Autenticación de dos factores para usuarios del sistema y usuarios externos
La autenticacion危险dos的es un mecanismo de seguridad en el que un dispositivo NetScaler autentica a un usuario del sistema en dos niveles de autenticación. El dispositivo concede acceso al usuario solo después de que se hayan validado correctamente las contraseñas mediante ambos niveles de autenticación. Si un usuario se autentica localmente, el perfil de usuario debe crearse en la base de datos NetScaler. Si el usuario se autentica externamente, el nombre de usuario y la contraseña deben coincidir con la identidad de usuario registrada en el servidor de autenticación externo.
Nota:
La función de autenticación de dos factores solo funciona a partir de la compilación 51.16 de NetScaler 12.1.
Cómo funciona la autenticación de dos factores
Supongamos que un usuario intenta iniciar sesión en un dispositivo NetScaler. El servidor de aplicaciones solicitado envía el nombre de usuario y la contraseña al primer servidor de autenticación externo (RADIUS, TACACS, LDAP o AD). Una vez validados el nombre de usuario y la contraseña, se le solicitará un segundo nivel de autenticación. El usuario ahora puede proporcionar la segunda contraseña. Solo si ambas contraseñas son correctas, el usuario puede acceder al dispositivo NetScaler. El siguiente diagrama ilustra cómo funciona la autenticación de dos factores para un dispositivo NetScaler.
Los siguientes son los diferentes casos de uso para configurar la autenticación de dos factores para usuarios externos y del sistema.
测试configurar la autenticacion dos的危险en un dispositivo NetScaler de diferentes maneras. Los siguientes son los diferentes casos de configuración para la autenticación de dos factores en un dispositivo NetScaler.
- Autenticación de dos factores (2FA) en NetScaler, GUI, CLI, API y SSH.
- Autenticación externa habilitada y autenticación local inhabilitada para los usuarios del sistema.
- Autenticación externa habilitada con autenticación local basada en directivas para los usuarios del sistema.
- La autenticación externa está inhabilitada para los usuarios del sistema con la autenticación local habilitada.
- Autenticación externa habilitada y autenticación local habilitada para los usuarios del sistema.
- Autenticación externa habilitada para usuarios de LDAP seleccionados
Caso de uso 1: Autenticación de dos factores (2FA) en las interfaces NetScaler, GUI, CLI, API y SSH
La autenticación de dos factores está habilitada y disponible en todos los accesos de administración de NetScaler para GUI, API y SSH.
Caso de uso 2: Se admite la autenticación de dos factores en servidores de autenticación externos como LDAP, RADIUS, Active Directory y TACACS
测试configurar la autenticacion dos的危险en los siguientes servidores de autenticación externos para la autenticación de usuarios de primer y segundo nivel.
- RADIUS
- LDAP
- Active Directory
- TACACS
Caso de uso 3: autenticación externa habilitada y autenticación local inhabilitada para los usuarios del sistema
Para iniciar el proceso de autenticación, active la opción de autenticación externa e inhabilite la autenticación local para los usuarios del sistema.
