ໄປທີ່ 2FA (ການພິສູດຢືນຢັນສອງປັດໃຈສໍາລັບ ASA SSL VPN)

ຄວາມຕ້ອງການທີ່ຈະສະຫນອງການເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກກັບສະພາບແວດລ້ອມຂອງບໍລິສັດແມ່ນເກີດຂື້ນເລື້ອຍໆ, ບໍ່ວ່າມັນເປັນຜູ້ໃຊ້ຫຼືຄູ່ຮ່ວມງານທີ່ຕ້ອງການການເຂົ້າເຖິງເຄື່ອງແມ່ຂ່າຍສະເພາະໃນອົງການຂອງເຈົ້າ.

ສໍາລັບຈຸດປະສົງເຫຼົ່ານີ້, ບໍລິສັດສ່ວນໃຫຍ່ໃຊ້ເທກໂນໂລຍີ VPN, ເຊິ່ງໄດ້ພິສູດຕົວເອງວ່າເປັນວິທີປ້ອງກັນທີ່ເຊື່ອຖືໄດ້ຂອງການເຂົ້າເຖິງຊັບພະຍາກອນທ້ອງຖິ່ນຂອງອົງການຈັດຕັ້ງ.

ບໍລິສັດຂອງຂ້ອຍບໍ່ມີຂໍ້ຍົກເວັ້ນ, ແລະພວກເຮົາ, ເຊັ່ນດຽວກັນກັບຄົນອື່ນ, ໃຊ້ເຕັກໂນໂລຢີນີ້. ແລະ, ເຊັ່ນດຽວກັນກັບຄົນອື່ນຈໍານວນຫຼາຍ, ພວກເຮົາໃຊ້ Cisco ASA 55xx ເປັນປະຕູການເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກ.

ເນື່ອງຈາກຈໍານວນຜູ້ໃຊ້ຫ່າງໄກສອກຫຼີກເພີ່ມຂຶ້ນ, ມີຄວາມຈໍາເປັນເພື່ອເຮັດໃຫ້ຂັ້ນຕອນການອອກໃບຢັ້ງຢືນທີ່ງ່າຍດາຍ. ແຕ່ໃນເວລາດຽວກັນ, ນີ້ຕ້ອງເຮັດໂດຍບໍ່ມີການປະນີປະນອມຄວາມປອດໄພ.

ສໍາລັບຕົວເຮົາເອງ, ພວກເຮົາໄດ້ພົບເຫັນການແກ້ໄຂໃນການນໍາໃຊ້ການກວດສອບສອງປັດໃຈສໍາລັບການເຊື່ອມຕໍ່ຜ່ານ Cisco SSL VPN, ໂດຍໃຊ້ລະຫັດຜ່ານຄັ້ງດຽວ. ແລະສິ່ງພິມນີ້ຈະບອກທ່ານກ່ຽວກັບວິທີການຈັດຕັ້ງການແກ້ໄຂດັ່ງກ່າວໂດຍໃຊ້ເວລາຫນ້ອຍທີ່ສຸດແລະບໍ່ມີຄ່າໃຊ້ຈ່າຍສໍາລັບຊອບແວທີ່ຈໍາເປັນ (ສະຫນອງໃຫ້ວ່າທ່ານມີ Cisco ASA ໃນໂຄງສ້າງພື້ນຖານຂອງທ່ານແລ້ວ).

