🥇2FA पर जाएं (एएसए एसएसएल वीपीएन के लिए दो कारक प्रमाणीकरण)

कॉर्पोरेट वातावरण तक दूरस्थ पहुंच प्रदान करने की आवश्यकता अधिक से अधिक बार उभर रही है, चाहे वह आपके उपयोगकर्ता हों या भागीदार जिन्हें आपके संगठन में किसी विशेष सर्वर तक पहुंच की आवश्यकता है।

इन उद्देश्यों के लिए, अधिकांश कंपनियां वीपीएन तकनीक का उपयोग करती हैं, जो संगठन के स्थानीय संसाधनों तक पहुंच प्रदान करने का एक विश्वसनीय रूप से संरक्षित तरीका साबित हुआ है।

मेरी कंपनी कोई अपवाद नहीं थी, और हम, कई अन्य लोगों की तरह, इस तकनीक का उपयोग करते हैं। और, कई अन्य लोगों की तरह, हम सिस्को एएसए 55xx का उपयोग रिमोट एक्सेस गेटवे के रूप में करते हैं।

जैसे-जैसे दूरस्थ उपयोगकर्ताओं की संख्या बढ़ रही है, क्रेडेंशियल जारी करने की प्रक्रिया को सरल बनाने की आवश्यकता है। लेकिन साथ ही, यह सुरक्षा से समझौता किए बिना किया जाना चाहिए।

अपने लिए, हमने सिस्को एसएसएल वीपीएन के माध्यम से कनेक्ट करने के लिए वन-टाइम पासवर्ड का उपयोग करके दो-कारक प्रमाणीकरण का उपयोग करने का समाधान ढूंढ लिया। और यह प्रकाशन आपको बताएगा कि आवश्यक सॉफ़्टवेयर के लिए न्यूनतम समय और शून्य लागत के साथ इस तरह के समाधान को कैसे व्यवस्थित किया जाए (बशर्ते कि आपके बुनियादी ढांचे में पहले से ही सिस्को एएसए हो)।

बाज़ार वन-टाइम पासवर्ड बनाने के लिए बॉक्स्ड समाधानों से भरा पड़ा है, जबकि उन्हें प्राप्त करने के लिए बहुत सारे विकल्प उपलब्ध हैं, चाहे वह एसएमएस के माध्यम से पासवर्ड भेजना हो या हार्डवेयर और सॉफ्टवेयर दोनों (उदाहरण के लिए, मोबाइल फोन पर) टोकन का उपयोग करना हो। लेकिन वर्तमान संकट में, पैसे बचाने की इच्छा और मेरे नियोक्ता के लिए पैसे बचाने की इच्छा ने मुझे वन-टाइम पासवर्ड बनाने के लिए एक सेवा को लागू करने का एक मुफ्त तरीका खोजने के लिए मजबूर किया। जो, मुफ़्त होते हुए भी, व्यावसायिक समाधानों से बहुत कमतर नहीं है (यहां हमें एक आरक्षण करना चाहिए, यह ध्यान में रखते हुए कि इस उत्पाद का एक व्यावसायिक संस्करण भी है, लेकिन हम सहमत हैं कि पैसे के मामले में हमारी लागत शून्य होगी)।

तो, हमें आवश्यकता होगी:

- वेब के माध्यम से सर्वर तक पहुंचने के लिए टूल के अंतर्निहित सेट के साथ एक लिनक्स छवि - मल्टीओटीपी, फ्रीरेडियस और nginx (http://download.multiotp.net/ - मैंने VMware के लिए एक तैयार छवि का उपयोग किया)
- सक्रिय निर्देशिका सर्वर
- सिस्को एएसए स्वयं (सुविधा के लिए, मैं एएसडीएम का उपयोग करता हूं)
- कोई भी सॉफ़्टवेयर टोकन जो TOTP तंत्र का समर्थन करता है (उदाहरण के लिए, मैं Google प्रमाणक का उपयोग करता हूं, लेकिन वही FreeOTP भी करेगा)

