Як налаштувати MFA для Sophos VPN через RADIUS

Ви можете легко налаштувати двофакторну автентифікацію (2FA) для Sophos Firewall VPN за допомогою Protectimus через протокол RADIUS. Додавши MFA як додатковий рівень безпеки, ви зможете краще захистити віддалений доступ до мережі, навіть якщо пароль користувача буде скомпрометовано.

Protectimus забезпечує багатофакторну автентифікацію для Sophos Firewall VPN за допомогою Protectimus RADIUS Server. Він отримує запити автентифікації від Sophos Firewall, перевіряє фактори автентифікації та повертає відповідь, що дозволяє або забороняє доступ.

Нижче наведено схему роботи рішення Protectimus для двофакторної автентифікації Sophos Firewall VPN.

1. Як працює 2FA для Sophos Firewall VPN

Рішення Protectimus для двофакторної автентифікації Sophos Firewall VPN забезпечує додатковий рівень безпеки, що запобігає несанкціонованому доступу до VPN.

Після ввімкнення двофакторної автентифікації (2FA) для Sophos Firewall VPN користувачі проходять перевірку за допомогою двох різних факторів:

1. Перший фактор — це ім’я користувача та пароль (те, що користувач знає);
2. Другий фактор — це одноразовий пароль, який генерується апаратним OTP-токеном або застосунком-автентифікатором на смартфоні (те, чим користувач володіє).

Це означає, що одного скомпрометованого пароля недостатньо для доступу до Sophos Firewall VPN, оскільки також потрібен дійсний одноразовий пароль.

2. Як увімкнути 2FA для Sophos Firewall VPN

Ви можете налаштувати багатофакторну автентифікацію (2FA) для Sophos Firewall VPN за допомогою Protectimus через протокол RADIUS:

1. Зареєструйтеся в Protectimus Cloud Service або встановіть локальну MFA-платформу та виконайте базове налаштування.
2. Установіть і налаштуйте Protectimus RADIUS Server.
3. Додайте Protectimus як RADIUS-сервер у Sophos Firewall.
4. Налаштуйте Sophos Firewall для використання Protectimus RADIUS Server під час автентифікації VPN.

2.1. Реєстрація та базове налаштування Protectimus

Виберіть варіант розгортання та виконайте базове налаштування:

Хмарний сервіс Protectimus

1. Зареєструйтеся в Protectimus Cloud Service та активуйте API.
2. Додайте ресурс.
3. Додайте користувачів.
4. Додайте токени вручну або активуйте Портал самообслуговування користувачів.
5. Призначте токени користувачам.
6. Призначте користувачів і токени ресурсу.

Локальна платформа Protectimus

1. Установіть локальну платформу Protectimus. Якщо ви встановлюєте платформу Protectimus у Windows, виберіть параметр RADIUS під час установлення.
2. Додайте ресурс.
3. Додайте користувачів.
4. Додайте токени вручну або активуйте Портал самообслуговування користувачів.
5. Призначте токени користувачам.
6. Призначте токени разом із користувачами ресурсу.

2.2. Установлення та налаштування Protectimus RADIUS Server

Установіть і налаштуйте Protectimus RADIUS Server, дотримуючись нашого посібника зі встановлення Protectimus RADIUS Server.

Під час налаштування RADIUS Server переконайтеся, що Sophos Firewall дозволено надсилати запити автентифікації на Protectimus RADIUS Server, і запишіть порт автентифікації та спільний секрет. Такі самі параметри потрібно буде вказати під час налаштування RADIUS-сервера в Sophos Firewall.

Примітка: Якщо ваш клієнт Sophos VPN не підтримує обмін RADIUS Access-Challenge для OTP-автентифікації, налаштуйте Protectimus RADIUS Server на використання inline-режиму. У цьому режимі пароль користувача та одноразовий пароль надсилаються разом в одному запиті автентифікації.

2.3. Додавання Protectimus як RADIUS-сервера в Sophos Firewall

1. Увійдіть до вебконсолі адміністрування Sophos Firewall.
2. Перейдіть до розділу Authentication → Servers.
3. Натисніть Add для додавання нового сервера автентифікації.
   
   
   
   
4. Налаштуйте параметри RADIUS-сервера таким чином.
   
   

   Server type	Виберіть RADIUS server.
   Server name	Введіть ім’я сервера, наприклад Protectimus RADIUS Server.
   Server IP	Введіть IP-адресу сервера, на якому встановлено компонент Protectimus RADIUS Server.
   Authentication port	Введіть 1812, або порт автентифікації, налаштований для Protectimus RADIUS Server.
   Time-out	Установіть тайм-аут 60 секунд.
   Enable accounting	Увімкніть цей параметр.
   Accounting port	Введіть 1813.
   Shared secret	Введіть той самий спільний секрет, який налаштовано для клієнта Sophos Firewall у конфігурації Protectimus RADIUS Server.
   Domain Name	За потреби введіть ім’я домену. Це поле необов’язкове.
   Group name attribute	Введіть атрибут імені групи, налаштований для вашої конфігурації RADIUS.

   
   
5. Натисніть Test connection і вкажіть необхідні облікові дані користувача, щоб перевірити підключення до RADIUS-сервера.


6. Натисніть Save для збереження конфігурації RADIUS-сервера.
   
   
   

2.4. Налаштування Sophos Firewall для використання Protectimus RADIUS під час автентифікації VPN

У цьому посібнику передбачається, що необхідне VPN-підключення вже налаштовано в Sophos Firewall.

Після додавання Protectimus RADIUS Server налаштуйте Sophos Firewall на його використання як джерела автентифікації для потрібної служби VPN.

1. Перейдіть до розділу Authentication → Services.
2. Для методів автентифікації VPN (IPsec/dial-in/L2TP/PPTP) виберіть Protectimus RADIUS Server як сервер автентифікації.
   
   
   
   
3. Для методів автентифікації SSL VPN виберіть Set authentication method for SSL VPN, а потім виберіть Protectimus RADIUS Server.
   
   
   
   
4. Натисніть Apply у кожному налаштованому розділі.

3. Перевірка MFA для Sophos Firewall VPN

Після налаштування Protectimus RADIUS Server як джерела автентифікації для потрібної служби VPN перевірте конфігурацію, підключившись до відповідної Sophos Firewall VPN.

Завершіть автентифікацію за допомогою облікових даних користувача та одноразового пароля. У разі використання inline-режиму введіть у поле пароля пароль користувача, а потім одноразовий пароль. Наприклад, для пароля Password123 і OTP 456789 введіть Password123456789 у поле пароля.

Якщо обидва фактори автентифікації успішно перевірено, користувачеві буде надано доступ до VPN.

Інтеграцію двофакторної автентифікації (2FA/MFA) для Sophos Firewall VPN за допомогою Protectimus RADIUS Server завершено.

Якщо у вас залишилися запитання, зверніться до служби підтримки Protectimus.