Zyxel USG FLEX H Firewall - Как использовать двухфакторную аутентификацию с Google Authenticator для удаленного доступа VPN и SSL VPN

Google Authenticator — самый безопасный способ получения кода подтверждения для двухфакторной аутентификации. Google Authenticator генерирует новый код каждые 30 секунд, поэтому каждый код действителен всего 30 секунд, что делает его надежным вариантом для создания кодов для двухэтапной проверки. Кроме того, Google Authenticator можно бесплатно скачать, он прост в использовании и работает без подключения к Интернету. В этом примере показано, как настроить двухфакторную аутентификацию с помощью

Google Authenticator для удаленного доступа VPN и SSL VPN

Примечание: Все IP-адреса сети и маски подсети в этой статье приведены в качестве примеров. Пожалуйста, замените их на фактические IP-адреса и маски подсети вашей сети. Этот пример был протестирован на USG FLEX 200H

Процесс двухфакторной аутентификации с Google Authenticator

• Включите Google Authentication для пользователя.
• Настройте Google Authenticator.
• Настройте время действия и типы VPN.

Включение Google Authentication для пользователя Перейдите в User & Authentication > User/Group. Выберите локального пользователя и включите двухфакторную аутентификацию. Нажмите «Set up Google Authenticator» для начала настройки Google Authenticator на вашем мобильном телефоне.

Настройка Google Authenticator

Скачайте и установите Google Authenticator на ваше мобильное устройство.	Зарегистрируйте учетную запись пользователя в Google Authenticator. Откройте приложение Google Authenticator и отсканируйте штрихкод на веб-интерфейсе.

Введите код токена, отображаемый в Google Authenticator, в «Step 3» и нажмите «Verify code and finish», чтобы отправить и проверить код.

После успешной регистрации 2FA в веб-интерфейсе появятся резервные коды. Резервные коды предназначены для входа в устройство на случай, если у вас нет доступа к приложению на мобильном устройстве. Скачайте резервные коды и сохраните их в надежном месте.

Настройка времени действия и типов служб входа

Включите двухфакторную аутентификацию для доступа к VPN. Настройте время действия и выберите, для каких типов VPN требуется двухфакторная аутентификация для пользователей VPN. Время действия — это срок, в течение которого пользователь должен ввести код двухфакторной аутентификации для получения доступа к VPN. Запрос будет отклонен, если код введен позже времени действия. По умолчанию время действия составляет 3 минуты. Страница аутентификации работает на определенном порту службы. После установления VPN-туннеля пользователь должен ввести код в веб-интерфейсе.

Проверка результата для удаленного доступа VPN (IKEv2)

Откройте туннель удаленного доступа VPN в клиенте SecuExtender VPN Client

В браузере появится страница аутентификации для ввода кода подтверждения. Вы также можете ввести резервный код, если у вас нет под рукой мобильного устройства.

Примечание: Пользователи, подключающиеся без SecuExtender VPN Client (например, используя встроенный VPN-клиент или другой совместимый VPN-клиент), не будут автоматически перенаправлены на портал аутентификации. В этом случае им необходимо вручную открыть URL портала аутентификации в веб-браузере и завершить процесс аутентификации.

Введите код, показанный в Google Authenticator, и нажмите «Verify».	Успешная авторизация с использованием имени пользователя, пароля и кода токена.

SSL VPN

Откройте туннель SSL VPN в клиенте SecuExtender VPN Client и выполните те же шаги, что и в предыдущем примере с удаленным доступом VPN (IKEv2)