Freeradius + Google Authenticator + LDAP + Fortigate

ຈະເປັນແນວໃດຖ້າຫາກວ່າການກວດສອບສອງປັດໄຈແມ່ນທັງສອງຄວາມປາຖະຫນາແລະ prickly, ແຕ່ບໍ່ມີເງິນສໍາລັບ tokens ຮາດແວແລະໂດຍທົ່ວໄປພວກເຂົາເຈົ້າສະເຫນີໃຫ້ຢູ່ໃນອາລົມດີ.

ການ​ແກ້​ໄຂ​ນີ້​ບໍ່​ແມ່ນ​ບາງ​ສິ່ງ​ບາງ​ຢ່າງ​ຕົ້ນ​ສະ​ບັບ super​, ແຕ່​ແທນ​ທີ່​ຈະ​ປະ​ສົມ​ຂອງ​ການ​ແກ້​ໄຂ​ທີ່​ແຕກ​ຕ່າງ​ກັນ​ທີ່​ພົບ​ເຫັນ​ຢູ່​ໃນ​ອິນ​ເຕີ​ເນັດ​.

ມອບໃຫ້

ເພີ່ມເຕີມ Active Directory.

ຜູ້ໃຊ້ໂດເມນທີ່ເຮັດວຽກຜ່ານ VPN, ເຊັ່ນດຽວກັບຫຼາຍໆຄົນໃນມື້ນີ້.

ເຮັດໜ້າທີ່ເປັນປະຕູ VPN ປ້ອມປາການ.

ການບັນທຶກລະຫັດຜ່ານສໍາລັບລູກຂ່າຍ VPN ແມ່ນຫ້າມໂດຍນະໂຍບາຍຄວາມປອດໄພ.

ການເມືອງ Fortinet ກ່ຽວກັບ tokens ຂອງທ່ານເອງ, ທ່ານບໍ່ສາມາດໂທຫາມັນຫນ້ອຍກວ່າ zhlob - ມີຈໍານວນຫຼາຍເຖິງ 10 tokens ຟຣີ, ສ່ວນທີ່ເຫຼືອ - ໃນລາຄາທີ່ບໍ່ແມ່ນ kosher ຫຼາຍ. ຂ້ອຍບໍ່ໄດ້ພິຈາລະນາ RSASecureID, Duo ແລະອື່ນໆ, ເພາະວ່າຂ້ອຍຕ້ອງການແຫຼ່ງເປີດ.

ເງື່ອນໄຂເບື້ອງຕົ້ນ: ເຈົ້າພາບ * nix ດ້ວຍການສ້າງຕັ້ງ ເສລີພາບ, ssd - ເຂົ້າໄປໃນໂດເມນ, ຜູ້ໃຊ້ໂດເມນສາມາດກວດສອບຄວາມຖືກຕ້ອງໄດ້ງ່າຍ.

ແພັກເກດເພີ່ມເຕີມ: ກ່ອງແກະ, ໝາກ ເດືອຍ, freeradius-ldap, ຕົວອັກສອນ rebel.tlf ຈາກ repository ໄດ້ https://github.com/xero/figlet-fonts.

ໃນຕົວຢ່າງຂອງຂ້ອຍ - CentOS 7.8.

ເຫດຜົນຂອງການເຮັດວຽກແມ່ນຄວນຈະເປັນດັ່ງຕໍ່ໄປນີ້: ເມື່ອເຊື່ອມຕໍ່ກັບ VPN, ຜູ້ໃຊ້ຕ້ອງໃສ່ການເຂົ້າສູ່ລະບົບໂດເມນແລະ OTP ແທນລະຫັດຜ່ານ.

ການ​ຕັ້ງ​ຄ່າ​ການ​ບໍ​ລິ​ການ​

В /etc/raddb/radiusd.conf ພຽງແຕ່ຜູ້ໃຊ້ແລະກຸ່ມໃນນາມທີ່ເລີ່ມຕົ້ນ ເສລີພາບ, ນັບຕັ້ງແຕ່ການບໍລິການ ລັດສະໝີ ຄວນຈະສາມາດອ່ານໄຟລ໌ໃນໄດເລກະທໍລີຍ່ອຍທັງຫມົດ / home /.