ຕະຫຼາດແມ່ນເຕັມໄປດ້ວຍວິທີແກ້ໄຂແບບກ່ອງສໍາລັບການສ້າງລະຫັດຜ່ານຄັ້ງດຽວ, ໃນຂະນະທີ່ສະເຫນີທາງເລືອກຫຼາຍສໍາລັບການໄດ້ຮັບ, ບໍ່ວ່າຈະເປັນການສົ່ງລະຫັດຜ່ານຜ່ານ SMS ຫຼືການນໍາໃຊ້ tokens, ທັງຮາດແວແລະຊອບແວ (ຕົວຢ່າງ, ໃນໂທລະສັບມືຖື). ແຕ່ຄວາມປາຖະຫນາທີ່ຈະປະຫຍັດເງິນແລະຄວາມປາຖະຫນາທີ່ຈະຊ່ວຍປະຢັດເງິນສໍາລັບນາຍຈ້າງຂອງຂ້ອຍ, ໃນວິກິດການໃນປະຈຸບັນ, ໄດ້ບັງຄັບໃຫ້ຂ້ອຍຊອກຫາວິທີບໍ່ເສຍຄ່າເພື່ອປະຕິບັດການບໍລິການສໍາລັບການສ້າງລະຫັດຜ່ານຄັ້ງດຽວ. ເຊິ່ງ, ໃນຂະນະທີ່ບໍ່ເສຍຄ່າ, ແມ່ນບໍ່ຫນ້ອຍກວ່າການແກ້ໄຂທາງການຄ້າຫຼາຍ (ໃນທີ່ນີ້ພວກເຮົາຄວນຈອງ, ໃຫ້ສັງເກດວ່າຜະລິດຕະພັນນີ້ຍັງມີສະບັບການຄ້າ, ແຕ່ພວກເຮົາຕົກລົງວ່າຄ່າໃຊ້ຈ່າຍຂອງພວກເຮົາ, ໃນເງິນ, ຈະເປັນສູນ).

ດັ່ງນັ້ນ, ພວກເຮົາຈະຕ້ອງ:

- ຮູບພາບ Linux ທີ່ມີຊຸດເຄື່ອງມືໃນຕົວ - multiOTP, FreeRADIUS ແລະ nginx, ສໍາລັບການເຂົ້າເຖິງເຄື່ອງແມ່ຂ່າຍຜ່ານເວັບ (http://download.multiotp.net/ - ຂ້ອຍໃຊ້ຮູບພາບທີ່ກຽມພ້ອມສໍາລັບ VMware)
— Active Directory Server
- Cisco ASA ຕົວມັນເອງ (ເພື່ອຄວາມສະດວກ, ຂ້ອຍໃຊ້ ASDM)
— ໂທເຄັນຊອຟແວໃດນຶ່ງທີ່ຮອງຮັບກົນໄກ TOTP (ຕົວຢ່າງຂ້ອຍໃຊ້ Google Authenticator, ແຕ່ FreeOTP ດຽວກັນຈະເຮັດ)

ຂ້າ​ພະ​ເຈົ້າ​ຈະ​ບໍ່​ໄດ້​ເຂົ້າ​ໄປ​ໃນ​ລາຍ​ລະ​ອຽດ​ກ່ຽວ​ກັບ​ວິ​ທີ​ການ​ຂອງ​ຮູບ​ພາບ​. ດັ່ງນັ້ນ, ທ່ານຈະໄດ້ຮັບ Debian Linux ທີ່ມີ multiOTP ແລະ FreeRADIUS ທີ່ຕິດຕັ້ງແລ້ວ, ຕັ້ງຄ່າໃຫ້ເຮັດວຽກຮ່ວມກັນ, ແລະການໂຕ້ຕອບເວັບສໍາລັບການຄຸ້ມຄອງ OTP.

ຂັ້ນ​ຕອນ​ທີ 1. ພວກ​ເຮົາ​ເລີ່ມ​ຕົ້ນ​ລະ​ບົບ​ແລະ​ການ​ຕັ້ງ​ຄ່າ​ມັນ​ສໍາ​ລັບ​ເຄືອ​ຂ່າຍ​ຂອງ​ທ່ານ​
ໂດຍຄ່າເລີ່ມຕົ້ນ, ລະບົບມາພ້ອມກັບຂໍ້ມູນຮາກຮາກ. ຂ້າພະເຈົ້າຄິດວ່າທຸກຄົນຄາດເດົາວ່າມັນເປັນຄວາມຄິດທີ່ດີທີ່ຈະປ່ຽນລະຫັດຜ່ານຜູ້ໃຊ້ຮາກຫຼັງຈາກເຂົ້າສູ່ລະບົບຄັ້ງທໍາອິດ. ນອກນັ້ນທ່ານຍັງຈໍາເປັນຕ້ອງໄດ້ປ່ຽນການຕັ້ງຄ່າເຄືອຂ່າຍ (ໂດຍຄ່າເລີ່ມຕົ້ນມັນແມ່ນ '192.168.1.44' ກັບ gateway '192.168.1.1'). ຫຼັງຈາກນັ້ນ, ທ່ານສາມາດ reboot ລະບົບໄດ້.

