Authentification à deux facteurs (2FA/MFA) pour les routeurs et commutateurs Juniper
L'authentification à deux facteurs (2FA) ou l'authentification multifacteur est le processus d'authentification dans lequel vous devez fournir deux facteurs pour obtenir l'accès. Le premier facteur est celui dont vous connaissez le nom d'utilisateur et le mot de passe et le deuxième facteur est celui que vous pourriez avoir comme unique comme un téléphone (pour OTP) ou une empreinte digitale. Cette couche supplémentaire empêche la personne non autorisée d'accéder aux ressources même si elle connaît votre nom d'utilisateur et votre mot de passe. miniOrange fournit plus de 15 méthodes et solutions d'authentification pour divers cas d'utilisation. TACACS+ offre une meilleure authentification, autorisation et comptabilité, ce qui permet un contrôle administratif plus flexible. Dans ce guide, nous allons apprendre à configurer TACACS+ sur les routeurs et commutateurs Juniper.
Connectez-vous à n’importe quel répertoire externe
miniOrange assure l'authentification des utilisateurs à partir de divers annuaires externes tels que miniOrange Directory , Microsoft AD , Microsoft Entra ID/LDAP , AWS Cognito et bien d'autres.
Vous ne trouvez pas votre annuaire ? Contactez-nous à l' adresse idpsupport@xecurify.com
Obtenez une aide gratuite pour l'installation - Réservez un emplacement
miniOrange propose une assistance gratuite via un appel de consultation avec nos ingénieurs système pour installer ou configurer la solution d'authentification à deux facteurs pour les routeurs et commutateurs Juniper dans votre environnement avec un essai de 30 jours.
Pour cela, il vous suffit de nous envoyer un courriel à idpsupport@xecurify.com pour réserver un créneau et nous vous aiderons à le mettre en place en un rien de temps.
Pré-requis :
Veuillez vous assurer que l'image de marque de votre organisation est déjà définie dans la section Personnalisation >> Image de marque de connexion et d'inscription du menu de gauche du tableau de bord.
Activez l'authentification à deux facteurs (2FA)/MFA pour les routeurs et commutateurs Juniper pour étendre le niveau de sécurité
1. Configuration des applications Tacacs pour un seul IPS
- Connectez-vous à miniOrange Console d'administration.
- Allez dans Apps et cliquez sur Ajouter une application .
- Sélectionner Tacacs en tant que type d'application à partir de Toutes les applications menu déroulant.
- Recherchez votre application dans la liste, Routeurs et commutateurs Juniper Onglet application. Si vous ne le trouvez pas Routeurs et commutateurs Juniper vous pouvez configurer votre application via Client TACACS personnalisé.
- Sous l'onglet « Basique », l'utilisateur peut remplir tous les champs obligatoires, tels que : Nom d'affichage, adresse IP du client, et Secret partagéCes champs sont obligatoires.
| Nom du client: |
N’importe quel nom pour votre référence. |
| IP du client : |
Adresse IP du périphérique réseau qui enverra la demande d'authentification TACACS. |
| Secret partagé: |
Clef de sécurité.
Par exemple. "secret partagé"
(Gardez ceci avec vous, vous devrez le configurer sur le client TACACS). |
- Le bouton Enregistrer n'apparaîtra dans les onglets Basique ou Avancé que s'il n'y a qu'une seule adresse IP.
À noter:
- Dans le cas d' plusieurs adresses IP, le Sur le bouton Enregistrer n'apparaîtra que lorsque l'utilisateur accédera à l'onglet « Politiques ».
- L'utilisateur peut ensuite enregistrer l'application soit sans accéder à l'onglet Avancé, soit après avoir rempli les champs de cet onglet.
- Dans l'onglet Paramètres avancés, il y a un bouton appelé Ajouter un fournisseurLorsque l'utilisateur clique sur ce bouton, une fenêtre modale intitulée « Ajouter un fournisseur » s'ouvre, contenant un seul champ de saisie.
- Cliquez sur Créer un nouveau fournisseur Un bouton permet d'ajouter le fournisseur via une requête POST, et un message de confirmation s'affichera.
- Cliquez sur Enregistrer .
2. Configuration des applications Tacacs pour plusieurs IPS
3. Configurer l'authentification pour Juniper via TACACS
Pour configurer un serveur TACACS+ pour l’authentification système :
-
Ajoutez un nouveau serveur TACACS+ et définissez son adresse IP.
[Edit system]
user@host# set tacplus-server <tacacs-server-ip-address>
Par exemple, utilisateur@hôte# définit tacplus-server 172.16.98.1
-
Spécifiez le secret partagé (mot de passe) du serveur TACACS+.
[Edit system]
user@host# set tacplus-server <tacacs-server-ip-address> secret <secret>
Par exemple, utilisateur@hôte# définit tacplus-server 172.16.98.1 secret Tacacssecret1
-
Spécifiez l'adresse de bouclage du périphérique comme adresse source.
