Identity Cloud : 5.3.3.1. Настройка разделяемых секретов RADIUS

[ Общие сведения ] [ Настройка разделяемого секрета RADIUS в интерфейсе Access Bridge ] [ Настройка разделяемого секрета RADIUS в интерфейсе Identity Cloud ] [ Общие требования к разделяемому секрету ]

Общие сведения

Разделяемый секрет RADIUS — это ключ, используемый для аутентификации и шифрования между RADIUS-сервером и RADIUS-клиентом. Целью использования разделяемого секрета является обеспечение безопасности и защиты локальной сети от несанкционированного доступа.

Пароль хранится в виде хэш-значения в таблицах RADIUS Proxy и RADIUS-сервера. Когда клиент отправляет запрос на аутентификацию, он включает общий секрет в запрос в зашифрованном виде, используя алгоритм хэширования, который был предварительно согласован между клиентом и сервером. Сервер использует тот же алгоритм для расшифровки и проверки общего секрета. Если секреты совпадают, сервер авторизует клиента. Если они не совпадают, сервер отклоняет запрос. Таблицы хранения общего секрета используются для безопасного хранения паролей и обеспечения аутентификации клиентов в протоколе RADIUS. 

В архитектуре Avanpost Identity Cloud функцию RADIUS-сервера может выполнять: 

  • компонент Access Bridge, развёрнутый в инфраструктуре заказчика;
  • облачный сервер Identity Cloud.

При использовании компонента Access Bridge для обеспечения требований информационной безопасности разделяемые секреты не хранятся в базе данных Identity Cloud и не передаются в облако. Управление секретами осуществляется локально через веб-интерфейс Access Bridge. Компонент использует механизм RADIUS Secrets Storage для защищённого хранения и предоставления секретов при обработке RADIUS-запросов. 

Настройка разделяемого секрета RADIUS в интерфейсе Access Bridge

Перед настройкой разделяемого секрета в интерфейсе Avanpost Access Bridge следует:

Для настройки RADIUS-секрета на стороне Access Bridge необходимо:

  1. Открыть в браузере веб-интерфейс Access Bridge и аутентифицироваться в нем.
  2. Перейдите во вкладку «RADIUS-секреты».
  3. В веб-интерфейсе Access Bridge нажать кнопку «Новый секрет RADIUS» (или кнопку «Создать секрет»).
  4. В открывшейся вкладке задать следующие параметры:
    • Подсеть (CIDR);
    • Имя RADIUS-клиента;
    • RADIUS-секрет.
  5. Нажать кнопку «Создать» (или «Отмена» для отказа от добавления RADIUS-секрета).

Для получения более подробной информации по настройке RADIUS-секретов на стороне Access Bridge рекомендуется обратиться к разделу Настройка RADIUS Access Bridge (статья Настройка Bridge-компонента).

Настройка разделяемого секрета RADIUS в интерфейсе Identity Cloud

Сервер Avanpost Identity обладает функциональностью хранения RADIUS-секретов. Использование разделяемого секрета доступно для приложений, использующих IP-адреса сервера сетевого доступа в качестве идентификатора. Переход на вкладку управления секретами RADIUS осуществляется нажатием на "Разделяемые секреты RADIUS" в режиме "Сервис" или в разделе "Настройки" профиля RADIUS-приложения (графическое обозначение  в реестре приложений). Вкладка содержит реестр секретов со следующими данными:

  • Наименование;
  • Диапазон адресов.

Для добавления нового секрета следует нажать "Добавить"

Таблица – Описание настроек атрибутов разделяемого секрета RADIUS

Атрибут 

Настройка
Имя клиентаВвести имя клиентского приложения.
Диапазон адресов

Определить диапазон IP-адресов по типу:

10.10.17.108/32,

где 10.10.17.108 – адрес NAS, а /32 – маска подсети, используемая для определения границ диапазона IP-адресов.

В случае пересечения диапазона IP-адресов с другим разделяемым секретом или некорректности ввода адреса появится предупреждение.

Смена общего секретаЗадать секретный ключ (см. Общие требования к разделяемому секрету)

Для удаления секрета необходимо нажать в профиле данного секрета кнопку .

Для редактирования секрета необходимо нажать в профиле секрета кнопку . 

После внесения изменений следует нажать "Сохранить" для сохранения или "Отмена" для выхода без сохранения изменений.

Общие требования к разделяемому секрету

  • Длина: Рекомендуется использовать длинный секретный ключ, состоящий как минимум из 22 символов. 

    Максимальное количество символов в распределяемом секрете RADIUS зависит от конкретной реализации RADIUS-сервера и клиентских устройств.

  • Сложность: Рекомендуется использовать сочетание букв верхнего и нижнего регистров, цифр и специальных символов. 
  • Надежность: Секретный ключ должен быть известен только тем устройствам, которые используют его для аутентификации. Разделяемый секрет должен периодически обновляться для предотвращения возможных утечек. 

Сценарий использования

Администратор хочет настроить разделяемый секрет RADIUS для приложения OpenVPN. Для этого ему необходимо совершить следующие действия:

  1. Перейти в профиль приложения, найдя приложение OpenVPN в реестре режима "Приложения" (можно ввести название приложение в строку поиска).
  2. Войти в раздел "Настройки" профиля приложения (Рисунок) и установить флажок "IP адрес как идентификатор" [1].
  3. Установить адрес сервера сетевого доступа (NAS IP), если он не определен [2].
  4. Перейти в раздел "Разделяемые секреты RADIUS" [3].
  5. Создать новый разделяемый секрет клиента RADIUS:
    1. Нажать "Добавить" в реестре секретов;
    2. Ввести название клиентского приложения "OpenVPN".
    3. Ввести диапазон IP-адресов.
    4. Ввести секрет в соответствии с требованиями.
    5. Нажать "Сохранить".



Обсуждение