[KB3403] Налаштування моєї кінцевої точки автентифікації для використання з ESET Secure Authentication

• Налаштуйте ESET Secure Authentication (ESA) для використання з кінцевою точкою автентифікації
• Клієнт не перевіряє ім'я користувача та пароль
• Клієнт перевіряє ім'я користувача та пароль
• Використовуйте функцію виклику доступу в RADIUS
• Клієнт не перевіряє ім'я користувача та пароль - уникайте складних слів
• <deprecated
• Приклади посібників з інтеграції

ESA розрізняє три типи клієнтів (наприклад, VPN) залежно від того, як вони обробляють автентифікацію в середовищі Active Directory (AD).

Клієнт не перевіряє ім'я користувача та пароль

Всі VPN повинні підтримувати цей сценарій. Якщо під час налаштування RADIUS-клієнта у веб-консолі ESA встановити для параметра Тип клієнта значення Клієнт не перевіряє ім'я користувача та пароль, обидва фактори (ім'я користувача та пароль як перший фактор і OTP як другий фактор) перевірятимуться ESA.

Вимоги

Налаштуйте автентифікацію вашого VPN-з'єднання на використання автентифікації RADIUS, яка вказує на сервер RADIUS, налаштований у веб-консолі ESA.

Як це працює?

• OTP на основі SMS - при першій спробі входу користувачеві буде запропоновано ввести пароль. Спроба входу закінчується невдачею, але користувач отримує OTP через SMS. При другій спробі входу користувач вводить отриманий OTP в поле для введення пароля.

• OTP мобільного додатку / Hard Token OTP - Користувачі входять в систему, використовуючи одночасно пароль і OTP, а також парольOTP.

• Push-клієнти мобільного додатку-користувачі намагаються увійти, використовуючи свої облікові дані для входу. На мобільний пристрій користувача генерується push-повідомлення. Підтвердження повідомлення призводить до успішного входу в систему.

• Користувач без 2FA / користувач з білого списку: Користувачі входять, використовуючи свої облікові дані для входу. ESA перевіряє пароль.

Клієнт перевіряє ім'я користувача та пароль

Переконайтеся, що VPN підтримує цю функцію і налаштована правильно. Неправильне налаштування може призвести до пропуску перевірки пароля. Якщо під час налаштування RADIUS-клієнта у веб-консолі ESA ви встановите для параметра Тип клієнта значення Клієнт перевіряє ім'я користувача та пароль, то перший фактор (ім'я користувача та пароль) буде перевірено службою AD.

Вимоги

Налаштуйте одну автентифікацію, що вказує на ваш сервер, і одну автентифікацію RADIUS, що вказує на сервер RADIUS ESA.

Як це працює?

• OTP на основі SMS-повідомлень- потрібно дві спроби входу. Спочатку користувач вводить свій пароль у перше поле пароля, а потім набирає sms, без лапок. Якщо введені правильні ім'я користувача та пароль, знову з'явиться екран входу без жодних повідомлень про помилки, і користувач отримає OTP через SMS. Під час другої спроби входу користувач вводить отриманий OTP у друге поле для введення пароля.

• OTP для мобільного додатку / OTP для твердого токена - Користувачі вводять згенероване OTP у друге поле для введення пароля.

• Push для мобільного додатку - Користувачі вводять у це поле "пусте", "жодного" або "push" без лапок. ESA генерує push-повідомлення і чекає на його підтвердження.

• Користувач без 2FA / користувач з білого списку: Користувачі залишають друге поле пароля порожнім або вводять у нього "none" чи "push" без лапок.

Використовувати функцію виклику доступу в RADIUS

Використовуйте цю опцію, якщо ваш VPN-сервер зв'язується лише з ESA RADIUS для перевірки обох факторів (ім'я користувача та пароль як перший фактор і OTP як другий фактор), але автентифікація складається з двох кроків.

Наступні клієнти RADIUS підтримують функцію RADIUS Access-Challenge:

• Junos Pulse (VPN)
• Linux PAM модуль

Наступні RADIUS-клієнти не слід використовувати з функцією Access-Challenge:

• Microsoft RRAS

Вимоги

Налаштуйте автентифікацію вашого VPN-з'єднання на використання автентифікації RADIUS, яка вказує на сервер RADIUS, налаштований у веб-консолі ESA.

Як це працює?

• SMS-аутентифікація: Користувачі входять в систему, використовуючи свої облікові дані для входу, в наступному вікні або спливаючому діалоговому вікні вони вводять OTP, отриманий за допомогою SMS.

• Мобільний OTP / Hard Token: Користувачі входять в систему, використовуючи свої облікові дані, в наступному вікні або спливаючому діалоговому вікні вони вводять згенерований OTP.

• Push-аутентифікація: Користувачі входять в систему, використовуючи свої облікові дані, і підтверджують згенероване пуш-повідомлення.

• Користувач без 2FA / користувач з білого списку: Користувачі використовують лише облікові дані для входу.

Клієнт не перевіряє ім'я користувача та пароль - уникайте складних слів

Вимоги

Приклади посібників з інтеграції

Клацніть відповідне посилання нижче, щоб переглянути посібник з інтеграції ESET Secure Authentication для вашої конфігурації. Посібники з інтеграції призначені для використання в поєднанні з документом про функціональність ESET Secure Authentication Verifying ESA RADIUS. Зверніть увагу, що деякі з посібників можуть бути застарілими та слугувати зразком. Щоб отримати актуальний посібник з інтеграції, зверніться до постачальника пристрою VPN щодо типів клієнтів, які підтримуються, описаних вище.

Кінцеві точки VPN, брандмауера та UTM:

• Barracuda'
• Check Point Software'
• Cisco ASA IPsec'
• Cisco ASA SSL'
• Шлюз доступу Citrix'
• Citrix Netscaler'
• Cyberoam'
• Fortinet Fortigate'
• Microsoft Forefront Threat Management Gateway'
• Netasq'

Кінцеві точки у хмарі та VDI

• Citrix XenApp server'

На додаток до посібників з інтеграції для конкретних додатків, ми рекомендуємо також ознайомитися з онлайн-довідкою ESET Secure Authentication під час впровадження ESET Secure Authentication. Якщо ви плануєте додати ESET Secure Authentication до наявної програми за допомогою ESET Secure Authentication API, також доступні Посібник користувача ESET Secure Authentication API та Документи щодо заміни SSL-сертифіката ESET Secure Authentication.