[Edit system]
user@host# set tacplus-server <tacacs-server-ip-address> source-address <device-address>
Par exemple, utilisateur@hôte# définir tacplus-server 172.16.98.1 adresse-source 10.0.0.1
- Spécifiez l'ordre d'authentification de l'appareil et incluez l'option tacplus.
[Edit system]
user@host# set authentication-order [tacplus password]
-
Configurez le modèle d’utilisateur distant et sa classe de connexion.
[Edit system]
user@host# set login user <username> class <class>
Par exemple, utilisateur@hôte# définir l'opérateur de classe distante de l'utilisateur de connexion
Résultats
- En mode configuration, confirmez votre configuration en saisissant la commande show system. Si la sortie n'affiche pas la configuration souhaitée, répétez les instructions de configuration de cet exemple pour la corriger.
- La sortie suivante inclut uniquement les parties de la hiérarchie de configuration qui sont pertinentes pour cet exemple :
[edit]
user@host# show system
login {
user remote {
class operator;
}
}
authentication-order [ tacplus password ];
tacplus-server {
172.16.98.1 {
secret "$9$ABC123"; ## SECRET-DATA
source-address 10.0.0.1;
}
}
- Après avoir configuré l'appareil, entrez commettre en mode configuration.
Vérification
Confirmez que la configuration fonctionne correctement.
4. Configurez votre annuaire d'utilisateurs
miniOrange assure l'authentification des utilisateurs à partir de diverses sources externes, telles que des annuaires (ADFS, Microsoft Active Directory, Microsoft Entra ID, OpenLDAP, Google, AWS Cognito, etc.), des fournisseurs d'identité (Okta, Shibboleth, Ping, OneLogin, Keycloak), des bases de données (MySQL, MariaDB, PostgreSQL, etc.) et bien d'autres . Vous pouvez configurer votre annuaire/référentiel d'utilisateurs existant ou ajouter des utilisateurs dans miniOrange.
Remarque : Vous pouvez suivre ce guide si vous souhaitez configurer l’authentification multifacteur Radius avec vos utilisateurs stockés dans Microsoft Entra ID à l’aide de l’octroi de mot de passe OAuth.
Configurer AD/LDAP comme annuaire d'utilisateurs
Configurer miniOrange comme répertoire d'utilisateurs
Configurez vos annuaires existants tels que Microsoft Active Directory, Microsoft Entra ID, OpenLDAP, etc.
- Cliquez sur Fournisseurs d'identité >> Ajouter un fournisseur d'identité dans le menu de gauche du tableau de bord.
- Dans Choisir un fournisseur d'identité, sélectionnez Répertoires AD/LDAP de la liste déroulante.
- Recherchez ensuite AD/LDAP et cliquez dessus.
- STOCKER LA CONFIGURATION LDAP DANS MINIORANGEChoisissez cette option si vous souhaitez conserver votre configuration dans miniOrange. Si Active Directory est protégé par un pare-feu, vous devrez l'ouvrir pour autoriser les requêtes entrantes vers votre AD.
- STOCKER LA CONFIGURATION LDAP SUR PLACE: Choisissez cette option si vous souhaitez conserver votre configuration dans vos locaux et autoriser uniquement l'accès à AD à l'intérieur des locaux. Vous devrez télécharger et installer Passerelle miniOrange chez vous.
- Entrez LDAP Nom du profil et Identifiant nom.
- Sélectionner Type de répertoire as Le tiering Active Directory.
- Saisissez l'URL ou l'adresse IP du serveur LDAP par rapport au LDAP URL du serveur champ.
- Cliquez sur le Test de connexion bouton pour vérifier si vous avez établi une connexion réussie avec votre Serveur LDAP.
- Dans Active Directory, accédez aux propriétés des conteneurs/UO utilisateur et recherchez le Attribut de nom distinctifLe compte lié doit disposer des droits de lecture minimaux requis dans Active Directory pour permettre les recherches dans l'annuaire. Si le cas d'utilisation implique du provisionnement (comme la création, la mise à jour ou la suppression d'utilisateurs ou de groupes), le compte doit également disposer des droits d'écriture appropriés.
- Entrez le mot de passe valide du compte Bind.
- Cliquez sur le Tester les informations d'identification du compte de liaison pour vérifier vos informations d'identification LDAP Bind pour la connexion LDAP.
- Base de recherche est l'emplacement du répertoire où commence la recherche d'un utilisateur. Vous l'obtiendrez au même endroit où vous avez obtenu votre nom distingué.
- Sélectionnez un filtre de recherche approprié dans le menu déroulant. Si tu utilises Utilisateur dans un filtre de groupe unique or Utilisateur dans un filtre de plusieurs groupes, remplace legroupe-dn> dans le filtre de recherche avec le nom distinctif du groupe dans lequel vos utilisateurs sont présents. Pour utiliser le filtre de recherche personnalisé, sélectionnez "Écrivez votre filtre personnalisé" option et personnalisez-la en conséquence.