user = root
group = root

ເພື່ອໃຫ້ສາມາດໃຊ້ກຸ່ມໃນການຕັ້ງຄ່າ ປ້ອມປາການ, ຕ້ອງໄດ້ຮັບການຖ່າຍທອດ ຄຸນລັກສະນະສະເພາະຂອງຜູ້ຂາຍ. ເພື່ອເຮັດສິ່ງນີ້, ໃນບັນຊີລາຍການ raddb/policy.d ຂ້ອຍສ້າງໄຟລ໌ທີ່ມີເນື້ອຫາຕໍ່ໄປນີ້:

group_authorization {
    if (&LDAP-Group[*] == "CN=vpn_admins,OU=vpn-groups,DC=domain,DC=local") {
            update reply {
                &Fortinet-Group-Name = "vpn_admins" }
            update control {
                &Auth-Type := PAM
                &Reply-Message := "Welcome Admin"
                }
        }
    else {
        update reply {
        &Reply-Message := "Not authorized for vpn"
            }
        reject
        }
}

ຫລັງຈາກຕິດຕັ້ງແລ້ວ freeradius-ldap ໃນ​ລະ​ບົບ​ raddb/mods-ສາມາດໃຊ້ໄດ້ ໄຟລ໌ຖືກສ້າງຂື້ນ ldap.

ຈໍາເປັນຕ້ອງສ້າງການເຊື່ອມຕໍ່ສັນຍາລັກກັບໄດເລກະທໍລີ raddb/mods-enabled.

ln -s /etc/raddb/mods-available/ldap /etc/raddb/mods-enabled/ldap

ຂ້ອຍເອົາເນື້ອໃນຂອງມັນມາໃສ່ແບບຟອມນີ້:

ldap {
        server = 'domain.local'
        identity = 'CN=freerad_user,OU=users,DC=domain,DC=local'
        password = "SupeSecretP@ssword"
        base_dn = 'dc=domain,dc=local'
        sasl {
        }
        user {
                base_dn = "${..base_dn}"
                filter = "(sAMAccountname=%{%{Stripped-User-Name}:-%{User-Name}})"
                sasl {
                }
                scope = 'sub'
        }
        group {
                base_dn = "${..base_dn}"
                filter = '(objectClass=Group)'
                scope = 'sub'
                name_attribute = cn
                membership_filter = "(|(member=%{control:Ldap-UserDn})(memberUid=%{%{Stripped-User-Name}:-%{User-Name}}))"
                membership_attribute = 'memberOf'
        }
}

ໃນໄຟລ໌ raddb/sites-enabled/default и raddb/sites-enabled/inner-tunnel ໃນພາກ ອະນຸຍາດ ຂ້ອຍເພີ່ມຊື່ຂອງນະໂຍບາຍທີ່ຈະໃຊ້ - group_authorization . ຈຸດສໍາຄັນ - ຊື່ຂອງນະໂຍບາຍບໍ່ໄດ້ຖືກກໍານົດໂດຍຊື່ຂອງໄຟລ໌ໃນໄດເລກະທໍລີ ນະ​ໂຍ​ບາຍ.d, ແຕ່ໂດຍຄໍາສັ່ງພາຍໃນໄຟລ໌ກ່ອນທີ່ຈະ curly braces.
ໃນພາກ ພິສູດຄວາມຖືກຕ້ອງ ໃນໄຟລ໌ດຽວກັນທ່ານຕ້ອງການ uncomment ແຖວ pam.

ໃນໄຟລ໌ clients.conf ກໍານົດພາລາມິເຕີທີ່ມັນຈະເຊື່ອມຕໍ່ ປ້ອມປາການ:

client fortigate {
    ipaddr = 192.168.1.200
    secret = testing123
    require_message_authenticator = no
    nas_type = other
}

ການຕັ້ງຄ່າໂມດູນ pam.d/radiusd:

#%PAM-1.0
auth       sufficient   pam_google_authenticator.so
auth       include      password-auth
account    required     pam_nologin.so
account    include      password-auth
password   include      password-auth
session    include      password-auth

ຕົວເລືອກການຈັດຕັ້ງປະຕິບັດຊຸດເລີ່ມຕົ້ນ ເສລີພາບ с google authentator ຮຽກຮ້ອງໃຫ້ຜູ້ໃຊ້ໃສ່ຂໍ້ມູນປະຈໍາຕົວໃນຮູບແບບ: ຊື່​ຜູ້​ໃຊ້​ລະ​ຫັດ​ຜ່ານ+OTP.

