Zyxel USG FLEX H Firewall – Wie man Zwei-Faktor-Authentifizierung mit Google Authenticator für Remote Access VPN und SSL VPN verwendet

Google Authenticator ist die sicherste Methode, um einen Verifizierungscode für die Zwei-Faktor-Authentifizierung zu erhalten. Google Authenticator generiert alle 30 Sekunden einen neuen Code, sodass jeder Code nur 30 Sekunden gültig ist, was es zu einer sicheren Option macht, Codes für die Zwei-Schritt-Verifizierung zu erzeugen. Außerdem ist Google Authenticator kostenlos zum Download verfügbar, einfach zu bedienen und funktioniert auch ohne Internetverbindung. Dieses Beispiel zeigt, wie man die Zwei-Faktor-Authentifizierung mit 

Google Authenticator für Remote Access VPN und SSL VPN einrichtet

Hinweis: Alle Netzwerk-IP-Adressen und Subnetzmasken in diesem Artikel sind Beispielwerte. Bitte ersetzen Sie diese durch Ihre tatsächlichen Netzwerk-IP-Adressen und Subnetzmasken. Dieses Beispiel wurde mit dem USG FLEX 200H getestet.

Ablauf der Zwei-Faktor-Authentifizierung mit Google Authenticator

• Google-Authentifizierung für einen Benutzer aktivieren.
• Google Authenticator einrichten.
• Gültigkeitsdauer und VPN-Typen konfigurieren.

Google-Authentifizierung für einen Benutzer aktivieren Gehen Sie zu Benutzer & Authentifizierung > Benutzer/Gruppe. Wählen Sie einen lokalen Benutzer aus und aktivieren Sie die Zwei-Faktor-Authentifizierung. Klicken Sie auf „Google Authenticator einrichten“, um die Einrichtung von Google Authenticator auf Ihrem Mobilgerät zu starten.

Google Authenticator einrichten

Laden Sie Google Authenticator auf Ihrem Mobilgerät herunter und installieren Sie es.	Registrieren Sie das Benutzerkonto bei Google Authenticator. Öffnen Sie die Google Authenticator App und scannen Sie den Barcode in der Web-GUI.

Geben Sie den Token-Code, der in Google Authenticator angezeigt wird, in „Schritt 3“ ein und klicken Sie auf „Code überprüfen und abschließen“, um den Code zu übermitteln und zu verifizieren.

Nach erfolgreicher Registrierung der Zwei-Faktor-Authentifizierung gibt es Backup-Codes in der Web-GUI. Die Backup-Codes dienen zur Anmeldung am Gerät, falls Sie keinen Zugriff auf die Anwendung auf Ihrem Mobilgerät haben. Laden Sie die Backup-Codes herunter und bewahren Sie sie an einem sicheren Ort auf.

Gültigkeitsdauer und Anmeldediensttypen konfigurieren

Aktivieren Sie die Zwei-Faktor-Authentifizierung für den VPN-Zugang. Konfigurieren Sie die Gültigkeitsdauer und wählen Sie aus, für welche VPN-Typen die Zwei-Faktor-Authentifizierung für VPN-Benutzer erforderlich ist. Die Gültigkeitsdauer ist die Frist, innerhalb der der Benutzer den Zwei-Faktor-Authentifizierungscode eingeben muss, um VPN-Zugang zu erhalten. Die Anfrage wird abgelehnt, wenn der Code nach Ablauf der Gültigkeitsdauer eingereicht wird. Standardmäßig beträgt die Gültigkeitsdauer 3 Minuten. Die Authentifizierungsseite arbeitet auf einem spezifischen Service-Port. Nachdem der VPN-Tunnel aufgebaut wurde, muss der Benutzer den Code in der Web-GUI eingeben.

Testergebnis Remote Access VPN (IKEv2)

Öffnen Sie den Remote Access VPN-Tunnel im SecuExtender VPN Client

Der Browser öffnet eine Authentifizierungsseite, auf der der Verifizierungscode eingegeben werden muss. Sie können auch den Backup-Code eingeben, falls Sie kein Mobilgerät zur Hand haben.

Hinweis: Benutzer, die sich ohne den SecuExtender VPN Client verbinden (zum Beispiel über einen nativen VPN-Client oder einen anderen kompatiblen VPN-Client), werden nicht automatisch zur Authentifizierungsseite weitergeleitet. In diesem Fall müssen sie die URL der Authentifizierungsseite manuell in einem Webbrowser öffnen und den Authentifizierungsprozess abschließen.

Geben Sie den auf Google Authenticator angezeigten Code ein und klicken Sie auf „Überprüfen“.	Erfolgreiche Autorisierung mit Benutzername, Passwort und Token-Code.

SSL VPN

Öffnen Sie den SSL VPN-Tunnel im SecuExtender VPN Client und führen Sie dieselben Schritte wie im vorherigen Beispiel mit Remote Access VPN (IKEv2) durch.