Freeradius + Google Authenticator + LDAP + Fortigate

რა მოხდება, თუ ორფაქტორიანი ავთენტიფიკაცია სასურველიც არის და დახვეწილი, მაგრამ ტექნიკის ტოკენებისთვის ფული არ არის და ზოგადად კარგ ხასიათზე დარჩენას გვთავაზობენ.

ეს გამოსავალი არ არის რაღაც სუპერ ორიგინალური, არამედ ინტერნეტში ნაპოვნი სხვადასხვა გადაწყვეტილებების ნაზავი.

ისე მოცემული

დომენის Active Directory.

დომენის მომხმარებლები, რომლებიც მუშაობენ VPN-ით, როგორც დღეს ბევრი.

მოქმედებს როგორც VPN კარიბჭე ფორტიგატე.

VPN კლიენტისთვის პაროლის შენახვა აკრძალულია უსაფრთხოების პოლიტიკით.

პოლიტიკა Fortinet საკუთარ ტოკენებთან მიმართებაში, თქვენ არ შეგიძლიათ მას დაარქმევთ ჟლობზე ნაკლებს - არის 10 უფასო ნიშანი, დანარჩენი - ძალიან არაკოშერული ფასით. მე არ განვიხილე RSASecureID, Duo და მსგავსი, რადგან ღია წყარო მინდა.

წინაპირობები: მასპინძელი * nix დაყენებული თავისუფალი რადიუსი, სსსდ - დომენში შესული, დომენის მომხმარებლებს მარტივად შეუძლიათ მასზე ავთენტიფიკაცია.

დამატებითი პაკეტები: შელინას ყუთი, ლეღვი, თავისუფალი რადიუსი-ლდაპი, შრიფტი მეამბოხე.tlf საცავიდან https://github.com/xero/figlet-fonts.

ჩემს მაგალითში - CentOS 7.8.

მუშაობის ლოგიკა უნდა იყოს შემდეგი: VPN-თან დაკავშირებისას მომხმარებელმა პაროლის ნაცვლად უნდა შეიყვანოს დომენის შესვლა და OTP.

სერვისების დაყენება

В /etc/raddb/radiusd.conf მხოლოდ მომხმარებელი და ჯგუფი, რომლის სახელით იწყება თავისუფალი რადიუსი, მომსახურეობიდან რადიუსი უნდა შეეძლოს ფაილების წაკითხვა ყველა ქვედირექტორიაში / მთავარი /.

user = root
group = root

იმისათვის, რომ შეძლოთ ჯგუფების გამოყენება პარამეტრებში ფორტიგატე, უნდა გადაეცეს გამყიდველის სპეციფიკური ატრიბუტი. ამისათვის, დირექტორიაში raddb/პოლიტიკა.დ მე ვქმნი ფაილს შემდეგი შინაარსით:

group_authorization {
    if (&LDAP-Group[*] == "CN=vpn_admins,OU=vpn-groups,DC=domain,DC=local") {
            update reply {
                &Fortinet-Group-Name = "vpn_admins" }
            update control {
                &Auth-Type := PAM
                &Reply-Message := "Welcome Admin"
                }
        }
    else {
        update reply {
        &Reply-Message := "Not authorized for vpn"
            }
        reject
        }
}

შემდეგ თქვენ დააყენოთ თავისუფალი რადიუსი-ლდაპი დირექტორიაში raddb/mods-ხელმისაწვდომია ფაილი იქმნება Ldap.

