Comment activer la MFA pour les connexions VPN et les connexions d’endpoint supportant RADIUS

Note : La MFA pour les connexions VPN nécessite la Professional edition of ADSelfService Plus avec Endpoint MFA.

L’Endpoint MFA d’ADSelfService Plus ajoute une étape supplémentaire d’authentification pour les connexions VPN et endpoint utilisant l’authentification RADIUS (comme Microsoft Remote Desktop Gateway et VMware Horizon) pour une sécurité renforcée.

ADSelfService Plus nécessite l’utilisation d’un Windows Network Policy Server (NPS) sur les VPN et endpoints. Il est fourni avec une extension NPS, qui doit être installée sur le NPS. Cette extension facilite la communication entre le NPS et ADSelfService Plus pour la MFA lors des connexions VPN et endpoint.

Fonctionnement :

Une fois que le serveur VPN ou point de terminaison est configuré pour utiliser l’authentification RADIUS, et que l’extension NPS est installée sur le serveur RADIUS, voici comment fonctionne le processus d’authentification :

• Un utilisateur tente d’établir une connexion en fournissant son nom d’utilisateur et son mot de passe au serveur VPN ou point de terminaison.
• Le serveur convertit la requête en un message RADIUS Access-Request et l’envoie au NPS où l’extension ADSelfService Plus NPS est installée.
• Si la combinaison nom d’utilisateur et mot de passe est correcte, l’extension NPS déclenche une demande d’authentification secondaire auprès du serveur ADSelfService Plus.
• ADSelfService Plus effectue l’authentification secondaire et envoie le résultat à l’extension NPS sur le NPS.
• Si l’authentification réussit, le NPS envoie un message RADIUS Access-Accept au serveur VPN ou endpoint.
• L’utilisateur obtient l’accès au serveur VPN ou endpoint, et un tunnel chiffré vers le réseau interne est établi.

Configuration du MFA pour les VPN et les points de terminaison prenant en charge RADIUS

Tout d’abord, vous devez décider quel mode MFA vous souhaitez utiliser pour configurer la MFA VPN. Vous pouvez sélectionner soit VPN Client Verification or SecureLink Email Verification, selon les authenticators et le type de sollicitations MFA que vous souhaitez utiliser :

1. Vérification par client VPN
• Sélectionnez VPN Client Verification pour présenter aux utilisateurs des sollicitations MFA directement depuis le client VPN lors du processus de connexion.
• Si votre VPN supporte les sollicitations de challenge RADIUS, alors les authenticators ADSelfService Plus (comme TOTP Authentication, Microsoft Authenticator, YubiKey Authenticator ou Zoho OneAuth TOTP) et les authenticators unidirectionnels (comme Push Notification Authentication ou Biometric Authentication) peuvent être sélectionnés pour la MFA VPN.
• Si votre VPN ne supporte pas les sollicitations de challenge RADIUS, les authenticators unidirectionnels (comme Push Notification Authentication ou Biometric Authentication) peuvent être sélectionnés pour la MFA VPN.
2. Vérification par e-mail SecureLink
• Sélectionnez SecureLink Email Verification pour sécuriser les VPN en utilisant n’importe quel authenticator supporté par ADSelfService Plus, y compris les authenticators non supportés par le client VPN (comme FIDO Passkeys ou Smart Card Authentication).
• Lorsque cette méthode est sélectionnée, l’utilisateur recevra un lien de vérification dans sa boîte mail sur lequel il devra cliquer pour vérifier son identité.

Étapes de configuration

Prérequis

• Vous devez disposer de la Professional edition of ADSelfService Plus avec Endpoint MFA.
• Votre serveur VPN ou endpoint doit être configuré pour utiliser l’authentification RADIUS.
• Pour le serveur RADIUS, vous devez disposer d’un serveur Windows (Windows Server 2008 R2 et supérieur) avec le rôle NPS activé.
• Vous devez activer HTTPS dans ADSelfService Plus sous Admin > Product Settings > Connection.
Note : Si vous utilisez un certificat non fiable dans ADSelfService Plus pour activer HTTPS, vous devez désactiver l’option Restrict User Access when there is an Invalid SSL Certificate sous Configuration > Administrative Tools > GINA/Mac/Linux (Ctrl+Alt+Del) > GINA/Mac/Linux Customization > Advanced.
• Dans AD, définissez la permission Network Access des utilisateurs sur Control access through NPS Network Policy dans leurs propriétés Dial-in.
• Dans ADSelfService Plus, l’URL d’accès que vous configurez sous Admin > Product Settings > Connection > Configure Access URL est utilisée par l’extension NPS pour communiquer avec le serveur ADSelfService Plus. Assurez-vous de mettre à jour l’URL d’accès avant d’installer l’extension NPS.
• On the NPS where the NPS extension is going to be installed:
  • Réglez les paramètres Authentication de la Connection Request Policy sur Authenticate requests on this sever.
  • Laissez la case Ignore user account dial-in properties sous la section Overview de la Network Policy décochée.