Realice los siguientes pasos mediante la interfaz de línea de comandos:
- Agregar acción de autenticación para la directiva LDAP
- Agregar directiva de autenticación para la directiva LDAP
- Agregar acción de autenticación para la directiva RADIUS
- Agregar directiva de autenticación para la directiva RADIUS
- Agregar esquema de inicio de sesión de autenticación
- Agregar y vincular la etiqueta de directiva de autenticación al servidor RADIUS
- Enlazar la autenticación global del sistema para la directiva LDAP
- Inhabilitar la autenticación local en el parámetro del sistema
Agregar acción de autenticación para el servidor LDAP (autenticación de primer nivel)
En la línea de comandos, escriba:
add authentication ldapaction
Ejemplo:
add authentication ldapaction ldapact1 -serverip 1.1.1.1 -ldapbase base -ldapbindDn name -ldapbindDNpassword password -ldapLoginName name -groupAttrName name -subAttributeName name -ssoNameAttribute name
Agregar directiva de autenticación para el servidor LDAP (autenticación de primer nivel)
En la línea de comandos, escriba:add authentication policy
Ejemplo:add authentication policy pol1 -rule true -action ldapact1
Agregar acción de autenticación para el servidor RADIUS (autenticación de segundo nivel)
En la línea de comandos, escriba:
add authentication radiusaction
Ejemplo:
add authentication radiusaction radact1 -serverip 1.1.1.1 -radkey 123 -radVendorID 1234 -radAttributeType 2
Agregar directiva de autenticación para el servidor RADIUS (autenticación de segundo nivel)
En la línea de comandos, escriba:
add authentication policy
Ejemplo:
add authentication policy radpol11 -rule true -action radact1
Agregar esquema de inicio de sesión de autenticación
Puede utilizar el esquema de inicio de sesión “SingleAuth.xml” para que los usuarios del sistema proporcionen la segunda contraseña del dispositivo NetScaler. En la línea de comandos, escriba:
添加身份验证loginSchema <登录模式名称>-authenticationSchema LoginSchema/SingleAuth.xml
Ejemplo:
add authentication loginSchema radschema -authenticationSchema LoginSchema/SingleAuth.xml
Agregar y vincular la etiqueta de directiva de autenticación al servidor RADIUS
En la línea de comandos, escriba:
add authentication policylabel
bind authentication policylabel
Ejemplo:
add authentication policylabel label1 -type RBA_REQ -loginSchema radschema
bind authentication policylabel label1 -policyName radpol11 -priority 1
Enlazar el sistema de autenticación global para la directiva LDAP
En la línea de comandos, escriba:
结合系统em global ldappolicy -priority
Ejemplo:
结合系统em global pol11 -priority 1 -nextFactor label1
Inhabilitar la autenticación local en el parámetro del sistema
En la línea de comandos, escriba:
set system parameter -localauth disabled
Caso de uso 4: Autenticación externa habilitada para el usuario del sistema con una directiva de autenticación local adjunta
埃斯特卡索,el usuario喝水iniciar对话在el dispositivo mediante la autenticación de dos factores con la evaluación de la directiva de autenticación local en el segundo nivel de identificación del usuario.
Complete los siguientes pasos mediante la interfaz de línea de comandos.
- Agregar acción de autenticación para el servidor LDAP
- Agregar directiva de autenticación para la directiva LDAP
- Agregar directiva de autenticación local
- Agregar etiqueta de directiva de autenticación
- Enlazar la directiva LDAP como global del sistema
- Inhabilitar la autenticación local en el parámetro del sistema
Agregar acción de autenticación para el servidor LDAP (autenticación de primer nivel)
En la línea de comandos, escriba:
add authentication ldapaction
Ejemplo:
add authentication ldapaction ldapact1 -serverip 1.1.1.1 -ldapbase base -ldapbindDn name -ldapbindDNpassword password -ldapLoginName name -groupAttrName name -subAttributeName name -ssoNameAttribute name –ssoNameAttribute name
Agregar directiva de autenticación para el servidor LDAP (autenticación de primer nivel)
En la línea de comandos, escriba:
add authentication policy
Ejemplo:
add authentication ldapaction ldapact1 -serverip 1.1.1.1 -ldapbase base -ldapbindDn name -ldapbindDNpassword password -ldapLoginName name -groupAttrName name -subAttributeName name -ssoNameAttribute name
Agregar una directiva de autenticación local para los usuarios del sistema (autenticación de segundo nivel)
En la línea de comandos, escriba:
add authentication policy
Ejemplo:
add authentication policy local_policy -rule true -action LOCAL
Agregar y vincular una etiqueta de directiva de autenticación
En la línea de comandos, escriba:
add authentication policylabel
bind authentication policylabel
Nota
Para el acceso de administración, el tipo de directiva debe ser RBA_REQ.