ມາສ້າງຜູ້ໃຊ້ໃນ Active Directory OTP, ດ້ວຍລະຫັດຜ່ານ MySuperPassword.

ຂັ້ນຕອນທີ 2. ຕັ້ງຄ່າການເຊື່ອມຕໍ່ແລະນໍາເຂົ້າຜູ້ໃຊ້ Active Directory
ເພື່ອເຮັດສິ່ງນີ້, ພວກເຮົາຕ້ອງການການເຂົ້າເຖິງ console, ແລະໂດຍກົງກັບໄຟລ໌ multiotp.php, ການນໍາໃຊ້ທີ່ພວກເຮົາຈະ configure ການເຊື່ອມຕໍ່ກັບ Active Directory.

ໄປທີ່ໄດເລກະທໍລີ /usr/local/bin/multiotp/ ແລະປະຕິບັດຄໍາສັ່ງຕໍ່ໄປນີ້ໃນທາງກັບກັນ:

./multiotp.php -config default-request-prefix-pin=0

ກຳນົດວ່າຕ້ອງການເຂັມປັກໝຸດເພີ່ມເຕີມ (ຖາວອນ) ເມື່ອໃສ່ເຂັມປັກໝຸດຄັ້ງດຽວ (0 ຫຼື 1)

./multiotp.php -config default-request-ldap-pwd=0

ກຳນົດວ່າຕ້ອງໃຊ້ລະຫັດຜ່ານໂດເມນຫຼືບໍ່ ເມື່ອໃສ່ PIN ແບບໃຊ້ເທື່ອດຽວ (0 ຫຼື 1)

./multiotp.php -config ldap-server-type=1

ປະເພດຂອງເຊີບເວີ LDAP ແມ່ນຊີ້ໃຫ້ເຫັນ (0 = ເຄື່ອງແມ່ຂ່າຍ LDAP ປົກກະຕິ, ໃນກໍລະນີຂອງພວກເຮົາ 1 = Active Directory)

./multiotp.php -config ldap-cn-identifier="sAMAccountName"

ລະບຸຮູບແບບທີ່ຈະນຳສະເໜີຊື່ຜູ້ໃຊ້ (ຄ່ານີ້ຈະສະແດງສະເພາະຊື່, ໂດຍບໍ່ມີໂດເມນ).

./multiotp.php -config ldap-group-cn-identifier="sAMAccountName"

ສິ່ງດຽວກັນ, ພຽງແຕ່ສໍາລັບກຸ່ມ

./multiotp.php -config ldap-group-attribute="memberOf"

ລະບຸວິທີການກໍານົດວ່າຜູ້ໃຊ້ເປັນຂອງກຸ່ມຫຼືບໍ່

./multiotp.php -config ldap-ssl=1

ຂ້ອຍຄວນໃຊ້ການເຊື່ອມຕໍ່ທີ່ປອດໄພກັບເຊີບເວີ LDAP (ແນ່ນອນ, ແມ່ນແລ້ວ!)

