Поделиться через

Проверка подлинности RADIUS с помощью идентификатора Microsoft Entra

  • Статья

Протокол RADIUS — это сетевой протокол, который защищает сеть, обеспечивая централизованную проверку подлинности и авторизацию пользователей коммутируемого подключения. Многие приложения по-прежнему используют протокол RADIUS для проверки подлинности пользователей.

В Microsoft Windows Server есть роль, называемая сервером политики сети (NPS), которая может использоваться в качестве сервера RADIUS и поддерживает проверку подлинности RADIUS.

Идентификатор Microsoft Entra включает многофакторную проверку подлинности с системами на основе RADIUS. Если клиент хочет применить многофакторную проверку подлинности Microsoft Entra к любой из ранее упоминание рабочих нагрузок RADIUS, он может установить расширение NPS многофакторной проверки подлинности Microsoft Entra на сервере NPS Windows.

Сервер NPS Windows проходит проверку подлинности учетных данных пользователя в Active Directory, а затем отправляет запрос многофакторной проверки подлинности в Azure. После этого пользователь получает запрос в мобильном приложении для проверки подлинности. После успешного подтверждения клиентскому приложению будет разрешено подключиться к службе.

следует использовать в следующих случаях:

Необходимо добавить многофакторную проверку подлинности в такие приложения, как

  • виртуальная частная сеть (VPN);
  • использующие доступ по Wi-Fi;
  • шлюз удаленных рабочих столов (RDG);
  • инфраструктура виртуальных рабочих столов (VDI)
  • все остальные, которые используют протокол RADIUS для проверки подлинности пользователей в службе.

Примечание.

Вместо того чтобы полагаться на RADIUS и расширение NPS многофакторной проверки подлинности Microsoft Entra, чтобы применить многофакторную проверку подлинности Microsoft Entra к vpn-рабочим нагрузкам, рекомендуется обновить VPN до языка разметки утверждения безопасности (SAML) и напрямую федеративный VPN с идентификатором Microsoft Entra ID. Это дает VPN полный спектр Защита идентификации Microsoft Entra, включая условный доступ, многофакторную проверку подлинности, соответствие устройств и защиту идентификации.

architectural diagram

Компоненты системы

  • Клиентское приложение (VPN-клиент): отправляет запрос проверки подлинности клиенту RADIUS.

  • Клиент RADIUS преобразует запросы из клиентского приложения и отправляет их на сервер RADIUS, на котором установлено расширение NPS.

  • Сервер RADIUS подключается к Active Directory для выполнения первичной проверки подлинности для запроса RADIUS. После успешного выполнения запрос передается в расширение NPS многофакторной проверки подлинности Microsoft Entra.

  • Расширение NPS: запускает запрос на многофакторную проверку подлинности Microsoft Entra для вторичной проверки подлинности. При успешном выполнении расширение NPS завершает запрос проверки подлинности, предоставив серверу RADIUS маркеры безопасности, включающие утверждение многофакторной проверки подлинности, выданное службой маркеров безопасности Azure.

  • Многофакторная проверка подлинности Microsoft Entra: взаимодействует с идентификатором Microsoft Entra для получения сведений о пользователе и выполняет дополнительную проверку подлинности с помощью метода проверки, настроенного пользователем.

Реализация RADIUS с помощью идентификатора Microsoft Entra