[KB3510] Jak nakonfigurovat UTM zařízení Cyberoam® (společnost Sophos) pro použití s ESET Secure Authentication?

Úvod

Tento článek popisuje, jak nakonfigurovat zařízení Cyberoam® UTM pro ověřování uživatelů proti serveru ESA. Podporovány jsou aplikace Cyberoam® SSL VPN, Captive Portal a IPsec VPN. Než budete pokračovat, ověřte, zda máte nainstalovanou komponentu RADIUS Server ESET Secure Authentication a zda máte přístup ke službě RADIUS, která umožňuje externím systémům ověřovat uživatele.

Než bude zařízení Cyberoam® moci používat server ESA k ověřování uživatelů prostřednictvím protokolu RADIUS, musí být na serveru ESA nastaveno jako klient RADIUS. Dále musí být váš server se službou ESA RADIUS nastaven jako server RADIUS v zařízení Cyberoam®. Po zadání těchto konfigurací se můžete začít přihlašovat k zařízení Cyberoam® pomocí ESA OTP.

Krok I - Konfigurace klienta RADIUS

Aby zařízení Cyberoam® mohlo komunikovat se serverem ESA, je nutné zařízení nakonfigurovat jako klienta RADIUS na serveru ESA:

1. Přihlaste se dowebové konzoly ESA.
2. Přejděte na stránku Components > RADIUS a vyhledejte název hostitele serveru, na kterém běží služba ESA RADIUS.
3. Klikněte na název hostitele a potom na Vytvořit nového klienta Radius.
4. V části Základní nastavení :
   1. Dejte klientovi RADIUS zapamatovatelný název, aby se na něj dalo snadno odkazovat.
   2. Nakonfigurujteadresy IP Address a Shared Secret pro klienta tak, aby odpovídaly konfiguraci zařízení VPN. IP adresa je interní IP adresa vašeho spotřebiče. Pokud váš spotřebič komunikuje prostřednictvím protokolu IPv6, použijte tuto IP adresu spolu se souvisejícímID oboru  (ID rozhraní).
   3. Sdílený tajný klíč je sdílený tajný klíč RADIUS pro externí ověřovací zařízení, které nakonfigurujete na svém zařízení.
5. V části Authentication použijte nastavení zobrazené na obrázku 1-1 níže.

Obrázek 1-1

Systém ESA byl nyní nakonfigurován tak, aby komunikoval se systémem Cyberoam® . Nyní je třeba nakonfigurovat Cyberoam® komunikovat se serverem ESA.

Krok II - Konfigurace nastavení serveru RADIUS pro zařízení Cyberoam®

Postupujte podle následujících kroků:

1. Přihlaste se do webové konzoly Cyberoam® Web Admin Console jako správce.
2. Přejděte na Identita → Ověřování → Ověřovací server.
3. Klikněte na tlačítko Přidat (viz obrázek 2-1).
   
   

   

   Obrázek 2-1

4. Zadejte následující údaje:
   1. V rozevíracím seznamu Typ serveru vyberte možnost Server RADIUS.
   2. Název serveru: Název tohoto serveru (například ESA-RADIUS).
   3. IP adresa serveru: IP adresa serveru ESA RADIUS.
   4. Ověřovací port: 1812
   5. Sdílené tajemství: Sdílené tajemství serveru RADIUS (viz obrázek 1-1)
   6. Typ integrace: Volná integrace
5. Klikněte na tlačítko Testovat připojení. Zadejte pověření testovacího uživatele. Ujistěte se, že používáte uživatele s povolenou funkcí 2FA pro mobilní aplikace pomocí ESA. Po výzvě k zadání hesla připojte k heslu AD OTP vygenerované mobilní aplikací ESA. Pokud má uživatel například heslo AD Esa123 a OTP 999111, měli byste zadat Esa123999111.
6. Klikněte na možnost Testovat připojení. Vlevo dole by se měla zobrazit zpráva o úspěšném stavu (viz obrázek 2-2). Nepřistupujte ke kroku III, dokud test připojení neproběhne úspěšně.

Obrázek 2-2

Krok III - Povolení ověřování ESA

1. V levém panelu přejděte na Identita → Ověřování → VPN.
2. Nakonfigurujte příslušné metody ověřování VPN. Například pro ověřování SSL VPN vyberte jako metodu ověřování "ESA RADIUS" podle obrázku 3-1.
3. Klikněte na tlačítko Použít a potom na tlačítko OK.

Obrázek 3-1

Krok IV - Testování připojení

Otestování nově nakonfigurovaného připojení:

1. Přejděte na přihlašovací stránku.
2. Pomocí testovacího účtu zadejte následující přihlašovací údaje:
   1. Uživatelské jméno služby AD v poli Uživatelské jméno.
   2. Heslo AD spojené s OTP z mobilní aplikace ESA v poli Heslo.

Řešení problémů

Pokud se vám nedaří ověřit prostřednictvím serveru ESA RADIUS, ujistěte se, že jste provedli následující kroky:

1. Proveďte test proti serveru RADIUS podle postupu v části Ověření funkčnosti ESA RADIUS.
2. Pokud nebyly odstraněny žádné závady a stále se nemůžete připojit, vraťte se ke stávající konfiguraci přihlašování, která nepoužívá 2FA, a ověřte, zda se můžete připojit.
3. Pokud se můžete připojit pomocí starých nastavení, obnovte nová nastavení a ověřte, zda mezi zařízením VPN a serverem RADIUS neblokuje brána firewall protokol UDP 1812.
4. Pokud se vám stále nedaří připojit, kontaktujte technickou podporu společnosti ESET.