[KB3510] Hoe configureer ik mijn Cyberoam® (een Sophos bedrijf) UTM apparaat voor gebruik met ESET Secure Authentication?

Inleiding

Dit artikel beschrijft hoe een Cyberoam® UTM-appliance geconfigureerd moet worden om gebruikers te verifiëren tegen een ESA Server. Cyberoam® SSL VPN, Captive Portal en IPsec VPN-toepassingen worden ondersteund. Voordat u verder gaat, moet u controleren of u de RADIUS-servercomponent van ESET Secure Authentication hebt geïnstalleerd en of u toegang hebt tot de RADIUS-service waarmee externe systemen gebruikers kunnen verifiëren.

Voordat uw Cyberoam® -apparaat de ESA Server kan gebruiken om gebruikers te verifiëren via RADIUS, moet het worden ingesteld als een RADIUS-client op de ESA Server. Vervolgens moet uw server waarop de ESA RADIUS-service wordt uitgevoerd, worden ingesteld als RADIUS-server op het Cyberoam®-apparaat. Zodra deze configuraties zijn opgegeven, kunt u beginnen met inloggen op uw Cyberoam®-apparaat met behulp van ESA OTP's.

Stap I - RADIUS-clientconfiguratie

Om het Cyberoam® -apparaat te laten communiceren met uw ESA Server, moet u het apparaat configureren als een RADIUS-client op uw ESA Server:

1. Log in op ESA Web Console.
2. Navigeer naar Onderdelen > RADIUS en zoek de hostnaam van de server waarop de ESA RADIUS-service wordt uitgevoerd.
3. Klik op de hostnaam en klik vervolgens op Nieuwe Radius-client maken.
4. In het gedeelte Basisinstellingen
   1. Geef de RADIUS-client een gedenkwaardige naam voor gemakkelijke referentie.
   2. Configureer het IP-adres en het gedeelde geheim voor de client zodat ze overeenkomen met de configuratie van uw VPN-apparaat. Het IP-adres is het interne IP-adres van uw apparaat. Als uw apparaat via IPv6 communiceert, gebruik dan dat IP-adres samen met de bijbehorende scope-ID (interface-ID).
   3. Het gedeelde geheim is het RADIUS gedeelde geheim voor de externe authenticator die u op uw apparaat zult configureren.
5. Pas in het gedeelte Authenticatie de instellingen toe die worden getoond in Figuur 1-1 hieronder.

Afbeelding 1-1

ESA is nu geconfigureerd om te communiceren met het Cyberoam®-apparaat. U moet nu het Cyberoam® -apparaat configureren om met de ESA-server te communiceren.

Stap II - De RADIUS-serverinstellingen voor uw Cyberoam® -apparaat configureren

Volg de onderstaande stappen:

1. Meld u als beheerder aan bij de Cyberoam® Web Admin Console.
2. Navigeer naar Identiteit → Authenticatie → Authenticatieserver.
3. Klik op Toevoegen (zie Afbeelding 2-1).
   
   

   

   Figuur 2-1

4. Voer het volgende in
   1. Selecteer RADIUS Server in het vervolgkeuzemenu Server Type.
   2. Servernaam: Een naam voor deze server (bijvoorbeeld ESA-RADIUS).
   3. Server IP: Het IP-adres van de ESA RADIUS-server.
   4. Authenticatiepoort: 1812
   5. Gedeelde geheim: Het gedeelde geheim van uw RADIUS-server (zie afbeelding 1-1)
   6. Type integratie: Losse integratie
5. Klik op Testverbinding. Voer de referenties van je testgebruiker in. Zorg ervoor dat je een gebruiker gebruikt waarbij Mobile Application 2FA met ESA is ingeschakeld. Als om een wachtwoord wordt gevraagd, voeg dan de OTP die is gegenereerd door de mobiele ESA-toepassing toe aan het AD-wachtwoord. Als de gebruiker bijvoorbeeld een AD-wachtwoord heeft van Esa123 en een OTP van 999111, typ dan Esa123999111.
6. Klik op Verbinding testen. U ziet nu linksonder een bericht met de status Succes (zie Afbeelding 2-2). Ga niet verder met stap III totdat de connectiviteitstest is geslaagd.

Afbeelding 2-2

Stap III - ESA-authenticatie inschakelen

1. Navigeer in het linkerpaneel naar Identiteit → Authenticatie → VPN.
2. Configureer de relevante VPN-authenticatiemethoden. Voor SSL VPN-authenticatie selecteert u bijvoorbeeld "ESA RADIUS" als authenticatiemethode, zoals weergegeven in afbeelding 3-1.
3. Klik op Toepassen en vervolgens op OK.

Afbeelding 3-1

Stap IV - De verbinding testen

Om de nieuw geconfigureerde verbinding te testen:

1. Navigeer naar uw aanmeldpagina.
2. Voer de volgende gegevens in met uw testaccount
   1. AD gebruikersnaam in het veld Gebruikersnaam.
   2. AD wachtwoord, samengevoegd met een OTP van hun ESA Mobile applicatie in het veld Wachtwoord.

Problemen oplossen

Als authenticatie via de ESA RADIUS-server niet lukt, controleer dan of de volgende stappen zijn uitgevoerd:

1. Voer een rooktest uit tegen uw RADIUS-server, zoals beschreven in Verifiëren van ESA RADIUS-functionaliteit.
2. Als er geen fouten zijn verholpen en u nog steeds geen verbinding kunt maken, ga dan terug naar een bestaande aanmeldconfiguratie die geen 2FA gebruikt en controleer of u wel verbinding kunt maken.
3. Als u verbinding kunt maken met de oude instellingen, herstel dan de nieuwe instellingen en controleer of er geen firewall is die UDP 1812 blokkeert tussen uw VPN-apparaat en uw RADIUS-server.
4. Als u nog steeds geen verbinding kunt maken, neem dan contact op met de technische ondersteuning van ESET.