Integrationsanleitung

Transkript

1 Integrationsanleitung Hersteller: VASCO & SonicWALL 1. Produkt: SonicWALL NSA Produkt: VASCO Identikey Server 3.2 Infinigate Deutschland GmbH Grünwalderweg 34 D Oberhaching/München Telefon: Internet: 089 / support@infinigate.de

2 Alle in diesem Dokument verwendeten Programmnamen und Bezeichnungen sind geschützte Begriffe von Infinigate oder anderer Herstellerfirmen. Sie dürfen nicht für gewerbliche Zwecke weiterverwendet werden. Genannte Produkte von Drittfirmen sind Eigentum der jeweiligen Firma und sind nicht näher gekennzeichnet. Die in dieser Dokumentation gezeigte Abläufe und Strukturen unterliegen dem Urheberrechtsschutz und sind Eigentum der Firma Infinigate Deutschland GmbH. Dieses Dokument wird dem Leser nur zur Information zur Verfügung gestellt. Infinigate Deutschland GmbH übernimmt keine Haftung für die in diesem Dokument dargestellten Produkten oder Abläufen Alle Rechte vorbehalten. Kein Teil des Handbuches darf in irgendeiner Form (Druck, Fotokopie oder die Speicherung in elektronischen Medien) ohne die schriftliche Genehmigung von Infinigate reproduziert oder vervielfältigt werden. Irrtümer und Änderungen vorbehalten. Copyright 2011 Infinigate Deutschland GmbH Integrationsanleitung Seite: 2 von 47

3 Inhalt 1 Ziel der Anleitung Installation des Identikeyservers Installationsvoraussetzungen Installationsschritte Grundkonfiguration des Identikeyservers Import, Modifikation und Zuweisung eines OTP-Tokens Import eines oder mehrerer Token Aktivierung eines Benutzers Entfernen der PIN-Unterstützung Zuweisung des Tokens Erstellung einer RADIUS-Policy und einem berechtigten Anfrage-Clients Erstellung und Anpassung einer Policy Erstellung eines RADIUS-Clients Konfigurationen SonicWALL Konfiguration des RADIUS-Authentifizierungs-Servers Herunterladen des VPN-Profils Implementierung und Test des VPN-Clients Integrationsanleitung Seite: 3 von 47

4 1 Ziel der Anleitung In dem folgenden Dokument wird eine Installation und Konfiguration der genannten Herstellerprodukte beschrieben. Dabei ist es das Ziel ein Fernzugriff über eine SonicWALL mit Hilfe einer starken Zwei-Faktor-Authentifizierung aufbauen zu können. Folgende Abbildung beschreibt das Einsatzszenario und veranschaulicht so die Ausgangs- und Zielsituation. Wie Sie sehen, soll der Benutzer den VPN-Client dazu benutzen, sich aus dem Internet von einem Firmennotebook über Benutzername + Passwort und OTP gegenüber einem Gateway zu authentifizieren. Das hierbei verwendete Authentifizierungsprotokoll ist RADIUS. Benutzerinformationen speichert der Identikey-Server - in diesem Beispiel - in dem Active Directory, sodass eine Schemaerweiterung durchgeführt werden muss. Nur so können Token und VASCO- Benutzer entsprechend administriert werden. Abbildung 1: Gewünschtes Implementierungsziel Um dieses Szenario umzusetzen sind folgende Schritte erforderlich, die in den folgenden Kapiteln näher beschrieben sind: 1) Installation des Identikeyservers 2) Grundkonfiguration des Identikeyservers 3) Import, Modifikation und Zuweisung eines OTP-Tokens 4) Erstellung einer RADIUS-Policy und einem berechtigten Anfrage-Clients 5) Konfigurationen SonicWALL 6) Implementierung des VPN-Clients und Test der Einwahlverbindung Integrationsanleitung Seite: 4 von 47

