Настраиваем двухфакторную аутентификацию в OPNSense

Задача:

Настроить двухфакторную аутентификацию на файерволе OPNSense с использованием Google Authenticator

---------------------------------------------------------------

TOTP (Time-based One-Time Password Algorithm, RFC 6238) – OATH-алгоритм создания одноразовых паролей для защищенной аутентификации.

Двухфакторная аутентификация в OPNsense, в рамках которой необходимо вводит не только постоянный пароль локальной учетной записи, но и ограниченный по сроку действия одноразовый пароль (Time-based One-Time Password). Такая авторизация позволяет более надежно защитить доступ к фаерволу.

Будем настраивать вариант с использованием телефона пользователя с установленным приложением Google Authenticator, которое и будет генерировать одноразовые пароли.

Для правильной настройки 2FA, необходимо проверить настройки сетевого времени. Это важная составляющая в процессе авторизации. Настройки времени доступны в меню: Services > Network Time > General

Если вы пользуетесь стандартным пользователем “root”, советую сразу создать нового и пользователя по-умолчанию отключить. Настройки доступны в разделе: System > Access > Users. Для добавления пользования, воспользуемся кнопкой “Add”

Придумываем имя пользователя и пароль

Для пользователей веб-интерфейса, правильным будет выбрать “/sbin/nologin“, тем самым ограничить доступ пользователю к шелу, и добавить в группу “admins”

Если вы планируете пользоваться шелом, тогда стоит выбрать к примеру “/bin/sh”. Стандартный шел пользователя root: “/usr/local/sbin/opnsense-shell“

Теперь переходим к добавлению сервера аутентификации: System > Access > Servers

Настраиваем следующим образом:

Descriptive name	TOTP server
Type	Local + Timebased One Time Password
Token length	6 (для Google Authenticator используем длину 6)
Time window	для Google Authenticator необходимо оставить пустым
Grace period	для Google Authenticator необходимо оставить пустым
Reverse token order	не отмечаем

Возвращаемся к настройке пользователя, открываем на редактирование. Отмечаем “Generate new secret (160 bit)” и нажимаем “Save”

После сохранения появится ещё один пункт “OTP QR code”, на против которого нажимаем кнопку “Click to unhide” и сканируем телефоном появившийся QR-код

В OPNSense есть возможность проверить сервер авторизации. Насти его можно в меню: System > Access > Tester. Не забываем, что в поле пароль – необходимо ввести одноразовый пароль + постоянный пароль вместе, без пробелов или других разделителей между паролями.

Теперь необходимо настроить службу для работы с двухфакторной аутентификацией. В OPNSense такой функционал поддерживается в:

• в веб-интерфейсе
• в Captive Portal
• на веб-прокси сервере
• в VPN-серверах (OpenVPN и IPsec)

В нашем случае нас интересует веб-интерфейс: System > Settings > Administration и указываем “TOTP server”

Изменить порядок ввода одноразового и постоянного пароля можно в настройках сервера аутентификации.

• одноразовый пароль + постоянный пароль (используется по умолчанию)
• постоянный пароль + одноразовый пароль – необходимо отметить “Reverse token order”