Autenticazione a due fattori (2FA) per SonicWall VPN
Come impostare l'MFA per SonicWall SSL VPN?
Con la crescente diffusione del lavoro da remoto, le organizzazioni necessitano di qualcosa di più delle semplici password per proteggere l'accesso VPN. SonicWall NetExtender è un client VPN multipiattaforma che fornisce accesso crittografato alle risorse aziendali su Windows, macOS e Linux. L'integrazione di NetExtender con miniOrange MFA per SonicWall aggiunge un ulteriore livello di protezione fondamentale per gli utenti VPN e contribuisce a rafforzare i principi di zero trust con l'autenticazione a due fattori dinamica.
miniOrange semplifica l'autenticazione a più fattori (MFA) di SonicWall per le VPN SSL e si integra con i sistemi di identità esistenti come LDAP, RADIUS e Active Directory. miniOrange supporta oltre 15 metodi di MFA, tra cui TOTP, notifiche push, OTP tramite SMS/e-mail, dati biometrici e token hardware. miniOrange consentirà alle aziende di definire policy di accesso basate sul ruolo dell'utente, sul dispositivo e sul livello di rischio.
Una volta abilitata la funzionalità SonicWall MFA, agli utenti che effettuano l'accesso viene richiesto un secondo fattore per verificare la propria identità, garantendo che solo gli utenti autorizzati possano accedere ai dati aziendali. In breve, miniOrange + SonicWall MFA trasforma la VPN da una soluzione pratica a un controllo fondamentale per la sicurezza informatica, proteggendo i dati, supportando la conformità e rafforzando una cultura del lavoro da remoto sicura.
Conformati alle normative in materia di cyberassicurazione con la soluzione MFA di miniOrange. Scopri di più.
Ottieni POC gratuito - Prenota uno slot
miniOrange offre una prova gratuita di prova e assistenza tramite una chiamata di consulenza con i nostri ingegneri di sistema per configurare l'autenticazione a più fattori per SonicWall SSL VPN nel tuo ambiente con una prova di 30 giorni.
Per farlo, è sufficiente inviarci un'e-mail all'indirizzo idpsupport@xecurify.com per ottenere una prova di concetto gratuita e vi aiuteremo a configurare la nostra soluzione in pochissimo tempo.
Ottieni POC gratuito
Autenticazione miniOrange 2FA/MFA per l'accesso a SonicWall SSL VPN
miniOrange raggiunge questo obiettivo fungendo da server RADIUS che accetta il nome utente e la password inseriti dall'utente come richiesta RADIUS e autentica l'utente rispetto a un archivio utenti come Active Directory (AD). Dopo il primo livello di autenticazione, la soluzione MFA di miniOrange richiede all'utente un secondo fattore di autenticazione e concede o revoca l'accesso in base all'input dell'utente.
L'autenticazione primaria inizia con l'invio da parte dell'utente del suo nome utente e della sua password per VPN SSL SonicWall.
La richiesta dell'utente agisce come un richiesta di autenticazione al server RADIUS (miniOrange).
server RADIUS miniOrange passa le credenziali utente per convalidarle rispetto alle credenziali archiviate in AD (Active Directory)/Database.
Una volta convalidato il primo livello di autenticazione dell'utente AD invia la conferma al server RADIUS.
Ora il server RADIUS miniOrange richiede un Sfida di autenticazione a due fattori per l'utente.
Qui l'utente invia la risposta/codice che riceve sul suo hardware/telefono.
Risposta dell'utente viene verificato sul lato server RADIUS di miniOrange.
In caso di successo Autenticazione a 2° fattore all'utente viene concesso l'accesso per effettuare il login.
Connettiti con qualsiasi directory esterna
miniOrange offre l'autenticazione degli utenti da diverse directory esterne , come miniOrange Directory , Microsoft AD , Microsoft Entra ID/LDAP , AWS Cognito e molte altre.
Vai Utenti >> Impostazioni >> Autenticazione metodo per accedere e selezionare RAGGIOFare clic su Configura.
Inserire il Indirizzo IP di Server RADIUS primario e la porta del raggio 1812Se stai cercando una configurazione ad alta disponibilità per i server RADIUS, puoi immettere i dettagli del server secondario.
Inserisci il segreto condiviso nel Campo segreto condiviso. Il segreto condiviso alfanumerico può variare da 1 a 31 caratteri di lunghezza. Il segreto condiviso è sensibile alle maiuscole e alle minuscole. Questo segreto condiviso è utilizzato in un processo di crittografia per oscurare determinati dettagli nei messaggi RADIUS, come le password utente.
