Двухфакторная аутентификация для С-Терра VPN
Описание
Настройка двухфакторной аутентификации С-Терра позволяет повысить безопасность удалённого доступа сотрудников. При подключении через VPN пользователи проходят двухэтапную проверку: вводят логин и пароль в С-Терра Клиенте и подтверждают вход вторым фактором.
С-Терра Шлюз передаёт запрос на проверку первого фактора по протоколу RADIUS в локальный инстанс Simple2FA; он же запрашивает у пользователя подтверждение вторым фактором.
Схема работы:
- Пользователь подключается к корпоративной сети через С-Терра Клиент и вводит логин и пароль (первый фактор).
- С-Терра Шлюз передаёт данные для проверки через RADIUS на локальный инстанс Simple2FA.
- Локальный инстанс проверяет первый фактор по AD/LDAP или другому провайдеру.
- При успешной проверке первого фактора запрашивается подтверждение вторым фактором.
- Пользователь подтверждает запрос.
- После успешной проверки обоих факторов устанавливается VPN-соединение.
Подготовка в Simple2FA
Войдите в панель администратора локального инстанса, перейдите в раздел «Настройка ресурсов» и создайте новый ресурс:
| Поле | Значение |
|---|---|
| Название | С-Терра VPN (или любое удобное) |
| Протокол | RADIUS |
| NAS ID | Строка идентификации RADIUS-клиента С-Терра VPN (должна соответствовать атрибуту NAS-Identifier в запросах С-Терра VPN). Создаётся автоматически |
| Shared Secret | Общий секрет, который будет использоваться в настройках RADIUS на С-Терра VPN. Создаётся автоматически |
| Проверять первый фактор | Включить |
| Поставщики учётных записей | Выберите один или несколько каталогов, в которых будет выполняться проверка первого фактора пользователей |
| Использовать кеширование сессий | Включить, если необходимо, чтобы у пользователя после успешного входа не запрашивался второй фактор в течение указанного времени |
| Длительность кеша | Рекомендуемое значение — 60 минут |
В глобальных настройках убедитесь, что указан корректный API-ключ организации для связи локального инстанса с облаком.
Настройка С-Терра VPN
Настройка выполняется через консоль управления (Cisco-like CLI).
Для версии 4.2:
Hub1(config)#aaa new-model
Hub1(config)#aaa authentication login SIMPLE2FA group radius
Hub1(config)#radius-server host <IP-адрес Simple2FA>
Hub1(config)#radius-server key <Shared Secret>
Hub1(config)#radius-server timeout 60
Для версии 4.3:
Hub1(config)#aaa new-model
Hub1(config)#aaa authentication login SIMPLE2FA group radius
Hub1(config)#radius-server host <IP-адрес Simple2FA> auth-port 1812
Hub1(config)#radius-server key <Shared Secret>
Hub1(config)#radius-server timeout 60
Hub1(config)#aaa authentication banner "Введите логин и пароль"
<IP-адрес Simple2FA>— адрес локального инстанса Simple2FA;<Shared Secret>— общий секрет из карточки ресурса Simple2FA.
В версии 4.2 порт по умолчанию — 1645; параметр auth-port не поддерживается.
Далее настройте методы аутентификации для динамической криптокарты и включите XAuth:
Hub1(config)#crypto dynamic-map DMAP 1
Hub1(config-crypto-map)#set client authentication list SIMPLE2FA
Hub1(config-crypto-map)#set client authentication xauth
Hub1(config-crypto-map)#set client username interactive
Hub1(config-crypto-map)#exit
Список команд настройки RADIUS-клиента:
Построение VPN туннеля между С-Терра Шлюз и С-Терра Клиент c аутентификацией при помощи RADIUS сервера:
Проверка работы
- Подключитесь к С-Терра VPN с тестовой учётной записью,
- Введите логин и пароль (первый фактор),
- Подтвердите вход вторым фактором.
Результат каждой попытки входа доступен в панели администратора, в разделе «Попытки авторизации».