Использование внешнего RADIUS для обеспечения двухфакторной аутентификации on Infrascope

Настройка

Mon, 01 Jan 0001 00:00:00 +0000

В веб-интерфейсе Infrascope перейдите в раздел Администрирование > Настройка системы.
Установите следующие параметры:
- mfa.provider = radius (определяет метод двухфакторной авторизации).
- mfa.external.provider.radius.host (cодержит строку подключения к Radius-серверам в формате URL в виде списка узлов, разделенного ';'. Пример: radius://<secret>@<radius.host1>/<nas- id>?auth-protocol=pap,timeout=5000,pri ority=100; radius://<secret>@<radius.host2>/?nas-id=<nas-id>. Параметр должен быть сохранен с включенным значением Шифрование).
- mfa.external.provider.radius.nas-id (предназначен для указания идентификатора NAS-ID. Данный параметр система будет считать как значение по умолчанию для всех узлов, если не указано другое значение для конкретного узла в строке подключения).
- mfa.external.provider.radius.proto (предназначен для указания протокола аутентификации. Аналогично, как и с параметром "nas-id", является значением по умолчанию для всех узлов описываемого NLB-кластера. Может быть пустым, по умолчанию используется "PAP". Может указываться конкретно для каждого узла кластера в строке подключения (параметр auth-protocol=pap или auth-proto=pap или proto=pap)).
- mfa.external.provider.radius.user-field (предназначен для указания названия поля (или уникального свойства пользователей), по которому идет идентификация пользователя. По умолчанию username. Также является единым для всех узлов описываемого NLB-кластера. Может принимать значения: email, phone).
- mfa.external.provider.radius.domain (предназначен для указания домена, к которому относится NLB-кластер. Также является единым для всех узлов описываемого NLB-кластера).

Мультидоменность

Mon, 01 Jan 0001 00:00:00 +0000

Мультидоменность подразумевает описание нескольких Radius NLB-кластеров, для каждого из которых необходимо указывать (в соответствующем поле) имя домена, в котором нужно аутентифицировать пользователя.

Описание каждого NLB-кластера должно содержать символьный суффикс, приписанный к названию вышеуказанных полей: mfa.external.provider.radius.host_a1.

Суффикс обязательно должен начинаться с символа '_'.

Для каждого набора настроек должен использоваться единый суффикс, по которому система распознает NLB-кластер.

Radius NLB-кластер, указанный без суффикса, система считает используемым по умолчанию, и будет отправлять запрос на аутентификацию, если не найден домен пользователя.

Настройка 2FA при входе в веб-интерфейс Infrascope и подключении к контролируемым устройствам

Mon, 01 Jan 0001 00:00:00 +0000

2FA может дополнительно запрашиваться в следующих сценариях:

При входе в веб-интерфейс Infrascope.
Для этого в разделе Администрирование > Настройка системы добавьте параметр sc.portal.otp.enabled=true.
При открытии RDP-сессии.
Для этого в разделе Администрирование > Настройка системы добавьте параметры:
- sc.rdp.connection.otp.enabled=true.
- sc.rdp.otp.cache.enabled=true – параметр, включающий функцию кеширования OTP, после ввода которого пользователю не будет предложен повторный ввод в течение срока действия кэша.
- sc.rdp.otp.cache.seconds=300 – время кеширования в секундах.
При открытии SSH-сессии или авторизации и подключении к контролируемым устройствам с помощью SSH Proxy.

Проверка и отладка

Mon, 01 Jan 0001 00:00:00 +0000

Для проверки выполненных настроек авторизуйтесь, например, в веб-интерфейсе Infrascope пользователем, который имеет настроенную двухфакторную авторизацию.
Проверьте системное время на сервере Infrascope. Оно должно совпадать с временем на Radius-сервере. Несовпадение или большая разница во времени может являться причиной неподтвержденной авторизации со стороны Radius-сервера.
Для проверки работоспособности настроенной интеграции необходимо открыть лог-файл в SSH-консоли сервера Infrascope с помощью команды tail -f /u01/netright-tomcat/logs/catalina.out.

Пример успешной авторизации в системе:

INFO [https-jsse-nio-443-exec-7] c.k.s.a.t.i.s.RadiusMFAProvider.isOTPValid (RadiusMFAProvider.java:72) - start validate token: <номер_токена> user: <имя_пользователя>
INFO [https-jsse-nio-443-exec-7] org.tinyradius.util.RadiusClient.authenticate send Access-Request packet: Access-Request, ID 1
User-Name: <имя_пользователя>
NAS-Identifier: <NAS_ID>
INFO [https-jsse-nio-443-exec-7] org.tinyradius.util.RadiusClient.communicate communication failure, retry 1
INFO [https-jsse-nio-443-exec-7] org.tinyradius.util.RadiusClient.authenticate received packet: Access-Accept, ID 1
INFO [https-jsse-nio-443-exec-7] c.k.s.a.t.i.s.RadiusMFAProvider.verifyToken (RadiusMFAProvider.java:108) - Accepted token