[KB3489] Wie konfiguriere ich mein Check Point Software SSL VPN-Gerät für die Verwendung mit ESET Secure Authentication?

Einführung

Dieser Artikel beschreibt, wie Sie ein Check Point Software SSL VPN-Gerät konfigurieren, um Benutzer gegenüber einem ESA-Server zu authentifizieren. Bevor Sie fortfahren, vergewissern Sie sich, dass Sie die RADIUS-Server-Komponente von ESET Secure Authentication installiert haben und auf den RADIUS-Service zugreifen können, der es externen Systemen ermöglicht, Benutzer zu authentifizieren.

Bevor Ihr Check Point Software SSL VPN-Gerät den ESA-Server zur Authentifizierung von Benutzern über RADIUS nutzen kann, muss es als RADIUS-Client auf dem ESA-Server eingerichtet werden. Als nächstes muss Ihr Server, auf dem der ESA-RADIUS-Dienst läuft, als RADIUS-Server auf dem Check Point Software SSL VPN-Gerät eingerichtet werden. Wenn diese Konfigurationen festgelegt sind, können Sie sich mit Hilfe von ESA-OTPs bei Ihrem Check Point Software SSL VPN-Gerät anmelden.

Schritt I - RADIUS-Client-Konfiguration

Damit das Check Point Software SSL VPN-Gerät mit Ihrem ESA-Server kommunizieren kann, müssen Sie das Check Point Software SSL VPN-Gerät als RADIUS-Client auf Ihrem ESA-Server konfigurieren:

1. Melden Sie sich bei der ESA Web Console an.

2. Navigieren Sie zu Komponenten → RADIUS und suchen Sie den Hostnamen des Servers, auf dem der ESA RADIUS-Dienst läuft.

3. Klicken Sie auf den Hostnamen und dann auf Neuen Radius-Client erstellen.

4. Im Abschnitt Grundeinstellungen:

   1. Geben Sie dem RADIUS-Client einen einprägsamen Namen, damit er leicht zu finden ist.

   2. Konfigurieren Sie die IP-Adresse und das Shared Secret für den Client so, dass sie mit der Konfiguration Ihrer VPN-Appliance übereinstimmen. Die IP-Adresse ist die interne IP-Adresse Ihrer Appliance. Wenn Ihre Appliance über IPv6 kommuniziert, verwenden Sie diese IP-Adresse zusammen mit der zugehörigen Scope-ID (Schnittstellen-ID).

   3. Das Shared Secret ist das RADIUS-Shared Secret für den externen Authentifikator, den Sie auf Ihrer Appliance konfigurieren werden.

5. Nehmen Sie im Abschnitt Authentifizierung die in Abbildung 1-1 unten dargestellten Einstellungen vor

Abbildung 1-1

ESA wurde nun für die Kommunikation mit dem Check Point Software SSL VPN-Gerät konfiguriert . Sie müssen nun das Check Point Software SSL VPN-Gerät für die Kommunikation mit dem ESA-Server konfigurieren.

Schritt II - Konfigurieren Sie Ihr Check Point Software SSL VPN-Gerät

Führen Sie die folgenden Schritte aus:

1. Öffnen Sie Check Point SmartDashboard.
2. Erweitern Sie die Seite Server und OPSEC-Anwendungen .
3. Klicken Sie mit der rechten Maustaste auf Server und wählen Sie Neu → RADIUS.
4. Benennen Sie Ihren neuen Server (z. B. ESA).
5. Klicken Sie auf Neu neben dem Feld Host.
6. Wählen Sie auf der linken Seite Allgemeine Eigenschaften.
7. Fügen Sie einen Namen für den Server hinzu (z. B. ESAradserv).
8. Geben Sie die IPv4-Adresse Ihres ESA-RADIUS-Servers ein.
9. Klicken Sie auf OK.
10. Wählen Sie New Radius (für Port 1812) aus dem Dropdown-Menü Service.
11. Geben Sie Ihr gemeinsames Geheimnis ein, wie in Abbildung 1-1 gezeigt.
12. Wählen Sie PAP als Protokoll.
13. Klicken Sie auf OK.

Schritt III - Erstellen eines Testbenutzers

1. Navigieren Sie zu und erweitern Sie Benutzer und Administratoren.
2. Klicken Sie mit der rechten Maustaste auf Benutzer und wählen Sie Neuer Benutzer → Standard.
3. Geben Sie den AD-Benutzernamen Ihres Testbenutzers (z. B. Alice) auf der Registerkarte Allgemein unter Benutzereigenschaften ein.
4. Auf der Registerkarte Authentifizierung
   1. Setzen Sie das Authentifizierungsschema auf RADIUS.
   2. Wählen Sie den Server, den Sie in Abschnitt II erstellt haben.
5. Klicken Sie auf OK.

Schritt IV - Testen Sie die Verbindung

So testen Sie die neu konfigurierte Verbindung:

1. Starten Sie Ihren Check Point Software SecureClient.
2. Geben Sie die Anmeldedaten Ihres Testbenutzers ein. Vergewissern Sie sich, dass Sie ein Konto mit aktivierter Mobile Application 2FA mit ESA verwenden. Wenn Sie zur Eingabe eines Passworts aufgefordert werden, fügen Sie das von der mobilen Anwendung generierte OTP an Ihr AD-Passwort an. Wenn der Benutzer beispielsweise ein AD-Kennwort von Esa123 und ein OTP von 999111 hat, sollten Sie Esa123999111 eingeben.

Fehlersuche

Wenn Sie sich nicht über den ESA-RADIUS-Server authentifizieren können, stellen Sie sicher, dass Sie die folgenden Schritte durchgeführt haben:

1. Führen Sie einen Smoke-Test mit Ihrem RADIUS-Server durch, wie im Dokument "Überprüfen der ESA-RADIUS-Funktionalität" beschrieben.
2. Wenn keine Fehler behoben wurden und Sie immer noch keine Verbindung herstellen können, kehren Sie zu einer bestehenden Anmeldekonfiguration zurück, die keine 2FA verwendet, und überprüfen Sie, ob Sie eine Verbindung herstellen können.
3. Wenn Sie mit den alten Einstellungen eine Verbindung herstellen können, stellen Sie die neuen Einstellungen wieder her und stellen Sie sicher, dass keine Firewall UDP 1812 zwischen Ihrem VPN-Gerät und Ihrem RADIUS-Server blockiert.
4. Wenn Sie immer noch keine Verbindung herstellen können, wenden Sie sich an den technischen Support von ESET.