[KB3489] ¿Cómo configuro mi dispositivo SSL VPN de Check Point Software para utilizarlo con ESET Secure Authentication?

Introducción

Este artículo describe cómo configurar un dispositivo Check Point Software SSL VPN para autenticar usuarios contra un servidor ESA. Antes de continuar, compruebe que ha instalado el componente Servidor RADIUS de ESET Secure Authentication y que puede acceder al servicio RADIUS que permite a los sistemas externos autenticar usuarios.

Antes de que su dispositivo Check Point Software SSL VPN pueda utilizar el ESA Server para autenticar usuarios mediante RADIUS, debe configurarse como cliente RADIUS en el ESA Server. A continuación, el servidor que ejecuta el servicio ESA RADIUS debe configurarse como servidor RADIUS en el dispositivo Check Point Software SSL VPN. Cuando se hayan especificado estas configuraciones, podrá empezar a iniciar sesión en su dispositivo Check Point Software SSL VPN utilizando ESA OTPs.

Paso I - Configuración del cliente RADIUS

Para permitir que el dispositivo Check Point Software SSL VPN se comunique con su servidor ESA, debe configurar el dispositivo Check Point Software SSL VPN como cliente RADIUS en su servidor ESA:

1. Inicie sesión en la Consola web de ESA.

2. Navegue hasta Componentes → RADIUS y localice el nombre de host del servidor que ejecuta el servicio ESA RADIUS.

3. Haga clic en el nombre de host y, a continuación, en Crear nuevo cliente Radius.

4. En la sección Configuración básica:

   1. Asigne al cliente RADIUS un nombre fácil de recordar.

   2. Configure la Dirección IP y el Secreto compartido para el Cliente de forma que se correspondan con la configuración de su dispositivo VPN. La dirección IP es la dirección IP interna de su dispositivo. Si su dispositivo se comunica a través de IPv6, utilice esa dirección IP junto con el ID de ámbito (ID de interfaz) correspondiente.

   3. El secreto compartido es el secreto compartido RADIUS para el autenticador externo que configurará en su dispositivo.

5. En la sección Autenticación, aplique la configuración que se muestra en la Figura 1-1 a continuación

Figura 1-1

ESA ya está configurado para comunicarse con el dispositivo SSL VPN de Check Point Software . Ahora debe configurar el dispositivo Check Point Software SSL VPN para que se comunique con el servidor ESA.

Paso II - Configure su dispositivo Check Point Software SSL VPN

Siga los pasos que se indican a continuación:

1. Abra Check Point SmartDashboard.
2. Expanda la página Servers and OPSEC Applications (Servidores y aplicaciones OPSEC ).
3. Haga clic con el botón derecho en Servidores y seleccione Nuevo → RADIUS.
4. Asigne un nombre al nuevo servidor (por ejemplo, ESA).
5. Haga clic en Nuevo junto al campo Host.
6. Seleccione Propiedades generales a la izquierda.
7. Añade un nombre para el servidor (por ejemplo, ESAradserv).
8. Introduzca la dirección IPv4 de su servidor RADIUS ESA.
9. Pulse Aceptar.
10. Seleccione Nuevo Radius (para el puerto 1812) en el menú desplegable Servicio.
11. Introduzca su secreto compartido, como se muestra en la Figura 1-1.
12. Seleccione PAP como protocolo.
13. Pulse Aceptar.

Paso III - Crear un usuario de prueba

1. Navegue hasta Usuarios y Administradores y expándalos.
2. Haga clic con el botón derecho en Usuarios y seleccione Nuevo usuario → Predeterminado.
3. Escriba el nombre de usuario AD de su usuario de prueba (por ejemplo, Alice) en la pestaña general de Propiedades de usuario.
4. En la pestaña Autenticación
   1. Establezca el esquema de autenticación en RADIUS.
   2. Seleccione el servidor que creó en la sección II.
5. Haga clic en Aceptar.

Paso IV - Probar la conexión

Para probar la conexión recién configurada

1. Inicie su Check Point Software SecureClient.
2. Introduzca las credenciales de su usuario de prueba. Asegúrese de que está utilizando una cuenta con la aplicación móvil 2FA con ESA activada. Cuando se le solicite una contraseña, añada la OTP generada por la aplicación móvil a su contraseña AD. Por ejemplo, si el usuario tiene una contraseña AD de Esa123 y una OTP de 999111, debe escribir Esa123999111.

Solución de problemas

Si no puede autenticarse a través del servidor RADIUS de ESA, asegúrese de haber realizado los siguientes pasos:

1. Ejecute una prueba de humo con su servidor RADIUS, según el documento "Verificación de la funcionalidad de ESA RADIUS".
2. Si no se ha solucionado ningún fallo y sigue sin poder conectarse, vuelva a una configuración de inicio de sesión existente que no utilice 2FA y compruebe que puede conectarse.
3. Si puede conectarse con la configuración anterior, restaure la nueva configuración y compruebe que no hay ningún cortafuegos bloqueando UDP 1812 entre su dispositivo VPN y su servidor RADIUS.
4. Si sigue sin poder conectarse, póngase en contacto con el soporte técnico de ESET.