Предварительные требования

Установленный и настроенный Indeed AM 8.2.6.
Установленный и настроенный Indeed AM NPS RADIUS Extension.
Установленный и настроенный Indeed Key сервер и Indeed Key провайдер.
Установленные провайдеры Indeed AM Software TOTP и Indeed AM Radius Providers.
Машина с установленным и настроенным сервером S-Crypto.

Настройка на стороне Indeed AM NPS RADIUS Extension

В оснастке Network Policy Server необходимо создать новый RADIUS Client, указав имя RADIUS Client’а, IP-адрес и общий секрет:
Нужно также создать сетевую политику с необходимыми для Вас условиями подключения:
Создадим новое приложение. В MC консоли, во вкладке “Приложения” нажмите кнопку “Добавить приложение”, в появившемся окне выберите модуль интеграции NPS RADIUS Extension и дайте название, нажмите кнопку “Создать”:
Откройте созданное приложение, укажите IP-адрес RADIUS Client’а (тот же самый IP-адрес, что мы указывали в оснастке NPS) и нажмите сохранить:
Далее откройте в MC консоли вкладку “Политики”, выберите политику (либо, если её нет, то создайте, а затем выберите её), нажмите кнопку “Добавить приложение” и выберите созданное ранее приложение:
Во вкладке “Область действия” добавьте пользователей (можно также добавить группу из AD), которые в дальнейшем будут аутентифицироваться через Indeed AM:

Настройка Radius аутентификации в S-Crypto

Заходим в S-Crypto VPN Server Manager. Выделяем хост и подключаемся к нему.

Далее создаём/выбираем хаб и открываем его двойным щелчком

Далее в настройках хаба выбираем "Authentication Server Setting (RADIUS)

Задаём IP-адрес Radius сервера, порт, секрет и интервал повторных подключений, рекомендуем задавать значение не ниже 5с.

Далее возвращаемся в настройки виртуального хаба и выбираем раздел "Manage Users".

Выбираем/создаём пользователя, заходим в настройки профиля и в разделе "Тип аутентификации" выбираем Radius аутентификация.

На рабочей станции потребуется создать VPN подключение в S-Crypto VPN Client Manager.
Нужно задать адрес VPN сервера, порт, имя хаба, а также задать УЗ пользователя и тип аутентификации Radius.

Настройка 2fa

2FA Аутентификация с использованием TOTP:

В MC консоли, во вкладке “Политики”, открываем политику, а затем созданное ранее приложение. В нём, во вкладке “Приложения”, выберите метод аутентификации “2FA: One-string authenticator” (в данном сценарии у пользователя заранее должен быть зарегистрирован аутентификатор Software TOTP, на сервере должен быть установлен провайдер MFA, а также настроены политики MFA и Radius MFA):

(Примечание. Обычные 2FA провайдеры использовать возможности нет, т.к. S-Crypto не поддерживает отображение окна Challenge-Response)

Настройки политик MFA:

Или, чтобы не использовать при вводе пароля разделитель, можно настроить политику длины OTP, в таком случае система будет понимать какая часть в заданном пароле отвечает за OTP.
В оснастке NPS должна быть включена настройка “Проверять подлинность запросов на этом сервере”:
(в данной конфигурации, требуется чтобы у пользователя была настроена персонализация, т.е. доменный пароль был записан в БД Indeed)

Если же персонализации нет, то требуется выключить проверку подлинности.

После данных настроек, можно пробовать аутентифицироваться в VPN приложении S-Crypto.
Нужно ввести учетную запись, а в поле пароля ввести доменный пароль, разделитель, TOTP из приложения. Пример: password\567342.
Если же задана политика длины OTP в 6 символов, пример: password567342
(разделитель или длина OTP задается в политике, упомянутой выше)

2FA Аутентификация с использованием PUSH:

В MC консоли, во вкладке “Политики”, открываем политику, а затем созданное ранее приложение. В нём, во вкладке “Приложения”, выберите метод аутентификации “2FA: Windows Password + Indeed Key (Push)” (в данном сценарии у пользователя заранее должен быть зарегистрирован аутентификатор Indeed key):
В оснастке NPS должна быть включена настройка “Проверять подлинность запросов на этом сервере”:

После данных настроек, можно пробовать аутентифицироваться в VPN приложении S-Crypto.
Нужно ввести учетную запись, а в поле пароля ввести доменный пароль, после данных действий на смартфон придёт пуш уведомление в приложении Indeed key, его нужно открыть и нажать кнопку Подтвердить.

Настройка 1fa

В MC консоли, во вкладке “Политики”, открываем политику, а затем созданное ранее приложение. В нём во вкладке “Приложения” выберите метод аутентификации “1FA: Software TOTP” (в данном сценарии у пользователя заранее должен быть зарегистрирован аутентификатор Software TOTP):
В оснастке NPS должна быть включена настройка “Проверять подлинность запросов на этом сервере”:
(в данной конфигурации, требуется чтобы у пользователя была настроена персонализация, т.е. доменный пароль был записан в БД Indeed)

Если же персонализации нет, то в оснастке NPS должна быть включена настройка “Принимать пользователей без проверки учетных данных”:

После данных настроек, можно пробовать аутентифицироваться в VPN приложении S-Crypto.
Нужно ввести учетную запись, а в поле пароля ввести TOTP из приложения.

Дополнительно

Персонализация - это доменный пароль пользователя, записанный в базу данных AM.

Персонализацию для пользователя можно получить одним из следующих способов:

Авторизоваться под необходимым пользователем в консоль UC, нажать на провайдер "Windows Password", выбрать "Зарегистрировать" и ввести повторно Windows Password;
Начать вход на ВМ с установленным Windows Logon, указать необходимого пользователя, выбрать любой метод аутентификации (не Windows Password!), ввести к нему аутентификатор и войти в систему;

Примечание: возникнет ожидаемая ошибка о рассинхроне паролей, необходимо нажать ОК и ввести Windows Password.
Отправить API запрос (postman). Например:
1. Выполнить цепочку запросов для аутентификации в приложение Windows Logon методом Windows Password, после чего задать пароль запросом /userAccount/setPassword
Использовать утилиту сброса пароля (будет сгенерирован случайный пароль)

(2 голос(а))

Эта статья полезна

Эта статья бесполезна

Комментарии (0)

Портал технической поддержки компании Индид