ໂດຍການຈິນຕະນາການຈໍານວນຄໍາສາບແຊ່ງທີ່ຈະຕົກຢູ່ໃນຫົວ, ໃນກໍລະນີຂອງການນໍາໃຊ້ຊຸດເລີ່ມຕົ້ນ. ເສລີພາບ с Google Authenticator, ມັນໄດ້ຖືກຕັດສິນໃຈທີ່ຈະໃຊ້ການຕັ້ງຄ່າໂມດູນ pam ດັ່ງນັ້ນພຽງແຕ່ token ສາມາດກວດສອບໄດ້ Google Authenticator.

ເມື່ອຜູ້ໃຊ້ເຊື່ອມຕໍ່, ຕໍ່ໄປນີ້ຈະເກີດຂຶ້ນ:

• Freeradius ກວດເບິ່ງວ່າຜູ້ໃຊ້ຢູ່ໃນໂດເມນແລະຢູ່ໃນກຸ່ມທີ່ແນ່ນອນແລະ, ຖ້າປະສົບຜົນສໍາເລັດ, ກວດເບິ່ງ OTP token.

ທຸກສິ່ງທຸກຢ່າງເບິ່ງດີພໍຈົນກ່ວາເວລາທີ່ຂ້ອຍຄິດວ່າ "ຂ້ອຍຈະລົງທະບຽນ OTP ສໍາລັບຜູ້ໃຊ້ 300+ ໄດ້ແນວໃດ?"

ຜູ້ໃຊ້ຕ້ອງເຂົ້າສູ່ລະບົບເຄື່ອງແມ່ຂ່າຍດ້ວຍ ເສລີພາບ ແລະຈາກພາຍໃຕ້ບັນຊີຂອງທ່ານແລະດໍາເນີນການຄໍາຮ້ອງສະຫມັກ google authenticator, ເຊິ່ງຈະສ້າງລະຫັດ QR ສໍາລັບຄໍາຮ້ອງສະຫມັກສໍາລັບຜູ້ໃຊ້. ນີ້ແມ່ນບ່ອນທີ່ການຊ່ວຍເຫຼືອເຂົ້າມາ. ກ່ອງແກະ ປະສົມປະສານກັບ .bash_ ໂປຣໄຟລ.

[root@freeradius ~]# yum install -y shellinabox

ໄຟລ໌ການຕັ້ງຄ່າ daemon ຢູ່ທີ່ /etc/sysconfig/shellinabox.
ຂ້ອຍລະບຸພອດ 443 ຢູ່ທີ່ນັ້ນ ແລະເຈົ້າສາມາດລະບຸໃບຢັ້ງຢືນຂອງເຈົ້າໄດ້.

[root@freeradius ~]#systemctl enable --now shellinaboxd

ຜູ້​ໃຊ້​ພຽງ​ແຕ່​ຕ້ອງ​ການ​ທີ່​ຈະ​ປະ​ຕິ​ບັດ​ຕາມ​ການ​ເຊື່ອມ​ຕໍ່​, ໃສ່​ສິນ​ເຊື່ອ​ໂດ​ເມນ​ແລະ​ໄດ້​ຮັບ​ລະ​ຫັດ QR ສໍາ​ລັບ​ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ​.

ສູດການຄິດໄລ່ມີດັ່ງນີ້:

• ຜູ້ໃຊ້ເຂົ້າສູ່ລະບົບເຄື່ອງຜ່ານຕົວທ່ອງເວັບ.
• ບໍ່ວ່າຜູ້ໃຊ້ໂດເມນຖືກກວດສອບ. ຖ້າບໍ່, ຫຼັງຈາກນັ້ນບໍ່ມີການດໍາເນີນການ.
• ຖ້າຜູ້ໃຊ້ເປັນຜູ້ໃຊ້ໂດເມນ, ສະມາຊິກໃນກຸ່ມ Administrators ຖືກກວດສອບ.
• ຖ້າບໍ່ແມ່ນຜູ້ເບິ່ງແຍງ, ມັນຈະກວດເບິ່ງວ່າ Google Authenticator ຖືກຕັ້ງຄ່າຫຼືບໍ່. ຖ້າບໍ່ແມ່ນ, ລະຫັດ QR ແລະຜູ້ໃຊ້ອອກຈາກລະບົບແມ່ນຖືກສ້າງຂຶ້ນ.
• ຖ້າບໍ່ແມ່ນຜູ້ເບິ່ງແຍງແລະ Google Authenticator ໄດ້ຖືກຕັ້ງຄ່າ, ຫຼັງຈາກນັ້ນພຽງແຕ່ອອກຈາກລະບົບ.
• ຖ້າ admin, ຫຼັງຈາກນັ້ນກວດເບິ່ງ Google Authenticator ອີກເທື່ອຫນຶ່ງ. ຖ້າບໍ່ໄດ້ຕັ້ງຄ່າ, ລະຫັດ QR ຈະຖືກສ້າງຂຶ້ນ.