უნდა შეიქმნას სიმბოლური ბმული დირექტორიაში raddb/mods-ჩართულია.

ln -s /etc/raddb/mods-available/ldap /etc/raddb/mods-enabled/ldap

მის შიგთავსს მივყავარ ამ ფორმით:

ldap {
        server = 'domain.local'
        identity = 'CN=freerad_user,OU=users,DC=domain,DC=local'
        password = "SupeSecretP@ssword"
        base_dn = 'dc=domain,dc=local'
        sasl {
        }
        user {
                base_dn = "${..base_dn}"
                filter = "(sAMAccountname=%{%{Stripped-User-Name}:-%{User-Name}})"
                sasl {
                }
                scope = 'sub'
        }
        group {
                base_dn = "${..base_dn}"
                filter = '(objectClass=Group)'
                scope = 'sub'
                name_attribute = cn
                membership_filter = "(|(member=%{control:Ldap-UserDn})(memberUid=%{%{Stripped-User-Name}:-%{User-Name}}))"
                membership_attribute = 'memberOf'
        }
}

ფაილებში raddb/sites-ჩართულია/ნაგულისხმევი и raddb/sites-enabled/inner-tunnel განყოფილებაში ავტორიზაცია მე ვამატებ გამოსაყენებელი პოლიტიკის სახელს - group_authorization. მნიშვნელოვანი წერტილი - პოლიტიკის სახელი არ არის განსაზღვრული დირექტორიაში არსებული ფაილის სახელით პოლიტიკა.დ, მაგრამ დირექტივით ფაილის შიგნით ხვეული ბრეკეტების წინ.
განყოფილებაში ავთენტიფიკაცია იმავე ფაილებში თქვენ უნდა გააუქმოთ ხაზი Pam.

ფაილში კლიენტები.conf განსაზღვრეთ ის პარამეტრები, რომლებთანაც ის დაუკავშირდება ფორტიგატე:

client fortigate {
    ipaddr = 192.168.1.200
    secret = testing123
    require_message_authenticator = no
    nas_type = other
}

მოდულის კონფიგურაცია pam.d/radiusd:

#%PAM-1.0
auth       sufficient   pam_google_authenticator.so
auth       include      password-auth
account    required     pam_nologin.so
account    include      password-auth
password   include      password-auth
session    include      password-auth

ნაგულისხმევი ნაკრების განხორციელების პარამეტრები თავისუფალი რადიუსი с Google Authenticator მოითხოვეთ მომხმარებლისგან შეიყვანოს რწმუნებათა სიგელები ფორმატში: მომხმარებლის სახელი პაროლი+OTP.

ლანძღვათა რაოდენობის წარმოსახვით, რომელიც დაეცემა თავზე, ნაგულისხმევი პაკეტის გამოყენების შემთხვევაში თავისუფალი რადიუსი с Google Authenticator, გადაწყდა მოდულის კონფიგურაციის გამოყენება Pam რათა მხოლოდ ჟეტონის შემოწმება იყოს შესაძლებელი Google Authenticator.

როდესაც მომხმარებელი აკავშირებს, ხდება შემდეგი:

• Freeradius ამოწმებს არის თუ არა მომხმარებელი დომენში და გარკვეულ ჯგუფში და წარმატების შემთხვევაში ამოწმებს OTP ტოკენს.

ყველაფერი საკმარისად კარგად გამოიყურებოდა იმ მომენტამდე, როდესაც არ გავიფიქრე: „როგორ შემიძლია დავრეგისტრირდე OTP 300+ მომხმარებლისთვის?“

მომხმარებელი უნდა შევიდეს სერვერზე თავისუფალი რადიუსი და თქვენი ანგარიშიდან და გაუშვით აპლიკაცია google authenticator, რომელიც გამოიმუშავებს QR კოდს აპლიკაციისთვის მომხმარებლისთვის. სწორედ აქ მოდის დახმარება. შელინას ყუთი კომბინაციაში . bash_profile.

[root@freeradius ~]# yum install -y shellinabox

დემონის კონფიგურაციის ფაილი მდებარეობს /etc/sysconfig/shellinabox.
მე იქ 443 პორტს ვაზუსტებ და შეგიძლია შენი სერთიფიკატი მიუთითო.

[root@freeradius ~]#systemctl enable --now shellinaboxd

მომხმარებელს მხოლოდ უნდა მიჰყვეს ბმულს, შეიყვანოთ დომენის კრედიტები და მიიღოს QR კოდი აპლიკაციისთვის.

