Liitu 2FA-ga (Kahefaktoriline autentimine ASA SSL VPN-i jaoks)

Kuna vajadus anda kaugjuurdepääs ettevõtte keskkonnale suureneb järjest enam, olenemata sellest, kas tegemist on oma kasutajate või partneritega, kellele on vajalik juurdepääs mõnele teie organisatsiooni serverile.

Sel eesmärgil kasutab enamik ettevõtteid VPN-tehnoloogiat, mis on end tõestanud usaldusväärse ja turvalise viisina juurdepääsu andmiseks organisatsiooni kohalikele ressurssidele.

Ka minu ettevõte ei ole erand ja me, nagu paljud teisedki, kasutame seda tehnoloogiat. Ja nagu paljud teised, kasutame kaugjuurdepääsu väravana — Cisco ASA 55xx.

Kaugkasutajate arvu suurenedes on vajadus lihtsustada kasutajatunnuste väljastamise protseduuri. Kuid samas tuleb seda teha ohutuse arvelt loobumata.

Oleme leidnud lahenduse, kasutades Cisco SSL-iga ühenduse loomiseks kahefaktorilist autentimist. VPN, kasutades ühekordseid paroole. See artikkel selgitab, kuidas sellist lahendust organiseerida minimaalse ajakulu ja nullkuludega vajaliku tarkvara osas (eeldusel, et Cisco ASA on teie infrastruktuuris juba olemas).

Turg on täis karbiga lahendusi ühekordsete paroolide genereerimiseks, pakkudes mitmeid variante nende saamiseks, olgu need siis paroolide saatmine SMS-iga või tokenite kasutamine, olgu need siis füüsilised või tarkvaralised (näiteks mobiiltelefonis). Kuid soov säästa raha oma tööandja jaoks ja vajadus raha kokku hoida praeguse kriisi tingimustes sundis mind leidma tasuta viisi ühekordsete paroolide genereerimise teenuse rakendamiseks. See teenus, hoolimata oma tasuta olemisest, ei jää palju alla kaubanduslikele lahendustele (siinkohal peab mainima, et tootel on ka kaubanduslik versioon, kuid olgem kokku leppinud, et meie kulud rahas jäävad nulliks).

Nii et meil on vaja:

— Linuxi pilti koos sisseehitatud tööriistade komplektiga — multiOTP, FreeRADIUS ja nginx, serverisse veebipõhiseks juurdepääsuks (http://download.multiotp.net/ — kasutasin VMware jaoks valmis pilti)
— Active Directory server
— Cisco ASA is yours (I use ASDM for convenience)
— Any software token that supports the TOTP mechanism (for example, I use Google Authenticator, but FreeOTP works as well)

I won't go into details about deploying the image. In the end, you will get Debian Linux with multiOTP and FreeRADIUS already installed, configured to work together, and a web interface for administering OTP.

Step 1. Initialize the system and configure it for your network
By default, the system comes with credentials root root. I think everyone guessed that it would be a good idea to change the root user's password after the first login. You should also update network settings (by default, it’s ‘192.168.1.44’ with the gateway ‘192.168.1.1’). After that, you can reboot the system.

Let's create a user in Active Directory otp, with the password MySuperPassword.

Step 2. Configure the connection and import Active Directory users
For this, we will need access to the console, and specifically the file multiotp.php, which we will use to configure the connection parameters to Active Directory.

Navigate to the directory /usr/local/bin/multiotp/ and execute the following commands one by one:

./multiotp.php -config default-request-prefix-pin=0

Määrab, kas ühekordse pin-koodi sisestamisel on vajalik täiendava (püsiva) pin-koodi olemasolu (0 või 1)

./multiotp.php -config default-request-ldap-pwd=0

Määrab, kas domeenipara sisestamine on vajalik ühekordse pin-koodi sisestamisel (0 või 1)

./multiotp.php -config ldap-server-type=1

Määrab LDAP-serveri tüübi (0 = tavaline LDAP-server, meie puhul 1 = Active Directory)

./multiotp.php -config ldap-cn-identifier="sAMAccountName"

Näitab, millises vormingus esitada kasutajanimi (see väärtus kuvab ainult nime, ilma domeenita)

./multiotp.php -config ldap-group-cn-identifier="sAMAccountName"

See on sama, kuid grupi jaoks

./multiotp.php -config ldap-group-attribute="memberOf"

Määrab, kuidas määrata kasutaja kuuluvus gruppi

./multiotp.php -config ldap-ssl=1

Kas kasutada turvalist ühendust LDAP-serveriga (muidugi jah!)