Ejemplo:
add authentication policylabel label1 -type RBA_REQ -loginSchema radschema
bind authentication policylabel label1 -policyName radpol11 -priority 1 -gotoPriorityExpression NEXT
Inhabilitar la autenticación local en el parámetro del sistema
En la línea de comandos, escriba:
set system parameter -localauth disabled
Caso de uso 5: autenticación externa inhabilitada y autenticación local habilitada para el usuario del sistema
Si el usuario tiene la opción “externalAuth” inhabilitada, indica que el usuario no existe en el servidor de autenticación. El usuario no se autentica con el servidor de autenticación externo, incluso si existe un usuario con el mismo nombre de usuario en el servidor autenticado externo. El usuario está autenticado localmente.
Para habilitar la contraseña de usuario del sistema y inhabilitar la autenticación externa
En el símbolo del sistema, escriba lo siguiente:
add system user
Ejemplo:
add system user user1 password1 –externalAuth DISABLED
Caso de uso 6: autenticación externa habilitada y autenticación local habilitada para usuarios del sistema
Para configurar el dispositivo para autenticar a los usuarios del sistema mediante una contraseña local. Si esta autenticación falla, el usuario se autentica mediante una contraseña de autenticación externa en los servidores de autenticación externos en dos niveles.
Configure los siguientes pasos mediante la CLI.
- Agregar acción de autenticación para el servidor LDAP
- Agregar directiva de autenticación para la directiva LDAP
- Agregar acción de autenticación para la directiva RADIUS
- Agregar directiva de autenticación para la directiva RADIUS
- Agregar esquema de inicio de sesión de autenticación
- Agregar etiqueta de directiva de autenticación
- Enlazar etiqueta de directiva de autenticación para el esquema de inicio de sesión
- Enlazar el sistema de autenticación global para la directiva RADIUS
- Enlazar el sistema de autenticación global para la directiva LDAP
Agregar acción de autenticación para el servidor LDAP
En la línea de comandos, escriba:
add authentication ldapaction
Ejemplo:
add authentication ldapaction ldapact1 -serverip 1.1.1.1 -ldapbase base -ldapbindDn name -ldapbindDNpassword password -ldapLoginName name -groupAttrName name -subAttributeName name -ssoNameAttribute name
Agregar directiva de autenticación para la directiva LDAP
En la línea de comandos, escriba:
add authentication policy
Ejemplo:
add authentication policy pol1 -rule true -action ldapact1
Agregar acción de autenticación para el servidor RADIUS
En la línea de comandos, escriba:
add authentication radiusaction
Ejemplo:
add authentication radiusaction radact1 -serverip 1.1.1.1 -radkey 123 -radVendorID 1234 -radAttributeType 2
Agregar directiva de autenticación avanzada para el servidor RADIUS
En la línea de comandos, escriba:
add authentication policy
Ejemplo:
add authentication policy radpol11 -rule true -action radact1
Agregar esquema de inicio de sesión de autenticación
Puede utilizar el esquema de inicio de sesión de SingleAuth.xml para mostrar la página de inicio de sesión y autenticar al usuario del sistema en el segundo nivel de autenticación.
En la línea de comandos, escriba:
add authentication loginSchema
Ejemplo:
add authentication loginSchema radschema -authenticationSchema LoginSchema/SingleAuth.xml
Agregar y vincular la etiqueta de la directiva de autenticación a la directiva de autenticación RADIUS para el inicio de sesión del usuario
En la línea de comandos, escriba:
add authentication policylabel
Ejemplo:
add authentication policylabel label1 -type RBA_REQ -loginSchema radschema
bind authentication policylabel
Ejemplo:
bind authentication policylabel label1 -policyName rad pol11 -priority 1
Directiva de autenticación de enlaces global
En la línea de comandos, escriba:
结合系统em global [
Ejemplo:
结合系统em global radpol11 -priority 1 -nextFactor label11
Caso de uso 7: Autenticación externa habilitada solo para usuarios externos seleccionados
Para configurar usuarios externos selectivos con una autenticación de dos factores según el filtro de búsqueda configurado en la acción LDAP, mientras que los demás usuarios del sistema se autentican mediante la autenticación de un solo factor.
