[KB3403] Minu autentimise lõpp-punkti konfigureerimine ESET Secure Authenticationiga kasutamiseks

• ESET Secure Authentication (ESA) konfigureerimine autentimise lõpp-punktiga kasutamiseks
• Klient ei kinnita kasutajanime ja parooli
• Klient kinnitab kasutajanime ja parooli
• Kasutage RADIUSi Access-Challenge-funktsiooni
• Klient ei valideeri kasutajanime ja parooli - vältige ühendit
• <deprecated>
• Integratsiooni näidisjuhendid

ESA eristab kolme klienditüüpi (näiteks VPNid) selle alusel, kuidas nad Active Directory (AD) keskkonnas autentimist käsitlevad.

Klient ei valideeri kasutajanime ja parooli

Kõik VPN-id peaksid seda stsenaariumi toetama. Kui seadistate ESA veebikonsoolis RADIUS-kliendi konfigureerimisel kliendi tüübiks Client does not validate username and password, kontrollib ESA mõlemad tegurid (kasutajanimi ja parool esimese tegurina ning OTP teise tegurina).

Nõuded

Konfigureerige oma VPN-ühenduse autentimine nii, et see kasutaks RADIUS-autentimist, mis osutab ESA veebikonsoolis konfigureeritud RADIUS-serverile.

Kuidas see toimib?

• SMS-põhine OTP - esimesel sisselogimiskatsel küsitakse kasutajalt parooli. Sisselogimiskatse ebaõnnestub, kuid kasutaja saab SMS-i teel OTP. Teisel sisselogimiskatsel sisestab kasutaja saadud OTP parooliväljale.

• Mobiilirakenduse OTP-d / Hard Token OTP-d. Kasutajad logivad sisse, kasutades samaaegselt nii oma parooli kui ka OTP-d kui paroolOTP.

• Mobiilirakenduse push-kasutajad üritavad sisse logida, kasutades oma sisselogimise andmeid. Kasutaja mobiilseadmesse genereeritakse push-teade. Teate kinnitamine toob kaasa eduka sisselogimise.

• Kasutaja ilma 2FA-ta / valges nimekirjas olev kasutaja: Kasutajad logivad sisse, kasutades oma sisselogimise andmeid. ESA valideerib parooli.

Klient kinnitab kasutajanime ja parooli

Veenduge, et VPN toetab seda ja on õigesti konfigureeritud. Vale konfiguratsioon võib viia paroolide kontrollimise vahelejäämiseni. Kui seadistate ESA veebikonsoolis RADIUS-kliendi konfigureerimisel kliendi tüübiks Client validates username and password, siis valideerib AD esimese teguri (kasutajanimi ja parool).

Nõuded

Seadistage üks autentimine, mis osutab teie serverile, ja üks RADIUS-autentimine, mis osutab ESA RADIUS-serverile.

Kuidas see toimib?

• SMS-põhised OTP-d - vaja on kahte sisselogimiskatset. Esmalt sisestavad kasutajad oma parooli esimesse parooliväljale, seejärel sisestavad sms ilma jutumärkideta. Kui sisestatakse õige kasutajanimi ja parool, ilmub sisselogimisekraan uuesti ilma veateadeteta ja kasutaja saab OTP-i SMS-i teel. Teisel sisselogimiskatsel sisestab kasutaja saadud OTP teise salasõna väljale.

• Mobiilirakenduse OTP / Hard Token OTP - kasutaja sisestab genereeritud OTP teise salasõna väljale.

• Mobiilirakenduse push-kasutajad sisestavad sellesse väljale "tühi", "none" kasutajanimi või "push" ilma jutumärkideta. ESA genereerib push-teate ja ootab selle kinnitamist.

• Kasutaja ilma 2FA-ta / valges nimekirjas olev kasutaja: Kasutajad jätavad teise paroolivälja tühjaks või sisestavad sinna "none" või "push" ilma jutumärkideta.

Kasutage RADIUSi Access-Challenge-funktsiooni

Kasutage seda valikut, kui teie VPN-server võtab mõlema faktori (kasutajanimi ja parool esimese faktorina ning OTP teise faktorina) kontrollimiseks ühendust ainult ESA RADIUSiga, kuid autentimine koosneb kahest etapist.

Järgmised RADIUSi kliendid toetavad RADIUSi Access-Challenge-funktsiooni:

• Junos Pulse (VPN)
• Linuxi PAM-moodul

Järgmisi RADIUS-kliente ei tohiks kasutada koos Access-Challenge-funktsiooniga:

• Microsoft RRAS

Nõuded

Konfigureerige oma VPN-ühenduse autentimine nii, et see kasutaks RADIUS-autentimist, mis osutab ESA veebikonsoolis konfigureeritud RADIUS-serverile.

Kuidas see toimib?

• SMS-autentimine: Kasutajad logivad sisse, kasutades oma sisselogimise andmeid, järgmisel ekraanil või hüpikdialoogis sisestavad nad SMS-i teel saadud OTP.

• Mobiilne OTP / Hard Token: Kasutajad logivad sisse, kasutades oma sisselogimise andmeid, järgmises ekraanil või hüpikdialoogis sisestavad nad genereeritud OTP.

• Push-autentimine: Kasutajad logivad sisse, kasutades oma sisselogimise andmeid, ja kinnitavad genereeritud push-teatise.

• Kasutaja ilma 2FA-ta / valges nimekirjas olev kasutaja: Kasutajad kasutavad ainult sisselogimisandmeid.

Klient ei valideeri kasutajanime ja parooli - vältida ühendit

Nõuded

Integreerimise näidisjuhendid

Klõpsake alloleval lingil, et vaadata ESET Secure Authenticationi integratsioonijuhendit teie konfiguratsiooni jaoks. Integreerimisjuhendid on mõeldud kasutamiseks koos dokumendiga ESET Secure Authentication Verifying ESA RADIUS funktsionaalsuse kontrollimine. Pange tähele, et mõned juhendid võivad olla vananenud ja olla näidiseks. Ajakohastatud integratsioonijuhendi saamiseks konsulteerige oma VPN-seadme müüjaga seoses eespool kirjeldatud toetatud klienditüüpidega.

VPN-, tulemüüri- ja UTM-lõpupunktid:

• Barracuda
• Check Point Software
• Cisco ASA IPsec
• Cisco ASA SSL
• Citrix Access Gateway
• Citrix Netscaler
• Cyberoam
• Fortinet Fortigate
• Microsoft Forefront Threat Management Gateway
• Netasq

Pilve- ja VDI-punktid

• Citrix XenApp server

Lisaks rakendusspetsiifilistele integratsioonijuhistele soovitame ESET Secure Authenticationi rakendamisel lugeda ka ESET Secure Authenticationi veebipõhist abi. Kui kavatsete ESET Secure Authentication'i olemasolevale rakendusele lisada ESET Secure Authentication API abil, on saadaval ka ESET Secure Authentication API kasutusjuhend ja ESET Secure Authentication SSL-sertifikaadi asendamise dokumendid.