5 2 Installation des Identikeyservers Der Identikeyserver beinhaltet alle Komponenten und kann auf einem Memberserver installiert werden. Von einer Installation auf dem Domänencontroller wird jedoch generell abgeraten. 2.1 Installationsvoraussetzungen Der Identikeyserver kann auf Linux und auf Windowsservern installiert werden. Auf Grund der Dominanz im Windowsumfeld wird anschließend der Server auf einem Windows 2008 R2 Member-Server installiert. Dabei werden alle Komponenten auf einer Maschine platziert und eine AD-Schemaerweiterung durchgeführt. 2.2 Installationsschritte Die Installation wird in Form eines Wizard durchlaufen. Nachfolgend werden die einzelnen Fenster in Reihenfolge des Erscheinens gezeigt. Integrationsanleitung Seite: 5 von 47

6 Die Basic Installation installiert den Server als in sich geschlossenen und unabhängigen Server. Da das nicht das Ziel ist wird hier die Advanced -Option ausgewählt. Als Speicherort für die Daten wird hier das Active Directory ausgewählt. Integrationsanleitung Seite: 6 von 47

7 Die oben gezeigte Übersicht, ermöglicht die Installation der einzelnen Komponenten. Die Reihenfolge hierbei ist von oben nach unten einzuhalten. Nach erfolgreichem Abschluss der Installation aller Komponenten wird ein weiterer Wizard ausgeführt in dem die Grundeinstellungen des Servers gesetzt werden, wie das folgende Kapitel beschreibt. Integrationsanleitung Seite: 7 von 47

8 3 Grundkonfiguration des Identikeyservers Die gesamte Grundkonfiguration wird über einen Wizard vollzogen, über den auch nach Fertigstellungen und produktivem Einsatz nachträglich Anpassungen gemacht werden können. Eine Besonderheit spielt hierbei die IP-Adresse, weil die Lizenz auf diese gebunden wird. Deshalb hier unbedingt das richtige Interface auswählen. Integrationsanleitung Seite: 8 von 47

9 Danach kann die Lizenzdatei (*.dat) eingespielt werden. Sollten Sie keine Lizenz haben das ist der Fall, wenn Sie den Server testweise installieren oder noch nie eine Lizenz generiert haben - dann stellen Sie sicher, dass der Server eine Verbindung zum Internet hat und drücken Sie den Button, Request a License Key. Zu Demonstrationszwecken wird hier lediglich der Prozess für eine Demo-Lizenz beschrieben. Drücken Sie den Button Click here for an evaluation license Integrationsanleitung Seite: 9 von 47

10 Lesen und akzeptieren Sie die Lizenzvereinbarungen und wählen Sie im Anschluss aus, ob es sich um eine Software oder Appliance handelt. Hier ist die IDENTIKEY Software Filter Lizenz auszuwählen. Nach Angabe der Kontaktdaten und IP generieren Sie sich die Lizenzdatei. Integrationsanleitung Seite: 10 von 47

11 Dadurch erhalten Sie die Datei als Downloadlink und können sie mit Save target as speichern. Nachdem die Generierung der Lizenzdatei abgeschlossen ist, kann mit der Konfiguration fortgefahren werden. Als nächstes wählen Sie die zu installierenden Module aus, die Sie in Ihrer Lizenz erhalten haben. Integrationsanleitung Seite: 11 von 47

12 Sollte dies nicht ihr erster Server sein. So können Sie hier angeben, dass es sich hier um einen Backup-Server handelt. Wenn nicht kann dieser Punkt Geben Sie in diesem Fenster an in welche Domäne Sie den Server integrieren wollen. Integrationsanleitung Seite: 12 von 47

13 In diesem Schritt wird die entsprechend erforderliche Schemaerweiterung vorbereitet und in einem separaten Prozess durchgeführt. Bevor die Installation dann fortgesetzt werden kann überprüft der Wizard selbständig, ob die Erweiterung auf alle Domaincontroller repliziert wurde. Im Fall von einem Controller reicht der Neustart des AD-Dienstes. Integrationsanleitung Seite: 13 von 47

