You are viewing an old version of this page. View the current version.

Compare with Current View Page History

« Previous Version 20 Next »

Indeed AM NPS RADIUS Extension (RADIUS Extension) представляет собой модуль расширения Microsoft Network Policy Server (NPS, входит в состав Windows Server) и позволяет реализовать для RADIUS-совместимых сервисов и приложений технологию двухфакторной аутентификации.

Информация

Файлы для Indeed AM NPS Radius Extension расположены: indeed AM <Номер версии>\Indeed AM RADIUS Extension\<Номер версии>\

  • IndeedID.EA.RADIUS.Extension-<номер версии>.x64.ru-ru.msi - Пакет для установки Indeed AM NPS Radius Extension.
  • Misc\ - Файлы шаблонов групповых политик для дополнительной настройки сервера и провайдеров.

Установка Network Policy Server

  1. Запустить Мастер добавления ролей и компонентов (Add Roles and Features Wizard).
  2. Из списка ролей выбираем роль Службы политики сети и доступа (Network Policy and Access Services), соглашаемся с установкой дополнительных компонентов.
  3. Из списка "Службы ролей" выбираем "Сервер политики сети (Network Policy Server)"
  4. В окне "Подтверждение установки компонентов" нажимаем "Установить".

Настройка NPS Сервера

Добавление Radius-клиента

  1. Запустите "Сервер сетевых политик".

  2. Добавьте в "RADIUS-клиенты" необходимый VPN клиент. Для создания создания клиента нажмите правой кнопкой мыши по "RADIUS - Клиенты" и выберете "Новый документ".

    Информация

    При использовании проверки подлинности Chap необходимо, в параметрах учетной записи пользователя, включить "Хранить пароль, используя обратимое шифрование" и обновить пароль пользователю.

  3. В окне "Новый Radius-клиент" выполните настройку клиента.
    1. Добавьте произвольное понятное имя для добавляемого клиента (1).
    2. Укажите IP адрес (2).
    3. Задайте секретный ключ для соединения (3).

      Информация

      Необходимо указать секретный ключ, который был создан на клиенте. Если подключение со стороны клиента ещё не было настроено, задайте произвольный ключ и запомните его. Данный ключ потребуется указать при настройке подключения со стороны клиента.


Добавление сетевой политики

  1. Запустите "Сервер сетевых политик".
  2. Раскройте раздел "Политики".
  3. Нажмите правой кнопкой мыши по разделу "Сетевые политики" и выберете "Новый документ".

  4. В поле "Имя политики" укажите произвольное понятное имя для создаваемой политики и нажмите "Далее".
  5. В окне "Укажите условия" добавьте необходимые условия, которые будут проверяться при подключении клиентов. Для добавления нажмите кнопку "Добавить..." и выберете необходимое условие. После добавления условия нажмите "Далее".

    Информация

    В качестве примера будет добавлено условие "Группы пользователей". При добавлении группы, потребуется указать имя группы пользователей из AD.

  6. В окне "Укажите разрешения доступа" выберете "Доступ разрешен" и нажмите "Далее".
  7. В окне "Настройка методов проверки подлинности" укажите методы проверки подлинности, которые настроены на клиенте, и нажмите "Далее".

    Информация

    Методы проверки подлинности со стороны Radius сервера и клиента должны совпадать, в противном случае возникнет ошибка аутентификация. 

  8. В окнах "Настройка ограничений" и "Настройка параметров" оставьте значения по умолчанию и нажмите "Далее".
  9. В окне "Завершение создания политики сети" проверьте данные и нажмите "Готово".

Установка Indeed AM NPS RADIUS Extension

  1. Выполните установку NPS RADIUS через запуск пакета для установки Indeed AM NPS Radius Extension.
  2. В разделе HKEY_LOCAL_MACHINE\SOFTWARE\Indeed-ID\AuthProxy. Измените параметры:
    1. Параметр ServerUrlBase. В значении для параметра укажите адрес вашего сервера Indeed .
    2. Параметр IsIgnoreCertErrors, указать значение 0 или 1.

      Информация

      Данный параметр предназначен для проверки сертификата сервера Indeed, при значении 1 происходит игнорирование ошибок сертификата.


    3. Параметр AppId со значением NPS RADIUS Extension.


Настройка проброса атрибутов Radius

Информация

Данная настройка является опциональной и выполняется только при необходимости проброса атрибутов Radius для клиента. 

Информация

Данная настройка позволяет добавить атрибуты в ответ "Access-Accept", которые указаны в сетевой политике NPS сервера. 

  1. Откройте "Политику запросов на подключение".
  2. Выберете имеющуюся или создайте новую политику и откройте вкладку "Параметры".
  3. Выберете параметр "Стандарт" и нажмите "Добавить".
  4. В окне "Добавить стандартный атрибут Radius" выберете "Filter-Id" и нажмите "Добавить".
  5. В окне "Сведения об атрибуте" нажмите "Добавить". Убедитесь, что параметр "Формат ввода атрибута" - строковый, и введите строку формата: IID_CR_AccessAccept_Attributes:<id требуемого атрибута 1>, <id требуемого атрибута 1>

    Информация

    Если атрибутов несколько, то id атрибутов требуется указывать через запятую. 