ალგორითმი შემდეგია:

• მომხმარებელი სისტემაში შედის ბრაუზერის საშუალებით.
• შემოწმებულია თუ არა დომენის მომხმარებელი. თუ არა, მაშინ არანაირი ქმედება არ მიიღება.
• თუ მომხმარებელი დომენის მომხმარებელია, ადმინისტრატორების ჯგუფში წევრობა მოწმდება.
• თუ არ არის ადმინისტრატორი, ის ამოწმებს, არის თუ არა Google Authenticator კონფიგურაცია. თუ არა, მაშინ წარმოიქმნება QR კოდი და მომხმარებლის გამოსვლა.
• თუ არა ადმინისტრატორი და Google Authenticator არის კონფიგურირებული, მაშინ უბრალოდ გამოდით.
• თუ ადმინისტრატორია, მაშინ ხელახლა შეამოწმეთ Google Authenticator. თუ კონფიგურაცია არ არის, წარმოიქმნება QR კოდი.

ყველა ლოგიკა კეთდება გამოყენებით /etc/skel/.bash_profile.

კატა /etc/skel/.bash_profile

# .bash_profile

# Get the aliases and functions
if [ -f ~/.bashrc ]; then
        . ~/.bashrc
fi

# User specific environment and startup programs
# Make several commands available from user shell

if [[ -z $(id $USER | grep "admins") || -z $(cat /etc/passwd | grep $USER) ]]
  then
    [[ ! -d $HOME/bin ]] && mkdir $HOME/bin
    [[ ! -f $HOME/bin/id ]] && ln -s /usr/bin/id $HOME/bin/id
    [[ ! -f $HOME/bin/google-auth ]] && ln -s /usr/bin/google-authenticator $HOME/bin/google-auth
    [[ ! -f $HOME/bin/grep ]] && ln -s /usr/bin/grep $HOME/bin/grep
    [[ ! -f $HOME/bin/figlet ]] && ln -s /usr/bin/figlet $HOME/bin/figlet
    [[ ! -f $HOME/bin/rebel.tlf ]] && ln -s /usr/share/figlet/rebel.tlf $HOME/bin/rebel.tlf
    [[ ! -f $HOME/bin/sleep ]] && ln -s /usr/bin/sleep $HOME/bin/sleep
  # Set PATH env to <home user directory>/bin
    PATH=$HOME/bin
    export PATH
  else
    PATH=PATH=$PATH:$HOME/.local/bin:$HOME/bin
    export PATH
fi


if [[ -n $(id $USER | grep "domain users") ]]
  then
    if [[ ! -e $HOME/.google_authenticator ]]
      then
        if [[ -n $(id $USER | grep "admins") ]]
          then
            figlet -t -f $HOME/bin/rebel.tlf "Welcome to Company GAuth setup portal"
            sleep 1.5
            echo "Please, run any of these software on your device, where you would like to setup OTP:
Google Autheticator:
AppStore - https://apps.apple.com/us/app/google-authenticator/id388497605
Play Market - https://play.google.com/stor/apps/details?id=com.google.android.apps.authenticator2&hl=en
FreeOTP:
AppStore - https://apps.apple.com/us/app/freeotp-authenticator/id872559395
Play Market - https://play.google.com/store/apps/details?id=org.fedorahosted.freeotp&hl=en

And prepare to scan QR code.

"
            sleep 5
            google-auth -f -t -w 3 -r 3 -R 30 -d -e 1
            echo "Congratulations, now you can use an OTP token from application as a password connecting to VPN."
          else
            figlet -t -f $HOME/bin/rebel.tlf "Welcome to Company GAuth setup portal"
            sleep 1.5
            echo "Please, run any of these software on your device, where you would like to setup OTP:
Google Autheticator:
AppStore - https://apps.apple.com/us/app/google-authenticator/id388497605
Play Market - https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2&hl=en
FreeOTP:
AppStore - https://apps.apple.com/us/app/freeotp-authenticator/id872559395
Play Market - https://play.google.com/store/apps/details?id=org.fedorahosted.freeotp&hl=en

And prepare to scan QR code.

