Início / server / Perguntas / 727967
Accepted
lobi
Asked: 2015-10-10 10:51:01 +0800 CST

Use um token criptográfico físico com a versão da comunidade OpenVPN (gratuita)

  • 772

No momento, estou configurando o OpenVPN para fornecer acesso da empresa a vários clientes. Nosso requisito é usar certificados, proteger com senha as chaves do cliente, bem como usar autenticação de fator duplo (MFA) por cliente.

Eu tenho um monte de tokens Fortinet FortiToken 200 que gostaria de usar, mas não consigo encontrar nenhuma informação que mostre como usar esses tokens com algo como OpenVPN. Depois de procurar um pouco mais, não consigo encontrar nenhuma informação que mostre como alguém pode usar um token físico com o OpenVPN.

Então, minha pergunta é: como posso usar um token físico com o OpenVPN? Não posso usar algo como o Google Authenticator, pois planejamos ter clientes VPN também por meio de seus smartphones. A documentação de instruções do OpenVPN PKCS#11 está muito mal escrita.

Estou começando a acreditar que, se o MFA é um requisito, o OpenVPN simplesmente não é uma opção viável neste momento.

Obrigado pela ajuda.

openvpn

1 respostas

  1. Best Answer

    Basicamente:

    1. Instale um driver pkcs#11 para seu token (pergunte ao fabricante do token se ele não fornecer um).
    2. Diga ao openvpn para usar esse driver e liste as chaves disponíveis no token:
      • openvpn --show-pkcs11-ids /path/to/pkcs11/driver.so

    3. Em seu arquivo de configuração, especifique o módulo e o id serializado para sua chave na --show-pkcs11-idssaída, por exemplo:

      pkcs11-providers /usr/lib/x86_64-linux-gnu/pkcs11/gnome-keyring-pkcs11.so
      pkcs11-id Gnome\x20Keyring/1\x2E0/1\x3AUSER\x3ADEFAULT/Gnome2\x20Key\x20Storage/417AEDAAB81FEF6AEBD1EC430D74ACA74A74A

    (Certifique-se de escapar de qualquer barra invertida no pkcs-id, por exemplo, Gnome\x20Keyringtorna -se Gnome\\x20Keyring.)

    • 2

relate perguntas