मैं इसके विवरण में नहीं जाऊंगा कि छवि कैसे सामने आती है। परिणामस्वरूप, आपको पहले से स्थापित मल्टीओटीपी और फ्रीरेडियस के साथ डेबियन लिनक्स प्राप्त होगा, जो एक साथ काम करने के लिए कॉन्फ़िगर किया गया है, और ओटीपी प्रशासन के लिए एक वेब इंटरफ़ेस है।

चरण 1. हम सिस्टम शुरू करते हैं और इसे आपके नेटवर्क के लिए कॉन्फ़िगर करते हैं
डिफ़ॉल्ट रूप से, सिस्टम रूट रूट क्रेडेंशियल्स के साथ आता है। मुझे लगता है कि सभी ने अनुमान लगाया कि पहले लॉगिन के बाद रूट यूजर पासवर्ड बदलना एक अच्छा विचार होगा। आपको नेटवर्क सेटिंग भी बदलनी होगी (डिफ़ॉल्ट रूप से यह गेटवे '192.168.1.44' के साथ '192.168.1.1' है)। बाद में आप सिस्टम को रीबूट कर सकते हैं।

आइए सक्रिय निर्देशिका में एक उपयोगकर्ता बनाएं OTP, पासवर्ड के साथ मेरासुपरपासवर्ड.

चरण 2. कनेक्शन सेट करें और सक्रिय निर्देशिका उपयोगकर्ताओं को आयात करें
ऐसा करने के लिए, हमें कंसोल और सीधे फ़ाइल तक पहुंच की आवश्यकता है मल्टीओटीपी.php, जिसका उपयोग करके हम कनेक्शन सेटिंग्स को सक्रिय निर्देशिका में कॉन्फ़िगर करेंगे।

डायरेक्टरी में जाएं /usr/स्थानीय/बिन/मल्टीओटीपी/ और बदले में निम्नलिखित कमांड निष्पादित करें:

./multiotp.php -config default-request-prefix-pin=0

यह निर्धारित करता है कि एक बार पिन (0 या 1) दर्ज करते समय अतिरिक्त (स्थायी) पिन की आवश्यकता है या नहीं

./multiotp.php -config default-request-ldap-pwd=0

यह निर्धारित करता है कि एक बार पिन दर्ज करते समय डोमेन पासवर्ड की आवश्यकता है या नहीं (0 या 1)

./multiotp.php -config ldap-server-type=1

एलडीएपी सर्वर का प्रकार दर्शाया गया है (0 = नियमित एलडीएपी सर्वर, हमारे मामले में 1 = सक्रिय निर्देशिका)

./multiotp.php -config ldap-cn-identifier="sAMAccountName"

वह प्रारूप निर्दिष्ट करता है जिसमें उपयोगकर्ता नाम प्रस्तुत करना है (यह मान डोमेन के बिना, केवल नाम प्रदर्शित करेगा)

./multiotp.php -config ldap-group-cn-identifier="sAMAccountName"

वही बात, केवल एक समूह के लिए

./multiotp.php -config ldap-group-attribute="memberOf"

यह निर्धारित करने के लिए एक विधि निर्दिष्ट करता है कि कोई उपयोगकर्ता किसी समूह से संबंधित है या नहीं

./multiotp.php -config ldap-ssl=1

क्या मुझे एलडीएपी सर्वर से सुरक्षित कनेक्शन का उपयोग करना चाहिए (बेशक, हाँ!)