14 Da die Kommunikation mit selbstsignierten Zertifikaten im Rahmen einer eigenen restriktiven Domäne mit einer eigenen Zertifikatshierarchie ggf. nicht zugelassen wird, kann an dieser Stelle die verschlüsselte Kommunikation unterbunden werden. An dieser Stelle geben Sie bitte den Hauptadministrator an. Integrationsanleitung Seite: 14 von 47

15 Wenn Sie die interne Datenbank mit eigenen Schlüsseln verschlüsseln wollen, können Sie hier die erforderlichen Einstellungen tätigen. Da der Identikey-Server voll Mandanten-fähig ist können Sie hier die Remote- Administrationszertifikate austauschen. Integrationsanleitung Seite: 15 von 47

16 Im Fall der Verwendung von selbstsignierten Zertifikaten wählen Sie hier den Algorithmus und einen eigenen Schlüssel. Um auch die RADIUS-Anfragen zusätzlich schützen zu können haben Sie hier die Möglichkeit ein eigenes Zertifikat anzugeben. In diesem Fall nehmen wir jedoch das gleiche wie zuvor. Integrationsanleitung Seite: 16 von 47

17 Da mit der Implementierung des Identikey-Servers auch Windows-Logon über ein OTP gesichert werden kann müssen die Clients den Server zu jeder Zeit finden. Deshalb muss hier die Einstellung für die automatische DNS-Registrierung eingegeben werden. Weil es sich hier um eine All-in-one-Installation handelt, wird auch das Administration-Webinterface auf diesem Server bestätigt. Integrationsanleitung Seite: 17 von 47

18 Sollten Sie ein SDK benötigen, dann können Sie hier angeben, auf welchem Client es sich im Netzwerk befindet. Anschließend die Konfiguration in der Zusammenfassung noch einmal überprüfen Integrationsanleitung Seite: 18 von 47

19 und dann ist die Grundkonfiguration abgeschlossen. Integrationsanleitung Seite: 19 von 47

20 4 Import, Modifikation und Zuweisung eines OTP-Tokens Im nachfolgenden Kapitel wird beschrieben, wie Sie die gewünschten Digipass- Token in Ihre Umgebung importieren, ihn auf die gewünschten Bedürfnisse anpassen und ihn schließlich einem Benutzer zuweisen. 4.1 Import eines oder mehrerer Token Um Token importieren zu können benötigen Sie immer ein DPX-File. In diesem befinden sich die Lizenz und der Initialisierungsvektor zu den Ihnen ausgelieferten Token. Deshalb sind die Dateien zwingend an die Lieferung gebunden. Dies ist auch der Grund, warum Sie niemals die erforderlichen Transportschlüssel verlieren sollten. Integrationsanleitung Seite: 20 von 47

21 Um die DPX-Files zu importieren suchen Sie die jeweilige OU in die die Token importiert werden sollen. Drücken die rechte Maus auf die OU und wählen Sie dann den Menüpunkt Import Digipass. Zunächst bestätigen Sie die Fortsetzung des Wizards mit next. Dann wählen Sie das gewünschte DPX mit Browse aus. Integrationsanleitung Seite: 21 von 47

22 Navigieren an den Speicherort und wählen die erforderliche Datei aus. Im Anschluss müssen Sie den erforderlichen Transportschlüssel eingeben. Wenn Sie DEMO-Token verwenden, dann ist das per Default 32 Mal die 1. Dabei ist das Eingabefeld auf 32 Zeichen begrenzt, sodass Sie nicht abzählen müssen. Integrationsanleitung Seite: 22 von 47

23 Wählen Sie die zu importierenden Applikationen und ob die Token für die individuelle Zuweisung oder als inaktiv bzw. als Upgrade importiert werden sollen. Integrationsanleitung Seite: 23 von 47

24 Wenn der Importvorgang erfolgreich war wird das in einer Zusammenfassung angezeigt. 4.2 Aktivierung eines Benutzers Um einem Benutzer einen Token zuweisen zu können bedarf es der Aktivierung des jeweiligen Benutzers im AD. Dazu gehen Sie bitte wie folgt vor. Wählen Sie zunächst den Benutzer und drücken Sie die rechte Maustaste um die Einstellungen zu öffnen. Integrationsanleitung Seite: 24 von 47

