Налаштування двофакторної автентифікації в Aruba ClearPass

Ця інструкція показує, як налаштувати двофакторну автентифікацію для комутаторів Aruba. Для цього потрібно інтегрувати Aruba ClearPass з рішенням Protectimus для багатофакторної автентифікації (MFA). Ви можете використовувати як хмарний сервіс Protectimus Cloud MFA, так і локальну платформу Protectimus On-Premise MFA, яку необхідно встановити у власній інфраструктурі клієнта або приватному хмарному середовищі.

Сервер двофакторної автентифікації Protectimus взаємодіє з мережевим обладнанням Aruba за допомогою протоколу автентифікації RADIUS. Компонент Protectimus RADIUS Server виступає як RADIUS сервер:

1. Він приймає вхідний запит на автентифікацію через RADIUS.
2. Далі він звертається до каталогу користувачів (Active Directory тощо), щоб перевірити логін та пароль користувача.
3. Наступний крок – перевірка одноразового пароля. Для цього компонент Protectimus RADIUS Server звертається до сервера двофакторної автентифікації Protectimus.
4. Якщо обидва фактори автентифікації правильні, Protectimus RADIUS Server дозволяє користувачу підключитися до комутатора Aruba.

Діаграма нижче показує, як працює система двофакторної автентифікації Protectimus для мережевих пристроїв Aruba.

1. Як працює двофакторна автентифікація (2FA) на комутаторах Aruba

Двофакторна автентифікація (2FA / MFA) захищає облікові записи користувачів від атак, таких як брутфорс, фішинг, кейлогери, атаки “людина посередині”, соціальна інженерія, спуфінг даних тощо.

Після налаштування двофакторної автентифікації для підключення до комутаторів Aruba, користувачі використовуватимуть два різні фактори для автентифікації.

1. Перший фактор – це логін та пароль (те, що знає користувач);
2. Другий фактор – це одноразовий пароль, згенерований за допомогою апаратного токена OTP або смартфона (який належить користувачу).

Для того, щоб зламати обліковий запис користувача, хакер має отримати доступ до двох паролів одночасно, що майже неможливо. Крім того, у нього є всього 30 секунд, щоб зламати і використати один з цих паролів.

2. Як налаштувати багатофакторну автентифікацію (MFA) для комутаторів Aruba

Ви можете налаштувати двофакторну автентифікацію (2FA) для комутаторів Aruba за допомогою протоколу RADIUS і рішення Protectimus:

1. Зареєструйтесь у SAAS сервісі Protectimus або встановіть локальну платформу Protectimus та налаштуйте основні параметри.
2. Встановіть та налаштуйте Protectimus RADIUS Server.
3. Додайте Protectimus у якості RADIUS сервера для вашого комутатора Aruba.

2.1. Зареєструйтеся та налаштуйте основні параметри Protectimus

1. Зареєструйтеся в хмарному сервісі Protectimus і активуйте API або встановіть локальну платформу Protectimus (якщо ви встановлюєте платформу Protectimus на Windows, не забудьте позначити опцію Radius).
2. Додайте ресурс.
3. Додайте користувачів.
4. Додайте Токени або активуйте Портал самообслуговування користувачів.
5. Призначте токени користувачам.
6. Призначте токени з користувачами на ресурс.

2.2. Встановіть та налаштуйте Protectimus RADIUS Server

Детальну інформацію щодо встановлення та налаштування Protectimus RADIUS Server для двофакторної автентифікації на комутаторах Aruba за допомогою RADIUS можна знайти в нашому Посібнику з налаштування Protectimus RADIUS Server для Aruba Switches 2FA.

2.3. Додайте Protectimus як RADIUS сервер для вашого комутатора Aruba

Існує два способи налаштування багатофакторної автентифікації для комутатора Aruba через RADIUS:

• Налаштування через WebUI. Доступно для старих версій Aruba ClearPass.
• Налаштування через CLI. Нові версії комутаторів Aruba можна налаштувати лише через консоль налаштувань.

Дотримуйтесь лише кроків обраного способу налаштування.

2.3.1. Як налаштувати багатофакторну автентифікацію (MFA) для комутаторів Aruba через WebUI

1. У веб-інтерфейсі Aruba Networks ClearPass перейдіть у розділ Configuration -> Security -> Authentication -> Servers.
2. Оберіть RADIUS Server, щоб побачити список серверів RADIUS.
3. Введіть назву для нового сервера, наприклад, Protectimus, і натисніть Add.
4. Клікніть на назву сервера, щоб налаштувати параметри, такі як IP-адреса, та активуйте сервер, поставивши галочку в полі Mode.
5. Натисніть Apply.
6. Клікніть на Server Group, щоб побачити список доступних груп.
7. Задайте назву для нової групи серверів, наприклад, corp_radius, та натисніть Add.
8. Натисніть на назву, щоб налаштувати параметри.
9. У розділі Servers виберіть New, щоб додати сервер до групи.
10. Зі списку виберіть сервер (Protectimus) і натисніть Add Server.
11. Натисніть Apply.
12. Перейдіть до Configuration –> Management –> Administration.
13. У розділі Management Authentication Servers виберіть роль управління, наприклад, root, для Default Role.
14. Поставте галочку в полі Mode для активації налаштувань.
15. У полі Server Group виберіть нову групу серверів, у нашому прикладі, corp_radius.
16. Натисніть Apply.

2.3.2. Як налаштувати багатофакторну автентифікацію (MFA) для комутаторів Aruba через CLI

Як додати новий RADIUS сервер

aaa authentication-server radius Protectimus
  host <ipaddr>
  enable

Як додати нову групу серверів

aaa server-group corp_radius
  auth-server Protectimus

Як налаштувати роль для групи серверів

aaa authentication mgmt
  default-role root
  enable
  server-group corp_radius

Інтеграція двофакторної автентифікації (2FA/MFA) для вашого Aruba ClearPass завершена. Якщо у вас є запитання, зверніться до служби підтримки клієнтів Protectimus.