Mine 2FA (Kahefakohaline autentimine ASA SSL VPN jaoks)

Vajadus pakkuda kaugjuurdepääs ettevõtte keskkonnale on muutunud üha kiiremaks, olgu need siis teie enda kasutajad või partnerid, kes vajavad ligipääsu mõnele serverile teie organisatsioonis.

Selleks kasutavad enamik ettevõtteid VPN-tehnoloogiat, mis on tõestanud end kui usaldusväärne ja turvaline meetod juurdepääsu pakkumiseks organisatsiooni lokaalsetele ressurssidele.

Minu ettevõte ei ole erand, ja meie, nagu paljud teisedki, kasutame seda tehnoloogiat. Ja nagu paljud teised, kasutame kaugjuurdepääsu väravaks - Cisco ASA 55xx.

Kaugkasutajate arvu suurenemise korral ilmneb vajadus lihtsustada kasutajakontode väljastamise protsessi. Kuid samal ajal tuleb seda teha ka ohutuse arvelt mitte järeleandmisi tehes.

Oleme leidnud lahenduse Cisco SSL-iga ühenduse loomisel kahefaktoriautentimise rakendamisest, VPN, kasutades ühekordseid salasõnu. See artikkel räägib, kuidas organiseerida sarnast lahendust minimaalsete ajakuludega ja nullkuludega vajaliku tarkvara osas (eeldusel, et Cisco ASA on juba teie infrastruktuuris olemas).

Turg on tulvil lahendusi ühekordsete salasõnade genereerimiseks, pakkudes samas erinevaid võimalusi nende saamiseks, olgu need siis salasõnade saatmine SMS-i teel või kasutades token'ite, nii riistvara- kui tarkvaraversioone (näiteks mobiiltelefonil). Kuid soov säästa raha oma tööandjale, praeguses kriisis, sundis mind leidma tasuta viisi ühekordsete salasõnade genereerimise teenuse rakendamiseks. Mis, oma tasuta olemise juures, ei jää palju maha kommertslahendustest (siinkohal tuleb märkida, et sellel tootega on ka kommertsversion, aga me oleme nõustunud, et meie kulud rahas on null).

Nii et meil on vaja:

— Linuxi obraz, millega on kaasas tööriistakomplekt — multiOTP, FreeRADIUS ja nginx, serverisse veebipõhiseks juurdepääsuks (http://download.multiotp.net/ - kasutasin VMware jaoks valmislahendust)
— Active Directory server
— Siiski Cisco ASA (kasutan oma mugavuse huvides ASDM-i)
— Igasugune tarkvaraline token, mis toetab TOTP mehhanismi (näiteks kasutan Google Authenticatorit, aga sobib ka FreeOTP)

Ma ei hakka detailidesse laskuma, kuidas pildistatav pilt välja näeb. Lõpptulemusena saate Debian Linuxi, millel on juba installitud multiOTP ja FreeRADIUS, mis on konfigureeritud koos töötama ning web-liides OTP haldamiseks.

Samm 1. Käivitage süsteem ja seadistage see oma võrgu jaoks
Vaikimisi tuleb süsteem koos root parooliga root. Arvan, et kõik on aru saanud, et oleks hea muuta root kas kasutaja parool pärast esmakordset sisselogimist. Samuti on vaja muuta võrgu seadeid (vaikimisi ‘192.168.1.44’ koos väravaga ‘192.168.1.1’). Pärast seda saate süsteemi taaskäivitada.

Loome Active Directorys kasutaja otp, parooliga MySuperPassword.

Samm 2. Seadistame ühenduse ja impordime Active Directory kasutajad
Selleks vajame juurdepääsu konsolile ja konkreetselt faili multiotp.php, kasutades seda, seadistame Active Directory ühenduse parameetrid.

Liigume kausta /usr/local/bin/multiotp/ ja järk-järgult täidame järgmised käsud:

./multiotp.php -config default-request-prefix-pin=0

Määrab, kas on vajalik täiendava (püsiva) PIN-koodi sisestamine ühe kasutusaja PIN-koodi sisestamisel (0 või 1)

./multiotp.php -config default-request-ldap-pwd=0

Määrab, kas domeeni parool tuleb sisestada ühe kasutusaja PIN-koodi sisestamise ajal (0 või 1)

./multiotp.php -config ldap-server-type=1

Määrab LDAP-serveri tüübi (0 = tavaline LDAP-server, meie juhul 1 = Active Directory)

./multiotp.php -config ldap-cn-identifier="sAMAccountName"

Määrab, millises formaadis kasutajanime esitada (see väärtus toob välja ainult nime, ilma domeenita)

./multiotp.php -config ldap-group-cn-identifier="sAMAccountName"

Sama, ainult grupi jaoks

./multiotp.php -config ldap-group-attribute="memberOf"

Määrab, kuidas määratakse kasutaja kuuluvus gruppi

./multiotp.php -config ldap-ssl=1

Kas kasutada turvalist ühendust LDAP-serveriga (loomulikult — jah!)