./multiotp.php -config ldap-port=636

एलडीएपी सर्वर से कनेक्ट करने के लिए पोर्ट

./multiotp.php -config ldap-domain-controllers=adSRV.domain.local

आपका सक्रिय निर्देशिका सर्वर पता

./multiotp.php -config ldap-base-dn="CN=Users,DC=domain,DC=local"

हम बताते हैं कि डोमेन में उपयोगकर्ताओं की खोज कहां से शुरू करें

./multiotp.php -config ldap-bind-dn="[email protected]"

उस उपयोगकर्ता को निर्दिष्ट करें जिसके पास सक्रिय निर्देशिका में खोज अधिकार हैं

./multiotp.php -config ldap-server-password="MySuperPassword"

सक्रिय निर्देशिका से कनेक्ट करने के लिए उपयोगकर्ता पासवर्ड निर्दिष्ट करें

./multiotp.php -config ldap-network-timeout=10

सक्रिय निर्देशिका से कनेक्ट करने के लिए टाइमआउट सेट करना

./multiotp.php -config ldap-time-limit=30

हमने उपयोगकर्ता आयात ऑपरेशन के लिए एक समय सीमा निर्धारित की है

./multiotp.php -config ldap-activated=1

सक्रिय निर्देशिका कनेक्शन कॉन्फ़िगरेशन को सक्रिय करना

./multiotp.php -debug -display-log -ldap-users-sync

हम सक्रिय निर्देशिका से उपयोगकर्ताओं को आयात करते हैं

चरण 3. टोकन के लिए एक क्यूआर कोड जेनरेट करें
यहां सब कुछ बेहद सरल है. ब्राउज़र में ओटीपी सर्वर का वेब इंटरफ़ेस खोलें, लॉग इन करें (एडमिन के लिए डिफ़ॉल्ट पासवर्ड बदलना न भूलें!), और "प्रिंट" बटन पर क्लिक करें:

इस क्रिया का परिणाम एक पृष्ठ होगा जिसमें दो क्यूआर कोड होंगे। हम साहसपूर्वक उनमें से पहले को अनदेखा कर देते हैं (आकर्षक शिलालेख Google प्रमाणक / प्रमाणक / 2 चरण प्रमाणक के बावजूद), और फिर हम साहसपूर्वक दूसरे कोड को फ़ोन पर सॉफ़्टवेयर टोकन में स्कैन करते हैं:

(हां, मैंने जानबूझकर क्यूआर कोड को अपठनीय बनाने के लिए खराब कर दिया है)।

इन क्रियाओं को पूरा करने के बाद, आपके एप्लिकेशन में हर तीस सेकंड में छह अंकों का पासवर्ड जेनरेट होना शुरू हो जाएगा।

सुनिश्चित करने के लिए, आप इसे उसी इंटरफ़ेस में जांच सकते हैं:

अपने फ़ोन पर एप्लिकेशन से अपना उपयोगकर्ता नाम और वन-टाइम पासवर्ड दर्ज करके। क्या आपको सकारात्मक प्रतिक्रिया मिली? तो हम आगे बढ़ते हैं।

चरण 4. FreeRADIUS ऑपरेशन का अतिरिक्त कॉन्फ़िगरेशन और परीक्षण
जैसा कि मैंने ऊपर उल्लेख किया है, फ्रीरेडियस के साथ काम करने के लिए मल्टीओटीपी पहले से ही कॉन्फ़िगर किया गया है, जो कुछ बचा है वह परीक्षण चलाना और हमारे वीपीएन गेटवे के बारे में फ्रीरेडियस कॉन्फ़िगरेशन फ़ाइल में जानकारी जोड़ना है।

हम सर्वर कंसोल, निर्देशिका पर लौटते हैं /usr/स्थानीय/बिन/मल्टीओटीपी/, प्रवेश करना:

./multiotp.php -config debug=1
./multiotp.php -config display-log=1

अधिक विस्तृत लॉगिंग शामिल है।

FreeRADIUS क्लाइंट कॉन्फ़िगरेशन फ़ाइल में (/etc/freeradius/clinets.conf) से संबंधित सभी पंक्तियों पर टिप्पणी करें स्थानीय होस्ट और दो प्रविष्टियाँ जोड़ें:

client localhost {
        ipaddr = 127.0.0.1
        secret          = testing321
        require_message_authenticator = no
}

- परीक्षण के लिए

client 192.168.1.254/32 {
        shortname =     CiscoASA
        secret =        ConnectToRADIUSSecret
}