Étape 1 : Activez les authenticators requis

1. Connectez-vous à ADSelfService Plus en tant qu’administrateur.
2. Allez à Configuration > Self-Service > Multi-factor Authentication > Authenticators Setup.
3. Activez les authenticators compatibles avec le mode MFA choisi avant de commencer le processus de configuration.

Authenticators compatibles avec VPN Client Verification

Ces authenticators sont applicables par défaut pour tous les endpoints fournissant une authentification RADIUS. Si vous choisissez ce mode, vous pouvez sélectionner soit des authenticators unidirectionnels soit des authenticators basés sur un challenge.

1. Authenticators unidirectionnels
• Authentification par notification push
• Authentification biométrique
Note : Lorsque vous activez Push Notification Authentication ou Biometric Authentication, assurez-vous que le serveur ADSelfService Plus est accessible par les utilisateurs via internet depuis leurs appareils mobiles.

Le délai d’attente de l’authentification RADIUS doit être réglé à au moins 60 secondes dans les paramètres de configuration d’authentification RADIUS du serveur VPN. Ne pas configurer ce paramètre pourrait entraîner l’application du délai d’attente par défaut (souvent aussi court que cinq secondes), ce qui peut être insuffisant pour que les utilisateurs complètent la MFA, causant potentiellement des échecs d’authentification.
2. Authenticators basés sur un défi
• TOTP Authentication
• Google Authenticator
• Microsoft Authenticator
• Authenticator YubiKey
• Vérification par SMS
• Vérification par e-mail
• Zoho OneAuth TOTP

Les authenticators basés sur un challenge sont applicables uniquement lorsque :

• Le Password Authentication Protocol (PAP) est configuré pour la méthode d’authentification RADIUS.
• Le client RADIUS (le serveur VPN ou endpoint) supporte les sollicitations challenge-réponse ; c’est-à-dire qu’il dispose d’un moyen de solliciter l’utilisateur pour un challenge (un code de vérification) et de renvoyer le challenge saisi.
Note : Lorsque des authenticators basés sur un challenge sont utilisés, les attributs RADIUS configurés dans la politique réseau ne seront pas transmis au client RADIUS (le serveur VPN ou endpoint). En conséquence, le client VPN pourrait avoir plus d’accès que souhaité, moins d’accès, ou aucun accès. Pour y remédier, vous pouvez utiliser l’option Send additional attributes as a response to the VPN server after successful MFA sous les paramètres Advanced pour envoyer les attributs RADIUS au serveur VPN depuis ADSelfService Plus.

Authenticators compatibles avec SecureLink Email Verification

Si vous sélectionnez SecureLink Email Verification, vous pouvez sécuriser votre VPN en utilisant n’importe quel authenticator supporté par ADSelfService Plus. Vous pouvez trouver la liste des authenticators ici. Cliquez sur les liens respectifs pour apprendre comment activer ces méthodes d’authentification.

Étape 2 : Activer la MFA pour les connexions VPN dans ADSelfService Plus

1. Allez dans MFA for Endpoints.
2. Sélectionnez une stratégie dans le menu déroulant Choose the Policy. Cette stratégie détermine les utilisateurs pour lesquels la MFA pour les connexions VPN et aux points de terminaison est activée. Pour en savoir plus sur la création d’une stratégie basée sur une OU ou un groupe, cliquez ici.
3. Dans la section MFA for VPN Logins, sélectionnez VPN Client Verification ou SecureLink Email Verification, selon le mode MFA choisi précédemment.
4. Cochez la case à côté de Enable __ authenticator factor(s) for VPN logins.
5. Choisissez le nombre de facteurs d’authentification à appliquer.
6. Sélectionnez les méthodes d’authentification à utiliser. Vous pouvez également réorganiser les méthodes d’authentification listées en les faisant glisser et en les déposant aux positions souhaitées.
7. Cliquez sur Enregistrer les paramètres.

Paramètres avancés

Consultez le advanced settings help document pour envoyer des attributs supplémentaires au fournisseur VPN, configurer la limite de session MFA VPN, et activer l’option pour ignorer la MFA si ADSelfService Plus est indisponible ou si l’utilisateur n’est pas inscrit.

Vous pouvez envoyer des attributs supplémentaires au serveur VPN après une MFA réussie pour déterminer le niveau d’accès de chaque utilisateur ou pour d’autres usages. Veuillez vous référer à la documentation fournie par votre fournisseur VPN pour la liste complète des attributs que vous pouvez utiliser. Une liste des attributs les plus fréquemment utilisés pour les principaux fournisseurs VPN du marché est donnée ci-dessous :

Étape 3 : Installer l’extension NPS

1. Allez dans MFA for Endpoints.



2. Cliquez sur l’icône d’infobulle à côté de MFA for VPN Logins pour afficher le diagramme d’architecture et télécharger l’extension NPS via le lien fourni dans la bannière.



