Многофакторная аутентификация для VPN

Необходимость защиты VPN-доступа

VPN позволяют пользователям получать доступ к различным ресурсам, находясь за пределами офиса, через защищенный туннель. Хотя это обеспечивает бесперебойный рабочий процесс для удаленных сотрудников, это также подвергает сеть организации новым угрозам кибербезопасности.

При синхронизации VPN со средой AD организации пользователи обычно проходят аутентификацию только с использованием имени пользователя и пароля домена - метод, который, как оказалось, больше не является безопасным. По данным Verizon 81 % утечек данных могут быть связаны со взломанными паролями. Раскрытие учетных данных VPN может подвергнуть риску утечки данных всю вашу сеть. Внедрение дополнительных уровней безопасности посредством MFA является эффективным способом предотвращения тяжелых последствий раскрытия учетных данных.

Защитите доступ через VPN с помощью ADSelfService Plus

Решение для защиты персональных данных ManageEngine ADSelfService Plus позволяет защитить VPN-подключения к сетям организации с помощью адаптивной MFA. Это предполагает внедрение таких методов аутентификации, как биометрическая аутентификация и одноразовые пароли (OTP) при входе в VPN в дополнение к традиционному имени пользователя и паролю. Поскольку для входа в сеть недостаточно только пароля, ADSelfService Plus делает раскрытые учетные данные бесполезными для несанкционированного доступа к VPN.

Поддерживаемые поставщики услуг VPN

ADSelfService Plus позволяет администраторам защитить всех поставщиков услуг VPN с поддержкой RADIUS с помощью MFA, включая следующих:

Как работает MFA для VPN

Чтобы защитить VPN с помощью MFA, VPN-серверу необходимо использовать сервер сетевых политик Windows (NPS) для настройки аутентификации RADIUS, а на NPS должно быть установлено расширение NPS ADSelfService Plus. Это расширение выступает посредником между NPS и ADSelfService Plus для включения MFA во время VPN-подключений. После выполнения этих требований во время входа через VPN происходит процесс, показанный ниже:

1. Пользователь пытается установить VPN-подключение, предоставляя свои имя пользователя и пароль VPN-серверу.
2. VPN-сервер отправляет запрос на аутентификацию на сервер NPS, на котором установлено расширение NPS ADSelfService Plus.
3. Если сочетание имени пользователя и пароля верна, расширение NPS связывается с сервером ADSelfService Plus и отправляет запрос на второй фактор аутентификации.
4. Пользователь выполняет аутентификацию с помощью метода, настроенного администратором. Результат аутентификации отправляется в расширение NPS в NPS.
5. Если аутентификация прошла успешно, NPS сообщает об этом на VPN-сервер.

Теперь пользователю предоставляется доступ к VPN-серверу и устанавливается зашифрованный туннель с внутренней сетью.

Поддерживаемые методы аутентификации VPN

ADSelfService Plus предоставляет 20 аутентификаторов для MFA VPN и обеспечивает гибкость настройки в зависимости от настроек VPN вашей организации. Для MFA VPN можно выбрать либо проверку на основе VPN-клиента, либо проверку по электронной почте на основе SecureLink.

При использовании проверки на основе клиента для пользователя отображаются всплывающие окна многофакторной проверки подлинности прямо в клиенте VPN во время входа. Ниже приведены методы аутентификации, которые можно настроить для аутентификации на основе клиента:

1. Проверка подлинности TOTP
2. Microsoft Authenticator
3. YubiKey Authenticator
4. Zoho OneAuth TOTP
5. Проверка подлинности с помощью push-уведомления
6. Биометрическая проверка подлинности

Проверка по электронной почте на основе SecureLink подразумевает отправку на почтовые ящики пользователей ссылки для проверки, по которой им необходимо перейти, чтобы подтвердить свою личность. Этот метод поддерживает все аутентификаторы, предоставляемые ADSelfService Plus, включая те, которые не поддерживаются проверкой с использованием клиента, такие как ключи доступа FIDO и аутентификация с помощью смарт-карт.

ADSelfService Plus обеспечивает простую настройку и администрирование VPN MFA с помощью следующего:

• Детальная настройка. можно включить определенные методы аутентификации для пользователей определенных доменов, подразделений и групп.
• Отчеты об аудите в реальном времени. Просматривайте подробные отчеты о попытках входа через VPN с такой информацией, как время входа и ошибки аутентификации.

Преимущества использования VPN MFA в ADSelfService Plus