Configure los siguientes pasos mediante la CLI.
- Agregar acción de autenticación para el servidor LDAP
- Agregar directiva de autenticación para la directiva LDAP
- Agregar acción de autenticación para la directiva RADIUS
- Agregar directiva de autenticación para la directiva RADIUS
- Agregar esquema de inicio de sesión de autenticación
- Agregar etiqueta de directiva de autenticación
- Enlazar etiqueta de directiva de autenticación para el esquema de inicio de sesión
- Enlazar el sistema de autenticación global para la directiva RADIUS
Agregar acción de autenticación para el servidor LDAP
En la línea de comandos, escriba:
add authentication ldapaction
Ejemplo:
add authentication ldapaction ldapact1 -serverip 1.1.1.1 -ldapbase base -ldapbindDn name -ldapbindDNpassword password -ldapLoginName name -groupAttrName name -subAttributeName name -ssoNameAttribute name
Agregar directiva de autenticación para la directiva LDAP
En la línea de comandos, escriba:
add authentication policy
Ejemplo:
add authentication policy pol1 -rule true -action ldapact1
Agregar acción de autenticación para el servidor RADIUS
En la línea de comandos, escriba:
add authentication radiusaction
Ejemplo:
add authentication radiusaction radact1 -serverip 1.1.1.1 -radkey 123 -radVendorID 1234 -radAttributeType 2
Agregar directiva de autenticación avanzada para el servidor RADIUS
En la línea de comandos, escriba:
add authentication policy
Ejemplo:
add authentication policy radpol11 -rule true -action radact1
Agregar esquema de inicio de sesión de autenticación
Puede utilizar el esquema de inicio de sesión de SingleAuth.xml para proporcionar la página de inicio de sesión del dispositivo para autenticar a un usuario del sistema en un segundo nivel de autenticación.
En la línea de comandos, escriba:
add authentication loginSchema
Ejemplo:
add authentication loginSchema radschema -authenticationSchema LoginSchema/SingleAuth.xml
Agregar y vincular la etiqueta de la directiva de autenticación a la directiva de autenticación RADIUS para el inicio de sesión del usuario
En la línea de comandos, escriba:
add authentication policylabel
Ejemplo:
add authentication policylabel label1 -type RBA_REQ -loginSchema radschema
bind authentication policylabel
Ejemplo:
bind authentication policylabel label1 -policyName radpol11 -priority
Directiva de autenticación de enlaces global
En la línea de comandos, escriba:
结合系统em global [
Ejemplo:
结合系统em global radpol11 -priority 1 -nextFactor label11
Para configurar sin autenticación de dos factores para los usuarios del grupo mediante el filtro de búsqueda:
- Agregar acción de autenticación para el servidor LDAP
- Agregar directiva de autenticación para el servidor LDAP
- Sistema de autenticación de enlaces global para el servidor LDAP
Agregar acción de autenticación para el servidor LDAP
En la línea de comandos, escriba:
add authentication ldapaction
Ejemplo:
add authentication ldapaction ldapact1 -serverip 1.1.1.1 -ldapbase base -ldapbindDn name -ldapbindDNpassword password -ldapLoginName name -groupAttrName name -subAttributeName name - searchFilter "memberOf=CN=grp4,CN=Users,DC=aaatm-test,DC=com"
Agregar directiva de autenticación para el servidor LDAP
En la línea de comandos, escriba:
add authentication policy
Ejemplo:
add authentication policy pol1 -rule true -action ldapact1
Enlazar el sistema de autenticación global para la directiva LDAP
En la línea de comandos, escriba:
结合系统em global ldappolicy -priority
Ejemplo:
结合系统em global pol11 -priority 1 -nextFactor label11
Mostrar un mensaje rápido personalizado para la autenticación de dos factores
Al configurar un campo de contraseña de dos factores con el archivo SingleAuth.xml en/flash/nsconfig/loginschema/LoginSchema
A continuación se muestra el fragmento de un archivo SingleAuth.xml en el que “SecondPassword:” es el segundo nombre de campo de contraseña que se pide al usuario que introduzca una segunda contraseña.
success more-info /nf/auth/doAuthentication.do /nf/auth/doLogoff.do Cancel login ExplicitForms-Username username singleauth_please_supply_either_domain\username_or_user@fully.qualified.domain false false .+ passwd ExplicitForms-Password password true false .+ none saveCredentials savecredentials false loginBtn none
Configuración de la autenticación de dos factores mediante la GUI de NetScaler
- Inicie sesión en el dispositivo NetScaler.
