Implementación de la autenticación de dos factores en MikroTik VPN

Esta guía explica cómo activar la autenticación de dos factores (2FA) de Protectimus para los usuarios que se conectan a MikroTik VPN.

El sistema de autenticación de dos factores de Protectimus puede integrarse con MikroTik VPN mediante el protocolo de autenticación RADIUS. Para ello, debe instalar el componente on-premise Protectimus RADIUS Server y configurar MikroTik VPN para que utilice Protectimus RADIUS Server en la autenticación de los usuarios.

El esquema siguiente muestra cómo funciona la solución de autenticación de dos factores de Protectimus para MikroTik VPN.

1. Cómo funciona la autenticación de dos factores (2FA) en MikroTik VPN

Después de integrar MikroTik VPN con el sistema MFA de Protectimus, los usuarios deberán superar dos etapas de autenticación para conectarse a MikroTik VPN:

1. Introducen su nombre de usuario y contraseña.
2. Introducen el código de acceso de un solo uso, que solo es válido durante 30 segundos.

Para generar códigos de acceso de un solo uso, los usuarios podrán utilizar los siguientes tipos de tokens de autenticación de dos factores:

• Tokens OTP de hardware clásicos y programables con formato de llavero o tarjeta de plástico;
• La aplicación 2FA Protectimus SMART OTP para iOS y Android;
• Otras aplicaciones 2FA compatibles con TOTP, incluido Google Authenticator;
• Envío de contraseñas de un solo uso mediante chatbots de Telegram, Messenger o Viber;
• Autenticación por SMS;
• Envío de contraseñas de un solo uso por correo electrónico.

Para un atacante, resulta difícil vulnerar dos factores de autenticación de distinta naturaleza —algo que el usuario sabe y algo que posee— y utilizarlos simultáneamente en un plazo de 30 segundos, durante el cual permanece activa la contraseña de un solo uso. Por ello, la autenticación de dos factores es una de las mejores medidas de seguridad para MikroTik VPN.

2. Cómo activar 2FA en MikroTik VPN

Puede configurar la autenticación de dos factores (2FA) de MikroTik VPN con Protectimus mediante el protocolo RADIUS:

1. Regístrese en Protectimus SAAS Service o instale On-Premise 2FA Platform y configure los ajustes básicos.
2. Instale y configure Protectimus RADIUS Server.
3. Configure el cliente VPN de MikroTik.
4. Configure la VPN de Windows.

2.1. Registrarse y configurar los ajustes básicos de Protectimus

Elija el tipo de implementación y complete la configuración básica:

Protectimus Cloud Service

1. Registrarse en Protectimus Cloud Service y activar la API.
2. Añadir un recurso.
3. Añadir usuarios.
4. Añadir tokens manualmente o activar el portal de autoservicio para usuarios.
5. Asignar tokens a los usuarios.
6. Asignar usuarios y tokens al recurso.

Protectimus On-Premise Platform

1. Instalar Protectimus On-Premise Platform. Si instala Protectimus Platform en Windows, seleccione la opción RADIUS durante la instalación.
2. Añadir un recurso.
3. Añadir usuarios.
4. Añadir tokens manualmente o activar el portal de autoservicio para usuarios.
5. Asignar tokens a los usuarios.
6. Asignar al recurso los tokens junto con los usuarios.

2.2. Instalar y configurar Protectimus RADIUS Server

Encontrará instrucciones detalladas para instalar y configurar Protectimus RADIUS Server para la autenticación de dos factores de MikroTik VPN mediante RADIUS en nuestra guía de instalación de Protectimus RADIUS Server para la 2FA de MikroTik VPN.

2.3. Configurar el cliente VPN de MikroTik

1. Abra Webfig.
2. En el menú de la izquierda, seleccione la pestaña RADIUS.
3. Haga clic en Add New para configurar Protectimus RADIUS Server como servidor RADIUS.
4. Marque ppp e ipsec en la sección Service.
5. Marque login en la sección Service.
6. Indique la IP del servidor donde está instalado Protectimus RADIUS Server.
7. Establezca Protocol en udp.
8. Indique el secreto compartido creado en el archivo radius.yml de Protectimus (propiedad radius.secret).
9. Cambie el tiempo de espera predeterminado a 30000 ms o más.
10. Haga clic en OK para guardar los ajustes.

11. En el menú de la izquierda, seleccione la pestaña PPP.
12. Seleccione la pestaña Interface y, a continuación, haga clic en PPTP Server, SSTP Server, L2TP Server o OVPN Server según el que utilice.
13. Marque pap y desmarque las demás casillas de Authentication. Haga clic en OK.
14. Seleccione la pestaña Secrets y haga clic en el botón PPP Authentication & Accounting.

15. Marque Use Radius y haga clic en OK para finalizar la configuración y habilitar la autenticación de dos factores de Protectimus en la VPN.

2.4. Configurar la VPN de Windows

1. En Windows, vaya a Settings –> Network & Internet –> VPN y seleccione Add a VPN connection.
2. Complete el formulario y haga clic en Save. Consulte la siguiente imagen y tabla.

3. Vaya a Control Panel → Network and Sharing Center y seleccione las opciones de Change adapter.
4. Haga clic con el botón derecho en la conexión MikroTik recién creada y seleccione Properties.
5. Seleccione la pestaña Security.
6. Seleccione Allow these protocols y, a continuación, marque la casilla Unencrypted password (PAP).
7. A continuación, haga clic en OK para guardar los cambios.

La integración de la autenticación de dos factores (2FA/MFA) para MikroTik VPN ha finalizado.

Si tiene alguna otra pregunta, póngase en contacto con el servicio de atención al cliente de Protectimus.