./multiotp.php -config ldap-port=636

Port LDAP-serveriga ühendamiseks

./multiotp.php -config ldap-domain-controllers=adSRV.domain.local

Teie Active Directory serveri aadress

./multiotp.php -config ldap-base-dn="CN=Users,DC=domain,DC=local"

Määrame, kust alustada kasutajate otsimist domeenis

./multiotp.php -config ldap-bind-dn="otp@domain.local"

Määrame kasutaja, kellel on õigused Active Directory otsimiseks

./multiotp.php -config ldap-server-password="MySuperPassword"

Kasutame kasutaja parooli, et ühendada Active Directoryga

./multiotp.php -config ldap-network-timeout=10

Seame Active Directoryga ühenduse ajakulu

./multiotp.php -config ldap-time-limit=30

Seame kasutajate impordi operatsiooni ajakulu

./multiotp.php -config ldap-activated=1

Aktiveerime Active Directoryga ühenduse konfigureerimise

./multiotp.php -debug -display-log -ldap-users-sync

Teostame kasutajate impordi Active Directoryst

Samm 3. Genereerime QR-koodi tokeni jaoks
Siin on kõik äärmiselt lihtne. Avame OTP-serveri veebiliidese brauseris, logime sisse (ärge unustage muuta vaikimisi adminni parooli!) ja vajutame nuppu 'Print':

Selle tegevuse tulemuseks on leht, millel on kaks QR-koodi. Me ignoreerime julgelt esimest (hoolimata atraktiivsest kirjutisest Google Authenticator / Authenticator / 2 Steps Authenticator) ja jälle julgelt skanimeerime teise koodi oma telefonis oleva tarkvara tokenisse:

(jah, ma rikkusin QR-koodi tahtlikult, et muuta see loetamatuks).

Pärast nende toimingute sooritamist genereeritakse teie rakenduses iga kolmekümne sekundi tagant kuue numbri parool.

Kindluse mõttes võib samas liideses teha ülevaate:

Sisestage kasutajanimi ja ühekordne parool telefonirakendusest. Kas sai positiivse vastuse? Siis liikume edasi.

Samm 4. Kohandame ja testime FreeRADIUS'i tööd
Nagu eespool mainitud — multiOTP on juba seadistatud FreeRADIUS'iga töötamiseks, jääb üle vaid testid teha ja FreeRADIUS'i konfiguratsioonifaili lisada meie VPN-sõlme info.

Tagasi serveri konsooli, kausta /usr/local/bin/multiotp/, sisestage:

./multiotp.php -config debug=1
./multiotp.php -config display-log=1

Seeläbi aktiveerides detailsema logimise.

FreeRADIUS'i kliendi konfiguratsioonifailis (/etc/freeradius/clinets.conf) kommenteerime välja kõik read, mis on seotud localhost ja lisame kaks kirjet:

client localhost {
        ipaddr = 127.0.0.1
        secret          = testing321
        require_message_authenticator = no
}

— testimiseks

client 192.168.1.254/32 {
        shortname =     CiscoASA
        secret =        ConnectToRADIUSSecret
}

— meie VPN-sõlme jaoks.

Taaskäivitame FreeRADIUS'i ja proovime autentimist:

radtest username 100110 localhost 1812 testing321

kus username = kasutajanimi, 100110 = parool, mille rakendus meile andis, localhost = RADIUS-serveri aadress, 1812 — RADIUS-serveri port, testing321 — RADIUS-serveri kliendi parool (mille me konfiguratsioonifailis määrasime).

Selle käsu tulemus seisneb umbes järgmise sisu väljundis:

Saame Käivitame Access-Request id 44 aadressile 127.0.0.1 port 1812
        Kasutaja-Nimi = "username"
        Kasutaja-Parool = "100110"
        NAS-IP-Aadress = 127.0.1.1
        NAS-Port = 1812
        Teate-Authenticator = 0x00000000000000000000000000000000
rad_recv: Access-Accept paket hostilt 127.0.0.1 port 1812, id=44, pikkus=20

Nüüd peame veenduma, et kasutaja on edukalt autentitud. Selleks vaatame multiotp logisse:

tail /var/log/multiotp/multiotp.log

Ja kui viimaseks kirjeks seal on:

2016-09-01 08:58:17     notice  username  Kasutaja OK: Kasutaja username logis sisse edukalt aadressilt 127.0.0.1
2016-09-01 08:58:17     debug           Debug   Debug: 0 OK: Token aktsepteeritud aadressilt 127.0.0.1

Siis kõik läks hästi ja me saame teostada

Samm 5. Cisco ASA seadistamine
Oletame, et meil on juba seadistatud grupp ja poliitikad SLL VPN-iga sisselogimiseks, seostatuna Active Directoryga, ning peame selle profiili jaoks lisama kahefaktorilise autentimise.

1. Lisame uue grupi serverite AAA:

2. Lisame gruppi meie multiOTP serveri:

3. Muudame ühendusprofiili, seades autentimise põhiserveriks Active Directory serverite grupi:

4. Vahekaardil Advanced -> Authentication valime samuti Active Directory serverite grupi:

5. Vahekaardil Advanced -> Secondary valime autentimise jaoks loodud serveri grupi, kus on määratud multiOTP-server. Märgime, et sessiooni kasutajanimi pärineb põhigrupist AAA:

Rakendame seaded ja

Samm 6, viimane samm
Kontrollime, kas meie kahefaktoriline autentimine SSL VPN-i jaoks töötab:

Voilà! Cisco AnyConnect VPN kliendi kasutamisel küsitakse ka teist, ühekordset parooli.

Loodan, et see artikkel aitab kedagi ning pakub mõtteainet, kuidas seda kasutada, tasuta OTP-serverit teiste ülesannete täitmiseks. Jagage kommentaarides, kui soovite.

Allikas: habr.com