В данной статье рассматривается настройка VPN-подключения по протоколу IKEv2 на UserGate NGFW версии 7.x с использованием модуля Indeed NPS RADIUS Extension

Предварительные требования

• Установленный и настроенный Indeed AM 8.2 и выше
• Установленный и настроенный Indeed AM NPS RADIUS Extension
• Установленный и настроенный Indeed Key сервер и Indeed Key провайдер
• Сертификат для IKEV2 VPN
• Установленный и настроенный Usergate NGFW

Сертификат для IKEV2 VPN

Создание сертификата и экспорт подробно описан в статье. Для настройки IKEv2 VPN требуется указать в поле Subject Alternative Name (SAN) DNS-имя, которое будет использоваться VPN-клиентами для подключения. В случае использования IP-адреса, его также необходимо включить в список параметров SAN.
Из экспортируемого файла сертификата (.pfx) требуется извлечь открытый сертификат и закрытый ключ.

openssl pkcs12 -in vpn-ra.pfx -nocerts -out private.key
openssl rsa -in private.key -out vpn-private.key
openssl pkcs12 -in vpn-ra.pfx -clcerts -nokeys -out vpn-ra.crt

Настройка Usergate NGFW

В Консоли администратора перейти в раздел «Сертификаты» и в правом окне нажать на «Импорт»

Задать название сертификата, в «Файл сертификата» выбрать ранее полученный vpn-ra.crt, а в «Приватный ключ» выбрать vpn-private.key и нажать «Сохранить»

Перейдите в раздел «Настройки» и укажите сертификат устройства, который импортировали ранее

Необходимо открыть доступ к сервису VPN в свойствах зоны, из которой будут подключаться конечные устройства

Создайте зону, которой будут принадлежать подключаемые по VPN конечные устройства. Эту зону в дальнейшем можно будет использовать в правилах политик безопасности. В данном примере воспользуемся уже созданной по умолчанию на узле зоной «VPN for remote access»

Создайте VPN-интерфейс в разделе «Сеть» - «Интерфейсы». Для создания интерфейса нажмите «Добавить» и выберите «Добавить VPN». В данном примере воспользуемся уже созданным по умолчанию на узле VPN-интерфейсом tunnel1

В свойствах выбрана зона

И задан ip адрес интерфейса

Перейдите в раздел «Пользователи и устройства», затем выберите вкладку «Серверы аутентификации» и нажмите кнопку «Добавить». Нужно добавить «RADIUS-сервер» и «LDAP-коннектор»

Для LDAP коннектора необходимо задать параметры подключения, проверить соединение и сохранить

Для RADIUS-сервера необходимо добавить ip адрес сервера и секрет

Перейти на вкладку «Профили аутентификации» и нажать кнопку «Добавить»

Задать название и перейти в «Методы аутентификации»

Нажать кнопку «Добавить» и выбрать ранее созданные серверы аутентификации

Порядок аутентификации в сценарии remote access VPN описывается правилами аутентификации. Для создания правила перейдите в раздел «VPN сервер» - «Правила подключения». Нажмите «Добавить» и выберите «IKE». В данном примере воспользуемся уже созданным по умолчанию правилом «IKEv2 example Connection phase»

В свойствах правила выбран протокол IKEv2

Зоны или адреса, с которых разрешено принимать подключения к VPN

Параметр первой фазы согласования защищенного соединения

Для аутентификации VPN-пользователей необходимо создать соответствующий профиль аутентификации. Для создания правила перейдите в раздел «VPN сервер» - «Правила аутентификации». Нажмите «Добавить», далее «Удаленный доступ» и выберите «IKEv2». В данном примере воспользуемся уже созданным по умолчанию правилом «RA IKEv2 Authentication example phase»

В свойствах правила выбран ранее импортируемый сертификат, профиль аутентификации и режим. Добавлено ранее созданное правило подключения

Параметр второй фазы согласования защищенного соединения

Далее необходимо создать политику VPN. Для создания политики перейдите в раздел «VPN сервер» - «Политики VPN». Нажмите «Добавить», далее «Удаленный доступ» и выберите «UserGate client»

Во вкладке «Общие» добавляем ранее созданное правило аутентификации

Во вкладке «Пользователи» нажимаем «Еще» и «Добавить группу LDAP»

Во вкладке «Подсети для VPN» выбираем ранее созданный интерфейс для VPN и задаём сетевые параметры

Настройка NPS

Добавляем RADIUS-клиента

Создаем политику

Настройки на стороне Индид

Заходим в Management Console(MC)
Переходим в раздел «Приложения» - «Создать приложение» - Вводим название приложения - «Создать»

Переходим на вкладку «RADIUS», задаем внутренний адрес Usergaet и нажимаем «Сохранить»

Переходим в «Политики» > *нужная политика* > «Приложения» > «Добавить приложение» > Выбираем созданное ранее приложение > «Добавить»

Заходим в приложение, выбираем метод аутентификации «2FA: Windows Password + Indeed Key (Push)» и нажимаем «Сохранить»

Проверим аутентификацию доменного пользователя