- हमारे वीपीएन गेटवे के लिए।

FreeRADIUS को पुनरारंभ करें और लॉग इन करने का प्रयास करें:

radtest username 100110 localhost 1812 testing321

जहां उपयोगकर्ता नाम = उपयोक्तानाम, 100110 = फोन पर एप्लिकेशन द्वारा हमें दिया गया पासवर्ड, स्थानीय होस्ट = RADIUS सर्वर पता, 1812 - RADIUS सर्वर पोर्ट, testing321 - RADIUS सर्वर क्लाइंट पासवर्ड (जिसे हमने कॉन्फ़िगरेशन में निर्दिष्ट किया है)।

इस कमांड का परिणाम लगभग इस प्रकार आउटपुट होगा:

Sending Access-Request of id 44 to 127.0.0.1 port 1812
        User-Name = "username"
        User-Password = "100110"
        NAS-IP-Address = 127.0.1.1
        NAS-Port = 1812
        Message-Authenticator = 0x00000000000000000000000000000000
rad_recv: Access-Accept packet from host 127.0.0.1 port 1812, id=44, length=20

अब हमें यह सुनिश्चित करना होगा कि उपयोगकर्ता सफलतापूर्वक प्रमाणित हो गया है। ऐसा करने के लिए, हम स्वयं मल्टीओटीपी के लॉग को देखेंगे:

tail /var/log/multiotp/multiotp.log

और यदि वहां अंतिम प्रविष्टि है:

2016-09-01 08:58:17     notice  username  User    OK: User username successfully logged in from 127.0.0.1
2016-09-01 08:58:17     debug           Debug   Debug: 0 OK: Token accepted from 127.0.0.1

फिर सब कुछ ठीक हो गया और हम पूरा कर सके।'

चरण 5: सिस्को एएसए कॉन्फ़िगर करें
आइए सहमत हैं कि हमारे पास पहले से ही एसएलएल वीपीएन के माध्यम से पहुंच के लिए एक कॉन्फ़िगर समूह और नीतियां हैं, जो सक्रिय निर्देशिका के साथ संयोजन में कॉन्फ़िगर की गई हैं, और हमें इस प्रोफ़ाइल के लिए दो-कारक प्रमाणीकरण जोड़ने की आवश्यकता है।

1. एक नया AAA सर्वर समूह जोड़ें:

2. हमारे मल्टीओटीपी सर्वर को समूह में जोड़ें:

3. हम संपादित करते हैं कनेक्शन प्रोफ़ाइल, सक्रिय निर्देशिका सर्वर समूह को मुख्य प्रमाणीकरण सर्वर के रूप में सेट करना:

4. टैब उन्नत -> प्रमाणीकरण हम सक्रिय निर्देशिका सर्वर समूह का भी चयन करते हैं:

5. टैब उन्नत -> माध्यमिक प्रमाणीकरण, निर्मित सर्वर समूह का चयन करें जिसमें मल्टीओटीपी सर्वर पंजीकृत है। ध्यान दें कि सत्र उपयोगकर्ता नाम प्राथमिक AAA सर्वर समूह से विरासत में मिला है:

सेटिंग्स लागू करें और

चरण 6, यानि आखिरी वाला
आइए देखें कि क्या दो-कारक प्रमाणीकरण एसएलएल वीपीएन के लिए काम करता है:

वोइला! सिस्को AnyConnect VPN क्लाइंट के माध्यम से कनेक्ट करते समय, आपसे दूसरा, वन-टाइम पासवर्ड भी मांगा जाएगा।

मुझे आशा है कि यह लेख किसी की मदद करेगा, और यह किसी को यह सोचने का अवसर देगा कि इसका उपयोग कैसे किया जाए, मुक्त अन्य कार्यों के लिए ओटीपी सर्वर। यदि आप चाहें तो टिप्पणियों में साझा करें।

स्रोत: www.habr.com

2एफए पर जाएं (एएसए एसएसएल वीपीएन के लिए दो-कारक प्रमाणीकरण)

एक टिप्पणी जोड़ें उत्तर रद्द