Fare clic su Utenti RADIUS scheda. Seleziona il meccanismo appropriato per impostare l'appartenenza al gruppo di utenti. Se non sei sicuro, usa ID filtro RADIUS attributo sull'opzione Server RADIUS e fare clic su applica.
Accedere al Interfaccia amministrativa di SonicWall.
Cerca gestire e andare a Impostazioni profilo sezione in Utenti e fare clic su Configura Raggio.
Clicchi Aggiungi e quindi Inserisci l'indirizzo IP del server RADIUS primario e la porta RADIUS. Inserisci il segreto condiviso del server RADIUS nel campo Segreto condiviso.
Aggiungere un gruppo locale in Sonicwall
Clicca su Aggiungere gruppo per visualizzare il Aggiungere gruppo finestra.
Sulla Impostazioni profilo scheda, digitare un nome utente nella Nome campo e dovrebbe essere uguale a quello di miniOrange che hai ottenuto da Step1.
Facoltativamente, puoi selezionare l' I membri accedono direttamente all'interfaccia utente di gestione tramite l'accesso Web casella di controllo. Questa selezione verrà applicata solo se questo nuovo gruppo verrà successivamente assegnato come membro di un altro gruppo amministrativo. Puoi anche selezionare la casella Richiedi password monouso casella di controllo per richiedere agli utenti SSL VPN di inviare una password generata dal sistema per l'autenticazione a due fattori. Gli utenti devono avere i loro indirizzi email impostati quando questa funzionalità è abilitata.
Clicca su Utenti scheda per aggiungere utenti e altri gruppi a questo gruppo.
Selezionare l'utente o il gruppo da Utenti e gruppi non membri elenco e quindi fare clic sulla freccia destra -> pulsante.
Clicca su Accesso VPN scheda per configurare a quali risorse di rete possono accedere gli utenti VPN (GVC, NetExtender o segnalibri di Virtual Office).
Seleziona una o più reti da Reti elenco e fare clic sul pulsante freccia destra (->) per spostarli nella Lista di accesso colonna. Per rimuovere l'accesso dell'utente a una rete, seleziona la rete dalla Lista di accessoe fare clic sul pulsante freccia sinistra (<-).
3. Configura la tua directory utente
miniOrange offre l'autenticazione degli utenti da varie fonti esterne, tra cui directory (come ADFS, Microsoft Active Directory, Microsoft Entra ID, OpenLDAP, Google, AWS Cognito ecc.), provider di identità (come Okta, Shibboleth, Ping, OneLogin, KeyCloak), database (come MySQL, MariaDB, PostgreSQL) e molti altri . È possibile configurare la directory/archivio utenti esistente o aggiungere utenti in miniOrange.
Nota: puoi seguire questa guida se desideri configurare Radius MFA con i tuoi utenti memorizzati in Microsoft Entra ID utilizzando OAuth Password Grant.
Imposta AD/LDAP come directory utente
Imposta miniOrange come directory utente
Configura le directory esistenti come Microsoft Active Directory, Microsoft Entra ID, OpenLDAP, ecc.
Fare clic su Provider di identità >> Aggiungi provider di identità nel menu a sinistra della dashboard.
In Scegli provider di identità, seleziona Directory AD/LDAP dal menu a discesa.
Quindi cerca Annuncio pubblicitario/LDAP e fare clic su di esso.
MEMORIZZA LA CONFIGURAZIONE LDAP IN MINIORANGE: Scegli questa opzione se desideri mantenere la tua configurazione in miniOrange. Se Active Directory è protetto da un firewall, dovrai aprirlo per consentire le richieste in arrivo al tuo dominio Active Directory.
MEMORIZZA LA CONFIGURAZIONE LDAP IN LOCALE: Scegli questa opzione se vuoi mantenere la tua configurazione nei tuoi locali e consentire l'accesso ad AD solo all'interno dei locali. Dovrai scaricare e installare miniGateway arancione presso la vostra sede.
Inserisci LDAP Display Nome and Identifier nome.
Seleziona Tipo di directory as Active Directory.
Inserisci l'URL o l'indirizzo IP del server LDAP rispetto a LDAP URL del server campo.
Clicca sul Test di connessione pulsante per verificare se la connessione con il tuo Server LDAP.
