[KB3489] Hogyan konfigurálhatom a Check Point Software SSL VPN-eszközömet az ESET Secure Authentication használatára?

Bevezetés

Ez a cikk azt írja le, hogyan kell konfigurálni egy Check Point Software SSL VPN eszközt a felhasználók hitelesítésére egy ESA-kiszolgálóval szemben. A folytatás előtt ellenőrizze, hogy telepítette-e az ESET Secure Authentication RADIUS Server komponensét, és hozzáférhet-e a RADIUS szolgáltatáshoz, amely lehetővé teszi a külső rendszerek számára a felhasználók hitelesítését.

Mielőtt a Check Point Software SSL VPN-eszköz az ESA-kiszolgálót használhatná a felhasználók RADIUS-on keresztüli hitelesítésére, RADIUS-ügyfélként kell beállítani az ESA-kiszolgálón. Ezután az ESA RADIUS szolgáltatást futtató kiszolgálót RADIUS-kiszolgálóként kell beállítani a Check Point Software SSL VPN eszközön. Ha ezeket a konfigurációkat megadtuk, elkezdhetünk bejelentkezni a Check Point Software SSL VPN eszközre az ESA OTP-k segítségével.

I. lépés - RADIUS-ügyfél konfigurálása

Ahhoz, hogy a Check Point Software SSL VPN eszköz kommunikálni tudjon az ESA-kiszolgálóval, a Check Point Software SSL VPN eszközt RADIUS-ügyfélként kell konfigurálnia az ESA-kiszolgálón:

1. Jelentkezzen be a ESA webkonzolra.

2. Navigáljon a Components → RADIUS webhelyre, és keresse meg az ESA RADIUS szolgáltatást futtató kiszolgáló állomásnevét.

3. Kattintson az állomásnévre, majd kattintson a Új sugárzási ügyfél létrehozása gombra.

4. A Alapbeállítások szakaszban:

   1. Adjon a RADIUS-ügyfélnek egy megjegyezhető nevet a könnyű hivatkozás érdekében.

   2. Állítsa be a IP-címet és a megosztott titkot az ügyfél számára úgy, hogy azok megfeleljenek a VPN-berendezés konfigurációjának. Az IP-cím a készülék belső IP-címe. Ha a készülék IPv6-on keresztül kommunikál, használja ezt az IP-címet és a hozzá tartozó hatókör-azonosítót (interfész-azonosító).

   3. A megosztott titok a RADIUS megosztott titka a külső hitelesítőhöz, amelyet a készüléken konfigurál.

5. A Hitelesítés szakaszban alkalmazza az alábbi 1-1. ábrán látható beállításokat

1-1. ábra

Az ESA-t most úgy konfigurálták, hogy kommunikálni tudjon a Check Point Software SSL VPN eszközzel. Most a Check Point Software SSL VPN-t kell konfigurálnia eszközt az ESA-kiszolgálóval való kommunikációra.

II. lépés - A Check Point Software SSL VPN eszköz konfigurálása

Kövesse az alábbi lépéseket:

1. Nyissa meg a Check Point SmartDashboardot.
2. Bontsa ki a Kiszolgálók és OPSEC-alkalmazások lapot.
3. Kattintson a jobb gombbal a Kiszolgálók elemre, és válassza az Új → RADIUS lehetőséget.
4. Adjon nevet az új kiszolgálónak (például ESA).
5. Kattintson az Új gombra a Host mező mellett.
6. Válassza az Általános tulajdonságok menüpontot a bal oldalon.
7. Adjon nevet a kiszolgálónak (például ESAradserv).
8. Adja meg az ESA RADIUS-kiszolgáló IPv4-címét.
9. Kattintson az OK gombra.
10. Válassza az Új sugárzás (1812-es porthoz) lehetőséget a Szolgáltatás legördülő menüből.
11. Írja be a megosztott titkot, ahogy az az 1-1. ábrán látható.
12. Protokollként válassza a PAP protokollt.
13. Kattintson az OK gombra.

III. lépés - Hozzon létre egy tesztfelhasználót

1. Navigáljon a Felhasználók és rendszergazdák pontra, és bontsa ki azt.
2. Kattintson a jobb gombbal a Felhasználók elemre, és válassza az Új felhasználó → Alapértelmezett.
3. Írja be a tesztfelhasználó AD-felhasználónevét (például Alice) a Felhasználói tulajdonságok általános lapra.
4. A Hitelesítés lapon:
   1. A hitelesítési séma beállítása RADIUS.
   2. Válassza ki a II. szakaszban létrehozott kiszolgálót.
5. Kattintson az OK gombra.

IV. lépés - A kapcsolat tesztelése

Az újonnan konfigurált kapcsolat tesztelése:

1. Indítsa el a Check Point Software SecureClient programot.
2. Adja meg a tesztfelhasználó hitelesítő adatait. Győződjön meg róla, hogy olyan fiókot használ, amelyben az ESA-t használó mobilalkalmazás 2FA engedélyezve van. Amikor jelszó megadására kérik, a mobilalkalmazás által generált OTP-t csatolja az AD-jelszóhoz. Ha például a felhasználó AD-jelszava Esa123, OTP-je pedig 999111, akkor írja be az Esa123999111 jelszót.

Hibaelhárítás

Ha nem tud az ESA RADIUS-kiszolgálón keresztül hitelesíteni, győződjön meg arról, hogy elvégezte a következő lépéseket:

1. Futtasson füstpróbát a RADIUS-kiszolgálóval a “Verifying ESA RADIUS Functionality” dokumentum szerint.
2. Ha a hibák nem lettek kijavítva, és továbbra sem tud csatlakozni, térjen vissza egy meglévő, a 2FA-t nem használó bejelentkezési konfigurációhoz, és ellenőrizze, hogy képes-e csatlakozni.
3. Ha a régi beállításokkal tud csatlakozni, állítsa vissza az új beállításokat, és ellenőrizze, hogy nincs-e olyan tűzfal, amely blokkolja az UDP 1812-t a VPN-eszköz és a RADIUS-kiszolgáló között.
4. Ha továbbra sem tud csatlakozni, forduljon az ESET technikai támogatásához.