Implementación de la autenticación de dos factores en Windows VPN

Esta guía muestra cómo configurar la 2FA para Windows VPN con Protectimus. Tras la integración, los usuarios deberán completar dos pasos:

1. Introducir su nombre de usuario y contraseña.
2. Introducir la contraseña de un solo uso, válida durante solo 30 segundos.

Para generar códigos de un solo uso pueden utilizar una aplicación 2FA, Telegram, Viber o Facebook Messenger, tokens TOTP físicos, correo electrónico o SMS.

Es casi imposible obtener simultáneamente una contraseña habitual y una OTP. Por ello, la 2FA protege las cuentas de Windows VPN frente al phishing, la fuerza bruta, los keyloggers y la ingeniería social.

1. Cómo funciona la autenticación de dos factores para Windows VPN

Esta guía utiliza el servicio 2FA en la nube o la plataforma 2FA local de Protectimus y el componente RRAS. RRAS se integra con Protectimus mediante RADIUS.

El siguiente esquema muestra cómo funciona Protectimus con Windows VPN.

2. Cómo activar 2FA para Windows VPN

Puede configurar 2FA para Windows VPN con Protectimus mediante RADIUS:

1. Regístrese en el servicio SaaS de Protectimus o instale la plataforma 2FA local y configure los ajustes básicos.
2. Instale y configure Protectimus RADIUS Server.
3. Instale y configure RRAS.
4. Configure las políticas de autenticación de Windows VPN.

2.1. Registrarse y configurar los ajustes básicos de Protectimus

Elija el tipo de implementación y complete la configuración básica:

Servicio en la nube de Protectimus

1. Regístrese y active la API.
2. Añada un recurso.
3. Añada usuarios.
4. Añada tokens manualmente o active el portal de autoservicio para usuarios.
5. Asigne tokens a los usuarios.
6. Asigne usuarios y tokens al recurso.

Plataforma local de Protectimus

1. Instale la plataforma local de Protectimus. En Windows, seleccione la opción RADIUS durante la instalación.
2. Añada un recurso.
3. Añada usuarios.
4. Añada tokens manualmente o active el portal de autoservicio para usuarios.
5. Asigne tokens a los usuarios.
6. Asigne tokens y usuarios al recurso.

2.2. Instalar y configurar Protectimus RADIUS Server

Las instrucciones detalladas para configurar Protectimus RADIUS Server para la 2FA de Windows VPN están disponibles en nuestra guía de instalación de Protectimus RADIUS Server para Windows VPN.

Especifique “inline-mode” en el archivo de configuración. En la sección “auth”, añada los siguientes ajustes; puede utilizar cualquier separador.

inline-mode:
  enabled: true
  separator: ‘,’

2.3. Instalar y configurar Routing and Remote Access Service (RRAS)

Instalación de RRAS

1. Abra Server Manager y seleccione “Add Roles and Features Wizard” en el menú Manage.
2. En “Server Roles”, seleccione “Remote Access”.
3. En “Role Services”, seleccione “Direct Access and VPN (RAS)”.
4. Complete la instalación.

Configuración de RRAS

1. Inicie “Routing and Remote Access”.
2. Seleccione “Deploy VPN only”.
3. Haga clic con el botón derecho en el nombre del servidor y seleccione “Configure and Enable Routing and Remote Access”.

4. Seleccione “Custom Configuration”.
5. Marque “VPN Access”.
6. Complete la instalación e inicie el servicio.

Configuración de la autenticación

1. Haga clic con el botón derecho en el servidor, seleccione “Properties” y abra la pestaña “Security”.
2. Seleccione “RADIUS Authentication” en la lista “Authentication Provider”.
3. Haga clic en “Configure” en esa misma lista.
4. Añada un nuevo servidor:
   
   
   • Server name: dirección IP del equipo donde está instalado el servidor RADIUS.
   • Shared Secret: secreto compartido especificado en radius.yml.
   • Seleccione también “Always use message authenticator”.
   • Deje los demás ajustes con sus valores predeterminados.
   
   
5. Guarde el servidor añadido.

6. Haga clic en “Authentication methods”.
7. Deje seleccionada únicamente la opción “Unencrypted password (PAP)”.

8. Guarde todos los ajustes.

2.4. Configurar Windows VPN

1. Abra la configuración de VPN.
2. Haga clic en “Add a VPN connection”.
   
   
   • VPN provider: Windows (built-in).
   • Server name or address: dirección de su servidor.
   • Type of sign-in info: Username and password.
   
   
3. Guarde la conexión VPN.

4. Abra Control Panel > Network and Internet > Network Connections.
5. Haga clic con el botón derecho en la conexión VPN creada y seleccione Properties.
6. En la pestaña “Security”, seleccione “Allow the following protocols”.
7. Deje únicamente “Unencrypted password (PAP)”.

8. Guarde los ajustes.
9. La configuración de 2FA para Windows VPN ha finalizado; ya puede probar la conexión.

La integración de la autenticación de dos factores en Windows VPN está completa.

Si tiene alguna pregunta, póngase en contacto con el soporte de Protectimus.