[KB3571] Hvordan konfigurerer jeg Netasq IPSec VPN-klienten min for bruk med ESET Secure Authentication?

Innledning

Denne artikkelen beskriver hvordan du konfigurerer Netasq IPSec VPN Client™ til å autentisere brukere mot en ESA-server. Før du fortsetter, må du kontrollere at du har installert RADIUS Server-komponenten i ESET Secure Authentication og har tilgang til RADIUS-tjenesten som gjør det mulig for eksterne systemer å autentisere brukere.

Før Netasq IPSec VPN Client™ kan bruke ESA-serveren til å autentisere brukere via RADIUS, må den konfigureres som en RADIUS-klient på ESA-serveren. Deretter må serveren som kjører ESA RADIUS-tjenesten, konfigureres som en RADIUS-server på Netasq IPSec VPN Client™. Når disse konfigurasjonene er spesifisert, kan du begynne å logge inn på Netasq IPSec VPN™ ved hjelp av ESA OTP-er.

Trinn I - Konfigurasjon av RADIUS-klient

RADIUS-protokollen krever at tilgangsforespørsler til RADIUS-servere inkluderer IP-adressen til RADIUS-klienten (for eksempel Netasq IPSec VPN Client™).

For at Netasq IPSec VPN Client™ skal kunne kommunisere med ESA-serveren, må du konfigurere den som en RADIUS-klient på ESA RADIUS-serveren:

1. Logg inn på ESA Web Console.
2. Naviger til Komponenter > RADIUS, og finn vertsnavnet til serveren som kjører ESA RADIUS-tjenesten.
3. Klikk på vertsnavnet, og klikk deretter på Opprett ny Radius-klient.
4. I delen Grunnleggende innstillinger
   1. Gi RADIUS-klienten et navn som er lett å huske, slik at den er lett å finne igjen.
   2. Konfigurer IP-adressen og den delte hemmeligheten for klienten slik at de samsvarer med konfigurasjonen til VPN-apparatet ditt. IP-adressen er den interne IP-adressen til apparatet ditt. Hvis apparatet kommuniserer via IPv6, bruker du den IP-adressen sammen med den tilhørende scope-ID-en (grensesnitt-ID).
   3. Den delte hemmeligheten er den delte RADIUS-hemmeligheten for den eksterne autentiseringsenheten som du vil konfigurere på apparatet ditt.
5. I delen Autentisering bruker du innstillingene som vises i Figur 1-1 nedenfor.

Figur 1-1

ESA er nå konfigurert til å kommunisere med Netasq IPSec VPN Client™. Du må nå konfigurere Netasq IPSec VPN Client™ til å kommunisere med ESA Server. Først oppretter du et nytt autentiseringsskjema, og deretter konfigurerer du innstillingene for RADIUS-serveren.

1. Åpne Netasq Web GUI og naviger til Brukere→Autorisasjonsportal → tilgjengelige metoder. Legg til Radius-metoden, og angi serveradressen til IP-adressen til serveren der ESET Secure Authentication er installert.
2. Naviger til Brukere → VPN-tilgangsrettigheter → Standard autentiseringsmetode, og velg Radius. Du kan angi denne parameteren for individuelle brukere under Brukere → VPN-tilgangsrettigheter → Regler for brukere.

Trinn II - Konfigurasjon av VPN-tunnel

Bruk Active Directory-passordet og Token-ID-en din, uten mellomrom, for å fullføre følgende trinn:

Opprett en ny Certificate Authority (CA)

1. Gå til Objects → Certificates og klikk på Add → Add root CA.
2. Følg instruksjonene i veiviseren for å opprette en CA.
3. Naviger til Objekter→ Sertifikater →Legg til→ Legg til et serversertifikat, og velg den nyopprettede sertifiseringsinstansen som standard serversertifikat for Netasq.
4. Naviger til VPN→IPSec VPN→Peers, velg Leggtil→ Ny anonym (mobil) peer.
5. Velg Sertifikat → Xauth (iPhone) og velg deretter den nye sertifiseringsinstansen.

Definer tunnelinnstillinger

1. Naviger tilVPN → IPSec VPN → Krypteringspolicy → Tunneler → Legg til → Ny policy
2. Velg Mobile peer i feltet Mobile peer used, og velg objektene som brukeren har tilgang til, i feltet Local resources . Når du er ferdig, klikker du på Aktiver.
3. Naviger til Bruker → VPN → IPSec VPN → Peers, og klikk på Leggtil→ Ny anonym (mobil) peer.
4. Velg Sertifikat → Xauth (iPhone) og velg deretter den nye sertifiseringsinstansen.
5. Naviger til VPN → IPSec VPN → Krypteringspolicy → Legg til →Ny policy.
6. Velg Mobile peer i feltet Mobile peer brukt, og velg objektene som brukeren har tilgang til i feltet Lokale ressurser . Når du er ferdig, klikker du på Aktiver.
7. Naviger til VPN → VPN-tilgangsprivilegier → VPN-tilgang og legg til en regel for å tillate tilgang for brukeren.

Aktiver varslinger

1. Naviger til Varsler → E-postvarsler → Konfigurasjon.
2. Velg Aktiver e-postvarsling, og angi de riktige parameterne for e-postprogrammet ditt.
3. Klikk på Legg til ny mottakergruppe under Mottakere, og legg deretter til brukere som du vil skal motta e-postvarsler.

Registrering av brukere

1. Naviger til Brukere → Autentisering → Captive Portal.
2. Aktiver Captive Portal, og merk av i avmerkingsboksen ved siden av eksterne grensesnitt.
3. Under Sertifikatalternativer skriver du inn den private nøkkelen for sertifikatet du opprettet tidligere.
4. Under Eksterne grensesnitt velger du Tillat webregistrering for brukere. Opprett nye sertifikater for brukere under Avanserte egenskaper, og angi hvilken brukergruppe sertifikatet skal tilordnes til.

Tildeling av sertifikat

1. Naviger til Captive Portal (https://netasq_IP_address/auth).
2. Logg inn på brukerkontoen som du ønsker å få et sertifikat for.
3. Gå til sertifikatdelen og hent sertifikatet for brukeren din.
4. Gå til Brukere → Registrering, og godkjenn eventuelle utestående forespørsler.
5. I Captive Portal navigerer du til Sertifikat-delen og klikker på Last ned sertifikat.
6. Når sertifikatet er ferdig nedlastet, klikker du på Eksporter for å lagre det i en fil.

Trinn III - Testing av tilkoblingen

Konfigurer VPN-klienten din i henhold til skjermbildene nedenfor for å teste tilkoblingen:

Figur 3-1

Figur 3-2

Figur 3-3

Figur 3-4

Figur 3-5

Feilsøking

Hvis du ikke klarer å autentisere deg via ESA RADIUS-serveren, må du kontrollere at du har utført følgende trinn:

1. Kjør en røyktest mot RADIUS-serveren, i henhold til dokumentet Verifisering av ESA RADIUS-funksjonalitet.
2. Hvis ingen feil ble rettet og du fortsatt ikke kan koble til, kan du gå tilbake til en eksisterende påloggingskonfigurasjon (som ikke bruker 2FA) og kontrollere at du kan koble til
3. Hvis du fortsatt kan koble til med de gamle innstillingene, gjenopprett de nye innstillingene og kontroller at det ikke er noen brannmur som blokkerer UDP 1812 mellom VPN-enheten og RADIUS-serveren din
4. Hvis du fortsatt ikke kan koble til, kan du kontakte ESETs tekniske støtte.