Предварительные требования

• Настроен узел аутентификации
• Настроен агент FreeRADIUS
• Пользователю выдан токен
• Настроен S-Terra Gate согласно с документацией
• Настроен S-Terra Client согласно с документацией

Настройка S-Terra Gate

1. Создадим ключ подключения шлюза к radius серверу

sterragate(config)#do crypto key import name radius1_key key secret1

2. Войдите в режим настройки RADIUS-сервера

sterragate(config)#radius server radius1

3. Задайте адрес и порты RADIUS-сервера Radius1

sterragate(config-radius-server)#address ipv4 10.20.4.15 auth-port 1812 acct-port 1813

4. Укажите ключ аутентификации

sterragate(config-radius-server)#key name radius1_key

5. Установите значение таймаута подключения к RADIUS-серверу

sterragate(config-radius-server)#timeout 30
sterragate(config-radius-server)#exit

6. Создайте группу (имя RADIUS_GROUP), которая будет содержать описанный выше RADIUS-сервер

sterragate(config)#aaa group server radius RADIUS_GROUP
sterragate(config)#server radius1
sterragate(config)#exit

7. Создайте список аутентификации (имя RADIUS_LIST) и укажите в нем созданную выше группу

sterragate(config)#aaa authentication login RADIUS_LIST group RADIUS_GROUP

8. В профиле настроек ISAKMP (алгоритм IKE), применяемого в разделе крипто-карты, необходимо указать список аутентификации и дополнительные настройки xAuth

sterragate(conf-isa-prof)#client authentication list RADIUS_LIST
sterragate(conf-isa-prof)#client authentication xauth
sterragate(conf-isa-prof)#client authentication banner "Enter your credentials."

Настройка агента FreeRADIUS

1. В файл clients.conf нужно добавить настройки подключения s-terra gate

client Hub1 {
         ipaddr = 10.20.4.35
         secret = secret1
 }

где,
 ipaddr – ip адрес криптошлюза s-terra
 secret – секретный ключ

2. В файле config.ini необходимо настроить правила, подключение к индид облаку и ldap серверу. Подробнее в документации

Пример правила предварительной аутентификации
rule[]=;mfa_cloud_users;1;e;2
где,
[список IP-адресов через запятую или пусто];[список LDAP-групп через запятую или пусто];[логическая операция для правил LDAP- групп или пусто];[используемый тип токена или пусто];[тип операции]
Подробнее в документации

3. Сохраняем настройки и запускаем агент

Проверим аутентификацию доменного пользователя

Запускаем S-Terra Client в поле Name вводим user и нажимаем OK(Имя пользователя по умолчанию – user. Пароль по умолчанию отсутствует, в дальнейшем его можно установить)

Введите доменные данные пользователя, а после появится окно с запросом второго фактора