25 Dazu öffnen Sie zuerst den Reiter Digipass User Account Integrationsanleitung Seite: 25 von 47

26 und wählen die Checkbox Enable Digipass. Integrationsanleitung Seite: 26 von 47

27 Anschließend ist der Benutzer für die Zuweisung aktiviert. Zusätzlich sehen Sie hier, ob der Account gesperrt ist bzw. wie viele Fehlerversuche der Benutzer bis dahin schon vorgenommen hat. Integrationsanleitung Seite: 27 von 47

28 4.3 Entfernen der PIN-Unterstützung Da in dem hier verwendeten Szenario kein zusätzlicher PIN verwendet werden soll muss diese von dem DEMO-Token entfernt werden. Dazu wählen Sie zunächst die Tokeneigenschaften über das Rechtsclick-Menü. Integrationsanleitung Seite: 28 von 47

29 Wechseln Sie den Reiter der entsprechenden Applikation, hier APPLI1 Integrationsanleitung Seite: 29 von 47

30 und wählen Sie über das Dropdown-Menü Actions Integrationsanleitung Seite: 30 von 47

31 Disable PIN Support. Integrationsanleitung Seite: 31 von 47

32 4.4 Zuweisung des Tokens Ähnlich den vorigen Schritten wählen Sie den Token und starten über den Menüpunkt Assign Digipass im Rechtsclick-Menü den Wizard. Integrationsanleitung Seite: 32 von 47

33 Bestätigen Sie die Fortsetzung mit Next. Geben Sie den Benutzer an dem Sie den Token zuweisen wollen. Sie können alternativ auch mit Wildcards arbeiten, indem Sie die fehlenden Buchstaben durch einen Stern * ersetzen. Integrationsanleitung Seite: 33 von 47

34 Wenn ein Benutzerobjekt gefunden werden konnte, wird es im Anschluss angezeigt. Sollten mehrere gefunden werden, wählen Sie bitte das gewünschte aus und setzen den Vorgang fort. Anschließend können Sie die Übergangszeit festlegen in dem der Benutzer noch nicht gezwungen ist das OTP zu verwenden. Integrationsanleitung Seite: 34 von 47

35 Wenn die Zuweisung erfolgreich war wird auch dies wieder in einer Zusammenfassung angezeigt. Integrationsanleitung Seite: 35 von 47

36 5 Erstellung einer RADIUS-Policy und einem berechtigten Anfrage- Clients Nachdem zuvor die grundlegenden, objektbasierten Einstellungen vorgenommen wurden. Kann jetzt die richtlinienbasierte Einstellung im WebAdmin ebenfalls konfiguriert werden. Hier spielen jedoch nur die Reiter Policies und Clients eine Rolle. 5.1 Erstellung und Anpassung einer Policy Um eine Richtlinie zu erstellen wählen Sie den Reiter Policies und dann den Unterpunkt Create, wie die folgende Abbildung zeigt. Integrationsanleitung Seite: 36 von 47

37 Im Anschluss geben Sie der neuen Richtlinie einen Namen und leiten sie von der Base Policy ab. Mit Create erzeugen Sie diese Policy und schließen die Erstellung ab. Wenn Sie dann den Menüpunkt List wählen können Sie sich die Richtlinie heraussuchen Integrationsanleitung Seite: 37 von 47

38 und durch einen Click auf die Policy ID bearbeiten. Hierbei stellen Sie die lokale Authentifizierung auf Digipass / Password und die Back-End-Authentication auf Always, weil immer das Domänenpasswort mit überprüft werden soll. Integrationsanleitung Seite: 38 von 47

