Im Folgenden wird Schritt für Schritt beschrieben, wie Sie OpenVPN Community Edition VPN für LastPass Universal Proxy unter Verwendung des RADIUS-Protokolls konfigurieren, um LastPass MFA als sekundäre Authentifizierungsmethode einzustellen. Die folgenden Schritte enthalten die Einstellungen für Universal Proxy.

Über diese Aufgabe:

Hinweis: OpenVPN Community Edition verfügt nicht über eine grafische Benutzeroberfläche (GUI). Die Einstellungen werden über die Befehlszeilenschnittstelle (CLI) vorgenommen.

Hinweis: Da OpenVPN Access Server die eingehenden Authentifizierungsanfragen in einem einzigen Thread verarbeitet, kann sich jeweils nur ein Client anmelden. Es ist daher mit einer erhöhten Wartezeit zu rechnen.

1. Installieren Sie das OpenVPN-RADIUS-Plugin openvpn-auth-radius auf Ihrem Server, damit Sie die erforderlichen Bibliotheken und Konfigurationsdateien erhalten.

   Ergebnis: Die Konfigurationsdatei auth-ldap.conf zur RADIUS-Authentifizierung bei OpenVPN wird installiert.

2. Konfigurieren Sie den OpenVPN-Server für die RADIUS-Authentifizierung mit der Datei radiusplugin.cnf. Legen Sie Folgendes fest:

   NAS-Identifier

   OpenVpn

   Service-Type

   5

   Framed-Protocol

   1

   NAS-Port-Type

   5

   NAS-IP-Address

   IP-Adresse für OpenVPN Community Edition.

   OpenVPNConfig

   Pfad zur OpenVPN-Konfigurationsdatei.

   overwriteccfiles

   true

   acctport

   1813

   authport

   1812

   name

   Die IP-Adresse oder der DNS-Name des Universal Proxy.

   retry

   1

   wait

   61

   sharedsecret

   Gemeinsamer geheimer RADIUS-Schlüssel, der auf dem LastPass Universal Proxy konfiguriert ist.

   Beispiel:

   NAS-Identifier=OpenVpn Service-Type=5 Framed-Protocol=1 NAS-Port-Type=5 NAS-IP-Address=
                
                  OpenVPNConfig=/etc/openvpn/server/server.conf overwriteccfiles=true server { acctport=1813 authport=1812 name=
                 
                   retry=1 # How long should the plugin wait for a response? wait=61 sharedsecret=********* }
                 
                

3. Fügen Sie der OpenVPN-Server-Konfigurationsdatei server.conf folgendes hinzu:
   1. Pfad der Konfigurationsdatei, um die Attribute zu lesen und damit Benutzer zu authentifizieren. Zum Beispiel:

      plugin /usr/lib/openvpn/openvpn-radius-ldap.so /etc/openvpn/radiusplugin.cnf login

   2. Erzwingen der Verwendung von Benutzername und Passwort für die Authentifizierung:

      username-as-common-name

   3. Ausschalten der Zertifikatsauthentifizierung auf der Client-Seite:

      client-cert-not-required

   Beispiel:

   port 1194 proto tcp dev tun ca ca.crt cert server.crt key server.key # This file should be kept secret dh dh.pem plugin /usr/lib/openvpn/openvpn-auth-radius.so /etc/openvpn/radiusplugin.cnf login server 10.8.0.0 255.255.255.0 ifconfig-pool-persist /var/log/openvpn/ipp.txt username-as-common-name keepalive 10 120 client-cert-not-required cipher AES-256-GCM user nobody group nogroup persist-key persist-tun status /var/log/openvpn/openvpn-status.log log /var/log/openvpn/openvpn.log log-append /var/log/openvpn/openvpn.log verb 6 explicit-exit-notify 0

4. Aktivieren Sie die Client-Benutzernamen- und Passwort-Authentifizierung, indem Sie auth-user-pass hinzufügen:

   client
   dev tun
   proto tcp
   remote 20.67.97.220 1194
   resolv-retry infinite
   nobind
   ;user nobody
   ;group nogroup
   persist-key
   persist-tun
   ;remote-cert-tls server
   client-cert-not-required
   username-as-common-name
   ;tls-auth ta.key 1
   auth-user-pass
   cipher AES-256-GCM
   verb 6
   ;mute 20
   
               
                 -----BEGIN CERTIFICATE----- *********** -----END CERTIFICATE----- 
               

5. Starten Sie den OpenVPN-Server neu, um die Änderungen zu übernehmen.