ProHoster > Blogs > Administrācija > Augsti droŔas attālās piekļuves koncepcijas īstenoŔana

Augsti droŔas attālās piekļuves koncepcijas īstenoŔana

Turpinot rakstu sēriju par organizācijas tēmu Attālās piekļuves VPN piekļuve Es nevaru nedalÄ«ties savā interesantajā izvietoÅ”anas pieredzē ļoti droÅ”a VPN konfigurācija. Netriviālu uzdevumu uzrādÄ«ja viens klients (krievu ciemos ir izgudrotāji), bet Izaicinājums tika pieņemts un radoÅ”i Ä«stenots. Rezultāts ir interesants koncepts ar Ŕādām Ä«paŔībām:

  1. Vairāki aizsardzības faktori pret termināļa ierīces aizstāŔanu (ar stingru saistību ar lietotāju);
    • Lietotāja datora atbilstÄ«bas novērtÄ“Å”ana atļautā datora pieŔķirtajam UDID autentifikācijas datubāzē;
    • Ar MFA, izmantojot datora UDID no sertifikāta sekundārajai autentifikācijai, izmantojot Cisco DUO (Varat pievienot jebkuru ar SAML/Radius saderÄ«gu vienu);
  2. Daudzfaktoru autentifikācija:
    • Lietotāja sertifikāts ar lauka pārbaudi un sekundāro autentifikāciju pret vienu no tiem;
    • PieteikÅ”anās (nemaināma, ņemta no sertifikāta) un parole;
  3. SavienojoŔā resursdatora stāvokļa novērtÄ“Å”ana (Posture)

Izmantotās risinājuma sastāvdaļas:

  • Cisco ASA (VPN vārteja);
  • Cisco ISE (autentifikācija / autorizācija / grāmatvedÄ«ba, valsts novērtējums, CA);
  • Cisco DUO (daudzfaktoru autentifikācija) (Varat pievienot jebkuru ar SAML/Radius saderÄ«gu vienu);
  • Cisco AnyConnect (daudzfunkcionāls aÄ£ents darbstacijām un mobilajām operētājsistēmām);

Sāksim ar klienta prasībām:

  1. Lietotājam, izmantojot savu PieteikÅ”anās/Paroles autentifikāciju, ir jāspēj lejupielādēt AnyConnect klientu no VPN vārtejas; visi nepiecieÅ”amie AnyConnect moduļi ir jāinstalē automātiski saskaņā ar lietotāja politiku;
  2. Lietotājam vajadzētu bÅ«t iespējai automātiski izsniegt sertifikātu (vienam no scenārijiem galvenais scenārijs ir manuāla izsniegÅ”ana un augÅ”upielāde datorā), bet es ieviesu automātisku izdoÅ”anu demonstrÄ“Å”anai (to noņemt nekad nav par vēlu).
  3. Pamata autentifikācijai jānotiek vairākos posmos, vispirms ir sertifikāta autentifikācija ar nepiecieÅ”amo lauku un to vērtÄ«bu analÄ«zi, tad login/parole, tikai Å”oreiz pieteikÅ”anās logā jāievieto sertifikāta laukā norādÄ«tais lietotājvārds PriekÅ”meta nosaukums (CN) bez iespējas rediģēt.
  4. Jums ir jāpārliecinās, ka ierÄ«ce, no kuras piesakāties, ir uzņēmuma klēpjdators, kas lietotājam ir izsniegts attālinātai piekļuvei, nevis kaut kas cits. (Lai izpildÄ«tu Å”o prasÄ«bu, ir izveidotas vairākas iespējas)
  5. SavienojoŔās ierÄ«ces (Å”ajā posmā PC) stāvoklis jānovērtē, pārbaudot veselu klientu prasÄ«bu tabulu (kopsavilkums):
    • Faili un to Ä«paŔības;
    • ReÄ£istra ieraksti;
    • OS ielāpi no nodroÅ”inātā saraksta (vēlāk SCCM integrācija);
    • Konkrēta ražotāja Anti-Virus pieejamÄ«ba un parakstu atbilstÄ«ba;
    • AtseviŔķu pakalpojumu darbÄ«ba;
    • Dažu instalētu programmu pieejamÄ«ba;

Sākumā es iesaku jums noteikti noskatīties iegūtās ievieŔanas video demonstrāciju Youtube (5 minūtes).

