VPN remota - autenticação de dois fatores com Cisco ASA + OpenLDAP

Question

Alguém pode me dar um caminho (ou link para a documentação / como) para implementar autenticação de dois fatores (senha LDAP + certificado) no Cisco ASA para RemoteVPN (com o cliente Anyconnect)?

Atualmente, nosso Cisco ASA (5505, 8.4.3) é configurado para autenticação de senha usando o servidor OpenLDAP. Nós usamos o RemoteVPN com AnyConnect Client (SSL VPN). E gostaria de adicionar certificados ao processo de autenticação / autorização. Não quero usar nenhuma autoridade de certificação externa. Eu provavelmente nem preciso de certificados pessoais para todos os usuários.

O que eu preciso é apenas verificar se o usuário tem um certificado válido antes / depois / durante a autenticação / autorização no LDAP com senha.

Para ser sincero, agora não entendo claramente como isso deve funcionar.

1) Primeiro de tudo, eu não entendo, onde deve ser configurado no Cisco ASA.

Devo apenas ativar o certificado e a autenticação aaa "(config-tunnel-webvpn) # authentication aaa certificate" para o meu grupo de túneis através do meu servidor OpenLDAP? Como vai funcionar então? O OpenLDAP suporta a validação de certificados?

Ou preciso usar a autenticação secundária para adicionar certificados? Preciso então configurar algum servidor para autenticação secundária?

Ou preciso fazer alguma outra configuração, como a autoridade da autoridade de certificação? Como, então, a autoridade da CA pode obter nomes de usuários do OpenLDAP? Ou posso apenas fazer um certificado para todos os usuários (esse nível de segurança é totalmente suficiente para minha empresa)?

2) Como o processo de validação de certificado deve funcionar? Como o Cisco ASA validará o certificado? É algo como openssl chaves privadas / públicas ou não? Posso configurar a Autoridade da CA local no ASA, mas ainda assim obtenho todos os usuários do OpenLDAP? Será que ele extrairá o nome de usuário do certificado ou usará o certificado para autenticação?

Muito obrigado antecipadamente.

    

Answer 1

A autenticação por telefone não é uma opção? Eu prefiro isso porque é muito menos um fardo de manutenção do que certs. Por exemplo, para permitir que alguém novo use VPN, basta preencher o número de telefone dele no LDAP, e talvez adicioná-lo ao grupo de usuários habilitados para VPN (se você fizer esse tipo de filtragem), e é isso . Considerando que com certs você tem que gerar um certificado, então dê ao usuário, e então o usuário precisa cuidar dele. OTOH um celular é praticamente natural para todos.

Então eu fui com autenticação de dois fatores baseada em telefone, talvez isso também ajude você de alguma forma.

Cisco AnyConnect com Autenticação do Active Directory e do Multifator do Azure

É muito fácil de fazer, você pode fazer tudo a partir da GUI. Mas é baseado no AD. Embora a MSAF supostamente também apóie o LDAP, também deve ser possível para você. A única ressalva é que as ligações telefônicas do Azure custam dinheiro, seja US $ 1,4 / usuário / mês ou US $ 1,4 / 10. Eu diria que é muito insignificante.