Tutorial 10 · 2:30
VPN e Wi-Fi por RADIUS
Ligar a VPN, a firewall ou o Wi-Fi por RADIUS, com código ou aprovação no telemóvel.
Transcrição
Neste tutorial, vamos ligar a VPN, a firewall ou o Wi-Fi ao serviço por RADIUS. As pessoas entram com o e-mail e a palavra-passe, e confirmam com um código ou com uma aprovação no telemóvel. Na consola, abra Gerir, Clientes RADIUS. Cada equipamento é um cliente. Se não vir este item, peça ao seu fornecedor que ative o RADIUS. Escolha Adicionar cliente e dê-lhe um nome que reconheça, por exemplo, VPN Lisboa.
Escolha o transporte: RadSec, sobre TLS, é o recomendado através da internet; o UDP clássico identifica o equipamento pelo endereço de origem, e só deve ser usado a partir de um endereço público fixo. Com UDP, indique o intervalo de endereços de origem e gere o segredo partilhado. O segredo só é mostrado uma vez: copie-o já para o equipamento. Com RadSec, registe a impressão digital SHA-256 do certificado do equipamento.
Escolha o segundo fator: um código da aplicação autenticadora, a aprovação no telemóvel, ou qualquer dos dois. Defina quanto tempo o equipamento espera pela aprovação, normalmente vinte e cinco segundos, e guarde. Agora, no equipamento: aponte para o endereço do serviço, na porta mil oitocentos e doze para UDP, ou dois mil e oitenta e três para RadSec.
Use PAP, ative o Message-Authenticator, e dê ao tempo de espera pelo menos a espera da aprovação mais cinco segundos. Para quem se liga, o nome de utilizador é o e-mail da conta, e a palavra-passe é a mesma da consola. Com um código, a pessoa pode escrever a palavra-passe, uma vírgula, e os seis algarismos. Com a aprovação no telemóvel, chega um pedido para ligar à rede, com o nome da VPN.
A pessoa confirma o código, aprova, e confirma com a impressão digital ou o PIN. Se não aprovar a tempo, a ligação é recusada. Por segurança, todas as recusas parecem iguais para o equipamento. Para saber o motivo, abra Operar, Auditoria: cada decisão RADIUS fica registada. Tenha em conta que CHAP, MS-CHAP e EAP não são aceites, nem redes Wi-Fi com certificado.
E está feito: a VPN e o Wi-Fi com um segundo fator forte. No próximo tutorial, vamos proteger o início de sessão no Windows, mesmo sem rede.