[KB3489] Как да конфигурирам моето Check Point Software SSL VPN устройство за използване с ESET Secure Authentication?

Въведение

Тази статия описва как да конфигурирате софтуерно SSL VPN устройство на Check Point, за да удостоверява потребителите срещу ESA сървър. Преди да продължите, проверете дали сте инсталирали компонента RADIUS Server на ESET Secure Authentication и дали можете да получите достъп до RADIUS услугата, която позволява на външни системи да удостоверяват потребители.

Преди Вашето Check Point Software SSL VPN устройство да може да използва ESA Server за удостоверяване на потребители чрез RADIUS, то трябва да бъде настроено като RADIUS клиент на ESA Server. След това вашият сървър, на който работи ESA RADIUS услугата, трябва да бъде настроен като RADIUS сървър на Check Point Software SSL VPN устройството. Когато тези конфигурации са зададени, можете да започнете да влизате във вашето Check Point Software SSL VPN устройство, използвайки ESA OTP.

Стъпка I - Конфигуриране на клиент RADIUS

За да позволите на Check Point Software SSL VPN устройството да комуникира с вашия ESA сървър, трябва да конфигурирате Check Point Software SSL VPN устройството като RADIUS клиент на вашия ESA сървър:

1. Влезте в ESA Web Console.

2. Навигирайте до Components → RADIUS и намерете името на хоста на сървъра, на който се изпълнява ESA RADIUS услугата.

3. Щракнете върху името на хоста, след което щракнете върху Създаване на нов Radius клиент.

4. В раздела Basic Settings (Основни настройки):

   1. Дайте на RADIUS клиента запомнящо се име за лесна справка.

   2. Конфигурирайте IP адреса и споделената тайна за клиента, така че да съответстват на конфигурацията на вашия VPN уред. IP адресът е вътрешният IP адрес на вашия уред. Ако уредът ви комуникира чрез IPv6, използвайте този IP адрес заедно със съответния идентификатор на обхвата (идентификатор на интерфейса).

   3. Споделената тайна е споделената тайна на RADIUS за външния автентификатор, който ще конфигурирате на вашия уред.

5. В раздела Authentication (Удостоверяване) приложете настройките, показани на Фигура 1-1 по-долу

Фигура 1-1

ESA вече е конфигурирана да комуникира с устройството Check Point Software SSL VPN. Сега трябва да конфигурирате Check Point Software SSL VPN устройството да комуникира с ESA сървъра.

Стъпка II - Конфигуриране на вашето Check Point Software SSL VPN устройство

Следвайте стъпките по-долу:

1. Отворете Check Point SmartDashboard.
2. Разгънете страницата Servers and OPSEC Applications (Сървъри и OPSEC приложения) .
3. Щракнете с десния бутон върху Servers (Сървъри) и изберете New (Нов) → RADIUS (RADIUS).
4. Дайте име на новия си сървър (например ESA).
5. Щракнете върху New (Нов) до полето Host (Домакин).
6. Изберете General Properties (Общи свойства) отляво.
7. Добавете име за сървъра (например ESAradserv).
8. Въведете IPv4 адреса на вашия ESA RADIUS сървър.
9. Щракнете върху OK.
10. Изберете New Radius (за порт 1812) от падащото меню Service (Услуга ).
11. Въведете споделената си тайна, както е показано на Фигура 1-1.
12. Изберете PAP като протокол.
13. Щракнете върху OK.

Стъпка III - Създаване на тестови потребител

1. Навигирайте до и разширете Users and Administrators (Потребители и администратори).
2. Щракнете с десния бутон на мишката върху Users (Потребители) и изберете New User (Нов потребител) → Default (По подразбиране).
3. Въведете AD потребителското име на тестовия си потребител (например Alice) в общия раздел под User Properties (Свойства на потребителя).
4. В раздела Authentication (Удостоверяване)
   1. Задайте схемата за удостоверяване на RADIUS.
   2. Изберете сървъра, който сте създали в раздел II.
5. Щракнете върху OK.

Стъпка IV - Тестване на връзката

За да тествате новоконфигурираната връзка:

1. Стартирайте вашия Check Point Software SecureClient.
2. Въведете идентификационните данни на тестовия си потребител. Уверете се, че използвате акаунт с активирана функция Mobile Application 2FA using ESA. Когато бъдете подканени за парола, добавете OTP, генериран от мобилното приложение, към вашата AD парола. Например, ако потребителят има AD парола Esa123 и OTP 999111, трябва да въведете Esa123999111.

Отстраняване на неизправности

Ако не можете да се удостоверите чрез ESA RADIUS сървъра, уверете се, че сте изпълнили следните стъпки:

1. Извършете "smoke test" срещу вашия RADIUS сървър, както е описано в документа "Verifying ESA RADIUS Functionality".
2. Ако не са отстранени никакви грешки и все още не можете да се свържете, върнете се към съществуваща конфигурация за влизане, която не използва 2FA, и проверете дали можете да се свържете.
3. Ако можете да се свържете, като използвате старите настройки, възстановете новите настройки и проверете дали няма защитна стена, която да блокира UDP 1812 между вашето VPN устройство и вашия RADIUS сървър.
4. Ако все още не можете да се свържете, свържете се с техническата поддръжка на ESET.