Configuración de la autenticación de dos factores para pfSense OpenVPN

Implemente autenticación de dos factores (2FA) para pfSense OpenVPN mediante el sistema de autenticación multifactor de Protectimus.

La autenticación multifactor (MFA) es un componente esencial de la ciberseguridad que protege las cuentas de usuario, la infraestructura y los datos confidenciales frente al acceso no autorizado. La integración de la 2FA en pfSense OpenVPN reduce amenazas como los ataques de fuerza bruta, los keyloggers, la falsificación de datos, el phishing, los ataques MITM y la ingeniería social.

Protectimus permite proteger el acceso a pfSense OpenVPN mediante autenticación multifactor (MFA) a través de Protectimus RADIUS Server.

El siguiente esquema describe el proceso operativo de la solución Protectimus diseñada para implementar la autenticación de dos factores en pfSense OpenVPN.

1. Cómo funciona la autenticación de dos factores para pfSense OpenVPN

La solución de autenticación de dos factores de Protectimus mejora la seguridad de pfSense OpenVPN, agregando una capa adicional de protección que frustra eficazmente cualquier intento no autorizado de acceder a su VPN.

Al activar la autenticación de dos factores (2FA) de pfSense OpenVPN, se solicitarán a los usuarios dos factores de autenticación diferentes para acceder a sus cuentas.

Al intentar acceder a sus cuentas pfSense OpenVPN protegidas con 2FA/MFA, los usuarios deberán proporcionar:

1. Su nombre de usuario y contraseña (algo que el usuario sabe).
2. Una contraseña de un solo uso exclusiva generada mediante un token OTP de hardware, un chatbot 2FA o una aplicación para smartphone (algo que el usuario posee).

Para vulnerar una instancia de pfSense OpenVPN protegida mediante autenticación de dos factores (2FA/MFA), un atacante debe obtener al mismo tiempo una contraseña convencional y una contraseña de un solo uso, y solo dispone de 30 segundos para interceptar esta última. Esta dificultad pone de manifiesto la extraordinaria eficacia de la autenticación de dos factores frente a la mayoría de los intentos de ataque.

2. Cómo habilitar 2FA para pfSense OpenVPN

Puede configurar la autenticación de dos factores (2FA) para pfSense OpenVPN con Protectimus mediante el protocolo RADIUS:

1. Regístrese en Protectimus SAAS Service o instale On-Premise 2FA Platform y configure los ajustes básicos.
2. Instale y configure Protectimus RADIUS Server.
3. Agregue Protectimus como servidor RADIUS para pfSense OpenVPN.

2.1. Registrarse y configurar los ajustes básicos de Protectimus

Elija su opción de implementación y complete la configuración básica:

Protectimus Cloud Service

1. Regístrese en Protectimus Cloud Service y active la API.
2. Añadir un recurso.
3. Añadir usuarios.
4. Añadir tokens manualmente o activar el portal de autoservicio para usuarios.
5. Asignar tokens a los usuarios.
6. Asignar usuarios y tokens al recurso.

Protectimus On-Premise Platform

1. Instalar Protectimus On-Premise Platform. Si instala Protectimus Platform en Windows, seleccione la opción RADIUS durante la instalación.
2. Añadir un recurso.
3. Añadir usuarios.
4. Añadir tokens manualmente o activar el portal de autoservicio para usuarios.
5. Asignar tokens a los usuarios.
6. Asignar al recurso los tokens junto con los usuarios.

2.2. Instalar y configurar Protectimus RADIUS Server

Encontrará instrucciones detalladas para instalar y configurar Protectimus RADIUS Server para la autenticación de dos factores de pfSense OpenVPN mediante RADIUS en nuestra guía de instalación de Protectimus RADIUS Server para la 2FA de OpenVPN pfSense.

2.3. Añadir Protectimus como servidor RADIUS para la MFA de pfSense OpenVPN

En primer lugar, asegúrese de que su fuente de autenticación esté configurada correctamente, lo que implica utilizar un proveedor de identidad (IdP) externo como OpenLDAP, Microsoft Active Directory, FreeIPA o un FreeRADIUS independiente.