In Active Directory, vai alle proprietà dei contenitori/OU utente e cerca Attributo Nome distintoL'account di associazione deve disporre dei privilegi di lettura minimi richiesti in Active Directory per consentire le ricerche nelle directory. Se il caso d'uso prevede il provisioning (ad esempio, la creazione, l'aggiornamento o l'eliminazione di utenti o gruppi), all'account devono essere concesse anche le autorizzazioni di scrittura appropriate.
Inserisci la password valida dell'account Bind.
Clicca sul Test delle credenziali dell'account Bind pulsante per verificare le credenziali LDAP Bind per la connessione LDAP.
Base di ricerca è la posizione nella directory in cui inizia la ricerca di un utente. Lo otterrai dallo stesso posto in cui hai ottenuto il tuo Distinguished name.
Seleziona un filtro di ricerca adatto dal menu a discesa. Se utilizzi Utente nel filtro di gruppo singolo or Utente nel filtro multigruppo, sostituire ilgruppo-dn> nel filtro di ricerca con il nome distinto del gruppo in cui sono presenti i tuoi utenti. Per utilizzare il filtro di ricerca personalizzato seleziona "Scrivi il tuo filtro personalizzato" opzione e personalizzarla di conseguenza.
Clicca sul Avanti pulsante, o vai al Opzioni Login scheda.
È inoltre possibile configurare le seguenti opzioni durante la configurazione di AD. Abilita Attiva LDAP per autenticare gli utenti da AD/LDAP. Fare clic su Avanti pulsante per aggiungere l'archivio utente.
Ecco l'elenco degli attributi e cosa fa quando li abilitiamo. Puoi abilitarli/disabilitarli di conseguenza.
Attributo
Descrizione
Attiva LDAP
Tutte le autenticazioni utente verranno eseguite con credenziali LDAP se lo attivi
Autenticazione di fallback
Se le credenziali LDAP falliscono, l'utente verrà autenticato tramite miniOrange
Abilita l'accesso dell'amministratore
Abilitando questa opzione, il tuo accesso di amministratore miniOrange si autentica tramite il tuo server LDAP
Mostra IdP agli utenti
Se abiliti questa opzione, questo IdP sarà visibile agli utenti
Sincronizza gli utenti in miniOrange
Gli utenti verranno creati in miniOrange dopo l'autenticazione con LDAP
Clicca sul Avanti pulsante, o vai al Attributi scheda.
Mappatura degli attributi da AD
Per impostazione predefinita, sono configurati nome utente, nome, cognome ed email. Scorri verso il basso e clicca su Salva pulsante. Per recuperare attributi aggiuntivi da Active Directory, abilitare Invia attributi configuratiSul lato sinistro, inserisci il nome che desideri rilasciare alle applicazioni. Sul lato destro, inserisci il nome dell'attributo da Active Directory. Ad esempio, se desideri recuperare l'attributo aziendale da Active Directory e inviarlo come organizzazione alle applicazioni configurate, inserisci quanto segue:
Nome attributo inviato a SP = organizzazione Nome attributo da IDP = azienda
Clicca sul Avanti pulsante, o vai al vettovagliamento scheda.
Importazione e provisioning degli utenti da AD
Se si desidera impostare il provisioning, clicca qui. per informazioni dettagliate. Per ora salteremo questo passaggio.
Importa i criteri password da Active Directory
Se desideri importare i criteri password di Active Directory in miniOrange, clicca qui. per informazioni dettagliate. Per ora salteremo questo passaggio.
Connessioni di prova
Vedrai un elenco di directory sotto Provider di identitàDal menu a discesa, seleziona Directory AD/LDAP, cerca la directory configurata, fai clic sui tre punti accanto ad essa e seleziona Test di connessione.
Verrà visualizzata una finestra pop-up che ti chiederà di immettere un nome utente e una password per verificare la configurazione LDAP.
On di risposte positive connessione con il server LDAP, viene visualizzato un messaggio di successo.
Mappatura degli attributi di prova
Vedrai un elenco di directory sotto Provider di identitàDal menu a discesa, seleziona Directory AD/LDAP, cerca la directory configurata, fai clic sui tre punti accanto ad essa e seleziona Mappatura degli attributi di prova.
Appare un pop-up in cui inserire un nome utente e cliccare Test.
Verrà visualizzato il risultato della mappatura degli attributi del test.
La configurazione di Impostazione AD come directory esterna è completata.
Nota: consultare la nostra guida per configurare LDAP su Windows Server.
Per aggiungere i tuoi utenti in miniOrange ci sono 2 modi:
Fare clic su Utenti >> Elenco utenti >> Aggiungi utente.