Tagad es ierosinu apsvērt ievieÅ”anas detaļas, kas nav aplÅ«kotas videoklipā.

Sagatavosim AnyConnect profilu:

IepriekÅ” es sniedzu piemēru profila izveidei (izvēlnes vienumam ASDM) savā rakstā par iestatÄ«Å”anu VPN slodzes lÄ«dzsvaroÅ”anas klasteris. Tagad es vēlos atseviŔķi atzÄ«mēt iespējas, kas mums bÅ«s nepiecieÅ”amas:

Profilā mēs norādīsim VPN vārteju un profila nosaukumu savienojuma izveidei ar gala klientu:

Augsti droŔas attālās piekļuves koncepcijas īstenoŔana

Konfigurēsim sertifikāta automātisko izsniegÅ”anu no profila puses, norādot Ä«paÅ”i sertifikāta parametrus un raksturÄ«gi pievērÅ”ot uzmanÄ«bu laukam Iniciāļi (I), kur konkrēta vērtÄ«ba tiek ievadÄ«ta manuāli UDID testa maŔīna (unikāls ierÄ«ces identifikators, ko Ä£enerē Cisco AnyConnect klients).

Augsti droŔas attālās piekļuves koncepcijas īstenoŔana

Å eit es vēlos izdarÄ«t lirisku atkāpi, jo Å”ajā rakstā ir aprakstÄ«ts jēdziens; demonstrācijas nolÅ«kos UDID sertifikāta izsniegÅ”anai tiek ievadÄ«ts AnyConnect profila laukā Initials. Protams, reālajā dzÄ«vē, ja jÅ«s to darāt, visi klienti Å”ajā laukā saņems sertifikātu ar vienu un to paÅ”u UDID, un viņiem nekas nedarbosies, jo viņiem ir nepiecieÅ”ams viņu konkrētā datora UDID. Diemžēl AnyConnect vēl neievieÅ” UDID lauka aizstāŔanu sertifikāta pieprasÄ«juma profilā, izmantojot vides mainÄ«go, kā tas notiek, piemēram, ar mainÄ«go. %USER%.

Ir vērts atzÄ«mēt, ka klients (Ŕī scenārija gadÄ«jumā) sākotnēji plāno patstāvÄ«gi izsniegt sertifikātus ar noteiktu UDID manuālā režīmā Ŕādiem Protected PC, kas viņam nav problēma. Tomēr lielākajai daļai no mums mēs vēlamies automatizāciju (labi, man tā ir taisnÄ«ba =)).

Un tas ir tas, ko es varu piedāvāt automatizācijas ziņā. Ja AnyConnect vēl nevar automātiski izsniegt sertifikātu, dinamiski aizstājot UDID, tad ir vēl viens veids, kas prasÄ«s nedaudz radoÅ”as domas un prasmÄ«gas rokas - es jums pastāstÄ«Å”u koncepciju. Vispirms apskatÄ«sim, kā AnyConnect aÄ£ents dažādās operētājsistēmās Ä£enerē UDID:

  • Windows ā€” SHA-256 jaucējkoda DigitalProductID un Machine SID reÄ£istra atslēgas kombinācijai
  • OSX ā€” SHA-256 hash PlatformUUID
  • Linux ā€” saknes nodalÄ«juma UUID jaucējkoda SHA-256.
  • Apple iOS ā€” SHA-256 hash PlatformUUID
  • android ā€“ SkatÄ«t dokumentu par saite

AttiecÄ«gi mēs izveidojam skriptu mÅ«su korporatÄ«vajai Windows OS, ar Å”o skriptu mēs lokāli aprēķinām UDID, izmantojot zināmas ievades, un veidojam sertifikāta izsniegÅ”anas pieprasÄ«jumu, ievadot Å”o UDID vajadzÄ«gajā laukā, starp citu, jÅ«s varat arÄ« izmantot maŔīnu AD izsniegts sertifikāts (shēmai pievienojot dubultu autentifikāciju, izmantojot sertifikātu Vairāki sertifikāti).