- Cliquez sur le Suivant bouton, ou allez à la Options de connexion languette.
- Vous pouvez également configurer les options suivantes lors de la configuration d'AD. Activer Activer LDAP afin d'authentifier les utilisateurs depuis AD/LDAP. Clique sur le Suivant bouton pour ajouter un magasin d'utilisateurs.
Voici la liste des attributs et ce qu'il fait lorsque nous l'activons. Vous pouvez activer/désactiver en conséquence.
| Attribut |
Description |
| Activer LDAP |
Toutes les authentifications des utilisateurs seront effectuées avec les informations d'identification LDAP si vous l'activez |
| Authentification de secours |
Si les informations d'identification LDAP échouent, l'utilisateur sera authentifié via miniOrange |
| Activer la connexion administrateur |
En activant cela, votre connexion administrateur miniOrange s'authentifie à l'aide de votre serveur LDAP |
| Afficher l'IdP aux utilisateurs |
Si vous activez cette option, cet IdP sera visible par les utilisateurs |
| Synchroniser les utilisateurs dans miniOrange |
Les utilisateurs seront créés dans miniOrange après authentification avec LDAP |
- Cliquez sur le Suivant bouton, ou allez à la Attributs languette.
Cartographie des attributs d'AD
Importation et provisionnement d'utilisateurs à partir d'AD
- Si vous souhaitez configurer le provisionnement, cliquez ici Pour plus d'informations, nous allons ignorer cette étape pour le moment.
Importer la stratégie de mot de passe depuis Active Directory
- Si vous souhaitez importer votre politique de mot de passe Active Directory dans miniOrange, cliquez ici Pour plus d'informations, nous allons ignorer cette étape pour le moment.
Tester les connexions
- Vous verrez une liste de répertoires sous Fournisseurs d'identité. Dans la liste déroulante, sélectionnez Répertoires AD/LDAP, recherchez votre répertoire configuré, cliquez sur les trois points à côté et sélectionnez Test de connexion.
- Une fenêtre contextuelle apparaît vous invitant à saisir un nom d'utilisateur et un mot de passe pour vérifier votre configuration LDAP.
- On Réussi connexion avec le serveur LDAP, un message de réussite s'affiche.
Mappage des attributs de test
- Vous verrez une liste de répertoires sous Fournisseurs d'identité. Dans la liste déroulante, sélectionnez Répertoires AD/LDAP, recherchez votre répertoire configuré, cliquez sur les trois points à côté et sélectionnez Mappage des attributs de test.
- Une fenêtre contextuelle apparaît pour saisir un nom d'utilisateur et cliquer Test.
- Le résultat du mappage des attributs de test sera affiché.
La configuration d'AD en tant qu'annuaire externe est terminée.
Remarque : Consultez notre guide pour configurer LDAP sur un serveur Windows.
Création de groupes d'utilisateurs (recommandé)
- Sélectionner Groupes >> Gérer les groupes du panneau de gauche.
- Cliquez sur le Créer un groupe bouton en haut.
- Entrez un Nom du groupe et cliquez sur Créer un groupe.
- Dans ce guide, nous avons créé un groupe par nom Groupe_VPN.
- Affectez différents membres au groupe à l'aide du Attribuer un utilisateur option associée au groupe dans la liste des groupes.
- Sélectionnez les utilisateurs qui doivent être affectés à ce groupe. Sélectionnez ensuite Attribuer au groupe dans la liste déroulante Sélectionner une action et cliquez sur le bouton Appliquer.
- Ces groupes seront utiles pour ajouter plusieurs Politiques 2FA sur les candidatures.
5. Configurer MFA pour les routeurs et commutateurs Juniper
Remarque : Vous pouvez suivre ce guide si vous souhaitez personnaliser et inscrire l’authentification multifacteur (MFA) pour les utilisateurs finaux.
- Ici, nous allons configurer une politique pour le groupe d'utilisateurs que nous avons créé dans cette étape et associez-le à l'application VPN des routeurs et commutateurs Juniper.
- Cliquez sur Politiques >> Politique de connexion à l'application.
- Cliquez sur Ajouter une politique .
- Dans la section Application, sélectionnez le Application TACACS que nous avons configuré plus tôt à l'étape 1.
- Sélectionnez le groupe d'utilisateurs requis dans Nom du groupe et entrez le Nom de la politique.
- Dans ce guide, nous allons configurer un Mot de passe seulement politique pour "Groupe_VPN", afin que seuls les membres du VPN_Group puissent accéder aux services VPN sans deuxième facteur.
- Une fois terminé les paramètres de la politique, cliquez sur Soumettre pour ajouter une stratégie.
5. Testez miniOrange 2FA pour la connexion Juniper
- Connectez-vous à Genévrier.
- Entrez le nom d'utilisateur et le mot de passe.
- Il vous demandera un deuxième facteur (s'il est activé à partir du panneau d'administration de miniOrange), entrez votre Code 2FA et vous devriez être connecté à Juniper.
Références supplémentaires