ເຫດຜົນທັງຫມົດແມ່ນເຮັດໄດ້ໂດຍໃຊ້ /etc/skel/.bash_profile.

cat /etc/skel/.bash_profile

# .bash_profile

# Get the aliases and functions
if [ -f ~/.bashrc ]; then
        . ~/.bashrc
fi

# User specific environment and startup programs
# Make several commands available from user shell

if [[ -z $(id $USER | grep "admins") || -z $(cat /etc/passwd | grep $USER) ]]
  then
    [[ ! -d $HOME/bin ]] && mkdir $HOME/bin
    [[ ! -f $HOME/bin/id ]] && ln -s /usr/bin/id $HOME/bin/id
    [[ ! -f $HOME/bin/google-auth ]] && ln -s /usr/bin/google-authenticator $HOME/bin/google-auth
    [[ ! -f $HOME/bin/grep ]] && ln -s /usr/bin/grep $HOME/bin/grep
    [[ ! -f $HOME/bin/figlet ]] && ln -s /usr/bin/figlet $HOME/bin/figlet
    [[ ! -f $HOME/bin/rebel.tlf ]] && ln -s /usr/share/figlet/rebel.tlf $HOME/bin/rebel.tlf
    [[ ! -f $HOME/bin/sleep ]] && ln -s /usr/bin/sleep $HOME/bin/sleep
  # Set PATH env to <home user directory>/bin
    PATH=$HOME/bin
    export PATH
  else
    PATH=PATH=$PATH:$HOME/.local/bin:$HOME/bin
    export PATH
fi


if [[ -n $(id $USER | grep "domain users") ]]
  then
    if [[ ! -e $HOME/.google_authenticator ]]
      then
        if [[ -n $(id $USER | grep "admins") ]]
          then
            figlet -t -f $HOME/bin/rebel.tlf "Welcome to Company GAuth setup portal"
            sleep 1.5
            echo "Please, run any of these software on your device, where you would like to setup OTP:
Google Autheticator:
AppStore - https://apps.apple.com/us/app/google-authenticator/id388497605
Play Market - https://play.google.com/stor/apps/details?id=com.google.android.apps.authenticator2&hl=en
FreeOTP:
AppStore - https://apps.apple.com/us/app/freeotp-authenticator/id872559395
Play Market - https://play.google.com/store/apps/details?id=org.fedorahosted.freeotp&hl=en

And prepare to scan QR code.

"
            sleep 5
            google-auth -f -t -w 3 -r 3 -R 30 -d -e 1
            echo "Congratulations, now you can use an OTP token from application as a password connecting to VPN."
          else
            figlet -t -f $HOME/bin/rebel.tlf "Welcome to Company GAuth setup portal"
            sleep 1.5
            echo "Please, run any of these software on your device, where you would like to setup OTP:
Google Autheticator:
AppStore - https://apps.apple.com/us/app/google-authenticator/id388497605
Play Market - https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2&hl=en
FreeOTP:
AppStore - https://apps.apple.com/us/app/freeotp-authenticator/id872559395
Play Market - https://play.google.com/store/apps/details?id=org.fedorahosted.freeotp&hl=en

And prepare to scan QR code.

"
            sleep 5
            google-auth -f -t -w 3 -r 3 -R 30 -d -e 1
            echo "Congratulations, now you can use an OTP token from application as a password to VPN."
            logout
        fi
      else
        echo "You have already setup a Google Authenticator"
        if [[ -z $(id $USER | grep "admins") ]]
          then
          logout
        fi
    fi
  else
    echo "You don't need to set up a Google Authenticator"
fi

ການຕິດຕັ້ງ Fortigate:

• ພວກເຮົາສ້າງ ລັດສະຫມີ- ເຊີບເວີ

  

• ພວກເຮົາສ້າງກຸ່ມທີ່ຈໍາເປັນ, ຖ້າຈໍາເປັນ, ເຂົ້າເຖິງການຄວບຄຸມໂດຍກຸ່ມ. ຊື່ກຸ່ມເປີດ ປ້ອມປາການ ຕ້ອງກົງກັບກຸ່ມທີ່ຜ່ານເຂົ້າ ຄຸນລັກສະນະສະເພາະຂອງຜູ້ຂາຍ Fortinet-Group-Name.

  

• ການ​ແກ້​ໄຂ​ທີ່​ຈໍາ​ເປັນ​ SSL- ປະຕູ.