Sagatavosim iestatījumus Cisco ASA pusē:

Izveidosim TrustPoint ISE CA serverim, tas bÅ«s tas, kas izsniegs klientiem sertifikātus. Es neapskatÄ«Å”u atslēgu ķēdes importÄ“Å”anas procedÅ«ru; piemērs ir aprakstÄ«ts manā rakstā par iestatÄ«Å”anu VPN slodzes lÄ«dzsvaroÅ”anas klasteris. 

crypto ca trustpoint ISE-CA
 enrollment terminal
 crl configure

Mēs konfigurējam izplatÄ«Å”anu pēc tuneļa grupas, pamatojoties uz noteikumiem saskaņā ar autentifikācijai izmantotā sertifikāta laukiem. Å eit ir konfigurēts arÄ« AnyConnect profils, ko izveidojām iepriekŔējā posmā. LÅ«dzu, ņemiet vērā, ka es izmantoju vērtÄ«bu SECUREBANK-RA, lai lietotājus ar izsniegtu sertifikātu nodotu tuneļu grupai SECURE-BANK-VPN, lÅ«dzu, ņemiet vērā, ka man ir Å”is lauks AnyConnect profila sertifikāta pieprasÄ«juma kolonnā.

tunnel-group-map enable rules
!
crypto ca certificate map OU-Map 6
 subject-name attr ou eq securebank-ra
!
webvpn
 anyconnect profiles SECUREBANK disk0:/securebank.xml
 certificate-group-map OU-Map 6 SECURE-BANK-VPN
!

Autentifikācijas serveru iestatīŔana. Manā gadījumā tas ir ISE pirmajam autentifikācijas posmam un DUO (Radius Proxy) kā MFA.

! CISCO ISE
aaa-server ISE protocol radius
 authorize-only
 interim-accounting-update periodic 24
 dynamic-authorization
aaa-server ISE (inside) host 192.168.99.134
 key *****
!
! DUO RADIUS PROXY
aaa-server DUO protocol radius
aaa-server DUO (inside) host 192.168.99.136
 timeout 60
 key *****
 authentication-port 1812
 accounting-port 1813
 no mschapv2-capable
!

Mēs veidojam grupu politikas un tuneļu grupas un to palīgkomponentus:

Tuneļu grupa NoklusējumaWEBVPNGgrupa galvenokārt tiks izmantots, lai lejupielādētu AnyConnect VPN klientu un izsniegtu lietotāja sertifikātu, izmantojot ASA funkciju SCEP-Proxy; Å”im nolÅ«kam mums ir aktivizētas atbilstoŔās opcijas gan paŔā tuneļa grupā, gan saistÄ«tajā grupas politikā. AC ā€” lejupielāde, un ielādētajā AnyConnect profilā (sertifikāta izsniegÅ”anas lauki utt.). ArÄ« Å”ajā grupas politikā mēs norādām uz nepiecieÅ”amÄ«bu lejupielādēt ISE pozas modulis.

Tuneļu grupa SECURE-BANK-VPN automātiski izmantos klients, autentificējoties ar izsniegto sertifikātu iepriekŔējā posmā, jo saskaņā ar Sertifikātu karti savienojums tiks tieÅ”i uz Å”o tuneļu grupu. Es jums pastāstÄ«Å”u par interesantām iespējām Å”eit:

