Двухфакторная аутентификация для Check Point VPN
Описание
При подключении к Remote Access VPN на межсетевом экране Check Point пользователи проходят двухэтапную проверку: вводят логин и пароль (первый фактор) и подтверждают вход вторым фактором.
Check Point передаёт запрос на проверку первого фактора по протоколу RADIUS в локальный инстанс Simple2FA; он же запрашивает у пользователя подтверждение вторым фактором.
Схема работы:
- Пользователь подключается к VPN и вводит логин/пароль в клиенте Remote Access (Endpoint Security / Mobile Access).
- Check Point направляет запрос аутентификации через RADIUS на локальный инстанс Simple2FA.
- Локальный инстанс проверяет логин и пароль по AD/LDAP или другому поставщику учётных записей.
- При успешной проверке первого фактора запрашивается подтверждение вторым фактором.
- Пользователь подтверждает второй фактор.
- После успешной проверки обоих факторов доступ к VPN разрешается.
Подготовка в Simple2FA
Войдите в панель администратора локального инстанса, перейдите в раздел «Настройка ресурсов» и создайте новый ресурс:
| Поле | Значение |
|---|---|
| Название | Check Point VPN (или любое удобное) |
| Протокол | RADIUS |
| NAS ID | Строка идентификации RADIUS-клиента Check Point (должна соответствовать атрибуту NAS-Identifier в запросах шлюза). Создаётся автоматически |
| Shared Secret | Общий секрет, который будет использоваться в объекте RADIUS-сервера на Check Point. Создаётся автоматически |
| Проверять первый фактор | Включить |
| Поставщики учётных записей | Выберите один или несколько каталогов, в которых будет выполняться проверка первого фактора пользователей |
| Использовать кеширование сессий | Включить, если необходимо, чтобы у пользователя после успешного входа не запрашивался второй фактор в течение указанного времени |
| Длительность кеша | Рекомендуемое значение — 60 минут |
В глобальных настройках убедитесь, что указан корректный API-ключ организации для связи локального инстанса с облаком.
Настройка Check Point
Настройка выполняется в консоли управления SmartConsole.
1) Создайте объект RADIUS-сервера
- В разделе объектов справа выберите New → Server → More → RADIUS.
- Заполните параметры:
- Название: например Simple2FA Radius Server;
- Host: объект хоста с IP-адресом локального инстанса Simple2FA (создайте новый или выберите существующий);
- Service: NEW-RADIUS (порт 1812);
- Shared Secret: Shared Secret из карточки ресурса Simple2FA;
- Version: RADIUS Ver. 2.0;
- Authentication method: PAP.
2) Настройте аутентификацию Remote Access VPN
- Откройте настройки объекта шлюза безопасности Check Point и перейдите в раздел Mobile Access → Authentication, затем откройте Settings:
- Allow newer clients that support Multiple Login Options to use this authentication method: включить;
- Authentication method: RADIUS;
- Server: созданный объект Simple2FA Radius Server.
- Повторите те же настройки в разделе VPN Clients → Authentication — конфигурация в обоих разделах должна совпадать.
3) Настройте группу пользователей (Access Role)
В разделе объектов выберите New → More → User → Access Role, задайте параметры нового объекта и укажите источник данных о пользователях.
4) Настройте политику доступа
В разделе Security Policies → Policy создайте правило доступа пользователей Remote Access VPN к внутренней сети:
Source: <созданная ранее Access Role>
VPN: RemoteAccess
5) Увеличьте таймаут RADIUS
По умолчанию таймаут ожидания ответа RADIUS у Check Point слишком мал для подтверждения второго фактора. Увеличьте его:
- Нажмите на иконку меню в левом верхнем углу SmartConsole и выберите Global Properties → Advanced → Configure → FireWall-1 → Authentication → RADIUS.
- Установите параметр radius_retrant_timeout равным 60 секундам.
6) Опубликуйте и установите политику
Нажмите Publish, затем Install Policy, чтобы применить изменения на шлюзе.
Проверка работы
- Подключитесь к шлюзу клиентом Remote Access (Endpoint Security / Mobile Access),
- Введите логин и пароль (первый фактор),
- Получите запрос второго фактора,
- Подтвердите второй фактор,
- После подтверждения доступ к VPN будет разрешён.
Результат каждой попытки входа доступен в панели администратора, в разделе «Попытки авторизации».