    Пример
    IID_CR_AccessAccept_Attributes:25, 13
  6. Закройте все окна и нажмите "Применить".
  7. Перезапустите службу NPS.


Настройка политик

Информация

Перед настройкой групповой политики необходимо добавить в список административных шаблонов шаблоны политик Indeed AM. Файлы шаблонов политик входят в состав дистрибутива и расположены в каталоге Misc.

Политики применяется к серверам с развернутой ролью NPS и позволяет выполнить дополнительные настройки.

Политики можно настроить как через доменные групповые политики, так и через локальную групповую политику на сервере NPS. 

После настройки политик необходимо выполнить перезагрузку службы NPS.

Информация

Действие политики представляет из себя добавление определенных ключей в реестр, при необходимости значения политик можно добавить в реестр вручную. 

Настройка таймаута сессии Challenge\Response

Позволяет задать таймаут сессии при использовании провайдера аутентификации, поддерживающего Challenge\Response.

Настройка через политику

  1. Откройте редактор GPO.
  2. Перейдите в раздел "Конфигурация компьютера" → "Административные шаблоны" → "Indeed ID" → "Radius".
  3. Откройте политику "Настройка таймаута сессии Challenge\Response".
  4. В поле "Таймаут сессии в секундах" укажите необходимое значение.



Настройка через реестр

  1. Откройте редактор реестра на сервере NPS.
  2. Откройте раздел "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Indeed-ID\Radius".

    Информация

    При необходимости создайте недостающие разделы реестра. 

  3. Создайте параметр типа "DWORD" с именем "SessionLifetimeSec" в качестве значения укажите таймаут сессии в секундах в десятичном формате. 

    Пример
    Windows Registry Editor Version 5.00
    
    [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Indeed-ID\Radius]
    "SessionLifetimeSec"=dword:0000001e

Challenge\Response: сообщение пользователю

Политика позволяет задать сообщение пользователю при использовании Challenge\Response.

Настройка через политику

  1. Откройте редактор GPO.
  2. Перейдите в раздел "Конфигурация компьютера" → "Административные шаблоны" → "Indeed ID" → "Radius" → "<Имя используемого провайдера>".
  3. Откройте политику "Challenge\Response сообщение пользователю".
  4. В поле "Сообщение пользователю" введите необходимый текст.


Настройка через реестр

  1. Откройте редактор реестра на сервере NPS.
  2. Откройте раздел "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Indeed-ID\Radius".

Настройка способов входа для групп пользователей

    1. Открыть для редактирования "Настройка способов входа для групп пользователей".

    2. Включить (1) данный параметр и открыть редактирование содержимого (2).
    3. Добавьте в "Имя значения" значение атрибута "distinguishedName" вашей группы пользователей.
    4. Вставьте в "Значение" ключ используемого провайдера .

      Информация

      Параметр "Значение" может иметь разные ID провайдеров:

      {EBB6F3FA-A400-45F4-853A-D517D89AC2A3} - SMS OTP

      {3F2C1156-B5AF-4643-BFCB-9816012F3F34} - StorageSms OTP

      {093F612B-727E-44E7-9C95-095F07CBB94B} - EMAIL OTP

      {B772829C-4076-482B-B9BD-53B55EA1A302} - Software OTP

      {631F1011-2DEE-47C5-95D8-75B9CAED7DC7} - HOTP Provider

      {CEB3FEAF-86ED-4A5A-BD3F-6A7B6E60CA05} - HTOTP Provider

      {DEEF0CB8-AD2F-4B89-964A-B6C7ECA80C68} - AirKeyProvider

      {CA4645CC-5896-485E-A6CA-011FCC20DF1D} - Telegram OTP

Кэширование групп пользователей

Политика включает кэширование групп пользователей при RADIUS-аутентификации и позволяет задать период обновления кэша.

Настройка имени пользователя

Политика позволяет настроить использование NetBIOS имени домена в случае указания имени пользователя без домена. Для включения политики активируйте параметр: "Использовать NetBIOS имя домена в случае указания имени пользователя без домена"

Настройка кэширования сессий запросов пользователей

Политика включает кэширование сессий запросов пользователей при RADIUS-аутентификации и позволяет задать время жизни сессии запроса в секундах.


Примеры внедрения расширения

  1. Настройка Cisco ASA для аутентификации через Indeed NPS RADIUS Extension

  2. Настройка FortiGate VM для двухфакторной аутентификации через Indeed NPS Radius Extension

  3. Установка и настройка аутентификации по ОТР в Citrix Netscaler






  • No labels