  

• ເພີ່ມກຸ່ມໃສ່ນະໂຍບາຍ.

  

ຂໍ້ດີຂອງການແກ້ໄຂນີ້:

• ມັນເປັນໄປໄດ້ທີ່ຈະພິສູດຢືນຢັນໂດຍ OTP on ປ້ອມປາການ ການແກ້ໄຂແຫຼ່ງເປີດ.
• ຜູ້ໃຊ້ບໍ່ໃສ່ລະຫັດຜ່ານໂດເມນເມື່ອເຊື່ອມຕໍ່ຜ່ານ VPN, ເຊິ່ງເຮັດໃຫ້ຂະບວນການເຊື່ອມຕໍ່ງ່າຍຂຶ້ນ. ລະ​ຫັດ​ຜ່ານ 6 ຕົວ​ເລກ​ແມ່ນ​ງ່າຍ​ທີ່​ຈະ​ເຂົ້າ​ກ​່​ວາ​ລະ​ຫັດ​ຜ່ານ​ສະ​ຫນອງ​ໃຫ້​ໂດຍ​ນະ​ໂຍ​ບາຍ​ຄວາມ​ປອດ​ໄພ​. ດັ່ງນັ້ນ, ຈໍານວນປີ້ທີ່ມີຫົວຂໍ້: "ຂ້ອຍບໍ່ສາມາດເຊື່ອມຕໍ່ກັບ VPN" ຫຼຸດລົງ.

PS ພວກເຮົາວາງແຜນທີ່ຈະຍົກລະດັບການແກ້ໄຂນີ້ໄປສູ່ການພິສູດຢືນຢັນສອງປັດໃຈທີ່ເຕັມຮູບແບບດ້ວຍການຕອບໂຕ້ສິ່ງທ້າທາຍ.

ການປັບປຸງ:

ດັ່ງທີ່ໄດ້ສັນຍາໄວ້, ຂ້າພະເຈົ້າໄດ້ປັບປ່ຽນມັນໃຫ້ກັບທາງເລືອກການຕອບໂຕ້ສິ່ງທ້າທາຍ.
ດັ່ງນັ້ນ:
ໃນໄຟລ໌ /etc/raddb/sites-enabled/default ພາກ ອະນຸຍາດ ເບິ່ງຄືວ່ານີ້:

authorize {
    filter_username
    preprocess
    auth_log
    chap
    mschap
    suffix
    eap {
        ok = return
    }
    files
    -sql
    #-ldap
    expiration
    logintime
    if (!State) {
        if (&User-Password) {
            # If !State and User-Password (PAP), then force LDAP:
            update control {
                Ldap-UserDN := "%{User-Name}"
                Auth-Type := LDAP
            }
        }
        else {
            reject
        }
    }
    else {
        # If State, then proxy request:
        group_authorization
    }
pap
}

ພາກສ່ວນ ພິສູດຄວາມຖືກຕ້ອງ ໃນປັດຈຸບັນເບິ່ງຄືວ່ານີ້:

authenticate {
        Auth-Type PAP {
                pap
        }
        Auth-Type CHAP {
                chap
        }
        Auth-Type MS-CHAP {
                mschap
        }
        mschap
        digest
        # Attempt authentication with a direct LDAP bind:
        Auth-Type LDAP {
        ldap
        if (ok) {
            update reply {
                # Create a random State attribute:
                State := "%{randstr:aaaaaaaaaaaaaaaa}"
                Reply-Message := "Please enter OTP"
                }
            # Return Access-Challenge:
            challenge
            }
        }
        pam
        eap
}

ດຽວນີ້ການຢັ້ງຢືນຜູ້ໃຊ້ເກີດຂື້ນຕາມສູດການຄິດໄລ່ຕໍ່ໄປນີ້:

• ຜູ້ໃຊ້ໃສ່ເຄຣດິດໂດເມນຢູ່ໃນລູກຄ້າ VPN.
• Freeradius ກວດເບິ່ງຄວາມຖືກຕ້ອງຂອງບັນຊີແລະລະຫັດຜ່ານ
• ຖ້າລະຫັດຜ່ານຖືກຕ້ອງ, ຫຼັງຈາກນັ້ນການຮ້ອງຂໍສໍາລັບ token ຖືກສົ່ງ.
• ໂທເຄັນກຳລັງຖືກກວດສອບ.
• ກໍາໄລ).

ແຫຼ່ງຂໍ້ມູນ: www.habr.com