Implementación de la autenticación de dos factores en Palo Alto GlobalProtect VPN

Esta guía muestra cómo habilitar la autenticación de dos factores (2FA/MFA) para Palo Alto Networks VPN mediante Protectimus Cloud 2FA Service u On-Premise 2FA Platform.

Protectimus se integra con Palo Alto GlobalProtect VPN mediante el protocolo de autenticación RADIUS para añadir la autenticación de dos factores (2FA) a los inicios de sesión de la VPN.

En este escenario, la solución de autenticación de dos factores de Protectimus para la 2FA de Palo Alto GlobalProtect VPN actúa como servidor RADIUS, mientras que Palo Alto Networks VPN desempeña la función de cliente RADIUS. A continuación, encontrará el esquema de funcionamiento de la solución de Protectimus para la autenticación de dos factores de Palo Alto Networks VPN.

1. Cómo funciona la autenticación de dos factores (2FA) para Palo Alto Networks VPN

La autenticación de dos factores (2FA), también conocida como autenticación multifactor (MFA), es una medida de seguridad imprescindible para Palo Alto GlobalProtect VPN. La 2FA protege los inicios de sesión de Palo Alto GlobalProtect VPN frente a amenazas como el phishing, los ataques de fuerza bruta, la falsificación de datos, la ingeniería social, los keyloggers y los ataques man-in-the-middle, entre otras.

Y así es como funciona la autenticación de dos factores para Palo Alto GlobalProtect VPN:

1. Cuando un usuario inicia sesión en Palo Alto GlobalProtect VPN protegido mediante autenticación de dos factores, primero introduce el primer factor de autenticación: su nombre de usuario y contraseña habituales (algo que el usuario sabe).


2. A continuación, se le solicitará un segundo factor de autenticación: un código de acceso de un solo uso procedente del token de autenticación de dos factores (un token 2FA es algo que el usuario posee; por lo general, un smartphone o un token físico OTP similar a un llavero).

Para acceder a una cuenta de Palo Alto GlobalProtect VPN protegida mediante autenticación de dos factores, un atacante debe obtener dos factores de autenticación de distinta naturaleza, una tarea muy difícil. Además, una contraseña de un solo uso basada en el tiempo solo permanece activa durante 30 segundos, lo que dificulta mucho más el ataque y lo hace prácticamente imposible.

2. Cómo habilitar la autenticación de dos factores (2FA) para Palo Alto Networks VPN

Puede configurar la autenticación de dos factores (2FA) de Palo Alto Networks VPN con Protectimus mediante el protocolo RADIUS:

1. Regístrese en Protectimus SAAS Service o instale On-Premise 2FA Platform y configure los ajustes básicos.
2. Instale y configure Protectimus RADIUS Server.
3. Configure las políticas de autenticación VPN de Palo Alto Networks.

2.1. Registrarse y configurar los ajustes básicos de Protectimus

Elija su opción de implementación y complete la configuración básica:

Protectimus Cloud Service

1. Regístrese en Protectimus Cloud Service y active la API.
2. Añadir un recurso.
3. Añadir usuarios.
4. Añadir tokens manualmente o activar el portal de autoservicio para usuarios.
5. Asignar tokens a los usuarios.
6. Asignar usuarios y tokens al recurso.

Protectimus On-Premise Platform

1. Instalar Protectimus On-Premise Platform. Si instala Protectimus Platform en Windows, seleccione la opción RADIUS durante la instalación.
2. Añadir un recurso.
3. Añadir usuarios.
4. Añadir tokens manualmente o activar el portal de autoservicio para usuarios.
5. Asignar tokens a los usuarios.
6. Asignar al recurso los tokens junto con los usuarios.

2.2. Instalar y configurar Protectimus RADIUS Server

Encontrará instrucciones detalladas para instalar y configurar Protectimus RADIUS Server para la 2FA de Palo Alto Global Protect VPN mediante RADIUS en nuestra guía de instalación de Protectimus RADIUS Server para la 2FA de Palo Alto Networks VPN.

2.3. Configurar el perfil del servidor RADIUS de Palo Alto Networks

1. Inicie sesión en la interfaz administrativa de Palo Alto Networks.
2. En la pestaña Device, vaya a Server Profiles y, a continuación, a RADIUS.
3. Haga clic en Add para agregar un nuevo perfil de servidor RADIUS. Verá la siguiente ventana:

4. En el campo Profile Name, introduzca un nombre para el servidor RADIUS, como Protectimus RADIUS o cualquier otro que desee.
5. Aumente el valor de Timeout a al menos 30 segundos.
6. Cambie Authentication Protocol a PAP.

¡TENGA EN CUENTA!

Los usuarios de PAN-OS 7.x deben configurar el protocolo en la CLI con este comando:

set authentication radius-auth-type pap

7. Haga clic en Servers –> Add para agregar un servidor RADIUS. Después de esto, ingrese la siguiente información:

8. Haga clic en OK y guarde el nuevo perfil del servidor RADIUS.

2.4. Crear un perfil de autenticación en Palo Alto Networks

1. Vaya a la pestaña Device y navegue hasta Authentication Profile.
2. Haga clic en Add para crear un nuevo perfil de autenticación, verá la siguiente ventana:

3. Introduzca los siguientes datos:

4. Mantenga el resto de las opciones en la pantalla actual como predeterminadas.
5. A continuación, haga clic en la pestaña Advanced y seleccione el grupo all o elija un grupo específico al que se aplicará este perfil de autenticación.
6. Haga clic en OK y guarde el perfil de autenticación que ha creado.

2.5. Asignar el perfil de autenticación al portal y/o gateway de GlobalProtect

Puede configurar varias configuraciones de autenticación de clientes para el portal y las puertas de enlace de Palo Alto GlobalProtect. Para cada configuración de autenticación de cliente, puede especificar el perfil de autenticación que se aplicará a los puntos finales de un sistema operativo específico.

Este paso describe cómo agregar el perfil de autenticación a la configuración del portal o puerta de enlace Palo Alto GlobalProtect VPN. Para obtener detalles adicionales sobre la configuración de estos componentes, consulte la documentación de PaloAlto Networks en GlobalProtect Portals y GlobalProtect Gateways.

1. Vaya a Network –> GlobalProtect –> Gateways o Portals.
2. Haga clic en su puerta de enlace GlobalProtect configurada para abrir la ventana de propiedades.
3. En la nueva ventana, seleccione la pestaña Authentication.

4. Seleccione un SSL/TLS Service Profile o haga clic en Add para crear uno nuevo.
5. En función de su configuración, haga clic en la entrada actual de Client Authentication para modificarla o cree una nueva haciendo clic en Add.
6. Complete el formulario Client Authentication con la información siguiente.

7. Haga clic en OK para guardar la configuración.

La integración de la autenticación de dos factores (2FA/MFA) para Palo Alto Networks VPN ha finalizado.

Si tiene alguna otra pregunta, póngase en contacto con el servicio de atención al cliente de Protectimus.