[KB3403] Konfigurace mého koncového bodu ověřování pro použití s ESET Secure Authentication

• Konfigurace ESET Secure Authentication (ESA) pro použití s koncovým bodem ověřování
• Klient neověřuje uživatelské jméno a heslo
• Klient ověří uživatelské jméno a heslo
• Použití funkce Výzva k přístupu protokolu RADIUS
• Klient neověřuje uživatelské jméno a heslo - vyhněte se složenému jménu a heslu
• <‎zastaralé>
• Vzorové integrační příručky

Systém ESA rozlišuje tři typy klientů (například VPN) podle způsobu, jakým zpracovávají ověřování v prostředí služby Active Directory (AD).

Klient neověřuje uživatelské jméno a heslo

Tento scénář by měly podporovat všechny sítě VPN. Pokud při konfiguraci klienta RADIUS ve webové konzole ESA nastavíte typ klienta na hodnotu Klient neověřuje uživatelské jméno a heslo, ESA ověří oba faktory (uživatelské jméno a heslo jako první faktor a OTP jako druhý faktor).

Požadavky

Nakonfigurujte ověřování připojení VPN tak, aby používalo ověřování RADIUS s odkazem na server RADIUS nakonfigurovaný ve webové konzole ESA. 

Jak to funguje?

• SMS OTP—Při prvním pokusu o přihlášení je uživatel vyzván k zadání hesla. Pokus o přihlášení se nezdaří, ale uživatel obdrží OTP prostřednictvím SMS. Při druhém pokusu o přihlášení zadá uživatel do pole pro zadání hesla OTP, které obdržel.

• Mobilní aplikace OTP / Hard Token OTP—Uživatelé se přihlašují pomocí hesla i OTP současně jako hesloOTP.

• Mobilní aplikace Push—Uživatelé se pokoušejí přihlásit pomocí svých přihlašovacích údajů. Na mobilním zařízení uživatele se vygeneruje oznámení push. Schválením oznámení dojde k úspěšnému přihlášení.

• Uživatel bez 2FA / uživatel na bílé listině: Uživatelé se přihlašují pomocí svých přihlašovacích údajů. ESA ověří platnost hesla.

Klient ověří uživatelské jméno a heslo

Ujistěte se, že síť VPN tuto funkci podporuje a je správně nakonfigurována. Nesprávná konfigurace může vést k vynechání ověření hesla. Pokud při konfiguraci klienta RADIUS ve webové konzole ESA nastavíte typ klienta na hodnotu Klient ověřuje uživatelské jméno a heslo, bude první faktor (uživatelské jméno a heslo) ověřen službou AD.

Požadavky

Nastavte jedno ověřování směřující na váš server a jedno ověřování RADIUS směřující na server RADIUS ESA.

Jak to funguje?

• SMS OTP—Jsou vyžadovány dva pokusy o přihlášení. Uživatelé nejprve zadají své heslo do prvního pole pro heslo a poté zadají sms, bez uvozovek. Pokud je zadáno správné uživatelské jméno a heslo, přihlašovací obrazovka se znovu zobrazí bez chybové zprávy a uživatel obdrží OTP prostřednictvím SMS. Při druhém pokusu o přihlášení zadá uživatel obdržené OTP do pole pro druhé heslo.

• Mobilní aplikace OTP / Hard Token OTP—Uživatelé zadají vygenerované OTP do druhého pole hesla.

• Mobilní aplikace Push—Uživatelé do tohoto pole zadají "empty", "none" uživatelské jméno nebo "push" bez uvozovek. ESA vygeneruje oznámení push a čeká na jeho schválení.

• Uživatel bez 2FA / uživatel na bílé listině: Uživatelé nechávají druhé pole pro heslo prázdné nebo do něj zadají "žádné" nebo "push" bez uvozovek.

Použití funkce Výzva k přístupu protokolu RADIUS

Tuto možnost použijte, pokud váš server VPN kontaktuje pouze ESA RADIUS pro ověření obou faktorů (uživatelské jméno a heslo jako první faktor a OTP jako druhý faktor), ale ověření se skládá ze dvou kroků.

Následující klienti RADIUS podporují funkci RADIUS Access-Challenge:

• Junos Pulse (VPN)
• Modul PAM pro Linux

Následující klienti RADIUS by neměli být používáni s funkcí Access-Challenge:

• Microsoft RRAS

Požadavky

Nakonfigurujte ověřování připojení VPN tak, aby používalo ověřování RADIUS s odkazem na server RADIUS nakonfigurovaný ve webové konzole ESA. 

Jak to funguje?

• Ověřování pomocí SMS: Uživatelé se přihlásí pomocí svých přihlašovacích údajů a na další obrazovce nebo ve vyskakovacím okně zadají OTP, které obdrželi prostřednictvím SMS.

• Mobilní OTP / Hard Token: Uživatelé se přihlásí pomocí svých přihlašovacích údajů a na další obrazovce nebo ve vyskakovacím okně zadají vygenerované OTP.

• Ověřování Push: Uživatelé se přihlásí pomocí svých přihlašovacích údajů a schválí vygenerované oznámení push.

• Uživatel bez 2FA / uživatel na bílé listině: Uživatelé používají pouze přihlašovací údaje. 

Klient neověřuje uživatelské jméno a heslo - vyhněte se složenému jménu a heslu

Požadavky

Vzorové integrační příručky

Kliknutím na příslušný odkaz níže zobrazíte průvodce integrací ESET Secure Authentication pro vaši konfiguraci. Integrační příručky jsou určeny k použití v kombinaci s dokumentem ESET Secure Authentication Ověřování funkčnosti ESA RADIUS. Upozorňujeme, že některé z příruček mohou být zastaralé a slouží jako ukázka. Aktuálního průvodce integrací naleznete u dodavatele zařízení VPN, pokud jde o výše popsané podporované typy klientů.

Koncové body VPN, Firewall a UTM :

• Barracuda
• Software Check Point
• Cisco ASA IPsec
• Cisco ASA SSL
• Přístupová brána Citrix
• Citrix Netscaler
• Cyberoam
• Fortinet Fortigate
• Brána Microsoft Forefront Threat Management Gateway
• Netasq

Cloud a VDI koncové body

• Server Citrix XenApp

Kromě průvodců integrací jednotlivých aplikací doporučujeme při implementaci ESET Secure Authentication číst také online nápovědu ESET Secure Authentication. Pokud plánujete přidat ESET Secure Authentication do stávající aplikace pomocí ESET Secure Authentication API, jsou k dispozici také dokumenty Uživatelská příručka ESET Secure Authentication API a Náhrada SSL certifikátu ESET Secure Authentication.