"
            sleep 5
            google-auth -f -t -w 3 -r 3 -R 30 -d -e 1
            echo "Congratulations, now you can use an OTP token from application as a password to VPN."
            logout
        fi
      else
        echo "You have already setup a Google Authenticator"
        if [[ -z $(id $USER | grep "admins") ]]
          then
          logout
        fi
    fi
  else
    echo "You don't need to set up a Google Authenticator"
fi

Fortigate-ის დაყენება:

• ჩვენ ვქმნით რადიუსი- სერვერი

  

• ჩვენ ვქმნით საჭირო ჯგუფებს, საჭიროების შემთხვევაში, ჯგუფების მიერ წვდომის კონტროლს. ჯგუფის სახელი ჩართულია ფორტიგატე უნდა ემთხვეოდეს ჯგუფს, რომელიც გავიდა გამყიდველის სპეციფიკური ატრიბუტი Fortinet-ჯგუფი-სახელი.

  

• საჭიროების რედაქტირება SSL-პორტალები.

  

• ჯგუფების დამატება პოლიტიკაში.

  

ამ გადაწყვეტის უპირატესობები:

• შესაძლებელია ავთენტიფიკაცია ჩართული OTP-ით ფორტიგატე ღია კოდის გადაწყვეტა.
• VPN-ით დაკავშირებისას მომხმარებელი არ შეიყვანს დომენის პაროლს, რაც გარკვეულწილად ამარტივებს კავშირის პროცესს. 6-ნიშნა პაროლის შეყვანა უფრო ადვილია, ვიდრე უსაფრთხოების პოლიტიკით გათვალისწინებული. შედეგად, მცირდება ბილეთების რაოდენობა თემაზე: „ვერ ვუკავშირდები VPN-ს“.

PS ჩვენ ვგეგმავთ ამ გადაწყვეტის განახლებას სრულფასოვან ორფაქტორიან ავთენტიფიკაციაზე გამოწვევა-პასუხით.

განახლების თარიღი:

როგორც დავპირდი, მე შევცვალე ის გამოწვევა-პასუხის ვარიანტზე.
ასე რომ:
ფაილში /etc/raddb/sites-enabled/default სექცია ავტორიზაცია ასეთია:

authorize {
    filter_username
    preprocess
    auth_log
    chap
    mschap
    suffix
    eap {
        ok = return
    }
    files
    -sql
    #-ldap
    expiration
    logintime
    if (!State) {
        if (&User-Password) {
            # If !State and User-Password (PAP), then force LDAP:
            update control {
                Ldap-UserDN := "%{User-Name}"
                Auth-Type := LDAP
            }
        }
        else {
            reject
        }
    }
    else {
        # If State, then proxy request:
        group_authorization
    }
pap
}

სექცია ავთენტიფიკაცია ახლა ასე გამოიყურება:

authenticate {
        Auth-Type PAP {
                pap
        }
        Auth-Type CHAP {
                chap
        }
        Auth-Type MS-CHAP {
                mschap
        }
        mschap
        digest
        # Attempt authentication with a direct LDAP bind:
        Auth-Type LDAP {
        ldap
        if (ok) {
            update reply {
                # Create a random State attribute:
                State := "%{randstr:aaaaaaaaaaaaaaaa}"
                Reply-Message := "Please enter OTP"
                }
            # Return Access-Challenge:
            challenge
            }
        }
        pam
        eap
}

ახლა მომხმარებლის შემოწმება ხდება შემდეგი ალგორითმის მიხედვით:

• მომხმარებელი შეაქვს დომენის კრედიტებს VPN კლიენტში.
• Freeradius ამოწმებს ანგარიშის და პაროლის ნამდვილობას
• თუ პაროლი სწორია, მაშინ იგზავნება მოთხოვნა ნიშნის შესახებ.
• ჟეტონი გადამოწმების პროცესშია.
• მოგება).

წყარო: www.habr.com