[KB3489] Comment puis-je configurer mon appareil VPN SSL de Check Point Software pour l'utiliser avec ESET Secure Authentication ?

Introduction

Cet article décrit comment configurer un dispositif VPN SSL de Check Point Software pour authentifier les utilisateurs par rapport à un serveur ESA. Avant de continuer, vérifiez que vous avez installé le composant Serveur RADIUS d'ESET Secure Authentication et que vous pouvez accéder au service RADIUS qui permet aux systèmes externes d'authentifier les utilisateurs.

Avant que votre dispositif Check Point Software SSL VPN puisse utiliser le serveur ESA pour authentifier les utilisateurs via RADIUS, il doit être configuré en tant que client RADIUS sur le serveur ESA. Ensuite, votre serveur exécutant le service RADIUS ESA doit être configuré en tant que serveur RADIUS sur le dispositif Check Point Software SSL VPN. Lorsque ces configurations ont été spécifiées, vous pouvez commencer à vous connecter à votre dispositif VPN SSL de Check Point Software à l'aide des OTP ESA.

Étape I - Configuration du client RADIUS

Pour permettre au dispositif VPN SSL de Check Point Software de communiquer avec votre serveur ESA, vous devez configurer le dispositif VPN SSL de Check Point Software en tant que client RADIUS sur votre serveur ESA :

1. Connectez-vous à la console Web ESA.

2. Naviguez vers Composants → RADIUS et localisez le nom d'hôte du serveur exécutant le service RADIUS ESA.

3. Cliquez sur le nom d'hôte, puis sur Créer un nouveau client Radius.

4. Dans la section Paramètres de base:

   1. Donnez au client RADIUS un nom mémorable pour faciliter les références.

   2. Configurez l'adresse IP et le secret partagé pour le client afin qu'ils correspondent à la configuration de votre appareil VPN. L'adresse IP est l'adresse IP interne de votre appareil. Si votre appareil communique via IPv6, utilisez cette adresse IP ainsi que l'ID de portée (ID d'interface) correspondant.

   3. Le secret partagé est le secret partagé RADIUS pour l'authentificateur externe que vous allez configurer sur votre appliance.

5. Dans la section Authentification, appliquez les paramètres illustrés dans la figure 1-1 ci-dessous

Figure 1-1

L'ESA est maintenant configuré pour communiquer avec le dispositif VPN SSL de Check Point Software. Vous devez maintenant configurer le dispositif VPN SSL de Check Point Software pour qu'il communique avec le serveur ESA.

Étape II - Configurer votre dispositif Check Point Software SSL VPN

Suivez les étapes ci-dessous :

1. Ouvrez Check Point SmartDashboard.
2. Développez la page Serveurs et applications OPSEC .
3. Cliquez avec le bouton droit sur Serveurs et sélectionnez Nouveau → RADIUS.
4. Donnez un nom à votre nouveau serveur (par exemple, ESA).
5. Cliquez sur Nouveau à côté du champ Hôte.
6. Sélectionnez General Properties (Propriétés générales) sur la gauche.
7. Ajoutez un nom au serveur (par exemple, ESAradserv).
8. Saisissez l'adresse IPv4 de votre serveur RADIUS ESA.
9. Cliquez sur OK.
10. Sélectionnez New Radius (pour le port 1812) dans le menu déroulant Service.
11. Saisissez votre secret partagé, comme indiqué dans la figure 1-1.
12. Sélectionnez PAP comme protocole.
13. Cliquez sur OK.

Étape III - Créer un utilisateur test

1. Accédez à la section Utilisateurs et administrateurs et développez-la.
2. Cliquez avec le bouton droit sur Utilisateurs et sélectionnez Nouvel utilisateur → Par défaut.
3. Saisissez le nom d'utilisateur AD de votre utilisateur test (par exemple, Alice) dans l'onglet général sous Propriétés de l'utilisateur.
4. Dans l'onglet Authentification
   1. Définissez le schéma d'authentification sur RADIUS.
   2. Sélectionnez le serveur que vous avez créé à la section II.
5. Cliquez sur OK.

Étape IV - Tester la connexion

Pour tester la connexion nouvellement configurée :

1. Lancez votre Check Point Software SecureClient.
2. Saisissez les informations d'identification de votre utilisateur test. Assurez-vous que vous utilisez un compte dont l'application mobile 2FA avec ESA est activée. Lorsque vous êtes invité à entrer un mot de passe, ajoutez l'OTP généré par l'application mobile à votre mot de passe AD. Par exemple, si le mot de passe AD de l'utilisateur est Esa123 et l'OTP 999111, vous devez taper Esa123999111.

Résolution des problèmes

Si vous ne parvenez pas à vous authentifier via le serveur RADIUS ESA, assurez-vous d'avoir effectué les étapes suivantes :

1. Exécutez un test de fumée sur votre serveur RADIUS, conformément au document "Verifying ESA RADIUS Functionality" (Vérification de la fonctionnalité du serveur RADIUS ESA).
2. Si aucune erreur n'a été corrigée et que vous ne parvenez toujours pas à vous connecter, revenez à une configuration d'ouverture de session existante qui n'utilise pas l'option 2FA et vérifiez que vous êtes en mesure de vous connecter.
3. Si vous pouvez vous connecter en utilisant les anciens paramètres, restaurez les nouveaux paramètres et vérifiez qu'aucun pare-feu ne bloque le protocole UDP 1812 entre votre appareil VPN et votre serveur RADIUS.
4. Si vous ne parvenez toujours pas à vous connecter, contactez le support technique d'ESET.