./multiotp.php -config ldap-port=636

ພອດສໍາລັບການເຊື່ອມຕໍ່ກັບເຄື່ອງແມ່ຂ່າຍ LDAP

./multiotp.php -config ldap-domain-controllers=adSRV.domain.local

ທີ່ຢູ່ເຊີບເວີ Active Directory ຂອງທ່ານ

./multiotp.php -config ldap-base-dn="CN=Users,DC=domain,DC=local"

ພວກເຮົາຊີ້ບອກບ່ອນທີ່ຈະເລີ່ມຄົ້ນຫາຜູ້ໃຊ້ໃນໂດເມນ

./multiotp.php -config ldap-bind-dn="[email protected]"

ລະບຸຜູ້ໃຊ້ທີ່ມີສິດຊອກຫາຢູ່ໃນ Active Directory

./multiotp.php -config ldap-server-password="MySuperPassword"

ລະບຸລະຫັດຜ່ານຂອງຜູ້ໃຊ້ເພື່ອເຊື່ອມຕໍ່ກັບ Active Directory

./multiotp.php -config ldap-network-timeout=10

ກໍານົດເວລາຫມົດເວລາສໍາລັບການເຊື່ອມຕໍ່ Active Directory

./multiotp.php -config ldap-time-limit=30

ພວກເຮົາກໍານົດເວລາຈໍາກັດສໍາລັບການດໍາເນີນງານການນໍາເຂົ້າຜູ້ໃຊ້

./multiotp.php -config ldap-activated=1

ການເປີດໃຊ້ການຕັ້ງຄ່າການເຊື່ອມຕໍ່ Active Directory

./multiotp.php -debug -display-log -ldap-users-sync

ພວກເຮົານໍາເຂົ້າຜູ້ໃຊ້ຈາກ Active Directory

ຂັ້ນຕອນທີ 3. ສ້າງລະຫັດ QR ສໍາລັບ token
ທຸກສິ່ງທຸກຢ່າງຢູ່ທີ່ນີ້ແມ່ນງ່າຍດາຍທີ່ສຸດ. ເປີດການໂຕ້ຕອບເວັບຂອງເຄື່ອງແມ່ຂ່າຍ OTP ໃນຕົວທ່ອງເວັບ, ເຂົ້າສູ່ລະບົບ (ຢ່າລືມປ່ຽນລະຫັດຜ່ານເລີ່ມຕົ້ນສໍາລັບ admin!), ແລະຄລິກໃສ່ປຸ່ມ "ພິມ":

ຜົນໄດ້ຮັບຂອງການປະຕິບັດນີ້ຈະເປັນຫນ້າທີ່ມີສອງລະຫັດ QR. ພວກເຮົາບໍ່ສົນໃຈອັນທຳອິດຂອງມັນຢ່າງກ້າຫານ (ເຖິງວ່າມີຄຳຈາລຶກທີ່ໜ້າສົນໃຈຂອງ Google Authenticator / Authenticator / 2 Steps Authenticator), ແລະອີກເທື່ອໜຶ່ງ ພວກເຮົາສະແກນລະຫັດທີສອງຢ່າງກ້າຫານເຂົ້າໄປໃນ token ຊອບແວຢູ່ໃນໂທລະສັບ:

(ແມ່ນແລ້ວ, ຂ້ອຍໄດ້ທຳລາຍລະຫັດ QR ໂດຍເຈດຕະນາເພື່ອເຮັດໃຫ້ມັນອ່ານບໍ່ໄດ້).

ຫຼັງຈາກສໍາເລັດການປະຕິບັດເຫຼົ່ານີ້, ລະຫັດຜ່ານຫົກຕົວເລກຈະເລີ່ມຖືກສ້າງຂຶ້ນໃນຄໍາຮ້ອງສະຫມັກຂອງທ່ານທຸກໆສາມສິບວິນາທີ.

ເພື່ອໃຫ້ແນ່ໃຈວ່າ, ທ່ານສາມາດກວດເບິ່ງມັນຢູ່ໃນການໂຕ້ຕອບດຽວກັນ:

ໂດຍການໃສ່ຊື່ຜູ້ໃຊ້ ແລະລະຫັດຜ່ານຄັ້ງດຽວຈາກແອັບພລິເຄຊັນໃນໂທລະສັບຂອງທ່ານ. ທ່ານໄດ້ຮັບຄໍາຕອບໃນທາງບວກບໍ? ດັ່ງນັ້ນພວກເຮົາກ້າວຕໍ່ໄປ.