Nota importante:
El FreeRADIUS integrado en pfSense tiene una gama limitada de configuraciones y no permite la especificación del atributo de correo electrónico del usuario. Debido a esta limitación, no puede emplear el FreeRADIUS interno para esta integración. En su lugar, opte por una instalación de FreeRADIUS por separado o seleccione cualquier otro proveedor de identidad mencionado en la sección anterior.

Es imprescindible disponer de un sistema pfSense correctamente configurado. Suponemos que ya ha añadido un OpenVPN Server a pfSense mediante VPN → OpenVPN. Antes de implementar la autenticación multifactor a través de Protectimus, debe tener configurada una solución de autenticación principal para los usuarios de OpenVPN. Consulte la documentación de pfsense.org si aún no ha instalado y configurado pfSense.

1. Inicie un navegador web y acceda a pfSense WebGUI.
2. Vaya a System –> Package Manager. Cambie a la pestaña Available Packages.
3. Busque openvpn-client-export y seleccione Install. Confirme la acción haciendo clic en Confirm. Tras unos instantes, recibirá la confirmación de que la instalación se ha completado correctamente. El paquete debería aparecer en la pestaña Installed Packages.

4. Acceda a la sección System –> User Manager.
5. Vaya a la pestaña Authentication Servers y seleccione Add.

6. Complete el formulario utilizando la tabla siguiente como referencia para los ajustes. Cuando termine, haga clic en Save para añadir el servidor de autenticación.

7. Seleccione la opción Save.
8. Vaya a VPN –> OpenVPN. Ubique su interfaz dentro de la lista de servidores OpenVPN. Haga clic en el icono del lápiz situado en el lado derecho.

9. Vaya a la pestaña Servers. Confirme que el Server mode está configurado como Remote Access (User Auth).
10. Verifique que el Backend for authentication está configurado con el servidor de autenticación creado en el paso 6.

11. Ajuste los demás parámetros según sus requisitos específicos. Haga clic en Save para guardar los cambios.
12. Vaya a la pestaña Client Export y, a continuación, abra Advanced –> Additional configuration options.
13. Añada la opción reneg-sec 0 a Additional configuration options.
    
    El reneg-sec n permite modificar el tiempo, en segundos, que transcurre antes de renegociar la clave del canal de datos. Establezca el valor en 0 para evitar que sea necesario volver a autenticarse mientras permanezca conectado sin interrupciones.

Recomendamos encarecidamente configurar reneg-sec con el valor 0. Si elige otro valor, es posible que los usuarios reciban solicitudes de reautenticación 2FA cuando transcurra el tiempo definido por dicho valor.

De forma predeterminada, este valor es de 3600 segundos. Por tanto, si no añade la opción reneg-sec 0 y deja Additional configuration options en blanco, se solicitará a los usuarios que vuelvan a autenticarse cada hora.

14. En Additional configuration options, incluya la opción hand-window 120. Esta opción garantiza un tiempo de espera correcto del proceso de autenticación cuando el usuario no puede completar la 2FA en el plazo establecido.
15. Utilice el botón Save as default para conservar esta alteración como configuración predeterminada.

16. Desplácese hacia abajo hasta la sección OpenVPN Clients y seleccione el botón de descarga adecuado para sus requisitos. Aunque Windows Installer es una opción habitual, puede elegir cualquiera de las opciones disponibles.

17. En este punto, dispone de un archivo o paquete de instalación adecuado para los usuarios de OpenVPN y el proceso de configuración ha finalizado. Después de instalar el paquete, los usuarios utilizarán la autenticación de dos factores de Protectimus durante el inicio de sesión en la VPN.

La integración de la autenticación de dos factores (2FA/MFA) para pfSense OpenVPN ha finalizado.

Si tiene alguna otra pregunta, póngase en contacto con el equipo de soporte de Protectimus.