Как настроить MFA для Sophos VPN через RADIUS

Вы можете легко настроить двухфакторную аутентификацию (2FA) для Sophos Firewall VPN с помощью Protectimus по протоколу RADIUS. Добавив MFA в качестве дополнительного уровня безопасности, вы сможете надежнее защитить удалённый доступ к сети, даже если пароль пользователя будет скомпрометирован.

Protectimus обеспечивает многофакторную аутентификацию для Sophos Firewall VPN с помощью Protectimus RADIUS Server. Он получает запросы аутентификации от Sophos Firewall, проверяет факторы аутентификации и возвращает ответ, разрешающий или запрещающий доступ.

Ниже представлена схема работы решения Protectimus для двухфакторной аутентификации Sophos Firewall VPN.

1. Как работает 2FA для Sophos Firewall VPN

Решение Protectimus для двухфакторной аутентификации Sophos Firewall VPN обеспечивает дополнительный уровень безопасности, предотвращающий несанкционированный доступ к VPN.

После включения двухфакторной аутентификации (2FA) для Sophos Firewall VPN пользователи проходят проверку с помощью двух разных факторов:

1. Первый фактор — это имя пользователя и пароль (то, что пользователь знает);
2. Второй фактор — это одноразовый пароль, который генерируется аппаратным OTP-токеном или приложением-аутентификатором на смартфоне (то, чем пользователь владеет).

Это означает, что одного скомпрометированного пароля недостаточно для доступа к Sophos Firewall VPN, поскольку также требуется действующий одноразовый пароль.

2. Как включить 2FA для Sophos Firewall VPN

Вы можете настроить многофакторную аутентификацию (2FA) для Sophos Firewall VPN с помощью Protectimus по протоколу RADIUS:

1. Зарегистрируйтесь в Protectimus Cloud Service либо установите локальную MFA-платформу и выполните базовую настройку.
2. Установите и настройте Protectimus RADIUS Server.
3. Добавьте Protectimus как RADIUS-сервер в Sophos Firewall.
4. Настройте Sophos Firewall для использования Protectimus RADIUS Server при аутентификации VPN.

2.1. Регистрация и базовая настройка Protectimus

Выберите вариант развёртывания и выполните базовую настройку:

Облачный сервис Protectimus

1. Зарегистрируйтесь в Protectimus Cloud Service и активируйте API.
2. Добавьте ресурс.
3. Добавьте пользователей.
4. Добавьте токены вручную или активируйте Портал самообслуживания пользователей.
5. Назначьте токены пользователям.
6. Назначьте пользователей и токены ресурсу.

Локальная платформа Protectimus

1. Установите локальную платформу Protectimus. Если вы устанавливаете платформу Protectimus в Windows, выберите параметр RADIUS во время установки.
2. Добавьте ресурс.
3. Добавьте пользователей.
4. Добавьте токены вручную или активируйте Портал самообслуживания пользователей.
5. Назначьте токены пользователям.
6. Назначьте токены вместе с пользователями ресурсу.

2.2. Установка и настройка Protectimus RADIUS Server

Установите и настройте Protectimus RADIUS Server, следуя нашему руководству по установке Protectimus RADIUS Server.

При настройке RADIUS Server убедитесь, что Sophos Firewall разрешено отправлять запросы аутентификации на Protectimus RADIUS Server, и запишите порт аутентификации и общий секрет. Те же параметры потребуется указать при настройке RADIUS-сервера в Sophos Firewall.

Примечание: Если ваш клиент Sophos VPN не поддерживает обмен RADIUS Access-Challenge для OTP-аутентификации, настройте Protectimus RADIUS Server на использование inline-режима. В этом режиме пароль пользователя и одноразовый пароль отправляются вместе в одном запросе аутентификации.

2.3. Добавление Protectimus как RADIUS-сервера в Sophos Firewall

1. Войдите в веб-консоль администрирования Sophos Firewall.
2. Перейдите в раздел Authentication → Servers.
3. Нажмите Add для добавления нового сервера аутентификации.
   
   
   
   
4. Настройте параметры RADIUS-сервера следующим образом.
   
   

   Server type	Выберите RADIUS server.
   Server name	Введите имя сервера, например Protectimus RADIUS Server.
   Server IP	Введите IP-адрес сервера, на котором установлен компонент Protectimus RADIUS Server.
   Authentication port	Введите 1812 или порт аутентификации, настроенный для Protectimus RADIUS Server.
   Time-out	Установите тайм-аут 60 секунд.
   Enable accounting	Включите этот параметр.
   Accounting port	Введите 1813.
   Shared secret	Введите тот же общий секрет, который настроен для клиента Sophos Firewall в конфигурации Protectimus RADIUS Server.
   Domain Name	При необходимости введите имя домена. Это поле необязательно.
   Group name attribute	Введите атрибут имени группы, настроенный для вашей конфигурации RADIUS.

   
   
5. Нажмите Test connection и укажите необходимые учётные данные пользователя, чтобы проверить подключение к RADIUS-серверу.


6. Нажмите Save для сохранения конфигурации RADIUS-сервера.
   
   
   

2.4. Настройка Sophos Firewall для использования Protectimus RADIUS при аутентификации VPN

В этом руководстве предполагается, что необходимое VPN-подключение уже настроено в Sophos Firewall.

После добавления Protectimus RADIUS Server настройте Sophos Firewall на его использование в качестве источника аутентификации для нужной службы VPN.

1. Перейдите в раздел Authentication → Services.
2. Для методов аутентификации VPN (IPsec/dial-in/L2TP/PPTP) выберите Protectimus RADIUS Server в качестве сервера аутентификации.
   
   
   
   
3. Для методов аутентификации SSL VPN выберите Set authentication method for SSL VPN, затем выберите Protectimus RADIUS Server.
   
   
   
   
4. Нажмите Apply в каждом настроенном разделе.

3. Проверка MFA для Sophos Firewall VPN

После настройки Protectimus RADIUS Server как источника аутентификации для нужной службы VPN проверьте конфигурацию, подключившись к соответствующей Sophos Firewall VPN.

Завершите аутентификацию, используя учётные данные пользователя и одноразовый пароль. При использовании inline-режима введите в поле пароля пароль пользователя, а затем одноразовый пароль. Например, при пароле Password123 и OTP 456789 введите Password123456789 в поле пароля.

Если оба фактора аутентификации успешно проверены, пользователю будет предоставлен доступ к VPN.

Интеграция двухфакторной аутентификации (2FA/MFA) для Sophos Firewall VPN с помощью Protectimus RADIUS Server завершена.

Если у вас остались вопросы, обратитесь в службу поддержки Protectimus.