ຂັ້ນ​ຕອນ​ທີ 4. ການ​ຕັ້ງ​ຄ່າ​ເພີ່ມ​ເຕີມ​ແລະ​ການ​ທົດ​ສອບ​ການ​ດໍາ​ເນີນ​ງານ FreeRADIUS​
ດັ່ງທີ່ຂ້າພະເຈົ້າໄດ້ກ່າວມາຂ້າງເທິງ, multiOTP ໄດ້ຖືກຕັ້ງຄ່າແລ້ວເພື່ອເຮັດວຽກກັບ FreeRADIUS, ທັງຫມົດທີ່ຍັງເຫຼືອແມ່ນເພື່ອດໍາເນີນການທົດສອບແລະເພີ່ມຂໍ້ມູນກ່ຽວກັບປະຕູ VPN ຂອງພວກເຮົາກັບໄຟລ໌ການຕັ້ງຄ່າ FreeRADIUS.

ພວກເຮົາກັບຄືນໄປຫາ server console, ໄປຫາໄດເລກະທໍລີ /usr/local/bin/multiotp/, ເຂົ້າ:

./multiotp.php -config debug=1
./multiotp.php -config display-log=1

ລວມທັງການບັນທຶກລາຍລະອຽດເພີ່ມເຕີມ.

ໃນໄຟລ໌ການຕັ້ງຄ່າລູກຄ້າ FreeRADIUS (/etc/freeradius/clinets.conf) ຄໍາ​ຄິດ​ເຫັນ​ອອກ​ສາຍ​ທັງ​ຫມົດ​ທີ່​ກ່ຽວ​ຂ້ອງ​ກັບ​ localhost ແລະເພີ່ມສອງລາຍການ:

client localhost {
        ipaddr = 127.0.0.1
        secret          = testing321
        require_message_authenticator = no
}

- ສໍາ​ລັບ​ການ​ທົດ​ສອບ​

client 192.168.1.254/32 {
        shortname =     CiscoASA
        secret =        ConnectToRADIUSSecret
}

- ສໍາລັບປະຕູ VPN ຂອງພວກເຮົາ.

Restart FreeRADIUS ແລະພະຍາຍາມເຂົ້າສູ່ລະບົບ:

radtest username 100110 localhost 1812 testing321

ບ່ອນທີ່ ຊື່ຜູ້ໃຊ້ = ຊື່​ຜູ້​ໃຊ້​, 100110 = ລະ​ຫັດ​ຜ່ານ​ໃຫ້​ພວກ​ເຮົາ​ໂດຍ​ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ​ໃນ​ໂທລະ​ສັບ​, localhost = ທີ່ຢູ່ເຊີບເວີ RADIUS, 1812 - ພອດເຊີບເວີ RADIUS, test321 — ລະ​ຫັດ​ຜ່ານ​ລູກ​ຄ້າ​ເຄື່ອງ​ແມ່​ຂ່າຍ RADIUS (ທີ່​ພວກ​ເຮົາ​ລະ​ບຸ​ໄວ້​ໃນ​ການ​ຕັ້ງ​ຄ່າ​)​.

ຜົນໄດ້ຮັບຂອງຄໍາສັ່ງນີ້ຈະໄດ້ຮັບການ output ປະມານດັ່ງຕໍ່ໄປນີ້:

Sending Access-Request of id 44 to 127.0.0.1 port 1812
        User-Name = "username"
        User-Password = "100110"
        NAS-IP-Address = 127.0.1.1
        NAS-Port = 1812
        Message-Authenticator = 0x00000000000000000000000000000000
rad_recv: Access-Accept packet from host 127.0.0.1 port 1812, id=44, length=20

ໃນປັດຈຸບັນພວກເຮົາຈໍາເປັນຕ້ອງໃຫ້ແນ່ໃຈວ່າຜູ້ໃຊ້ໄດ້ຖືກຮັບຮອງຢ່າງສໍາເລັດຜົນ. ເພື່ອເຮັດສິ່ງນີ້, ພວກເຮົາຈະເບິ່ງບັນທຶກຂອງ multiotp ຕົວຂອງມັນເອງ:

tail /var/log/multiotp/multiotp.log

ແລະຖ້າການເຂົ້າສຸດທ້າຍມີ:

2016-09-01 08:58:17     notice  username  User    OK: User username successfully logged in from 127.0.0.1
2016-09-01 08:58:17     debug           Debug   Debug: 0 OK: Token accepted from 127.0.0.1

ຫຼັງຈາກນັ້ນ, ທຸກສິ່ງທຸກຢ່າງແມ່ນດີແລະພວກເຮົາສາມາດສໍາເລັດ

ຂັ້ນຕອນທີ 5: ຕັ້ງຄ່າ Cisco ASA
ໃຫ້ຕົກລົງກັນວ່າພວກເຮົາມີກຸ່ມແລະນະໂຍບາຍສໍາລັບການເຂົ້າເຖິງຜ່ານ SLL VPN ແລ້ວ, ຕັ້ງຄ່າໂດຍສົມທົບກັບ Active Directory, ແລະພວກເຮົາຈໍາເປັນຕ້ອງເພີ່ມການກວດສອບສອງປັດໃຈສໍາລັບໂປຣໄຟລ໌ນີ້.

1. ເພີ່ມກຸ່ມເຊີບເວີ AAA ໃຫມ່:

2. ເພີ່ມເຄື່ອງແມ່ຂ່າຍ multiOTP ຂອງພວກເຮົາເຂົ້າໃນກຸ່ມ:

3. ພວກເຮົາແກ້ໄຂ ໂປຣໄຟລ໌ການເຊື່ອມຕໍ່, ຕັ້ງກຸ່ມເຊີບເວີ Active Directory ເປັນເຊີບເວີການພິສູດຢືນຢັນຫຼັກ:

4. ຢູ່ໃນແຖບ ຂັ້ນສູງ -> ການພິສູດຢືນຢັນ ພວກເຮົາຍັງເລືອກກຸ່ມເຊີບເວີ Active Directory:

5. ຢູ່ໃນແຖບ ຂັ້ນສູງ -> ມັດທະຍົມ ການກວດສອບຄວາມຖືກຕ້ອງ, ເລືອກກຸ່ມເຊີບເວີທີ່ສ້າງຂື້ນເຊິ່ງເຄື່ອງແມ່ຂ່າຍ multiOTP ຖືກລົງທະບຽນ. ກະລຸນາຮັບຊາບວ່າຊື່ຜູ້ໃຊ້ Session ແມ່ນສືບທອດມາຈາກກຸ່ມເຊີບເວີ AAA ຫຼັກ:

ນຳໃຊ້ການຕັ້ງຄ່າ ແລະ

ຂັ້ນຕອນທີ 6, aka ອັນສຸດທ້າຍ
ໃຫ້ກວດເບິ່ງວ່າການກວດສອບສອງປັດໃຈເຮັດວຽກສໍາລັບ SLL VPN:

ວ້າວ! ເມື່ອເຊື່ອມຕໍ່ຜ່ານ Cisco AnyConnect VPN Client, ທ່ານຈະຖືກຖາມຫາລະຫັດຜ່ານຄັ້ງດຽວເທື່ອທີສອງ.

ຂ້າ​ພະ​ເຈົ້າ​ຫວັງ​ວ່າ​ບົດ​ຄວາມ​ນີ້​ຈະ​ຊ່ວຍ​ໃຫ້​ຜູ້​ໃດ​ຜູ້​ຫນຶ່ງ, ແລະ​ວ່າ​ມັນ​ຈະ​ໃຫ້​ຜູ້​ໃດ​ຜູ້​ຫນຶ່ງ​ອາ​ຫານ​ສໍາ​ລັບ​ການ​ຄິດ​ກ່ຽວ​ກັບ​ວິ​ທີ​ການ​ນໍາ​ໃຊ້​ນີ້, ຟຣີ ເຊີບເວີ OTP, ສໍາລັບວຽກງານອື່ນໆ. ແບ່ງປັນໃນຄໍາເຫັນຖ້າທ່ານຕ້ອງການ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com