- Vaya aSistema>Autenticación>Directivas avanzadas>Directiva.
- Haga clic en Agregar para crear la directiva de autenticación de primer nivel.
- En la páginaCrear directiva de autenticación, defina los siguientes parámetros.
- Nombre. Nombre de la directiva
- Tipo de acción. Seleccione el tipo de acción como LDAP, Active Directory, RADIUS, TACACS, etc.
- Acción. La acción de autenticación (perfil) que se va a asociar a la directiva. Puede elegir una acción de autenticación existente o hacer clic en el signo más y crear una acción del tipo adecuado.
- Expression. Proporcione una expresión de directiva avanzada.
- Haga clic enCreary, a continuación, enCerrar.
- Expression. Proporcione una expresión de directiva avanzada.
- Haga clic enCreate.
- Haga clic enAgregarpara crear la directiva de autenticación de segundo nivel.
- En la páginaCrear directiva de autenticación, defina los siguientes parámetros:
- Nombre. Nombre de la directiva
- Tipo de acción. Seleccione el tipo de acción como LDAP, Active Directory, RADIUS, TACACS, etc.
- Acción. La acción de autenticación (perfil) que se va a asociar a la directiva. Puede elegir una acción de autenticación existente o hacer clic en el icono + para crear una acción del tipo adecuado.
- Expression. Proporcione una expresión de directiva avanzada
- Haga clic enCreary, a continuación, enCerrar.
- Expression. Proporcione una expresión de directiva avanzada.
- Haga clic enCreate.
- En la páginaDirectivas de autenticación, haga clic enVinculación global.
- En la páginaCrear vinulación de directiva de autenticación global, seleccione la directiva de autenticación de primer nivel y haga clic enAgregar enlace.
- En la páginaVinculación de directivas, seleccione la directiva de autenticación y defina el siguiente parámetro de enlace de directivas.
- Siguiente factor. Seleccione la etiqueta de la directiva de autenticación de segundo nivel.
Haga clic enVincularyCerrar.
- Haga clic enListo.
- Inicie sesión en el dispositivo NetScaler para realizar la autenticación de segundo nivel. El usuario ahora puede proporcionar la segunda contraseña. Solo si ambas contraseñas son correctas, el usuario puede acceder al dispositivo NetScaler.
Nota
El TACACS configurado para una autenticacion de segundo factor no admite la autorización ni la contabilidad, incluso si se habilita con el comando “tacacsAction”. El segundo factor se utiliza únicamente para el propósito de autenticación.
Consulte tambiénAutenticación de dos factores en el tema Autenticación nFactor de NetScaler.
En este artículo
- Cómo funciona la autenticación de dos factores
- Caso de uso 1: Autenticación de dos factores (2FA) en las interfaces NetScaler, GUI, CLI, API y SSH
- Caso de uso 2: Se admite la autenticación de dos factores en servidores de autenticación externos como LDAP, RADIUS, Active Directory y TACACS
- Caso de uso 3: autenticación externa habilitada y autenticación local inhabilitada para los usuarios del sistema
- Caso de uso 4: Autenticación externa habilitada para el usuario del sistema con una directiva de autenticación local adjunta
- Caso de uso 5: autenticación externa inhabilitada y autenticación local habilitada para el usuario del sistema
- Caso de uso 6: autenticación externa habilitada y autenticación local habilitada para usuarios del sistema
- Caso de uso 7: Autenticación externa habilitada solo para usuarios externos seleccionados
- Configuración de la autenticación de dos factores mediante la GUI de NetScaler