./multiotp.php -config ldap-port=636

Port LDAP-serveriga ühenduse loomiseks

./multiotp.php -config ldap-domain-controllers=adSRV.domain.local

Teie Active Directory serveri aadress

./multiotp.php -config ldap-base-dn="CN=Users,DC=domain,DC=local"

Määrame, kust alustada kasutajate otsimist domeenis

./multiotp.php -config ldap-bind-dn="otp@domain.local"

Määrame kasutaja, kellel on õigused Active Directorys otsimiseks

./multiotp.php -config ldap-server-password="MySuperPassword"

Määrame kasutaja parooli Active Directorysse ühendamiseks

./multiotp.php -config ldap-network-timeout=10

Määrame aktiveerimise ajaloo Active Directoryga ühenduse jaoks

./multiotp.php -config ldap-time-limit=30

Määrame ajapiirangu kasutajate importimise operatsioonile

.\/multiotp.php -config ldap-activated=1

Aktiveerime Active Directory ühenduse konfiguratsiooni

.\/multiotp.php -debug -display-log -ldap-users-sync

Impordime kasutajaid Active Directory'st

Samm 3. Loome QR-koodi tokeni jaoks
Siin on kõik äärmiselt lihtne. Avame OTP-serveri veebiliidese brauseris, logime sisse (ärge unustage muuta vaikimisi administraatori parooli!) ja vajutame nuppu "Print":

Selle tegevuse tulemuseks on leht, kus on kaks QR-koodi. Me ei pööra tähelepanu esimesele (kuigi sellel on ahvatlev tekst Google Authenticator / Authenticator / 2 Steps Authenticator) ning skaneerime julgelt teise koodi tarkvaralisel tokenil telefonis:

(jah, ma rikkusin meelega QR-koodi, et muuta see loetamatuks).

Pärast neid toiminguid genereerib teie rakendus igakuiselt kuue numbriga parooli.

Kinnitamiseks saate teha kontrolli samas liideses:

Sisestades kasutajanime ja ühekordse parooli telefonirakendusest. Sai positiivne vastus? Siis liigume edasi.

Samm 4. Kohandame ja testime FreeRADIUSi tööd
Kuidas ma eespool mainisin — multiOTP on juba konfigureeritud FreeRADIUSiga töötamiseks, me peame vaid testid läbi viima ja lisama FreeRADIUSi konfiguratsioonifaili teave meie VPN-sillast.

Naaseme serveri konsooli, katalooge /usr/local/bin/multiotp/, sisestame:

.\/multiotp.php -config debug=1\n.\/multiotp.php -config display-log=1

Lülitades seeläbi sisse üksikasjalikuma logimise.

FreeRADIUSi klientide konfiguratsioonifailis (/etc/freeradius/clinets.conf) kommenteerime kõik read, mis puudutavad localhost ja lisame kaks ettepanekut:

client localhost {\n        ipaddr = 127.0.0.1\n        secret          = testing321\n        require_message_authenticator = no\n}

— testimiseks

client 192.168.1.254\/32 {\n        shortname =     CiscoASA\n        secret =        ConnectToRADIUSSecret\n}

— meie VPN-sillale.

Taaskäivitame FreeRADIUSi ja proovime autentida:

radtest username 100110 localhost 1812 testing321

kus username = kasutajanimi, 100110 = parool, mille rakendus meile edastas, localhost = RADIUS-serveri aadress, 1812 — RADIUS-serveri port, testing321 — RADIUS-serveri kliendi parool (mille me konfiguratsioonis määrasime).

Selle käsu tulemusena on väljund umbes järgmise sisu:

Sending Access-Request of id 44 to 127.0.0.1 port 1812\n        User-Name = "username"\n        User-Password = "100110"\n        NAS-IP-Address = 127.0.1.1\n        NAS-Port = 1812\n        Message-Authenticator = 0x00000000000000000000000000000000\nrad_recv: Access-Accept packet from host 127.0.0.1 port 1812, id=44, length=20

Nüüd peame veenduma, et kasutaja on edukalt autentitud. Selleks vaatame multiotp logisse:

tail /var/log/multiotp/multiotp.log

Ja kui viimaseks kirjeks seal on:

2016-09-01 08:58:17     notice  username  Kasutaja    OK: Kasutaja username logis edukalt sisse aadressilt 127.0.0.1
2016-09-01 08:58:17     debug           Debug   Debug: 0 OK: Token aktsepteeritud aadressilt 127.0.0.1

Siis on kõik läinud edukalt ja me saame jätkata

Samm 5. Cisco ASA seadistamine
Oletame, et meil on juba seadistatud rühm ja poliitikad SSL VPN-i ligipääsuks, seadistatud koos Active Directoryga, ja me peame lisama kaheastmelise autentimise sellele profiilile.

1. Lisame uue grupi serverid AAA:

2. Lisame rühma meie multiOTP serveri:

3. Muudame ühenduse profiili, määrates põhivahenditena autentimise jaoks Active Directory serverite grupi:

4. Sakil Advanced -> Authentification samuti valime Active Directory serverite grupi:

5. Sakil Advanced -> Secondary autentimise puhul valime loodud serverite grupi, kus on määratud multiOTP-server. Tõstame esile, et sessiooni kasutajanimi pärandub AAA esmase serverite grupist:

Kinnitame seaded ja

Samm 6, viimane
Kontrollime, kas meie kaheastmeline autentimine SSL VPN-i jaoks töötab:

Voilà! Cisco AnyConnect VPN kliendiga ühendamisel küsitakse samuti teist, ühekordset parooli.

Loodan, et see artikkel aitab kedagi ja annab võimalusi mõelda, kuidas seda kasutada, tasuta OTP-serverit, teiste ülesannete jaoks. Jagage kommentaarides, kui on soovi.

Allikas: habr.com