39 5.2 Erstellung eines RADIUS-Clients Da die Policy erfolgreich angelegt wurde muss nun lediglich ein berechtigter Client angegeben werden. In dem Fall ist das die Firewall. Dazu wählen Sie den Reiter Clients und dort das Untermenü Register um einen neuen Client anzulegen. Geben Sie dabei das Protokoll, die interne IP-Adresse der SonicWALL und die Policy an, die für dieses Protokoll gilt. Anschließend das gewünschte Shared Secret und bestätigen Sie alles mit create Integrationsanleitung Seite: 39 von 47

40 6 Konfigurationen SonicWALL Da der Server fertig konfiguriert ist, muss lediglich die Firewall auf die Bedürfnisse angepasst werden. 6.1 Konfiguration des RADIUS-Authentifizierungs-Servers Um die Authentifizierung über RADIUS zu ermöglichen muss der Server der SonicWALL bekannt gemacht werden. Dazu wechseln Sie in das Menü Users und dann in den Punkt Settings. Dort kann die Authentifizierungsmethode RADIUS und sofern vorhanden Local Users eingestellt werden, wie die nachfolgende Abbildung zeigt. Wichtig ist es die Auswahl im Anschluss zu bestätigen, da somit automatisch ein Benutzerobjekt erstellt wird. Unter diesem Objekt sind dann sämtliche RADIUS- Benutzer zusammengefasst. Integrationsanleitung Seite: 40 von 47

41 Anschließend muss über den Button Configure die IP und das Shared Secret eingestellt werden. Unter dem Reiter RADIUS Users muss eine neue Benutzergruppe angelegt und deren Berechtigungen und Einstellungen gesetzt werden. Dazu wählen Sie in der Dropdown-Liste den Punkt Create a new user group. Integrationsanleitung Seite: 41 von 47

42 In dem sich dort öffnenden Fenster geben Sie zunächst den Namen an. Unter den Mitgliedern suchen Sie die All RADIUS Users Gruppe heraus und fügen Sie sie mit Hilfe des Pfeilbuttons hinzu. Integrationsanleitung Seite: 42 von 47

43 Als nächstes wählen Sie den Reiter VPN Access aus und fügen hier die Gruppe der lokalen LAN Subnetze hinzu, wie die folgende Abbildung zeigt. Die Reiter CFS Policy und Bookmarks können unbeachtet ignoriert werden. Sodass die Konfiguration mit OK abgeschlossen werden kann. Integrationsanleitung Seite: 43 von 47

44 Der abschließende Test sollte dann - wie nachfolgend zu sehen - erfolgreich absolviert werden. 6.2 Herunterladen des VPN-Profils Die SonicWALL ist jetzt dafür vorbereitet das erforderliche VPN-Profil zu erzeugen und Verbindungen anzunehmen. Dazu wechseln Sie auf den Menüpunkt VPN Settings und aktivieren VPN auf dem WAN-Interface und laden im Anschluss das Profil von der Appliance herunter. Integrationsanleitung Seite: 44 von 47

45 Wählen Sie in dem dann erscheinenden Fenster das gewünschte Format und speichern Sie dies an dem von Ihnen gewünschten Ort. Um die Konfiguration zu speichern schützen Sie die Richtlinie durch ein frei wählbares Kennwort, welches ebenfalls beim Import auf dem Client erneut eingegeben werden soll. Integrationsanleitung Seite: 45 von 47

46 7 Implementierung und Test des VPN-Clients In diesem Kapitel wird kurz beschrieben, wie der Benutzer die zuvor getätigte Konfiguration in die eigene Umgebung implementieren kann. Nachdem der VPN-Client auf dem Rechner installiert ist kann die Policy über das Menü File Import Connection importiert werden. Dabei müssen Sie das in dem vorigen Kapitel gesetzte Passwort eingeben. Integrationsanleitung Seite: 46 von 47

47 Wenn die vorhergehenden Schritte erfolgreich waren kann über einen Rechtsklick der Verbindungsaufbau initialisiert werden. Beachten Sie, dass der Benutzer jetzt im Feld Password, das Domänenpasswort und ein OTP benötigen um sich erfolgreich authentifizieren zu können. Integrationsanleitung Seite: 47 von 47