Configurer l’authentification à deux facteurs avec un schéma de connexion et un schéma passthrough dans l’authentification Citrix ADC nFactor
La section suivante décrit le cas d’utilisation de l’authentification à deux facteurs avec un schéma de connexion et un schéma de transmission.
Authentification à deux facteurs avec un schéma de connexion et un schéma de transmission
Supposons un cas d’utilisation où, les administrateurs configure l’authentification à deux facteurs avec un schéma de connexion et un schéma de transmission. Le client soumet un nom d’utilisateur et deux mots de passe. Le premier jeu de nom d’utilisateur et de mot de passe est évalué par une stratégie LDAP en tant que premier facteur, et le second mot de passe est évalué par une stratégie RADIUS en tant que deuxième facteur.
-
Une fois que vous accédez au serveur virtuel de gestion du trafic, vous êtes redirigé vers la page de connexion pour l’authentification.
-
Le client soumet un nom d’utilisateur et deux mots de passe, par exemple : user1, pass1 et pass2.
-
Le premier facteur est évalué par rapport à une action LDAP pour user1 et pass1. L’évaluation est couronnée de succès et passe au facteur suivant, la stratégie « label1” ; dans ce cas.
-
L’étiquette de stratégie spécifie que le second facteur est un passage avec une stratégie RADIUS. Un schéma passthrough signifie que l’appliance Citrix ADC ne retourne pas au client pour d’autres entrées. Citrix ADC utilise simplement les informations qu’il possède déjà. Dans ce cas, c’est user1 et pass2. Le deuxième facteur est ensuite évalué implicitement.
-
Le serveur d’authentification renvoie des cookies et une réponse qui redirige le navigateur du client vers le serveur virtuel de gestion du trafic, où le contenu demandé est disponible. Si la connexion échoue, le navigateur client est présenté avec la page d’ouverture de session d’origine afin que le client puisse réessayer.
Effectuez les opérations suivantes à l’aide de l’interface de ligne de commande
-
Configurez le serveur virtuel de gestion du trafic et d’authentification.
add lb vserver lbvs55 HTTP 1.217.193.55 80 -AuthenticationHost auth56.aaatm.com -Authentication ONadd authentication vserver auth56 SSL 1.217.193.56 443 -AuthenticationDomain aaatm.com
-
Configurez un second facteur.
add authentication loginSchema login1 -authenticationSchema login-2passwd.xml -userCredentialIndex 1 -passwordCredentialIndex 2add authentication loginSchemaPolicy login1 -rule true -action login1add authentication loginSchema login2 -authenticationSchema noschemaadd authentication loginSchemaPolicy login2 -rule true -action login2add authentication policylabel label1 -loginSchema login2
-
Configurez le facteur LDAP et RADIUS.
add authentication ldapAction ldapAct1 -serverIP 1.217.28.180 -ldapBase "dc=aaatm, dc=com" -ldapBindDn administrator@aaatm.com -ldapBindDnPassword 71ca2b11ad800ce2787fb7deb54842875b8f3c360d7d46e3d49ae65c41550519 -encrypted -encryptmethod ENCMTHD_3 -ldapLoginName samAccountName -groupAttrName memberOf -subAttributeName CNadd authentication Policy ldap -rule true -action ldapAct1add authentication radiusAction radius -serverIP 1.217.22.20 -radKey a740d6a0aeb3288fa0a6fbe932d329acddd8f448ecb4a3038daa87b36599fd16 -encrypted -encryptmethod ENCMTHD_3 -radNASip ENABLED -radNASid NS28.50 -radAttributeType 11 -ipAttributeType 8add authentication Policy radius -rule true -action radius
-
Liez les stratégies.
bind authentication vserver auth56 -policy login1 -priority 1 -gotoPriorityExpression ENDbind authentication vserver auth56 -policy ldap -priority 1 -nextFactor label1 -gotoPriorityExpression nextbind authentication policylabel label1 -policyName radius -priority 2 -gotoPriorityExpression end
Remarque
La configuration peut également être créée via nFactor Visualizer disponible dans Citrix ADC version 13.0 et ultérieure.
Configuration à l’aide de nFactor Visualizer
-
Accédez à Sécurité > Trafic d’application AAA-> nFactor Visualizer > nFactor Flows et cliquez sur Ajouter.
-
Cliquez sur + pour ajouter le flux nFactor.
-
Ajoutez un facteur. Le nom que vous entrez est le nom du flux nFactor. Cliquez sur Créer.
-
Pour ajouter les deux schémas de mot de passe pour le premier facteur, cliquez sur Ajouter un schéma.
-
Cliquez sur Ajouter une stratégie pour ajouter la stratégie LDAP. Vous pouvez créer une stratégie d’authentification ou sélectionner une stratégie d’authentification existante dans la liste.
-
Dans l’onglet Action, sélectionnez Serveur LDAP.
Remarque
Si le serveur LDAP n’est pas ajouté, pour plus d’informations sur l’ajout d’un serveur LDAP, voir Stratégies d’authentification LDAP
-
Cliquez sur vert + pour ajouter le facteur RADIUS, puis cliquez sur Créer .
-
N’ajoutez pas de schéma pour ce facteur, car par défaut, il ne prend aucun schéma. Pour ajouter une stratégie d’authentification RADIUS, cliquez sur Ajouter une stratégie.
Remarque
Si le serveur RADIUS n’est pas ajouté, pour plus d’informations sur l’ajout d’un serveur RADIUS, voir Pour configurer l’authentification RADIUS
-
Cliquez sur Terminé pour enregistrer la configuration.
-
Pour lier le flux nFactor créé à un serveur virtuel d’authentification, d’autorisation et d’audit, cliquez sur Lier au serveur d’authentification, puis sur Créer.