Qui, compila i dettagli dell'utente senza la password e poi clicca su Crea utente pulsante.
Dopo la creazione corretta dell'utente, verrà visualizzato un messaggio di notifica "Un utente finale è stato aggiunto correttamente" verrà visualizzato nella parte superiore della dashboard.
Fare clic su Scheda Stato di onboardingControlla l'e-mail con l'ID e-mail registrato e seleziona l'azione Invia e-mail di attivazione con collegamento per la reimpostazione della password da Seleziona azione elenco a discesa e quindi fare clic su APPLICA pulsante.
Ora, apri il tuo ID e-mail. Apri la posta che ricevi da miniOrange e poi clicca su link per impostare la password del tuo account.
Nella schermata successiva, inserisci la password e conferma la password, quindi fai clic su Reimposta password Single Sign-On (SSO) pulsante.
Ora puoi accedere all'account miniOrange inserendo le tue credenziali.
2. Caricamento in blocco degli utenti in miniOrange tramite caricamento di file CSV.
Accedere a Utenti >> Elenco utenti. Fare clic su Aggiungi utente pulsante.
Registrazione in blocco degli utenti Scarica il formato csv di esempio dalla nostra console e modifichiamo questo file csv seguendo le istruzioni.
Per caricare in blocco gli utenti, seleziona il file e assicurati che sia in formato file .csv separato da virgole quindi fare clic su Carica.
Dopo aver caricato correttamente il file csv, vedrai un messaggio di successo con un link.
Cliccando su quel link vedrai l'elenco degli utenti a cui inviare la mail di attivazione. Seleziona gli utenti a cui inviare la mail di attivazione e clicca su Invia mail di attivazione. Una mail di attivazione verrà inviata agli utenti selezionati.
Questa fase prevede l'importazione del gruppo di utenti da Active Directory e il provisioning.
Vai su vettovagliamento. Passa a Impostazione del provisioning Scheda e seleziona Active Directory dal menu a discesa.
Seleziona Provisioning/Deprovisioning di gruppo scheda e attiva Importa gruppo opzione.
Inserire il DN di base per la sincronizzazione del gruppo e fare clic Salva.
Se vuoi assegnare dinamicamente gli utenti ai gruppi presenti nel miniOrange, allora abilita "Assegna utenti a gruppi"
Ora passa a Importa gruppi opzione e selezionare Active Directory da cui vuoi importare i tuoi utenti.
Infine, fai clic su Importare pulsante. Il tuo gruppo verrà importato.
(La configurazione di Active Directory Group Provisioning (Sync) è completata. Ora, ogni volta che un utente viene creato o modificato nel server LDAP e se Assegna utenti ai gruppi è abilitato, l'attributo del gruppo utente dal server LDAP verrà automaticamente sincronizzato e il gruppo utente verrà assegnato o modificato di conseguenza in miniOrange.)
Seleziona Gruppi >> Gestisci gruppi dal pannello di sinistra.
Clicca sul Crea gruppo pulsante in alto.
Inserisci un appropriato Nome gruppo e cliccare su Crea gruppo.
In questa guida abbiamo creato un Gruppo per nome Gruppo_VPN.
Assegnare vari membri al gruppo utilizzando il Assegna utente opzione associata al gruppo nell'elenco dei gruppi.
Seleziona gli utenti che devono essere assegnati a questo gruppo. Quindi seleziona Assegna al gruppo nel menu a discesa Seleziona azione e fare clic sul pulsante Applica.
Questi gruppi saranno utili per aggiungere più Politiche 2FA sulle applicazioni.
4. Configurazione MFA per SonicWall SSL VPN
Nota: puoi seguire questa guida se desideri personalizzare e registrare l'autenticazione a più fattori (MFA) per gli utenti finali.
Ecco, lo faremo configurare una politica per il gruppo di utenti che abbiamo creato in questo passo e associarlo all'applicazione VPN SSL VPN di SonicWall.
Fare clic su Norme >> Norme di accesso all'app.
Fare clic su Aggiungi criterio pulsante.
Nella sezione Applicazione, seleziona Applicazione RADIUS che abbiamo configurato in precedenza nel passaggio 1.
Selezionare il gruppo di utenti richiesto in Nome gruppo e inserire il Nome della politica.
In questa guida configureremo un Solo password politica per "VPN_Group", in modo che solo i membri del VPN_Group possano accedere ai servizi VPN senza un secondo fattore.
Una volta completate le impostazioni della policy, fare clic su Invio per aggiungere una policy.