3. Copiez le fichier d’extension (ADSSPNPSExtension.zip) sur le serveur Windows que vous avez configuré comme serveur RADIUS. Extrayez le contenu du fichier ZIP et enregistrez-le dans un emplacement sécurisé.
4. Ouvrez Windows PowerShell en tant qu'administrateur et accédez au dossier où se trouve le contenu du fichier d'extension.
5. Exécutez la commande suivante :

PS C:\> .\setupNpsExtension.ps1 Install

Note : Si le plug-in d’extension NPS doit être désinstallé ou mis à jour vers une version plus récente, saisissez respectivement Uninstall ou Update à la place de Install.
6. Après l’installation, il vous sera demandé de redémarrer le service Windows NPS. Procédez au redémarrage.

Personnalisation de la configuration de la MFA pour les VPN et les points de terminaison prenant en charge RADIUS

Vous pouvez personnaliser la configuration MFA selon les exigences de votre organisation.
Pour ce faire :

1. Ouvrez Registry Editor (tapez regedit dans la boîte de dialogue Run).
2. Allez à HKEY_LOCAL_MACHINE\SOFTWARE\ZOHO Corp\ADSelfService Plus NPS Extension.
Note : Faites une sauvegarde de la clé de registre avant de la modifier. Seul le groupe administrateur intégré de l’ordinateur a le privilège de modifier cette clé.
3. Vous pouvez personnaliser les propriétés mentionnées ci-dessous selon les exigences de votre organisation :
• ServerName : Indiquez le nom d’hôte ou l’adresse IP du serveur web ADSelfService Plus.
• ServerPortNo : Indiquez le numéro de port TCP pour le serveur web ADSelfService Plus.
• ServerContextPath : Indiquez le chemin de contexte du serveur web (si configuré).
• MfaStatus : Cette valeur peut être définie sur true ou false selon que vous souhaitez appliquer ou non la MFA.
• ServerSSLValidation : Cette valeur peut être définie sur true ou false. Si elle est définie sur true, elle vérifie le certificat SSL et le nom d’hôte lors de l’établissement d’une connexion HTTPS de l’extension NPS vers le serveur ADSelfService Plus. Il est recommandé de toujours définir cette propriété sur true pour des raisons de sécurité.
• BypassMFAOnConnectionError (optional) : Cette propriété peut être définie sur true ou false selon que la MFA peut être contournée en cas de problème de connexion lors de l’authentification.
• CRPolicies (optional) : Cette propriété peut être utilisée pour appliquer la MFA uniquement aux utilisateurs relevant de ces stratégies de demande de connexion. Saisissez les noms des stratégies de demande de connexion, et si plusieurs stratégies doivent être mentionnées, séparez-les par des points-virgules (;).
• NetworkPolicies (optional) : Cette propriété peut être utilisée pour appliquer la MFA uniquement aux utilisateurs relevant de ces stratégies réseau. Saisissez les noms des stratégies réseau, et si plusieurs stratégies doivent être mentionnées, séparez-les par des points-virgules (;).
Note : Lorsque CRPolicies et NetworkPolicies sont toutes deux configurées, une demande d’authentification est prise en compte pour la MFA uniquement si les CRPolicies et NetworkPolicies de la requête RADIUS correspondent à celles configurées. Si les stratégies ne sont pas configurées, la MFA est appliquée à toutes les requêtes RADIUS réussies envoyées au NPS.
• LogLevel (optional) : Cette propriété peut être utilisée pour déterminer la complexité des informations enregistrées sur le fonctionnement de la fonctionnalité. La propriété est définie par défaut sur Normal et peut être modifiée en Debug pour enregistrer en plus des détails aidant au débogage. Il est recommandé de définir la propriété sur Normal.
• UserIPAttribute (optional) : La valeur de cette propriété est un attribut de requête RADIUS, qui peut être modifié pour recevoir l’adresse IP de l’utilisateur et l’envoyer à ADSelfService Plus pour un accès conditionnel.

La valeur à définir pour la propriété UserIPAttribute varie selon chaque fournisseur VPN. Veuillez vous référer à la documentation fournie par votre fournisseur VPN pour connaître la valeur de l’attribut RADIUS via laquelle l’adresse IP de l’utilisateur est envoyée.

Cet attribut peut être standard ou spécifique au fournisseur.

• S'il s'agit d'un attribut standard, vous pouvez définir la propriété UserIPAttribute uniquement avec le numéro d'attribut.
• S'il s'agit d'un attribut spécifique au fournisseur, vous devez mentionner l'ID du fournisseur suivi du numéro d'attribut attribué par le fournisseur — séparés par une virgule — comme valeur de UserIPAttribute.
• Des exemples utilisant des fournisseurs bien connus sont donnés dans le tableau ci-dessous :

Fournisseur	Type d’attribut	Nom de l’attribut	ID fournisseur	Numéro d'attribut	Valeur de UserIPAttribute
Juniper Networks	Standard	calling-station-id	-	31	31
Palo Alto Networks	Spécifique au fournisseur	client-source-ip	25461	7	25461,7

4. Cliquez sur OK.