  • sekundārā-autentifikācijas-servera-grupa DUO # IestatÄ«t sekundāro autentifikāciju DUO serverÄ« (rādiusa starpniekserveris)
  • lietotājvārds no sertifikātaCN # Primārajai autentifikācijai mēs izmantojam sertifikāta CN lauku, lai mantotu lietotāja pieteikÅ”anos
  • sekundārais lietotājvārds no sertifikāta I # Sekundārajai autentifikācijai DUO serverÄ« mēs izmantojam izvilkto lietotājvārdu un sertifikāta laukus Initials (I).
  • pirms aizpildÄ«Å”anas lietotājvārda klients # padarÄ«t lietotājvārdu iepriekÅ” aizpildÄ«tu autentifikācijas logā bez iespējas mainÄ«t
  • Second-pre-fill-username klients paslēpt use-common-password push # Mēs slēpjam pieteikÅ”anās/paroles ievades logu sekundārajai autentifikācijai DUO un izmantojam paziņoÅ”anas metodi (sms/push/phone) - piestāj, lai pieprasÄ«tu autentifikāciju, nevis paroles lauka. Å”eit

!
access-list posture-redirect extended permit tcp any host 72.163.1.80 
access-list posture-redirect extended deny ip any any
!
access-list VPN-Filter extended permit ip any any
!
ip local pool vpn-pool 192.168.100.33-192.168.100.63 mask 255.255.255.224
!
group-policy SECURE-BANK-VPN internal
group-policy SECURE-BANK-VPN attributes
 dns-server value 192.168.99.155 192.168.99.130
 vpn-filter value VPN-Filter
 vpn-tunnel-protocol ssl-client 
 split-tunnel-policy tunnelall
 default-domain value ashes.cc
 address-pools value vpn-pool
 webvpn
  anyconnect ssl dtls enable
  anyconnect mtu 1300
  anyconnect keep-installer installed
  anyconnect ssl keepalive 20
  anyconnect ssl rekey time none
  anyconnect ssl rekey method ssl
  anyconnect dpd-interval client 30
  anyconnect dpd-interval gateway 30
  anyconnect ssl compression lzs
  anyconnect dtls compression lzs
  anyconnect modules value iseposture
  anyconnect profiles value SECUREBANK type user
!
group-policy AC-DOWNLOAD internal
group-policy AC-DOWNLOAD attributes
 dns-server value 192.168.99.155 192.168.99.130
 vpn-filter value VPN-Filter
 vpn-tunnel-protocol ssl-client 
 split-tunnel-policy tunnelall
 default-domain value ashes.cc
 address-pools value vpn-pool
 scep-forwarding-url value http://ise.ashes.cc:9090/auth/caservice/pkiclient.exe
 webvpn
  anyconnect ssl dtls enable
  anyconnect mtu 1300
  anyconnect keep-installer installed
  anyconnect ssl keepalive 20
  anyconnect ssl rekey time none
  anyconnect ssl rekey method ssl
  anyconnect dpd-interval client 30
  anyconnect dpd-interval gateway 30
  anyconnect ssl compression lzs
  anyconnect dtls compression lzs
  anyconnect modules value iseposture
  anyconnect profiles value SECUREBANK type user
!
tunnel-group DefaultWEBVPNGroup general-attributes
 address-pool vpn-pool
 authentication-server-group ISE
 accounting-server-group ISE
 default-group-policy AC-DOWNLOAD
 scep-enrollment enable
tunnel-group DefaultWEBVPNGroup webvpn-attributes
 authentication aaa certificate
!
tunnel-group SECURE-BANK-VPN type remote-access
tunnel-group SECURE-BANK-VPN general-attributes
 address-pool vpn-pool
 authentication-server-group ISE
 secondary-authentication-server-group DUO
 accounting-server-group ISE
 default-group-policy SECURE-BANK-VPN
 username-from-certificate CN
 secondary-username-from-certificate I
tunnel-group SECURE-BANK-VPN webvpn-attributes
 authentication aaa certificate
 pre-fill-username client
 secondary-pre-fill-username client hide use-common-password push
 group-alias SECURE-BANK-VPN enable
 dns-group ASHES-DNS
!

Tālāk mēs pārejam uz ISE:

Konfigurējam lokālo lietotāju (var izmantot AD/LDAP/ODBC u.c.), vienkārŔības labad izveidoju lokālo lietotāju paŔā ISE un pieŔķiru laukā Detalizēta informācija: UDID dators no kuras viņam ir atļauts pieteikties, izmantojot VPN. Ja izmantoÅ”u lokālo autentifikāciju ISE, es bÅ«Å”u ierobežots tikai ar vienu ierÄ«ci, jo lauku nav daudz, bet treÅ”o puÅ”u autentifikācijas datu bāzēs man Ŕādu ierobežojumu nebÅ«s.

