Sophos firewall: Hướng dẫn cấu hình SSL VPN Client to Site được xác thực OTP bằng Google Authenticator

Overview

Bài viết hướng dẫn cấu hình tính năng SSL VPN Client to Site kết hợp xác thực One-time Password và sử dụng ứng dụng Google Authenticator, tính năng này mang lại khả năng bảo mật nâng cao cho việc kết nối của người dùng đến hệ thống mạng trung tâm

Với xác thực OTP bằng Google Authenticator, nó sẽ được hỗ trợ trên các thiết bị mobile (Android only)

Tổng hợp các bước cấu hình

1. Tạo VPN user
2. Bật tính năng OTP trên Sophos XG
3. Tạo kết nối SSL VPN remote access
4. Download và cài đặt Sophos SSL VPN Client

Sơ đồ mạng

Hướng dẫn cấu hình

• Truy cập vào giao diện Web của thiết bị Sophos XG bằng tài khoản Admin

1. Tạo VPN user

• Vào CONFIGURE -> Chọn mục Authentication -> Chọn tab Users -> Nhấn Add

• Nhập username
• Nhập password
• Ở mục User type: chọn User
• Nhập email

• Ở mục Group: Chọn group mặc định của Sophos hoặc tạo 1 group VPN ở mục Group và chọn ở group đó ở đây
• Ở mục Surfing quota: Chọn dung lượng băng thông bạn muốn cho user sử dụng
• Ở mục Access time: Chọn thời gian mà bạn muốn cho phép người dùng truy cập

• Nhấn Save để lưu lại

2. Bật tính năng OTP trên Sophos XG

• Vào CONFIGURE -> Chọn mục Authentication -> Chọn tab One-time password -> Nhấn Settings

• Bật One-time password và SSL VPN remote access -> Nhấn Apply

3. Tạo kết nối SSL VPN remote access

• Vào CONFIGURE -> Chọn mục VPN -> Chọn tab SSL VPN (remote access) -> Nhấn Add

• Đặt tên cho VPN
• Chọn user hoặc group VPN mà bạn đã tạo trước đó

• Ở mục Permitted network resources (IPv4): Chọn lớp mạng mà bạn muốn cho VPN user truy cập
• Nhấn Apply để lưu lại

• Nhấn Show VPN settings -> Chọn SSL VPN -> Ở mục Override hostname: Nhập IP WAN của thiết bị Sophos XG mà bạn muốn VPN tới

4. Download và cài đặt Sophos SSL VPN Client

• Truy cập vào User Portal bằng tài khoản của user đã tạo trước đó

• Download ứng dụng Google Authenticator trên thiết bị di động (Android) và scan mã QR code

• Sau khi scan mã QR code, trên thiết bị Sophos XG sẽ tự động nhận dạng được user đã xác thực

• Click icon OTP time-offset synchronization

• Ta sẽ nhập passcode ta nhận được trên ứng dụng Google Authenticator -> Nhấn Check -> Nhấn Apply

• Quay lại màn hình login để đăng nhập lại với username và password + passcode đã xác thực

• Nhấn Download client and configuration for Windows để download file cài đặt và cài như bình thường

• Sau khi cài đặt ta VPN bằng username và password + passcode (passcode lấy trên ứng dụng Google Authenticator)