[Debian 7] VPN Two Factor authentication

[Killertjuh]

Heren,

Ik ben op zoek naar een VPN client oplossing. Ik heb enkele VPN oplossingen al geprobeerd echter elke client ondersteunt geen Two Factor authentication. Openvpn lijkt me de beste oplossing echter kan ik geen plugin of iets vinden die Two factor authentication ondersteund.

Wij maken gebruik van SMS passcode en krijgen een 2e wachtwoord via SMS binnnen op me telefoon.

Weten jullie enkele mogelijkheden hierin ?

google geeft me jammer genoeg ook geen goede resultaten.

Systeem:
Debian 7 amd64

[CAPSLOCK2000]

De meeste twee-factor oplossingen werken out-of-band. Daarmee bedoel ik dat de client zelf niks doet met de tweede factor. Je hebt een aparte applicatie die de tweede factor verzorgd.

Misschien is het mogelijk door openvpn aan radius te koppelen.

[Killertjuh]

Dat gaat toch niet werken? Ik kan nooit mijn client koppelen met radius ? Ik moet 2x een wachtwoord in type namelijk de eerste keer mijn AD wachtwoord. Als deze succesvol is krijg ik nog een wachtwoord via SMS (nooit het zelfde) en deze moet ik nogmaals in voeren voordat ik pas een VPN connectie krijg.

[Rolfie]

Moet het specifiek SMS zijn voor een 2de authenticatie?

Een radius server, kan verschillende 2FA gebruiken, OpenVPN dus ook.
Soft token generators is bv een mogelijkheid
YubiKey is een mogelijkheid.
OpenVPN icm met een (Computer) Certificaat en een ADUserID / Password.

[google=openvpn sms code] heeft ook al diverse hits.

[ Voor 7% gewijzigd door Rolfie op 22-01-2014 12:06 ]

[sariel]

OpenVPN met two-factor authenticatie (in dit geval Google Authenticator):

http://askubuntu.com/ques...pn-server-on-ubuntu-12-04

https://vorkbaard.nl/setu...-ubuntu-12-04-lts-server/

[Demo]

OpenVPN ondersteunt PAM, als jouw SMS passcode systeem een PAM-library biedt, dan is het vrij eenvoudig te implementeren. Zo niet, dan zal je bij de leverancier van dat systeem moeten informeren wat voor VPN-oplossingen zij ondersteunen, of OpenVPN icm eerder genoemde OTP-systemen gebruiken.

[Orion84]

Als ik TS goed begrijp is hij enkel op zoek naar een client waarmee hij kan inloggen op een bestaand VPN netwerk waar gebruik gemaakt wordt van 2FA.

Volgens mij gaan de meeste suggesties hierboven een totaal andere richting uit?

@TS: wat volgens mij belangrijk is, is om te weten om wat voor VPN server het in dit geval gaat. Daar zul je dan een passende client bij moeten vinden.

[ Voor 25% gewijzigd door Orion84 op 22-01-2014 15:46 ]

[Killertjuh]

Orion84 schreef op woensdag 22 januari 2014 @ 15:42:
Als ik TS goed begrijp is hij enkel op zoek naar een client waarmee hij kan inloggen op een bestaand VPN netwerk waar gebruik gemaakt wordt van 2FA.

Volgens mij gaan de meeste suggesties hierboven een totaal andere richting uit?

@TS: wat volgens mij belangrijk is, is om te weten om wat voor VPN server het in dit geval gaat. Daar zul je dan een passende client bij moeten vinden.

Klopt,

omgeving is Palo Alto (ldap AD authentication) als deze voltooid is gaat hij naar SMS passcode server communiceren en ontvang ik een SMS met een wachtwoord.

Volgens mij heb je hier genoeg info aan ? Anders hoor ik het graag. Dit is inderdada al een bestaande oplossing en ik ben overgestapt naar debian. Werdt windows een beetje moe.

[ Voor 11% gewijzigd door Killertjuh op 23-01-2014 08:43 ]

[Orion84]

Volgens https://www.paloaltonetwo...protect/globalprotect.pdf zou er ondersteuning moeten zijn voor de vpnc client en die is als package beschikbaar in Debian. Dus dat zou je eens verder kunnen uitzoeken / uitproberen

[Killertjuh]

Orion84 schreef op donderdag 23 januari 2014 @ 09:32:
Volgens https://www.paloaltonetwo...protect/globalprotect.pdf zou er ondersteuning moeten zijn voor de vpnc client en die is als package beschikbaar in Debian. Dus dat zou je eens verder kunnen uitzoeken / uitproberen

Klopt dit werkt ook echter wel zonder Two Factor authentication (sms passcode)

edit:

Dit krijg ik:
root@debian:/home/username# vpnc bedrijfsnaam
vpnc: authentication unsuccessful

Vervoglens krijg ik een SMS passcode.

[ Voor 14% gewijzigd door Killertjuh op 23-01-2014 11:07 ]

[Orion84]

En wat heb je allemaal opgezocht in de vpnc documentatie / het wereldwijde web om uit te vogelen hoe je vpnc moet instellen / gebruiken zodat het wel werkt?

[Killertjuh]

Orion84 schreef op donderdag 23 januari 2014 @ 11:13:
En wat heb je allemaal opgezocht in de vpnc documentatie / het wereldwijde web om uit te vogelen hoe je vpnc moet instellen / gebruiken zodat het wel werkt?

Ik heb het via de commandline geprobeerd. Ik heb een bedrijdsnaam.conf aangemaakt en alle opties ingevuld. Als ik opties zou vergten zou hij er om vragen. Zoals ik lees op deze site:

https://wiki.gentoo.org/wiki/Vpnc#Configuring_vpnc

het rare is dat de authenticatie klopt want ik krijg een SMS. Dit wil zeggen dat AD authentication klopt. Echter krijg geen nieuwe wachtwoord venster.

https://bugs.launchpad.ne...twork-manager/+bug/285023
Deze geeft eigenlijk aan dat het zou moeten werken onder ubuntu. Ik neem aan dat het ook zou moeten werken via Debian. Maar hij laat niet zien wat zijn configuratie is.

Ik zie ook een hoop plugins voorbij komen maar daar ben ik niet echt in thuis.

Edit: VPNC naar Cisco met two factor authenticatoin werkt na behoren. Alleen in combinatie met Palo alto niet.

[ Voor 5% gewijzigd door Killertjuh op 24-01-2014 12:55 ]