлу radius.yml, включають:

3.1. Налаштування процесу автентифікації

auth:
	providers:
    	- LDAP
    	- PROTECTIMUS_OTP
	re-enter-otp: true
	principal-normalization: true
	bypass-otp:
    	ldap-filter: (memberOf=cn=bypass-otp,ou=groups,dc=test,dc=com)
    	usernames:
          	- john
          	- luci
	inline-mode:
    	enabled: false
       	separator: ''
       	attributes:
         	NAS-Identifier:
           	- home-nas
           	- work-nas

providers:

re-enter-otp:

principal-normalization:

bypass-otp:

inline-mode:

3.2. Налаштування RADIUS

radius:
  secret: secret
  clients:
	- name: vpn-client
  	secret: secret
  	ips:
    	- 10.0.0.0/24
  auth-port: 1812
  listen-address: 0.0.0.0
  dictionaries:
	- file:<some_path>/<some_name>.dat
  attributes:
	copy-state: true
	defaults:
  	Service-Type: NAS-Prompt-User
	for-users:
  	john:
    	Service-Type: Login-User
	ldap:
  	memberOf:
    	'[cn=admins,ou=groups,dc=test,dc=com]':
      	Service-Type: Administrative
  	uid:
    	john_wick:
      	Class: Pro
	conditional:
  	'[ldapUser.attributes["uid"] == "john"]':
    	Service-Type:
      	- Login-User
  	'[request.getAttributeValue("User-Name") == "john"]':
    	Class:
      	- RDP_HeadOffice_GP
  ip-attributes:
	- NAS-IP-Address
	- NAS-IPv6-Address

secret:

clients:

auth-port:

listen-address:

dictionaries:

attributes:

copy-state:

defaults:

for-users:

ldap:

conditional:

ip-attributes:

3.3. Налаштування PROTECTIMUS API (налаштування підключення до сервісу PROTECTIMUS)

protectimus-api:
	login:
	api-key:
	url: https://api.protectimus.com/
	resource-id:

login:

api-key:

url:

resource-id:

3.4. Налаштування LDAP

ldap:
  base: dc=test,dc=com
  urls:
	- ldap://127.0.0.1:389
  username: admin@test.com
  password: secret
  principal-attribute: userPrincipalName
  custom-filter: (memberof=cn=managers,ou=groups,dc=test,dc=com)

base:

urls:

principal-attribute:

custom-filter:

3.5. Налаштування провайдера автентифікації RADIUS_PROXY

proxy:
  secret: secret
  auth-port: 1812
  remote-address: 192.168.1.1

secret:

auth-port:

remote-address:

3.6. Налаштування провайдера автентифікації AD

ad:
  urls:
	- ldap://127.0.0.1:389
  domain: test.com

3.7. Приклад файлу radius.yml

radius:
  secret: secret
  clients:
	- name: vpn-client
  	secret: secret
  	ips:
    	- 10.0.0.0/24
  auth-port: 1812
  listen-address: 0.0.0.0
  dictionaries:
	- file:/.dat
  attributes:
	copy-state: true
	defaults:
  	Service-Type: NAS-Prompt-User
	for-users:
  	john:
    	Service-Type: Login-User
	ldap:
  	memberOf:
    	'[cn=admins,ou=groups,dc=test,dc=com]':
      	Service-Type: Administrative
  	uid:
    	john_wick:
      	Class: Pro
	conditional:
  	'[ldapUser.attributes["uid"] == "john"]':
    	Service-Type:
      	- Login-User
  	'[request.getAttributeValue("User-Name") == "john"]':
    	Class:
      	- RDP_HeadOffice_GP
  ip-attributes:
	- NAS-IP-Address
	- NAS-IPv6-Address

auth:
  providers:
	- LDAP
	- AD
	- PROTECTIMUS_PASSWORD
	- PROTECTIMUS_OTP
	- RADIUS_PROXY
  bypass-otp:
	ldap-filter: (memberOf=cn=bypass-otp,ou=groups,dc=test,dc=com)
	usernames:
  	- john
  	- luci
	ips:
  	- 10.0.0.0/24
  	- 1::/64
  re-enter-otp: true
  principal-normalization: true
  inline-mode:
	enabled: false
	separator: ''

ldap:
  base: dc=test,dc=com
  urls:
	- ldap://127.0.0.1:389
  username:
  password:
  principal-attribute: userPrincipalName
  custom-filter: (memberof=cn=managers,ou=groups,dc=test,dc=com)

ad:
  urls:
	- ldap://127.0.0.1:389
  domain: test.com

protectimus-api:
  login: test@protectimus.com
  api-key: secret
  url: https://api.protectimus.com/
  resource-id: 1

proxy:
  secret: secret
  auth-port: 1812
  remote-address: 192.168.1.1

3.8. Приклад словника

VENDOR  	12356   fortinet

VENDORATTR  12356   Fortinet-Group-Name     	1   string
VENDORATTR  12356   Fortinet-Access-Profile 	6   string

Тепер потрібно налаштувати ваш пристрій або ПО для роботи з Protectimus RADIUS Server через протокол RADIUS.

Якщо у вас є запитання, зверніться до нашої служби підтримки.