Augsti droŔas attālās piekļuves koncepcijas īstenoŔana

Apskatīsim autorizācijas politiku, tā ir sadalīta četros savienojuma posmos:

  • Posms 1 ā€” AnyConnect aÄ£enta lejupielādes un sertifikāta izsniegÅ”anas politika
  • Posms 2 ā€” Primārā autentifikācijas politika PieteikÅ”anās (no sertifikāta)/Parole + Sertifikāts ar UDID validāciju
  • Posms 3 ā€” Sekundārā autentifikācija, izmantojot Cisco DUO (MFA), izmantojot UDID kā lietotājvārdu + stāvokļa novērtējums
  • Posms 4 ā€” GalÄ«gā atļauja ir Ŕādā stāvoklÄ«:
    • AtbilstoÅ”s;
    • UDID validācija (no sertifikāta + pieteikÅ”anās saistÄ«Å”ana),
    • Cisco DUO MFA;
    • Autentifikācija, piesakoties;
    • Sertifikāta autentifikācija;

Augsti droŔas attālās piekļuves koncepcijas īstenoŔana

ApskatÄ«sim interesantu stāvokli UUID_VALIDĒTS, izskatās, ka autentificējoÅ”ais lietotājs patieŔām nāca no datora, kuram laukā ir piesaistÄ«ts atļauts UDID Apraksts konta nosacÄ«jumi izskatās Ŕādi:

Augsti droŔas attālās piekļuves koncepcijas īstenoŔana

1,2,3., XNUMX., XNUMX. posmā izmantotais autorizācijas profils ir Ŕāds:

Augsti droŔas attālās piekļuves koncepcijas īstenoŔana

Jūs varat precīzi pārbaudīt, kā UDID no AnyConnect klienta nonāk pie mums, apskatot klienta sesijas informāciju ISE. Detalizēti mēs redzēsim, ka AnyConnect, izmantojot mehānismu SKĀBE nosūta ne tikai informāciju par platformu, bet arī ierīces UDID kā Cisco-AV-PAIR:

Augsti droŔas attālās piekļuves koncepcijas īstenoŔana

PievērsÄ«sim uzmanÄ«bu lietotājam izsniegtajam sertifikātam un laukam Iniciāļi (I), kas tiek izmantots, lai to uzskatÄ«tu par pieteikÅ”anos sekundārajai MFA autentifikācijai pakalpojumā Cisco DUO:

Augsti droŔas attālās piekļuves koncepcijas īstenoŔana

Žurnāla DUO rādiusa starpniekservera pusē mēs varam skaidri redzēt, kā tiek veikts autentifikācijas pieprasījums, kā lietotājvārds tiek izmantots UDID:

Augsti droŔas attālās piekļuves koncepcijas īstenoŔana

No portāla DUO mēs redzam veiksmīgu autentifikācijas notikumu:

Augsti droŔas attālās piekļuves koncepcijas īstenoŔana

Un lietotāja rekvizītos man tas ir iestatīts STARP CITU, kuru izmantoju pieteikŔanai, savukārt Ŕis ir pieteikŔanās atļautais datora UDID:

Augsti droŔas attālās piekļuves koncepcijas īstenoŔana

Rezultātā mēs saņēmām:

  • Daudzfaktoru lietotāju un ierīču autentifikācija;
  • AizsardzÄ«ba pret lietotāja ierÄ«ces viltoÅ”anu;
  • IerÄ«ces stāvokļa novērtÄ“Å”ana;
  • Iespēja palielināt kontroli ar domēna maŔīnas sertifikātu utt.;
  • VisaptveroÅ”a attālināta darba vietas aizsardzÄ«ba ar automātiski izvietotiem droŔības moduļiem;

Saites uz Cisco VPN sērijas rakstiem:

Avots: www.habr.com

Pievieno komentāru