5. Prova SonicWall SSL VPN MFA
Seleziona il tuo indirizzo IP in Cliente SonicWall ed entra Nome utente e password.
Ti verrà chiesto il codice a 2 fattori se lo hai abilitato Autenticazione 2-factor nella politica miniOrange.
Inserisci il tuo codice a 2 fattori e dovresti connetterti alla VPN Sonicwall.
Disconnessione da GlobalProtect
Fare clic su Disabilita e si verrà disconnessi da Sonicwall Globalprotect VPN.
Troubleshooting
Come posso controllare i registri di controllo degli utenti RADIUS nella dashboard di amministrazione di miniOrange?
Fare clic su Report >> Report di autenticazione utente Radius.
entra Identificatore dell'utente finale and Intervallo di date.
Fare clic su Cerca.
Come posso verificare se la policy scaricata dal firewall non è valida o è incompleta?
Accedi all'interfaccia di gestione di SonicWall.
Accedere a Utenti | Utenti locali or Gruppi locali.
Configurare l'utente o il gruppo di utenti interessati e fare clic su Scheda Accesso VPN.
Aggiungere gli oggetti indirizzo o i gruppi di indirizzi necessari affinché l'utente possa accedere alle risorse desiderate. Fare clic OK.
Tentare di riconnettersi tramite Global VPN Client.
Domande frequenti (FAQ)
Una VPN necessita di MFA?
Una VPN può funzionare senza autenticazione a più fattori (MFA), ma l'implementazione dell'autenticazione a più fattori (MFA) è fortemente consigliata per proteggersi dal furto di credenziali e ridurre il rischio di accessi non autorizzati. Molti framework di sicurezza considerano l'autenticazione a più fattori (MFA) per l'accesso remoto (ad esempio, VPN/SSL-VPN) una best practice o addirittura un requisito.
Come posso disattivare il portale Virtual Office in SonicWall?
In SonicOS 7.x, vai su SSL VPN → Impostazioni portale e seleziona "Disabilita Virtual Office sulle interfacce non LAN". Fai clic su Applica/Salva . In questo modo il portale Virtual Office rimane disponibile sulla LAN per attività come il download di NetExtender e la configurazione dell'autenticazione a più fattori (MFA), rimuovendolo al contempo dalle interfacce WAN o DMZ. Su firmware precedenti privi di questa opzione, disabilita SSL VPN sulla WAN oppure limita l'accesso tramite regole/NAT in modo che il portale non sia raggiungibile dall'esterno.
Come posso configurare miniOrange MFA per gli utenti memorizzati in Microsoft Entra ID o LDAP con SonicWall SSL VPN?
In SonicWall, configura RADIUS in modo che punti a miniOrange e imposta la chiave segreta condivisa. Quindi, in miniOrange, aggiungi SonicWall come client RADIUS, connetti l'archivio utenti (Microsoft Entra ID o LDAP/AD) e definisci una policy MFA (notifica push, TOTP, SMS, e-mail o hardware). Tornando a SonicWall, in Utenti → Impostazioni , abilita la mappatura dei gruppi di utenti RADIUS in modo che gli attributi siano allineati con miniOrange. In questo modo si preserva il flusso di accesso del client VPN aggiungendo al contempo l'autenticazione basata su directory e l'MFA.
Quali metodi 2FA/MFA per SonicWall SSL VPN supporta miniOrange?
Le opzioni supportate includono notifiche push, app TOTP (miniOrange, Google, Microsoft, Authy), password monouso tramite SMS o e-mail (inclusi link con un clic), OTP per chiamate vocali e token hardware (ad esempio, YubiKey, token di visualizzazione). I metodi sono assegnati in base alle policy e funzionano con utenti provenienti da Entra ID, AD o LDAP.
Come posso modificare il metodo di autenticazione RADIUS da MS-CHAPv2 a PAP?
In SonicWall, rimuovere qualsiasi impostazione che imponga MS-CHAPv2 nella configurazione VPN/SSL VPN in modo che venga utilizzato il protocollo RADIUS standard (PAP). Verificare che non sia presente un'opzione VPN SSL separata che riabiliti MS-CHAPv2. Se LDAP e RADIUS sono entrambi configurati, verificare come viene gestita l'autenticazione simultanea in modo che le richieste vengano instradate come previsto. Si noti che alcune funzionalità di modifica della password richiedono MS-CHAPv2, mentre PAP è accettabile quando il trasporto è protetto (SSL o IPsec).
